2026년 9월, 다크웹 포럼에서 국내 중고차 금융·캐피탈 업체 3곳(JB오토리스할부, MSI캐피탈, NR캐피탈)의 고객 데이터를 판매한다는 게시물이 잇따라 발견됐습니다. 판매자는 각각 2만8000건, 300GB, 1TB 규모의 데이터를 보유했다고 주장하며 이름·전화번호·주소·신분증 이미지 등이 포함됐을 가능성을 시사했습니다. 아직 실제 침해 여부는 확인되지 않았으나, 금융·대출 관련 정보가 유출될 경우 스미싱·보이스피싱·대출사기 등 2차 피해로 이어질 위험이 큽니다. 해당 기업들은 다크웹에 공개된 샘플 데이터와 내부 고객 정보의 일치 여부, 관리자 계정 로그인·DB 접근 이력 등을 즉시 점검해야 합니다. 금융당국과 KISA(한국인터넷진흥원)의 신속한 사실 확인 및 후속 대응도 필요한 상황입니다.
2026년 9월 다크웹 포럼에서 JB오토리스할부(jbauto.kr), MSI캐피탈(money-store.co.kr), NR캐피탈(nrcapital.co.kr) 3개 국내 금융·중고차 금융사의 고객 데이터를 판매한다는 게시물이 연달아 게재됐다. 판매자는 각각 28,000건, 300GB, 1TB 규모의 데이터를 보유하고 있다고 주장했다.
이름·전화번호·이메일·주소·생년월일·성별 등 식별정보가 포함된 것으로 주장되며, 신분증 추정 이미지도 일부 공개됐다. 금융 관련 개인정보 유출 시 스미싱·보이스피싱·대출사기·명의도용 등 2차 피해 위험이 높다.
구체적인 침해 경로는 확인되지 않았다. 내부 시스템 직접 침해, 제3자 경유, 또는 기존 유출 데이터 재판매 가능성 등 복수의 시나리오가 열려 있다. MSI캐피탈·NR캐피탈 게시물은 동일 신규 계정이 약 2주 간격으로 게시한 것으로 파악됐다.
관련 기업은 다크웹 샘플과 내부 고객 데이터 대조, 관리자 계정 로그인 이력·DB 접근 기록·대량 조회·다운로드·VPN 및 원격접속 로그 점검이 필요하다. 유출이 확인되면 비밀번호 초기화·세션 폐기·추가 인증 적용 및 KISA·금융당국 신고가 요구된다.
다크웹 게시물의 주장만으로 침해를 단정할 수 없으나, 공개 샘플이 실제 고객 데이터와 일치하는지 여부가 핵심 판단 기준이다. 금융사는 파일서버·상담시스템·문서 저장소 등 비정상적인 대량 접근 흔적까지 범위를 넓혀 점검해야 한다.
본문
다크웹 게시물. JB오토리스할부 관련 내용. 일부 모자이크
9월 들어 다크웹 포럼에서 국내 금융 및 중고차 금융 서비스와 관련된 것으로 주장하는 데이터 판매 게시물이 잇따라 발견됐다. 게시자는 JB오토리스할부(jbauto.kr), MSI캐피탈(money-store.co.kr), NR캐피탈(nrcapital.co.kr) 등을 출처로 지목하며 각각 수만 건에서 최대 1TB 규모의 데이터를 확보했다고 주장했다.
다만 현재 공개된 게시물만으로 실제 해당 기업 시스템이 침해됐는지, 판매자가 제시한 데이터가 해당 기업에서 직접 유출된 것인지까지 확인할 수는 없다. 다크웹에서는 과거 유출 자료를 재가공하거나 여러 출처의 데이터를 섞어 판매하는 사례도 있어 기업의 내부 로그 조사와 샘플 데이터 대조를 통한 사실 확인이 필요한 상황이다.
■ "JB오토리스할부 관련 2만8000건"…이메일·전화번호·주소 등 필드 제시
9월 4일 다크웹의 데이터 판매 게시판에는 'South Korea — Used-Car Market Database — Fresh 28K Records 2026 KR'이라는 제목의 게시물이 올라왔다. 판매자는 데이터 출처를 'jbauto.kr'로 표시하고, 한국 중고차 시장과 관련된 고객 및 사업자 정보 약 2만8000건(28K)을 보유하고 있다고 주장했다.
게시물에는 데이터베이스의 필드 구조로 사용자 ID, 사용자명, 이메일, 전화번호, 휴대전화번호, 우편번호, 주소, 지역, 생년월일, 성별 등 다수의 항목이 제시됐다. 게시자가 공개한 화면에는 실제 한국어 이름과 연락처·주소 형식으로 보이는 데이터 샘플도 노출돼 있다. 비밀번호와 주민등록번호로 추정되는 필드명도 목록에 표시돼 있지만, 판매자는 민감 개인정보 및 인증정보는 공개 목록에서 제외했다고 설명했다. 따라서 실제 해당 정보가 포함돼 있는지는 현재 화면만으로 판단하기 어렵다.
이번 게시물은 중고차 거래 또는 금융서비스 과정에서 축적되는 고객정보가 공격자에게 넘어갔을 가능성을 시사한다. 특히 이름·전화번호·이메일·주소 등이 실제 고객정보와 일치할 경우 보이스피싱이나 스미싱, 명의도용, 표적 피싱 등에 악용될 가능성이 있어 관련 기업은 공개된 샘플과 내부 고객 데이터의 일치 여부를 우선 확인할 필요가 있다.
