우리은행 NFT 플랫폼 외주업체발 개인정보 유출 사건

우리은행은 모바일 앱 '우리WON뱅킹'의 NFT 전자지갑 서비스를 개발하기 위해 재수탁사인 블로코 등 외주업체를 활용해왔다. 그런데 2025년 9월 무렵 해당 서비스 개발에 참여했던 외주업체 직원이 사업이 종료된 뒤에도 고객 정보를 별도로 보관하고 있었던 사실이 뒤늦게 확인됐다. 이 직원은 보관 중이던 자료를 외부 개발자 커뮤니티 플랫폼에 공유하는 과정에서 고객 정보를 유출한 것으로 파악됐다. 우리은행의 자체 전산망이 해킹되거나 인터넷뱅킹 시스템이 직접 침해된 것이 아니라, 외주 협력사의 사후 관리 부실이 원인이라는 점에서 은행권의 고질적인 외주 보안 관리 문제가 다시 도마에 올랐다. 유출된 정보는 NFT 서비스 이용자가 설정한 닉네임과 연계정보(CI)였다.

사고가 발생한 지 약 9개월이 지난 2026년 6월 우리은행은 개인정보보호위원회에 이번 유출 사실을 정식으로 신고했다. 신고가 늦어진 배경에는 외주업체를 거친 간접 유출 구조상 우리은행이 사고 발생 사실을 즉시 인지하기 어려웠던 사정이 있었던 것으로 전해졌다. 신고 접수 이후 개인정보위는 유출 경위와 규모, 관리 책임 소재 등을 파악하기 위한 조사에 착수했다. 이 과정에서 우리은행이 외주업체의 데이터 폐기 및 반환 여부를 제대로 점검하지 않았다는 지적이 제기됐다. 금융권에서는 신용정보와 달리 CI·닉네임 유출은 즉각적인 금전 피해로 이어지지 않을 수 있지만, 2차 결합을 통한 개인 식별 위험은 여전하다는 우려가 나왔다.

2026년 7월 23일 조선일보는 우리은행이 외부업체 과실로 NFT 플랫폼 이용자 1만7551명의 개인정보를 유출했다고 보도하며 사건이 공개적으로 알려지게 됐다. 재수탁사인 블로코 측은 "직원 과실이었다"며 공식 사과 입장을 밝혔다. 프라임경제 등 후속 보도에 따르면 유출된 정보는 이용자 닉네임과 연계정보(CI)로, 실명이나 계좌번호 등 직접적인 금융 정보는 포함되지 않은 것으로 확인됐다. 그러나 은행 고객 정보가 외주 개발 과정에서 장기간 방치되다 유출됐다는 사실 자체가 금융권 보안 관리 체계에 대한 신뢰를 흔들었다는 평가가 나왔다. 우리은행은 유출 규모와 경위를 전 고객에게 투명하게 공지하겠다고 밝혔다.

2026년 7월 24일 연합뉴스에 따르면 우리은행은 유출된 개인정보 1만7000여 건이 현재까지 온오프라인에서 확산되거나 악용된 사례는 파악되지 않았다고 밝혔다. 은행 측은 향후 유출 정보로 인한 2차 피해가 확인될 경우 신속하게 보상 절차를 진행하겠다는 입장을 발표했다. 아울러 재수탁사와의 계약 관계를 전면 재점검하고, 외주업체의 데이터 보관·폐기 절차를 강화하겠다고 덧붙였다. 그러나 소비자단체 등은 사고 발생부터 공개까지 상당한 시차가 있었던 점을 들어 은행의 초기 대응이 미흡했다고 비판했다. 우리은행 고객들 사이에서는 자신의 정보가 유출 대상에 포함됐는지 확인하려는 문의가 잇따랐다.

금융감독원은 2026년 7월 24일 우리은행의 고객정보 유출 사건과 관련한 현장 점검에 착수했다고 밝혔다. 파이낸셜뉴스에 따르면 금감원은 외주업체를 통한 정보 유출이 은행의 관리·감독 소홀에서 비롯됐는지를 집중적으로 들여다볼 방침이다. 다만 비즈워치 등 일부 매체는 이번 사고가 해킹이 아닌 외주 직원 개인의 일탈에서 비롯된 측면이 있어 우리은행에 직접적인 법 위반 책임을 묻기는 쉽지 않을 수 있다고 지적했다. 이에 따라 개인정보보호법과 전자금융거래법상 위탁업체 관리 책임 조항의 적용 범위를 둘러싼 논쟁이 이어지고 있다. 금감원 조사 결과에 따라 향후 은행권 전반의 외주 보안 관리 기준이 강화될 가능성도 제기된다.