대상: The Standard Bank of South Africa의 현재 및 과거 고객(개인 및 기업, 남아프리카공화국에서 영업하는 외국계 기업 포함), 그리고 신분증 번호나 계좌번호를 아는 누군가에게서 "은행에서 왔다"는 전화를 받는 모든 사람. 이 글은 Standard Bank 자체 발표와 남아프리카 사기방지서비스(SAFPS), 정보규제기관(Information Regulator), 남아프리카공화국 정부 소비자 정보를 바탕으로 합니다. 공격이 어떻게 이루어졌는지는 다루지 않습니다.
고객이 오늘 해야 할 일
은행을 사칭해 무언가를 요구하는 전화는 끊고, 직접 다시 거세요
Standard Bank의 공식 안내는 민감한 정보를 요구하는 예상치 못한 이메일, 문자 또는 전화를 받으면 신뢰할 수 있는 경로로 은행에 확인하라는 것입니다. 실제로는 전화를 끊고, 카드 뒷면 등 직접 찾은 번호로 거세요. 남아프리카공화국의 사기 신고 전화는 0800 222 050입니다(국제 +27 10 824 2090). 전화를 건 사람이나 문자 메시지가 알려 준 번호로는 절대 다시 걸지 마세요.
누가 요청하든 OTP, PIN, 비밀번호를 주지 마세요
Standard Bank는 전화, 팩스, 문자 메시지, 이메일로 누가 요청하든 비밀번호와 PIN을 공유하지 말라고 고객에게 안내합니다. 앞서 낸 보안 안내에서도 은행은 전화로 OTP를 포함한 디지털 뱅킹 자격 증명을 요구하지 않으며, 모르는 계좌로 돈을 옮기라고 전화하지 않는다고 밝혔습니다.
일회용 PIN은 거래를 승인하는 용도입니다. 이를 읽어 주는 것은 사기범의 결제를 승인하는 것과 같습니다.
SAFPS 보호 등록(무료)을 하세요
은행은 남아프리카 사기방지서비스(SAFPS)에 등록하라고 권장합니다. SAFPS에 따르면 보호 등록은 무료이며, 회원 신용 제공자가 추가로 주의하도록 본인의 신원에 표시를 남깁니다. 은행 안내에 따르면, 누군가 본인의 신분증 번호로 은행 상품을 신청하면 거절되거나 추가 심사로 넘어갑니다.
SAFPS는 온라인, 이메일 또는 회신 전화 요청으로 신청할 수 있으며, 신분증 사본 인증본과 주소 증명서가 필요하고, 48시간 이내에 참조 번호가 발급된다고 말합니다.
본인이 열지 않은 계좌가 있는지 신용보고서를 확인하세요
정부 소비자 정보에 따르면, 남아프리카공화국의 국가신용법(National Credit Act)에 따라 등록된 신용정보회사에 12개월마다 무료로 신용보고서를 요청할 수 있습니다. 모르는 조회나 계좌가 있는지 확인하세요. 동의하지 않은 조회가 신용정보회사에 나타나면 해당 회사에 이의를 제기할 수 있습니다.
Standard Bank는 영향을 받은 고객을 위해 신용정보회사의 활동을 직접 모니터링하고 있다고 말하지만, 본인의 확인은 한 곳이 아니라 모든 대출 기관을 대상으로 합니다.
뱅킹 비밀번호를 바꾸고 앱 내 보안을 켜세요
은행은 모든 고객에게 디지털 플랫폼과 소셜 미디어의 뱅킹 비밀번호를 업데이트하고, 강력하고 고유한 비밀번호를 사용하며, Standard Bank 앱에서 생체 인증을 활성화하라고 요청합니다. 다른 곳에서 뱅킹 비밀번호를 재사용했다면 그곳의 비밀번호도 바꾸세요. 비밀번호 관리자를 쓰면 고유한 비밀번호를 쉽게 만들 수 있습니다.
기업 고객은 결제 정보 변경을 전화로 확인하세요
공개된 항목에는 회사 등록번호, VAT 번호, B-BBEE 등급(남아프리카공화국의 흑인경제력강화정책에 따른 기업 평가 등급), 계좌번호가 포함됩니다. 기업의 경우 이것만으로도 가짜 청구서, "새 계좌 정보" 서한, 재무팀에 대한 전화가 진짜처럼 보일 수 있습니다.
공급업체나 본인 회사의 계좌 정보 변경은 반드시 이메일에 적힌 번호가 아니라 이미 등록된 번호로 전화해 확인하는 것을 원칙으로 하세요. 해외 본사와 남아프리카공화국 자회사 사이의 "긴급" 결제 지시에도 같은 원칙을 적용하세요. Corporate & Investment Banking 고객은 서비스 컨설턴트나 관계 관리자에게 연락하라고 안내받습니다.