■ "MSI캐피탈 고객 데이터 300GB 판매"…신분증 추정 이미지도 공개
MSI캐피탈 관련 다크웹 게시물 내용. 일부 모자이크
같은 날인 9월 4일에는 'MSI Capital - money-store.co.kr'라는 제목의 별도 판매 게시물이 등장했다. 판매자는 "MSI Capital의 모든 고객 데이터를 보유하고 있다"며 총 300GB 규모라고 주장했으며, 전체 데이터를 하나의 패키지 형태로 판매한다고 밝혔다.
특히 판매 증거로 첨부한 이미지 가운데는 국내 신분증으로 추정되는 이미지와 데이터 목록 화면이 포함돼 있어 주목된다. 다만 이미지 해상도가 낮고 게시자가 전체 데이터 구조나 침해 경로를 공개하지 않아 해당 자료가 실제 MSI캐피탈 시스템에서 유출된 정보인지는 확인되지 않았다. 게시자는 별도의 익명 메신저를 이용해 접촉하도록 안내했으나, 구체적인 판매 가격이나 침입 방식은 공개하지 않았다.
만약 게시자의 주장이 사실이라면 단순 회원정보를 넘어 금융서비스 이용 과정에서 제출된 신분확인 자료 등이 포함됐을 가능성도 배제할 수 없다. 금융 관련 사업자는 고객식별정보와 대출·상담 과정에서 수집한 개인정보를 처리하는 만큼, 데이터베이스뿐 아니라 파일서버·상담시스템·문서 저장소 등에서 비정상적인 대량 조회나 다운로드 기록이 있었는지 함께 점검할 필요가 있다.
■ "NR캐피탈 데이터 1TB 일괄 판매"…9월 18일 새 게시물
NR캐피탈 관련 다크웹 게시물. 일부 모자이크.
9월 18일에는 'NRCapital - nrcapital.co.kr 1TB'라는 제목의 판매 게시물도 확인됐다. 같은 판매자는 "한국 기업으로부터 확보한 총 1TB 데이터를 판매한다"고 주장하면서 이번 거래를 일회성 판매(one-time sale)라고 설명했다.
게시물에는 데이터베이스 또는 관리시스템 화면으로 추정되는 여러 장의 캡처 이미지가 첨부됐다. 하지만 이미지가 축소된 상태여서 구체적인 개인정보 항목이나 데이터 규모를 독립적으로 확인하기는 어렵다. 또한 공격자가 실제 NR캐피탈 내부 시스템에 침입한 것인지, 제3자 시스템이나 과거 유출 데이터를 입수한 것인지에 대한 근거도 제시되지 않았다.
특히 MSI캐피탈과 NR캐피탈 관련 게시물은 동일 계정이 약 2주 간격으로 게시한 것으로 보인다. 해당 계정은 9월 가입한 신규 계정으로, 게시 이력이 많지 않은 상태에서 국내 금융 관련 데이터를 연이어 판매한다고 주장하고 있다. 이에 따라 게시자의 신뢰도와 데이터 진위 여부를 별도로 검증하는 작업도 필요하다.
■ 금융·대출 정보 유출시 2차 피해 위험 커…"게시물 자체보다 데이터 일치 여부 확인해야"
이번 사례에서 가장 중요한 부분은 다크웹 판매자의 주장 자체가 아니라 공개 샘플이 실제 고객정보와 일치하는지 여부다. 공격자들은 데이터의 가치를 높이기 위해 피해 규모를 과장하는 경우가 있으며, 이미 과거에 유출된 데이터를 신규 침해 자료처럼 판매하기도 한다.
반대로 샘플 정보가 현재 고객 데이터와 일치하거나 최근 생성된 정보가 포함된 것으로 확인된다면 실제 침해 가능성을 우선 고려해야 한다. 특히 금융·대출 관련 정보는 이름과 연락처만 유출되더라도 금융기관을 사칭한 스미싱, 대출상담 사기, 보이스피싱 등으로 연결될 위험이 상대적으로 높다.
관련 기업들은 다크웹 게시물에 공개된 샘플을 내부 데이터와 대조하고, 최근 관리자 계정 로그인 기록과 데이터베이스 접근 이력, 대량 조회·다운로드, 웹서버 및 VPN·원격접속 로그 등을 점검할 필요가 있다. 고객 비밀번호나 인증정보 유출 가능성이 확인될 경우에는 비밀번호 초기화와 세션 폐기, 추가 인증 적용 등 선제적인 보호조치도 요구된다.
관련 기업의 자체 조사와 함께 금융당국과 한국인터넷진흥원(KISA) 등 관계 기관이 다크웹에 공개된 샘플 데이터와 실제 고객정보의 일치 여부, 침해 경로, 유출 범위, 추가 피해 가능성 등을 신속히 확인할 필요가 있다. 특히 실제 유출이 확인될 경우에는 해당 기업의 보안조치 적정성 점검과 이용자 통지, 2차 금융사기 방지를 위한 후속 대응도 함께 이뤄져야 할 것으로 보인다.
