適用對象：南韓新韓銀行、KB國民銀行、韓亞銀行、Yegaram儲蓄銀行、Welcome儲蓄銀行、現代資本或BNK釜山銀行的客戶，有家人在韓國的人，以及將面向員工或合作夥伴的系統暴露於網際網路的組織。本文依據韓國媒體報導的各公司與韓國監管機構聲明撰寫，不涉及攻擊或詐騙手法。
事件進行中：本文將隨各公司與監管機構發布更多資訊而更新
- 適用對象
南韓新韓銀行、KB國民銀行、韓亞銀行、Yegaram儲蓄銀行、Welcome儲蓄銀行、現代資本或BNK釜山銀行的客戶，有家人在韓國的人，以及將面向員工或合作夥伴的系統暴露於網際網路的組織。
- 尚未確認的事項
- 共同原因與攻擊者
- Yegaram儲蓄銀行與Welcome儲蓄銀行的最終人數
- 警方調查結果
另外1項
- 約500家金融機構緊急檢查的結果
- 現在要做的事查看步驟 ↓
- 透過官方管道確認是否受影響
- 若來電者提到您的貸款，請掛斷後回撥
- 企業聯絡人與貸款代理人：留意自稱「您的金融合作夥伴」的訊息
另外3項
- 切勿因他人要求而安裝應用程式、匯款或唸出驗證碼
- 封鎖以您名義簽訂的新契約（韓國公共服務）
- 若已匯款，請立即通報
- 最後查證
- 截至2026年10月12日
續報計畫與查證紀錄
金融委員會表示，若確認實際損失，將把消費者警示從「注意」提升為「警告」。上述數字為各公司分別公布的數據，並未跨公司加總。
客戶今天應該做什麼
透過官方管道確認是否受影響
新韓銀行已在其網站與行動應用程式新增查詢資料是否外洩的選單，並開設專線（1544-2946）。KB國民銀行表示已個別聯絡受影響客戶，並設立專屬服務中心。
其他公司也已在官方網站發布公告。查詢時，請使用您自行安裝的官方應用程式，或您自行輸入的網址，不要點擊訊息中的連結。
若來電者提到您的貸款，請掛斷後回撥
新韓銀行外洩的資料除姓名與電話號碼外，還包括年收入與貸款額度。有了這些資料，詐騙來電者就能說出「您的額度是X百萬韓元」並且說中。
在韓國，這類電話詐騙被稱為「語音釣魚」（voice phishing）。若有人提議協助您貸款轉貸或提高額度，請不要當場回答：先掛斷，自行查找銀行主要電話號碼後回撥。辨識此類手法的基本知識可參閱什麼是網路釣魚？。
企業聯絡人與貸款代理人：留意自稱「您的金融合作夥伴」的訊息
此次據報導外洩的不僅是客戶資料，還包括企業客戶聯絡人與貸款代理人的資料。Welcome儲蓄銀行的資料包括企業聯絡人的姓名、電子郵件與電話號碼；現代資本的資料則包括代理人的居民登錄號碼。
若有自稱來自您合作金融機構的電子郵件，要求您變更銀行帳戶資料或重新寄送文件，請不要回覆，改用您既有的聯絡方式進行核實。
切勿因他人要求而安裝應用程式、匯款或唸出驗證碼
銀行不會透過電話或訊息要求您安裝遠端控制應用程式、將款項轉入「安全帳戶」，或唸出驗證碼。若遇到任何此類要求，請立即結束對話。
10月6日，金融委員會就利用外洩事件的語音釣魚、簡訊釣魚及類似詐騙（包括假貸款優惠）發布消費者警示（注意級）。警示請民眾不要點擊「外洩受害者專屬貸款」或「外洩賠償」等簡訊中的連結，並將其刪除。該會表示，監管機構與金融公司絕不會以宣布外洩或提供賠償為由發送網址。
有關手機端的防護，請參閱智慧型手機安全基礎。
封鎖以您名義簽訂的新契約（韓國公共服務）
居民登錄號碼無法更改。若您的號碼外洩，請使用可阻止他人以您名義簽約的服務。
- 信用交易安心封鎖服務（여신거래 안심차단）：事先封鎖以您名義申辦的新貸款與新信用卡。可至您已往來的金融機構分行或其應用程式申請