사기 피해가 발생하면: 은행, SAFPS, 정보규제기관
즉시 은행의 사기 신고 전화로 알리고 추가 거래를 중단해 달라고 요청하세요. 본인의 신원이 도용되었다면, SAFPS는 보호 등록 외에 Victim of Impersonation 등록도 제공합니다. 개인정보 처리 방식에 대한 불만은 남아프리카공화국의 개인정보 감독기관인 정보규제기관에 제기할 수 있으며, 이곳은 온라인 eServices 포털을 통해 POPIA 관련 민원을 접수합니다.
전화범이 알 수 있는 정보(유출됨)
이름 · 신분증 또는 회사 등록번호 · 전화번호, 이메일, 실제 주소 · 계좌번호 · VAT 번호, B-BBEE 등급
→ 아무것도 증명하지 않습니다. 이것만으로 전화를 믿지 마세요
은행이 절대 요구하지 않겠다고 밝힌 것
비밀번호 · PIN · OTP · 모르는 계좌로 돈 이체
→ 요구받으면: 전화를 끊고 직접 0800 222 050으로 거세요
은행 발표에 따르면 유출되지 않은 항목: 거래 뱅킹 및 핵심 시스템 접근
무슨 일이 있었나(Standard Bank 발표 기준)
다음 내용은 Standard Bank가 뉴스룸에 낸 발표를 바탕으로 합니다. 은행은 영향을 받은 고객 수를 공개하지 않았습니다.
2026년 3월 23일
Standard Bank는 일부 데이터에 대한 무단 접근이 포함된 사고를 확인했다고 밝혔으며, 환경을 보호하기 위한 즉각적인 조치를 취했고, 외부 전문가의 지원을 받아 전면 조사에 착수했다고 합니다. 거래 시스템은 안전하게 유지되고 있으며 영향을 받은 고객에게 직접 알리겠다고 말합니다.4월 2일
은행의 첫 업데이트는 이름, 신분증 번호, 회사 등록번호를 나열하고, 사고를 규제 당국에 보고했다고 밝히며, SAFPS 등록을 포함한 보호 조치를 권장합니다. 4월 13일에는 연락처와 계좌번호가 추가되었습니다.4월 14일
추가 업데이트는 영향을 받은 시스템이 내부 관리 및 문서 보관 시스템이었다고 밝히며, 고객 및 회사 관련 데이터가 "이제 공개된 것으로 보인다"고 말합니다. 데이터 목록에는 나중에 B-BBEE 등급과 VAT 등록번호가 추가되었습니다("4월 16일 기준" 표시).4월 중순
남아프리카공화국 언론은 정보규제기관이 사고를 평가 중이며 은행에 추가 정보를 요청했다고 보도했습니다. 2026년 9월 30일 현재 이 사이트는 규제기관이 발표한 사고 관련 결과를 찾지 못했습니다.
- 영향을 받음(사람마다 다를 수 있음)
- 이름; 신분증 번호 또는 회사 등록번호; 연락처(전화번호, 실제 주소 및/또는 이메일 주소); 계좌번호; B-BBEE 등급 및 VAT 등록번호
- 영향을 받은 시스템
- 내부 관리 및 문서 보관 시스템
- 영향을 받지 않음
- 거래 뱅킹 및 핵심 운영 시스템은 "접근되지 않았으며", 은행은 고객 자금에 영향이 없다고 말함
- 카드
- 카드 정보가 관련된 일부 경우, 은행은 영향을 받은 고객에게 직접 연락해 카드를 교체하고 있다고 말함
- 은행의 조치
- 신용정보회사 활동 및 SIM 스와프 활동(사람의 전화번호를 사기범의 SIM 카드로 옮기는 것) 강화 모니터링, 추가 거래 모니터링, 24시간 사기 대응팀, 기기 기반 및 앱 내 인증 강화
- 당국
- 은행은 규제 기관 통지 요건을 준수했다고 말함
- 공식 연락처
- 개인/프라이빗 뱅킹 0860 123 000 · 기업 뱅킹 0860 109 075 · 사기 신고 0800 222 050
읽는 법: 핵심 시스템이 안전해도 고객이 안전한 것은 아닙니다
Standard Bank의 자체 업데이트도 위험을 명시합니다. 누군가 이 정보를 이용해 본인을 사칭하거나 사기성으로 연락할 수 있으며, 진짜처럼 보이는 이메일, 메시지, 전화를 보내거나 본인의 동의 없이 정보를 쓰려 할 수 있다는 것입니다. 신분증 번호와 계좌번호는 비밀번호처럼 바꿀 수 없으므로, 이 위험은 몇 주 지나도 사라지지 않습니다. 아래 습관은 며칠이 아니라 몇 년 동안 유지하세요.
신분증 번호와 계좌번호가 함께 유출되면 가짜 은행 전화가 진짜처럼 들리는 이유
대부분의 유출은 가짜 은행 전화에 필요한 두 가지 정보 중 하나만 사기범에게 줍니다. 이번 유출은 둘을 동시에 노출합니다.
