파괴된 전산장비
4만 8,700여 대
피해 기관
방송·금융 6개사 등
사용된 악성코드
76종
집계된 피해액
8,672억원

01 · 핵심 요약 · 90초

은행에서 돈을 찾지 못하는 상황을 대부분의 사람은 상상하지 않는다. 2013년 3월 20일 오후, 신한은행 창구와 현금자동입출금기가 동시에 멈췄다. 이 사건이 만든 규제가 2024년부터 다시 풀리고 있다.

2013년 3월 20일 오후 2시 25분경 KBS와 MBC, YTN의 사내 컴퓨터가 한꺼번에 멈췄다. 비슷한 시각 신한은행과 NH농협은행, 제주은행의 전산에도 장애가 생겼다. 신한은행은 영업점 창구 업무와 인터넷뱅킹, 현금자동입출금기 이용이 함께 지연됐다. 악성코드가 하드디스크의 앞부분을 특정 문자열로 덮어써 컴퓨터를 켤 수 없게 만든 방식이었다. 정부는 4월 10일 이 공격을 북한 정찰총국의 소행으로 추정한다고 발표했다. 국내에서 형사 절차가 진행된 사람은 없다.

얼마나 큰 사건인가

민·관·군 합동대응팀이 2013년 4월 10일 미래창조과학부를 통해 발표한 중간 조사 결과에 따르면 파괴된 전산장비는 4만 8,700여 대다. 피해 대상은 방송·금융 6개사와 대북·보수단체 14개 등이었다. 공격에 쓰인 악성코드는 76종으로 파괴용이 9개, 사전 침투와 감시에 쓰인 것이 67개였다. 공격 경유지는 49개로 국내 25개, 해외 24개였다. 북한 내부에 있는 최소 6대의 컴퓨터에서 피해 기관에 1,590회 접속한 기록이 확인됐고 첫 접속은 2012년 6월 28일이었다. 준비 기간은 8개월 이상으로 분석됐다. 보안업계가 집계해 인용해 온 이 사건의 피해액은 8,672억원이다. 신한은행은 오후 2시 20분경부터 창구와 현금자동입출금기, 인터넷뱅킹이 함께 멈췄고 전산망은 약 2시간 만에 복구됐다.

왜 지금 중요한가

이 사건 뒤 금융위원회는 2013년 7월 11일 금융전산 보안강화 종합대책을 발표했다. 핵심은 망분리 의무화였다. 금융회사 전산센터는 2014년 말까지 업무망과 인터넷망을 물리적으로 나누도록 했고, 본점과 영업점은 규모에 따라 단계적으로 적용하기로 했다. 같은 해 12월 3일 전자금융감독규정이 개정돼 이 내용이 규정에 들어갔다. 그런데 2024년 8월 13일 금융위원회는 금융분야 망분리 개선 로드맵을 내놓고 이 규제를 단계적으로 완화하기로 했다. 인공지능과 클라우드를 쓰기 어렵다는 것이 이유였다. 11년 전 사고가 만든 규제가 지금 되돌려지는 중이다. 완화는 규제 샌드박스로 먼저 허용한 뒤 규정 개정으로 제도화하는 순서로 진행되고 있다.

02 · 자세한 이야기

사건은 이렇게 전개됐다

약 8분

오후 2시 25분에 멈춘 것들

2013년 3월 20일 오후 2시 25분경 KBS와 MBC, YTN 사무실의 컴퓨터가 한꺼번에 꺼졌다. YTN에서는 사내 컴퓨터 약 500대가 멈췄고 KBS 여의도 본사에서도 수백 대가 동시에 작동을 멈췄다.

금융회사에서는 신한은행이 오후 2시 20분경부터 전산 장애를 겪었다. 영업점 창구 업무와 인터넷뱅킹, 스마트뱅킹, 현금자동입출금기 이용이 함께 지연됐다. 신한은행 계열인 제주은행도 같은 영향을 받았다. NH농협은행은 일부 지점에서 통신망 장애가 발생했다.

신한은행의 전산망은 약 2시간 만에 복구됐다. 신한은행과 농협은 이날 영업시간을 일부 연장했다. 국방부는 정보작전방호태세를 4단계에서 3단계로 올렸다.

