8,100만 달러가 정상 메시지로 사라졌다

필리핀 이체액: 8,100만 달러

스리랑카 차단액: 2,000만 달러

허위 지급지시: 36건

민사절차 지속: 10년

01 · 핵심 요약

해커는 국제송금망의 중앙 시스템을 깨지 않았다. 중앙은행 안의 연결 단말을 장악해 정상 인증을 통과한 지급지시를 만들었고, 돈은 여러 관할을 지나 사라졌다.

2016년 2월 공격자는 방글라데시 중앙은행의 내부 전산망과 SWIFT 연결 단말에 침투해 뉴욕연준에 허위 지급지시를 연속으로 보냈다. 메시지는 정해진 인증 절차를 통과했지만 실제 권한자의 지시는 아니었다. 2024년 뉴욕주 법원 결정은 방글라데시은행의 소 제기 내용을 전제로 36건의 주문 가운데 네 건, 8,100만 달러가 필리핀 계좌들로 처리됐다고 적었다. 미국 법무부는 북한 정부와 연계된 프로그래머를 기소하면서 이 침입과 자금세탁 경로를 공소사실로 제시했다. 이는 기소 내용이며 개인의 유죄 확정과 구분된다.

규모를 읽는 법

미국 법무부 기록에 따르면 필리핀으로 간 8,100만 달러와 별도로 스리랑카로 2,000만 달러가 전송됐으나 수취은행이 지급을 멈췄다. 필리핀 자금은 가명 계좌와 송금업체, 카지노 정킷을 거치며 추적이 어려워졌다. 뉴욕연준은 자체 시스템 침해 증거가 없고 지급지시는 당시 SWIFT 표준에 따라 인증됐다고 밝혔다. SWIFT도 핵심 네트워크가 훼손된 징후는 없다고 설명하고, 2016년 5월 고객 보안 프로그램을 시작했다. 2024년 뉴욕주 항소심은 일부 청구와 피고를 정리했지만 RCBC 등에 대한 절차 일부를 남겼고, 2026년에도 증거개시 결정이 이어졌다. 회수액의 최신 확정치는 자료마다 달라 본문 규모에서 제외했다.

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

신뢰받는 메시지 형식과 실제 지시 권한이 분리되면서 국제결제의 여러 통제선이 차례로 무력화됐다.

01
내부 단말을 장악한다
공격자는 중앙은행 내부망과 SWIFT 연결 컴퓨터에 접근했다. 사용자 환경의 침입 탐지와 업무망 분리가 공격자의 장기 정찰을 제때 막지 못했다.
02
정상 형식으로 지시한다
탈취한 환경에서 뉴욕연준 계좌의 달러를 보내라는 인증 메시지를 만들었다. 형식 검증은 통과했지만 권한자의 실제 의사와 거래 목적을 가려내지 못했다.
03
여러 은행을 통과한다
뉴욕의 지급계좌와 미국 중개은행을 거쳐 필리핀 가명 계좌로 돈이 이동했다. 관할과 기관이 나뉘어 수취인·거래맥락 확인 정보도 함께 끊겼다.
04
현금화 경로로 흩어진다
수취자들은 송금업체와 카지노 정킷을 이용해 자금을 바꾸고 분산했다. 은행 밖 단계의 자금세탁 통제가 약해 동결·환수는 늦어지고 다국가 소송이 남았다.

사건 연표

2015.1~2016.1
법원 기록상 공격자가 내부망과 SWIFT 연결 환경에 접근한다
2016.2.4
법원 기록상 약 10억 달러 규모 지급지시 36건이 전송된다
2016.2.5
네 건 8,100만 달러가 필리핀 계좌들로 처리된다
2016.3.9
뉴욕연준이 자체 시스템 침해 증거는 없다고 발표한다
2016.5
SWIFT가 고객 보안 프로그램을 출범시킨다
2018.9.6
미국 법무부가 북한 연계 프로그래머의 형사고소장을 공개한다
2024.2.29
뉴욕주 항소심이 일부 청구를 정리하고 일부 절차를 남긴다
2026.2.5
뉴욕주 법원이 진행 중인 소송의 증거개시 쟁점을 결정한다

왜 가능했나

SWIFT는 돈을 보관하는 장부가 아니라 은행 사이에 표준화된 지시를 전달하는 망이다. 그래서 중앙망이 안전해도 참가기관의 단말, 인증정보, 승인절차가 훼손되면 거짓 지시가 정상 메시지처럼 보일 수 있다. 이 사건에서는 발신기관, 메시지망, 지급은행이 각각 자기 영역은 정상이라고 보았지만 전체 거래의 진위를 한곳에서 재확인하는 통제는 충분히 작동하지 않았다.