- 신분증 번호: 실제 은행이 본인을 확인할 때 쓰는 정보
- 계좌번호: 은행이 본인의 돈에 대해 이야기할 때 쓰는 정보
"Standard Bank 사기 조사팀인데, 끝자리 1234 계좌가 보입니다. 신분증 번호가 ...라고 되어 있는데 맞는지 확인만 하겠습니다"라고 말하는 전화는 은행과 똑같이 들립니다. 지금까지는 이 두 번호를 함께 아는 곳이 은행뿐이었기 때문입니다.
가짜 '은행' 전화의 신호
- 본인을 "확인"한다며 신분증 번호나 계좌번호를 먼저 읽어 줌
- 계좌가 위험에 처했으며 지체할 시간이 없다고 말함
- OTP, PIN 또는 비밀번호를 읽어 달라고 요구함
- "안전한" 계좌로 돈을 옮기라고 요구함
- 전화를 끊지 말라거나 누구에게도 말하지 말라고 함
Standard Bank의 안내
- 누가 요청하든 비밀번호나 PIN을 공유하지 않음
- 은행은 전화로 OTP나 자격 증명을 요구하지 않음
- 은행은 모르는 계좌로 돈을 옮기라고 요구하지 않음
- 의심스러운 전화라면 끊고 사기 신고 전화로 연락함
- 예상치 못한 메시지는 신뢰할 수 있는 경로로 확인함
핵심은 사기범의 목소리를 알아보는 법을 익히는 것이 아닙니다. 통화 중에 진짜인지 판단하지 않는 것입니다. 전화를 끊고, 직접 찾은 번호로 다시 거세요. 은행은 이미 본인의 신분증 번호를 알고 있으므로, 진짜 은행 전화라면 끊고 다시 걸어도 잃을 것이 없습니다.
이 사이트의 견해: 가정과 직장에서 금전 관련 전화는 반드시 회신 확인하기로 미리 합의하세요
가족, 재무팀과 미리 정하세요. 돈과 관련된 무언가를 하라는 전화는 직접 찾은 번호로 다시 확인한다는 것입니다. 이미 본인의 정보를 모두 아는 사람이라도 예외는 없습니다. 유출된 데이터가 사기범에게 주는 것은 진짜처럼 들리게 하는 능력뿐이며, 회신 확인은 그 능력을 없앱니다. 회사에 해외 본사가 있다면, 본사의 "긴급 송금" 요청에도 같은 원칙을 적용하세요.
신분증 번호와 계좌번호를 보관하는 기업이라면, 이 교훈의 다른 면은 이런 기록을 볼 수 있는 사람과 한 번에 볼 수 있는 기록 수를 제한하는 것입니다. 이 내용은 조직을 위한 최소 보안 기준에서 다룹니다.
올해 가장 가까운 사례는 신분증 번호와 은행 계좌번호도 유출된 네덜란드 Odido 유출이며, 본인의 정보를 이미 아는 전화범이 주된 위험이었던 스페인 Endesa 유출도 있습니다. 가짜 전화와 메시지가 어떻게 작동하는지는 피싱이란 무엇인가?를 참고하세요.
출처(공개 기록)
이 글의 사실은 아래 공개 출처를 바탕으로 합니다. 공격자의 주장과 공개되지 않은 수치는 사용하지 않았습니다.
- Standard Bank, "A message from Standard Bank"(2026년 3월 23일, 3월 24일 FAQ 포함) — standardbank.co.za
- Standard Bank, "An Important Data Incident Update"(2026년 4월 2일, 4월 13일 업데이트) — standardbank.co.za
- Standard Bank, "An Important Data Incident Update - 14 April"(FAQ 포함) — standardbank.co.za
- Standard Bank, "Scammers turn to phone calls as banks clamp down on fraud"(2024년 8월 6일) — standardbank.co.za
- Southern African Fraud Prevention Service, "Apply for Protective Registration" — safps.org.za
- Information Regulator, "How to Lodge a Complaint" — inforegulator.org.za
- Vuk'uzenzele(남아프리카공화국 정부), "You are entitled to a free credit report"(2023년 5월) — vukuzenzele.gov.za
- IOL, "What you need to know about the Standard Bank data breach investigation"(2026년 4월 15일; 정보규제기관의 보도된 발언에만 사용) — iol.co.za
업데이트 기록
2026-09-30: 첫 번째 버전. Standard Bank의 2026년 3월 23일, 4월 2일(4월 13일 업데이트) 및 4월 14일 발표(2026년 9월 30일 확인 기준, 영향 고객 수 미공개)와 SAFPS, 정보규제기관, 남아프리카공화국 정부 소비자 정보의 안내를 바탕으로 작성했습니다.
다음으로 읽을 글
- 가장 가까운 사례: Odido 데이터 유출(신분증 번호와 은행 계좌번호) / Endesa 데이터 유출(DNI와 IBAN)
- 가짜 전화와 메시지: 피싱이란 무엇인가? / 가짜 바이러스 경고(기술 지원 사기)
- 계정 보호: 비밀번호 관리자 고르기 / 다중 인증 고르기
- 2026년 다른 사고: 데이터 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자용: 조직을 위한 최소 보안 기준