방송은 화면이 끊기지 않았다. 송출 설비가 아니라 업무용 컴퓨터가 대상이었기 때문이다. 대신 취재와 편집, 사내 업무가 멈췄다.

8개월 전부터 안에 있었다

정부는 2013년 4월 10일 민·관·군 합동대응팀의 중간 조사 결과를 발표했다. 미래창조과학부, 국방부, 금융위원회, 국가정보원, 한국인터넷진흥원과 민간 보안업체가 참여한 조사였다.

발표에 따르면 공격자는 최소 8개월 전부터 피해 기관 내부의 컴퓨터를 장악하고 있었다. 첫 접속 기록은 2012년 6월 28일이다. 그 기간에 자료를 빼내고 내부 구조와 취약점을 살폈다. 파괴는 마지막 단계였다.

확보된 악성코드는 76종이었다. 이 가운데 파괴 기능을 가진 것이 9개, 사전 침투와 감시용이 67개였다. 공격 경유지는 국내 25개, 해외 24개로 모두 49개였다. 북한 내부에 있는 최소 6대의 컴퓨터에서 피해 기관에 1,590회 접속한 흔적이 확인됐다.

파괴 방식은 단순했다. 하드디스크의 앞부분을 'HASTATI'나 'PRINCPES' 같은 문자열로 덮어썼다. 그러면 컴퓨터는 운영체제를 찾지 못하고 켜지지 않는다. 정부는 이 공격을 북한 정찰총국의 소행으로 추정한다고 밝혔다.

왜 한 번에 4만 대가 무너졌나

한 조직에서 수천 대의 컴퓨터가 동시에 같은 방식으로 망가지려면 개별 감염만으로는 부족하다. 조사에서는 소프트웨어를 내부에 배포하는 서버가 공격에 이용된 것으로 확인됐다.

기업은 보안 프로그램과 업무 프로그램을 중앙 서버에서 한꺼번에 내려보낸다. 관리자가 한 번 누르면 전 직원의 컴퓨터가 같은 파일을 받는다. 이 경로가 뚫리면 파괴 명령도 같은 속도로 퍼진다.

은행에서 창구와 현금자동입출금기가 함께 멈춘 것도 같은 이유다. 창구 단말기와 자동화기기는 내부망을 통해 같은 계정계 시스템에 연결된다. 한쪽이 무너지면 다른 쪽도 영향을 받는다.

3개월 뒤인 2013년 6월 25일에도 정부기관과 언론사를 겨냥한 공격이 다시 발생했다. 두 사건은 국가정보보호백서에 같은 해의 사건으로 나란히 기록돼 있다.

규제가 만들어지고 다시 풀린다

금융위원회는 2013년 7월 11일 금융전산 보안강화 종합대책을 발표했다. 모든 금융회사의 전산센터는 2014년 말까지 업무망과 인터넷망을 물리적으로 분리하고, 직원은 업무용 컴퓨터와 인터넷용 컴퓨터를 따로 쓰도록 했다. 본점과 영업점은 총자산과 임직원 수에 따라 단계적으로 적용하기로 했다.

이 내용은 2013년 12월 3일 전자금융감독규정 개정으로 규정에 들어갔다. 정보보호최고책임자 선임과 정보기술 부문 예산 확보도 함께 규정됐다.

2024년 8월 13일 금융위원회는 금융분야 망분리 개선 로드맵을 발표했다. 생성형 인공지능과 클라우드 사용을 위해 물리적 망분리 의무를 단계적으로 완화하겠다는 내용이다. 규제 샌드박스로 먼저 허용한 뒤 규정 개정으로 제도화하는 순서다.

완화의 근거는 기술 환경의 변화다. 다만 2013년에 확인된 공격 방식, 즉 내부 배포 서버를 장악해 한꺼번에 파괴하는 방식이 사라졌다는 근거는 별도로 제시되지 않았다.

03 · 금융구조

돈·정보·책임은 어떻게 움직였나

이 사건은 돈이 빠져나간 사고가 아니라 돈에 접근할 수 없게 된 사고다. 구조를 보면 왜 한 번에 무너졌는지 알 수 있다.

