SMBC닛코증권 해킹, 직원 지주회 회원 5만6487명 이름·계좌 샜다

SMBC닛코증권이 11월 11일, 자사가 맡아 운영하던 '종업원지주회 관리 시스템'에 외부 침입이 있었다고 발표했습니다. 회원 최대 5만6487명의 이름과 주소, 배당금, 이체용 은행 계좌 정보가 밖으로 빠져나갔을 수 있다는 내용입니다. 침입을 처음 확인한 날은 이틀 전인 11월 9일입니다. 회사는 그날 바로 시스템 접속을 끊고 서비스를 멈췄습니다.

전화번호와 이메일 주소는 애초에 이 시스템에 등록돼 있지 않아 유출 대상이 아니라는 게 회사 설명입니다. 발표 시점까지 부정 출금 같은 2차 피해도 확인되지 않았습니다. 한편 침입 경로와 원인, 어느 회사 지주회가 포함됐는지는 아직 공개되지 않았습니다.

▲ SMBC닛코증권 나고야지점 간판 (2019년 촬영 · ⓒ HQA02330 / Wikimedia Commons, CC BY-SA 4.0)

SMBC닛코증권 지주회 시스템, 11월 9일에 뚫렸다

일본 상장사 직원들은 월급에서 일정액을 떼어 자기 회사 주식을 꾸준히 사 모으는 경우가 많습니다. 이 모임을 '지주회(持株会)'라고 부르는데 한국의 우리사주조합과 비슷한 제도입니다. 회사가 적립액에 장려금을 얹어 주는 곳이 많아 일본 직장인에게는 꽤 익숙한 재산 형성 수단입니다.

지주회는 회원이 낸 돈을 모아 정해진 날 한꺼번에 주식을 사고, 그 주식을 회원별 지분으로 나눠 기록합니다. 배당이 나오면 다시 지분대로 나누고 세금도 계산해야 합니다. 회원 수가 많은 회사는 이 번거로운 사무를 증권사에 통째로 맡깁니다.

SMBC닛코증권은 이 일을 위탁받아 회원별 보유 주식 수와 배당을 계산하는 관리 시스템을 운영해 왔습니다. 시스템은 지주회와 그 회원들이 함께 씁니다. 이번에 침입을 당한 곳이 바로 여기입니다.

발표에 따르면 영향을 받은 사람은 최대 5만6487명입니다. 한 회사가 아니라 여러 지주회의 회원이 섞여 있습니다. 회사는 해당 지주회에 하나씩 연락하고 있다고 밝혔습니다.

▲ SMBC닛코증권 가쿠엔마에 지점 외관 (2018년 촬영 · ⓒ Tokumeigakarinoaoshima / Wikimedia Commons, CC BY-SA 4.0)

빠져나갔을 수 있는 정보 7가지

회원마다 등록된 항목이 달라 유출 범위도 사람마다 다릅니다. SMBC닛코증권이 밝힌 항목은 아래와 같습니다.

항목	내용
지주회 정보	지주회 이름, 투자 종목
회원 식별	회원 번호, 이름, 주소
돈 관련	배당금과 원천징수 세액, 보유 잔고
계좌	이체에 쓰는 은행 계좌 정보
유출 안 됨	전화번호, 이메일 주소(시스템에 미등록)

숫자만 보면 앞서 다룬 NTT 도코모 유출 건(최대 30만 건)보다 작습니다. 그런데 항목들을 하나로 묶어 보면 얘기가 달라집니다. 지주회 이름은 곧 다니는 회사 이름이고 여기에 이름·주소·보유 잔고·이체 계좌까지 붙어 있습니다. 누가 어느 회사에 다니며 자사주를 얼마나 갖고 있는지 한눈에 보이는 묶음입니다.

전화번호와 메일이 빠졌다는 건 다행입니다. 다만 주소가 있으니 우편물이나 방문 같은 오프라인 사칭도 배제하기 어렵다고 봅니다. 회사가 "SMBC닛코를 사칭한 수상한 연락에 주의해 달라"고 당부한 것도 같은 맥락입니다.

아직 발표되지 않은 것들

이번 발표는 사고 개요와 영향 범위가 중심입니다. 비어 있는 부분이 꽤 많습니다.

먼저 원인과 침입 방식입니다. 외부 공격자가 어떤 경로로 들어왔는지, 언제부터 접근이 가능했는지는 조사 중이라는 말만 나왔습니다. 9일에 확인했다는 사실이 곧 9일에 처음 침입당했다는 뜻은 아닙니다.

피해 규모도 확정된 숫자가 아닙니다. 5만6487명은 회사가 밝힌 '최대' 수치입니다. 공격자가 실제로 내려받은 데이터가 어디까지인지는 로그 분석이 끝나야 알 수 있습니다. 그 결과에 따라 숫자가 줄어들 수도 있습니다.

다음은 어느 회사 지주회인지입니다. 회사는 영향을 받은 지주회 이름을 공개하지 않았습니다. 회원 입장에서는 사내 공지나 지주회 사무국 연락을 기다려야 하는 상황입니다.

서비스 재개 시점도 정해지지 않았습니다. 재개가 결정되면 개별 안내와 홈페이지 공지로 알리겠다는 입장입니다. 매달 적립하는 지주회 특성상 멈춘 기간이 길어지면 매수 일정에도 영향이 갈 수 있습니다.