- 金融監督院的個人資料暴露登錄系統（pd.fss.or.kr）：登錄後，金融機構將套用更嚴格的身分查核
- 身分盜用防護服務「M-Safer」（msafer.or.kr）：以您名義開立新手機門號時發出通知，或限制新申辦
若已匯款，請立即通報
若您已匯款給詐騙者，請立即聯絡警察（112）或您的銀行，並要求其停止付款。您也可撥打金融監督院的諮詢專線（1332）。行動越快，攔截成功的機會越大。
事件經過（依各公司與監管機構聲明）
2026年10月1日至4日間，南韓的銀行、儲蓄銀行及一家資本公司陸續宣布或報導，因未經授權的外部存取而發生資料外洩。以下為各公司與監管機構的說法，並依韓國媒體報導整理。凡未能在官方公告中確認的數字，均標示「據報導」。
| 機構 | 對象與人數 | 主要外洩項目 | 受影響系統（依公司說明） | 宣布／報導時間 |
|---|---|---|---|---|
| 新韓銀行 | 約2.5萬名客戶（該行自身公布的數字） | 姓名、電話號碼、年收入、貸款額度等。部分客戶含居民登錄號碼（66件）及CI（97件） | 包括供外部貸款仲介使用行動頁面在內的查詢服務 | 10月1日 |
| KB國民銀行 | 119名客戶 | 姓名、電話號碼、住址、加密的居民登錄號碼等（因人而異） | 供員工使用的行動工作支援系統 | 10月2日 |
| 韓亞銀行 | 89名客戶 | 居民登錄號碼、姓名、住址、電子郵件、電話、手機號碼、雇主名稱 | 營運支援系統（ODS） | 10月2日 |
| BNK釜山銀行 | 11名外部開發承包商員工（據報導） | 姓名、電話號碼、電子郵件、出生日期（據報導） | 未揭露（該行表示未外洩客戶資料） | 10月2日 |
| Yegaram儲蓄銀行 | 約4萬名客戶（估計） | 姓名、出生日期、聯絡方式等 | 存有客戶個人資料的伺服器 | 10月2–3日 |
| 現代資本 | 146名房貸代理人（據報導） | 姓名、手機號碼、電子郵件、居民登錄號碼（據報導） | 未揭露（表示一般客戶資料未外洩） | 10月3日 |
| Welcome儲蓄銀行 | 最多約2,200筆企業客戶聯絡人紀錄（估計，據報導） | 公司名稱、聯絡人姓名、電子郵件、電話號碼（據報導） | 調查中 | 10月4日（據報導已通報監管機構） |
各家公司分別宣布或報導各自的數字。計算對象（客戶、貸款代理人、承包商員工）與計算單位（人或紀錄）因公司而異，因此本站不予加總。
連結資訊（CI）是韓國用來取代居民登錄號碼以識別個人的數值。與密碼不同，它無法更改。
9月27日
據報導，現代資本發現其房貸代理人資料外洩。9月29日深夜至9月30日凌晨
據報導，未經授權存取新韓銀行服務的期間。9月30日
新韓銀行發現外洩並啟動緊急應變。Yegaram儲蓄銀行發現存有客戶資料的伺服器出現遭存取與外洩的跡象。當晚，KB國民銀行察覺異常外部存取可能造成外洩，並封鎖該伺服器與存取路徑。10月1日
新韓銀行宣布約2.5萬人的資料外洩，並在其網站刊登執行長致歉聲明。據報導，金融監督院對新韓銀行展開緊急現場調查。10月2日
KB國民銀行（119人）與韓亞銀行（89人）宣布外洩。據報導BNK釜山銀行11名承包商員工的資料外洩。金融委員會與金融監督院、金融安全院及主要銀行和信用卡公司召開緊急會議。10月2–3日
Yegaram儲蓄銀行在其網站宣布約4萬人的資料外洩（估計）。10月3日
據報導，146名現代資本貸款代理人的資料外洩。據報導Welcome儲蓄銀行在內部檢查中發現外洩。10月4日