국제결제는 발신국·기축통화국·중개은행·수취국의 영업시간과 법률을 함께 지난다. 지급이 끝난 뒤 돈이 가명계좌, 환전, 카지노처럼 성격이 다른 채널로 이동하면 한 기관의 취소 요청만으로 되돌리기 어렵다. 기술적 인증, 거래 이상징후, 수취인 확인, 지급 뒤 추적이 연결돼야 하는 이유가 여기에 있다. 2026년까지 민사절차가 이어진 사실도 사후 환수의 시간을 보여준다.

03 · 같은 일이 여기서 일어난다면

한국은행은 이 사건 직후 국내 금융시장인프라의 사이버복원력 점검 자료에서 8,100만 달러 비정상 이체를 직접 인용했다.

01
한국은행의 2021년도 지급결제보고서는 한국은행이 SWIFT 감시 프로그램 회원으로 협조감시를 수행했다고 기록했다. 이 사건은 SWIFT 중앙망 침해가 아니라 참가기관 단말에서 시작됐으므로 공동망 감시와 개별 기관의 접근통제를 함께 보아야 한다.
02
국내의 2011년 농협 전산망 장애도 내부 업무환경이 훼손되면 금융서비스 전체가 멈출 수 있음을 보여줬다. 농협 사건은 업무자료 삭제와 서비스 중단이 중심이었고, 방글라데시 사건은 살아 있는 결제망을 이용해 정상처럼 보이는 국외 지급지시를 만든 점이 다르다.
03
은행권 이상 해외송금 사건은 국내 은행의 창구와 외환심사를 거쳐 거액이 국외로 나갔다는 점에서 거래 모니터링의 연결 문제를 공유한다. 다만 그 사건은 고객이 제출한 거래와 자금세탁방지 심사가 중심이고, 여기서는 중앙은행의 내부 인증환경 탈취가 출발점이었다.
04
국내 이용자가 2016년 절도손실을 직접 부담했다는 공식 근거는 확인되지 않았다. 다만 국내 은행도 SWIFT와 환거래은행을 통해 해외송금을 처리하므로 참가기관의 보안사고는 송금 지연, 추가확인, 지급취소 분쟁 같은 운영 위험으로 이어질 수 있다.

연결해서 볼 국내 사건

2011년 농협 전산망 장애 →은행권 이상 해외송금 →

이 사건은 인증된 메시지가 곧 진짜 의사표시라는 가정을 무너뜨렸다. 중앙망, 참가은행, 중개은행, 수취기관이 각자 맡은 통제만 확인하면 전체 지급의 맥락은 비어 있을 수 있다. 공개된 공식 기록으로 확인되는 것은 이체액과 절차의 진행 상태이며, 최신 회수액처럼 일치하지 않는 수치는 출고 전 다시 확인할 항목으로 남는다.

관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.

04 · 근거 자료

판단을 다시 확인할 자료

사실관계 기준일은 2026.09.04입니다. 사건 규모의 숫자는 각 항목에 적힌 범위와 시점을 함께 읽어야 합니다.

해커는 국제송금망의 중앙 시스템을 깨지 않았다. 중앙은행 안의 연결 단말을 장악해 정상 인증을 통과한 지급지시를 만들었고, 돈은 여러 관할을 지나 사라졌다.

무슨 일이 어떤 순서로 이어졌나

내부 단말을 장악한다

정상 형식으로 지시한다

여러 은행을 통과한다

현금화 경로로 흩어진다

사건 연표

왜 가능했나

한국은행은 이 사건 직후 국내 금융시장인프라의 사이버복원력 점검 자료에서 8,100만 달러 비정상 이체를 직접 인용했다.

판단을 다시 확인할 자료