01 · 단계

내부로 들어간다

공격자는 전자우편이나 취약한 웹서버를 통해 조직 내부의 컴퓨터 한 대를 먼저 장악한다. 이 단계는 눈에 띄지 않는다. 2013년 사건에서는 이 기간이 8개월 이상이었고 그동안 감시와 자료 수집이 이뤄졌다.

02 · 단계

배포 서버를 잡는다

기업은 보안 프로그램과 업무 프로그램을 중앙 서버에서 전 직원 컴퓨터로 한꺼번에 내려보낸다. 공격자가 이 서버의 관리자 권한을 얻으면 정상 배포와 같은 경로로 악성코드를 뿌릴 수 있다. 각 컴퓨터의 백신은 이를 정상 업데이트로 본다.

03 · 단계

같은 시각에 실행한다

악성코드에는 실행 시각이 미리 지정돼 있었다. 지정된 시각이 되자 하드디스크의 앞부분이 특정 문자열로 덮어써졌다. 운영체제가 있는 위치가 지워지면 컴퓨터는 켜지지 않는다.

04 · 단계

업무가 멈춘다

은행에서는 창구 단말기와 현금자동입출금기가 같은 내부망을 쓴다. 단말기가 멈추면 예금 인출과 이체가 중단된다. 계좌의 돈은 그대로 있지만 그 돈을 쓸 수 없는 상태가 된다.

돈누가 내고 누가 최종 손실을 부담했는가
정보누가 무엇을 언제 알았고 설명했는가
책임계약·공시·통제·감독의 빈틈은 어디였는가

왜 이런 일이 가능했나

관리의 편의가 그대로 위험이 됐다. 수천 대의 컴퓨터를 한 곳에서 관리하면 비용이 줄지만, 그 한 곳이 뚫리면 수천 대가 동시에 무너진다. 이 구조는 2013년 이후에도 기업 전산의 기본 형태로 남아 있다.

금융과 방송이 함께 대상이 됐다는 점이 중요하다. 두 분야는 멈췄을 때 사회가 즉시 알아채는 곳이다. 공격의 목적이 금전 탈취가 아니라 기능 정지였다는 점을 보여준다.

국내에서 처벌받은 사람은 없다. 정부가 지목한 주체는 국외에 있고 형사 절차가 진행될 수 없었다. 이런 사건에서 남는 것은 처벌이 아니라 제도 변경뿐이다.

다시 일어나지 않으려면

감독당국

금융위원회는 2013년 7월 11일 금융전산 보안강화 종합대책을 발표했다. 전산센터는 2014년 말까지 업무망과 인터넷망을 물리적으로 분리하고, 본점과 영업점은 규모에 따라 단계적으로 적용하도록 했다. 정보보호최고책임자 선임과 정보기술 부문 인력·예산 확보 기준도 함께 정해졌다. 2013년 12월 3일 전자금융감독규정 개정으로 규정에 반영됐다.

남은 과제

금융위원회는 2024년 8월 13일 금융분야 망분리 개선 로드맵을 발표하고 물리적 망분리 의무를 단계적으로 완화하기로 했다. 규제를 푸는 데는 기술 환경 변화라는 이유가 제시됐다. 그러나 완화 이후 같은 방식의 동시 파괴가 발생했을 때 누가 무엇을 책임지는지는 아직 명확하지 않다.

금융회사

전산 장애가 발생했을 때 이용자에게 즉시 알리고 대체 수단을 안내하는 절차는 여전히 회사마다 다르다. 2013년에도 창구가 멈춘 사실을 이용자가 현장에서야 알게 된 사례가 많았다.

최종 부담예금자·차주·은행 건전성

04 · 국민 행동수칙

확인 · 대응 · 신고

전산 장애는 개인이 막을 수 없다. 다만 멈췄을 때 손해를 줄이고 책임을 물을 준비는 미리 해 둘 수 있다.