據報導，Welcome儲蓄銀行已向監管機構通報外洩。總統李在明就金融機構等單位的個人資料外洩下令徹底調查並採取對策（由總統發言人宣布）。據報導，金融監督院下令約500家金融機構進行緊急檢查。同日，金融委員會與金融監督院針對整個金融業召開聯合緊急檢查會議（金融委員會聲明）。據報導，主席表示無法排除AI輔助攻擊。10月5日
國家警察廳網路恐怖主義調查單位被指定為專責小組，並以4個小組、28名警員正式展開調查（據報導）。據報導，在一至兩家保險公司及一至兩家證券公司發現攻擊者存取的痕跡，但未確認外洩。10月6日
金融監督院表示已發現33個曾嘗試攻擊的IP位址（去除重複後為28個）（據報導）。金融委員會發布消費者警示（注意級），並將自10月6日起的一個月（可延長）指定為針對外洩所衍生二次損害的特別應變期（金融委員會聲明）。
- 交易
- 新韓、KB國民與韓亞表示，受影響的系統與交易系統分開，未外洩轉帳等交易資料
- 賠償
- 新韓、KB國民與韓亞將全額賠償實際損失。Yegaram儲蓄銀行將視需要協助辦理救濟程序
- 監管機構
- 金融監督院正進行現場調查。金融委員會在10月4日的緊急會議上，要求整個金融業全面檢視，包括外部存取點、身分驗證與存取控制。據報導，金融監督院要求約500家金融機構完成12項緊急自我檢查（包括封鎖其所分享的攻擊IP），銀行與信用卡公司須於10月6日前完成，證券公司、保險公司、儲蓄銀行及電子金融業者則須於10月8日前完成
- 消費者保護
- 10月6日，金融委員會發布消費者警示（注意級），並設定一個月的特別應變期。該會要求金融機構設立專屬諮詢窗口，並加強監控利用外洩資料的可疑交易。該會表示，密碼與OTP資料未外洩，且尚未確認有客戶因詐騙而損失金錢
- 調查
- 據報導，警方於10月5日正式展開調查，並取得各公司的伺服器存取紀錄。警方也在調查是否使用了AI工具
- 總統
- 10月4日，總統發言人表示，李在明總統已聽取金融及公共機構個人資料外洩的報告，並下令徹底調查與採取對策
- 其他公司
- 據報導，兩家線上投資相關貸款業者（P2P借貸平台）也於9月底揭露客戶資料外洩：PFCT約300人，Mouda人數未揭露。據報導，友利銀行與NH農協銀行遭攻擊，但未確認外洩
- 原因
- 金融委員會在10月4日的聲明中表示，近期的入侵源自貸款代理人、承包商等外部人員及員工所使用的系統，並要求各公司檢查是否存在身分驗證缺失或可被繞過的路徑。據報導，主席當日表示，目標為貸款代理人與員工為便利工作而使用的外部網頁與伺服器，且尚未確認有可直接用於詐騙付款的資訊外洩。新韓銀行表示，外部人士以繞過身分驗證的異常方式存取了部分服務。Yegaram儲蓄銀行表示，發現存取跡象與一項外部軟體產品的漏洞有關。據報導，由於相同來源位址出現在多家公司，監管機構正在調查是否為單一攻擊者所為。金融監督院表示，攻擊IP位於約12個國家，包括美國與日本，但提醒這些可能是中繼點，不一定代表攻擊者的國籍。尚未正式確認共同原因
關於「AI攻擊」：主席提及的是一種可能性，並非已確認的原因
據報導，金融委員會主席在10月4日的緊急會議上表示，無法排除AI輔助攻擊，且確切原因與手法仍需進一步調查。他提及的是一種可能性；尚未證實使用了AI。委員會當日的聲明要求業界為新型AI驅動攻擊做好準備，但並未表示此次事件的原因是AI。
據報導，警方正將是否使用AI工具納入調查。截至2026年10月12日，主管機關尚未公布原因。本站不對原因進行推測。
年收入與貸款額度
新韓銀行客戶（與姓名、電話號碼一併外洩）
居民登錄號碼或CI