일본 법이 요구하는 것

일본 개인정보보호법은 2022년 4월 개정안 시행 이후 유출 대응을 의무로 바꿨습니다. 재산 피해로 이어질 수 있는 정보가 새거나, 유출 인원이 1000명을 넘으면 개인정보보호위원회에 보고하고 당사자에게도 알려야 합니다. 은행 계좌 정보가 포함되고 규모가 5만 명대인 이번 건은 두 조건에 모두 걸립니다.

보고는 두 단계로 나뉩니다. 사고를 안 뒤 곧바로 내는 속보가 있고, 이어서 원인과 재발 방지책을 담은 확보(確報)를 내야 합니다. 확보 기한은 원칙적으로 30일이지만, 이번처럼 부정 접속에 의한 유출은 60일입니다. SMBC닛코증권이 언제 어떤 내용으로 보고했는지는 발표문에서 확인되지 않았습니다. 일정대로라면 늦어도 내년 1월 초까지는 당국에 원인을 설명해야 합니다.

지주회 회원이라면 지금 확인할 것

가장 먼저 할 일은 본인 포함 여부 확인입니다. 다니는 회사의 지주회 사무국, 보통은 인사나 총무 부서에 문의하면 됩니다. SMBC닛코가 지주회 단위로 연락하고 있으니 사내 공지가 먼저 나올 가능성이 큽니다.

그다음은 연락의 진위를 가리는 일입니다. 계좌번호와 이름, 배당 금액을 아는 상대가 '배당금 재지급'이나 '보상금 안내'를 내세우면 진짜처럼 들리기 쉽습니다. 이런 연락을 받으면 안내받은 번호가 아니라 회사 공식 창구로 직접 확인하는 편이 안전합니다.

이체용 은행 계좌의 입출금 내역도 한 번 훑어보는 게 좋습니다. 발표 시점에 확인된 2차 피해는 없지만, 조사가 끝나지 않았으니 당분간은 계좌를 지켜보는 게 낫습니다.

1년 전에도 보안 문제로 서비스를 멈췄던 SMBC닛코증권

SMBC닛코증권은 미쓰이스미토모파이낸셜그룹(SMFG) 산하의 대형 증권사로, 노무라·다이와 등과 함께 일본 5대 증권사로 꼽힙니다. 2022년에는 임원들이 연루된 시세조종 사건으로 금융청의 일부 업무정지 명령을 받기도 했습니다. 신뢰 회복을 이야기해 온 회사라 이번 사고의 타격이 더 클 수 있습니다.

이 회사가 보안 문제로 서비스를 멈춘 건 처음이 아닙니다. 2025년 10월 17일 회사는 인터넷 거래 서비스 'Bank & Trade'의 즉시입금 기능을 중단한다고 알렸고 28일부터 실제로 멈췄습니다. 피싱 사기 등으로 인한 부정 접속 피해가 퍼지는 것을 막겠다는 이유였습니다.

그해 일본 증권업계는 고객 계좌가 탈취돼 모르는 사이 주식이 사고팔리는 사고로 홍역을 치렀습니다. 각 사가 로그인 인증을 강화했고 생체 인증 기반의 '패스키' 도입도 빨라졌습니다. 최근 24시간 일본 구글 트렌드에서도 '패스키'가 2만 회 넘게 검색됐습니다. 연관 검색어로 '증권계좌 탈취 사건'이 함께 올라와 있었습니다.

이번 건은 성격이 조금 다릅니다. 개인 고객의 로그인 계정이 털린 게 아니라 증권사가 기업 대신 굴리던 사무 시스템이 뚫렸습니다. 회원이 아무리 비밀번호를 잘 관리해도 막을 수 없는 영역이라는 점에서, 위탁 시스템 관리 책임이 다시 불거질 가능성이 큽니다.

자주 묻는 질문

Q. SMBC닛코증권 정보 유출 대상인지 어떻게 확인하나요?

SMBC닛코증권이 영향을 받은 지주회에 개별로 연락하고 있습니다. 대상 회사 명단은 공개되지 않았으니 다니는 회사의 지주회 사무국에 문의하는 것이 가장 빠릅니다.

Q. 증권 계좌 비밀번호도 유출됐나요?

회사가 밝힌 유출 가능 항목에 로그인 비밀번호는 들어 있지 않습니다. 전화번호와 메일 주소도 시스템에 없어서 유출되지 않았다고 설명했습니다.

Q. 지주회 서비스는 언제 다시 열리나요?

정해지지 않았습니다. 회사는 재개가 결정되면 개별 안내와 홈페이지 공지로 알리겠다고만 밝혔습니다.

함께 읽으면 좋은 글

• 도코모 정보 유출 최대 30만 건, 본인확인서류 번호도 빠져나갔다
• 圏央道 대영JCT~다코IC 9.1km 개통, 시장까지 13분이 6분으로

마지막으로 눈여겨볼 부분은 원인 발표입니다. 침입이 SMBC닛코 자체 시스템의 허점에서 시작됐는지, 다른 외부 업체를 거쳐 들어왔는지에 따라 이번 사고의 무게가 꽤 달라질 겁니다.

English Summary

SMBC Nikko Securities said on November 11 that an outsider had broken into the system it runs to manage employee stock ownership associations, possibly exposing data on up to 56,487 members. The leaked items may include names, addresses, dividends and withheld tax, holding balances and bank account details used for transfers, though phone numbers and email addresses were not stored in the system. The company detected the intrusion on November 9 and shut down access the same day. It has not disclosed the cause, the entry route or which companies' associations were affected, and says no secondary damage has been confirmed so far.