01

지금 확인할 것

  • 주거래 은행 한 곳에 모든 자금을 두지 않는다. 다른 금융회사에 계좌를 하나 더 두면 한쪽이 멈췄을 때 이체와 인출이 가능하다.
  • 자동이체와 카드 결제 계좌가 한 은행에 몰려 있는지 어카운트인포(payinfo.or.kr)에서 확인한다. 계좌와 자동이체 내역을 한 화면에서 볼 수 있다.
  • 금융회사가 공시하는 정보보호 현황을 확인한다. 전자금융감독규정에 따라 금융회사는 정보기술 부문 인력과 예산 비중을 관리하도록 돼 있다.
  • 긴급한 지출을 대비해 소액의 현금을 따로 둔다. 창구와 현금자동입출금기가 동시에 멈추면 카드 결제도 영향을 받을 수 있다.
02

일이 생겼을 때

  • 전산 장애로 이체가 지연돼 연체료나 위약금이 발생했다면 거래 시각과 오류 화면을 기록으로 남긴다. 금융회사에 대한 청구의 기초 자료가 된다.
  • 전자금융거래법 제9조는 접근매체의 위조·변조나 전자적 전송·처리 과정에서 발생한 사고로 이용자에게 손해가 생긴 경우 금융회사가 배상책임을 지도록 정하고 있다. 사고 경위를 회사에 서면으로 물어 답변을 받아 둔다.
  • 회사와 합의가 되지 않으면 금융감독원에 분쟁조정을 신청한다. 신청 후 합의가 이뤄지지 않으면 금융분쟁조정위원회에 회부된다.
  • 개인정보 유출이 함께 의심되면 접근매체를 즉시 재발급받고 이체 한도를 낮춘다.
03

어디에 신고하나

  • 금융 관련 피해와 분쟁은 금융감독원 1332 또는 e-금융민원센터(fcsc.kr)에 신고한다.
  • 해킹과 악성코드 감염은 한국인터넷진흥원 인터넷침해대응센터 118에 신고한다.
  • 금전 피해가 발생한 사이버범죄는 경찰청 사이버범죄 신고시스템(ecrm.police.go.kr)에 신고한다.
  • 보이스피싱과 결합된 사기는 통합신고대응센터(counterscam112.go.kr)에 신고한다.
스스로에게 물을 질문

답하기 어렵거나 확인되지 않은 항목이 있으면 결정을 미룹니다.

  1. 01

    예금과 자동이체가 한 금융회사에 모두 몰려 있지 않은가.

  2. 02

    거래 은행의 전산이 멈췄을 때 쓸 수 있는 두 번째 수단을 갖고 있는가.

  3. 03

    장애 안내를 회사가 먼저 했는가, 아니면 창구에서 처음 알게 됐는가.

  4. 04

    장애로 손해가 생겼을 때 그 시각과 내용을 기록해 두었는가.

  5. 05

    정보보호 규제가 완화될 때 그 근거를 확인해 본 적이 있는가.

상설 확인 창구

05 · 필자의 결론

이 사건은 금융사고 목록에서 자주 빠진다. 돈이 없어지지 않았기 때문이다. 그러나 계좌의 돈에 접근할 수 없는 상태가 두 시간 이어졌다는 사실은 그 자체로 금융의 문제다. 정부는 공격 주체를 지목했지만 국내에서 처벌된 사람은 없다. 남은 것은 2013년 7월의 망분리 의무화뿐이었다. 그 규제가 2024년부터 풀리고 있다. 규제를 만들 때는 사고가 근거였다. 규제를 풀 때도 같은 수준의 근거가 있어야 한다. 무엇이 달라졌기에 안전해졌는지, 그 답이 문서로 남아 있어야 다음 사고에서 책임을 물을 수 있다. 2013년의 공격은 내부 배포 서버를 장악해 한꺼번에 파괴하는 방식이었다. 그 경로가 없어졌다는 확인 없이 규제만 걷어 내면, 다음에 멈추는 것은 다시 창구가 된다.
사실과 판단의 구분2013년 3·20 금융권 사이버공격

확인된 사실, 감독당국의 판단, 법원의 판단과 필자의 해석은 각각 다른 기준으로 쓴다. 위 결론은 필자의 판단이며, 앞의 서술은 감독당국 발표와 판결, 공시자료를 근거로 한다. 진행 중인 절차는 확정된 것으로 쓰지 않는다.

06 · 근거 자료

다시 확인할 수 있는 자료

독자가 판단의 근거를 직접 추적할 수 있도록 감독당국 발표, 판결, 공시와 연구자료를 제시한다. 사실관계 기준일은 2026.08.06이다.