部分新韓、KB國民與韓亞客戶；現代資本貸款代理人等
企業員工與貸款代理人的聯絡資料
Welcome儲蓄銀行企業聯絡人、現代資本貸款代理人
↓ 可能發生的情況
說出您真實數字的語音釣魚來電
提議協助轉貸或提高貸款額度
以您名義開立的新契約
您無法自行更改號碼
冒充您往來金融機構的電子郵件
要求變更付款資料或重新提交文件
↓ 應該怎麼做
掛斷後，撥打您自行查到的主要電話號碼回撥
切勿安裝應用程式、匯款或唸出驗證碼
使用信用交易安心封鎖服務及類似服務
pd.fss.or.kr、msafer.or.kr
不要回覆；改用您既有的聯絡方式核實
為什麼即使來電者知道您的實際數字，也不應該信任
許多人認為「如果對方知道我的貸款額度和收入，那一定是銀行」，因為原本只有銀行才應該掌握這些數字。
新韓銀行外洩事件後，這項假設已不成立。年收入與貸款額度與姓名、電話號碼一併外洩，因此詐騙來電者可以說出正確的數字。
不能證明來電是真的
- 他們正確說出您的收入或貸款額度
- 他們知道您的姓名、出生日期與住址
- 他們提到銀行名稱，來電顯示看起來也很相似
您可以自行確認的事項
- 掛斷，撥打您自行查到的主要電話號碼，看看是否聽到相同的說法
- 查看官方應用程式中是否有相同的公告
- 留意對方是否要求您匯款、安裝應用程式或提供驗證碼
目前仍不明確的事項
截至10月12日，Yegaram儲蓄銀行與Welcome儲蓄銀行的確切數字與範圍，以及各公司遭入侵的方式，均尚未公布。截至金融委員會10月6日的聲明，尚未確認外洩資料遭到濫用。視監管機構緊急檢查的結果，可能會有更多機構被納入。若有新消息，我們將更新本文。
給負責金融或其他系統的人
各公司所描述的受影響系統並非面向客戶的網路銀行，而是供貸款仲介使用的查詢頁面、員工行動工作系統及營運支援系統。外洩的不只是客戶資料，還包括貸款代理人、承包商員工及企業聯絡人的資料。監管機構的命令也針對「面向網際網路的系統」。此案例的教訓在於：那些往往比主要客戶服務更少受到關注的周邊系統。
將員工與合作夥伴系統列入面向網際網路的系統清單
盤點可從網際網路存取的系統時，除了客戶服務，也應包括員工行動工作系統、供承包商與仲介使用的頁面，以及測試伺服器。
如何建立清單可參閱安全資產盤點清單。不在清單上的系統，永遠不會被檢查。
讓查詢服務只回傳工作所需的資料
新韓銀行外洩的，是查詢服務可回傳的收入與貸款額度。請檢視查詢畫面回傳的每一項資料；刪除使用者工作不需要的項目，或改為部分遮罩顯示。
對合作夥伴的資料，例如代理人或承包商員工的居民登錄號碼，也應做相同檢視。若更改查詢編號即可顯示他人資料，這類缺陷可參閱IDOR（破損的授權）。
為周邊系統加入多重驗證與查詢次數限制
員工或承包商從外部使用的系統，除密碼外還需要第二道驗證（多重驗證）。請參閱選擇多重驗證。
第一步，可為每個帳號設定每小時查詢次數上限，並在帳號達到上限的80%時通知相關人員。這可以攔截人類使用者不可能產生的查詢量。
資料來源（公開紀錄）
本文事實依據以下公開來源。各公司的公告均可在其官方網站查閱。我們未對未公開的細節或原因進行推測。
- 金融委員會，整體金融業緊急檢查會議聲明（2026年10月6日發布，為10月4日會議的簡報資料；韓文）— fsc.go.kr
- 金融委員會，針對近期外洩事件之語音釣魚與簡訊釣魚的消費者警示（2026年10月6日；韓文）— fsc.go.kr
- 新韓銀行（致歉聲明與外洩檢查選單）— shinhan.com
- Asia Economy，關於新韓銀行約2.5萬名客戶外洩（2026年10月1日）— view.asiae.co.kr
- Hankook Ilbo，關於金融監督院緊急現場調查（2026年10月1日）— hankookilbo.com
- Newsis，各銀行人數與項目彙整（2026年10月2日）— newsis.com
- Newspim，關於韓亞銀行與釜山銀行（2026年10月2日）— newspim.com / newspim.com（彙整）
- Busan Ilbo，關於BNK釜山銀行11名承包商員工（2026年10月2日）— busan.com
- EBN，關於KB國民銀行119名客戶（2026年10月2日）— ebn.co.kr
- Korea JoongAng Daily，關於KB國民銀行（2026年10月2日）— koreajoongangdaily.com
- Korea Economic Daily，關於金融委員會緊急會議（2026年10月2日）— hankyung.com
- Kyunghyang Shinmun，關於Yegaram儲蓄銀行（2026年10月3日）— khan.co.kr / Financial News — fnnews.com
- MBC，關於現代資本146名貸款代理人（2026年10月3日）— imnews.imbc.com
- Asia Economy，關於Welcome儲蓄銀行與P2P借貸業者（2026年10月4日）— view.asiae.co.kr
- Newsis，關於總統指示（2026年10月4日）— newsis.com / Kyunghyang Shinmun — khan.co.kr
- Seoul Finance，關於約500家金融機構緊急檢查（2026年10月4日）— seoulfn.com
- Daum，關於新韓銀行聲明（2026年10月1日）— v.daum.net
- MTN，關於主席談話與目標系統（2026年10月4日）— news.mtn.co.kr
- Money Today，關於保險與證券公司的存取痕跡（2026年10月5日）— mt.co.kr
- YTN，關於警方正式調查（2026年10月6日）— ytn.co.kr
- Newspim，關於曾嘗試攻擊的33個IP與12項檢查（2026年10月6日）— newspim.com
- 身分盜用防護服務 — M-Safer（msafer.or.kr） / 金融監督院 — 個人資料暴露登錄
更新紀錄
2026-10-12：新增金融委員會10月4日緊急會議（官方聲明）與主席談話（據報導）、10月5日警方正式調查、保險與證券公司的存取痕跡（據報導），以及10月6日曾嘗試攻擊的IP（據報導）與消費者警示（官方聲明）。重寫「AI攻擊」說明：主席提及的是一種可能性，並非已確認的原因。將標題中的數字由跨公司加總改為新韓銀行自身公布的數字。
2026-10-05：範圍由四家銀行擴大至七家金融機構。新增BNK釜山銀行、現代資本與Welcome儲蓄銀行的外洩事件、10月4日總統指示，以及約500家金融機構的緊急檢查。
2026-10-03：首版，依據10月1–3日各銀行聲明及10月2日金融委員會緊急會議撰寫。
延伸閱讀
- 韓國加密貨幣交易所案例：Bithumb（844名客戶，居民登錄號碼）
- 今年其他韓國案例：TVING（串流平台）資料外洩 / CHAEVI（電動車充電）資料外洩
- 防範冒充：什麼是網路釣魚？ / 智慧型手機安全基礎
- 給營運者：安全資產盤點清單 / 選擇多重驗證
- 2026年其他案例：2026年的資料外洩與網路攻擊