증권 계좌 해킹 막는 설정, 해외IP 차단부터 단말기 지정까지

2026년 9월 30일 신한은행 정보유출 사고에 이어 국민은행 등 주요 금융회사에 대한 사이버공격으로 추가 피해가 생기자, 금융위원회는 10월 2일 금융감독원·금융보안원과 「긴급 상황대응 회의」를 열고 공격자 IP 같은 위협정보를 금융권에 공유했습니다. 회사 쪽 보안은 이용자가 어쩔 수 없지만, 내 계좌에 걸어 둘 수 있는 잠금장치는 따로 있습니다. 증권사 MTS와 HTS의 보안센터에는 해외IP 차단, 단말기 지정, 추가인증, 이체 한도 조정 같은 메뉴가 있는데, 대부분 이용자가 따로 신청해야 켜지는 서비스입니다. 각 설정이 무엇을 막고 무엇은 못 막는지, 그리고 사고가 났을 때 법은 누구 책임으로 보는지를 정리했습니다.

한눈에 보기

증권사별 화면 이름과 적용 범위는 다를 수 있습니다. 표의 증권사 기준 내용은 각 회사 보안센터 안내를 2026년 10월 5일 확인한 것이고, 법령은 전자금융거래법(2026년 10월 2일 시행본), 같은 법 시행령(2026년 4월 28일 시행본), 전자금융감독규정(금융위원회고시 제2026-29호, 2026년 7월 15일 시행) 기준입니다.

증권 계좌도 전자금융거래법이 적용된다

MTS로 주식을 사고팔거나 예수금을 이체하는 것은 은행 앱과 같은 전자금융거래입니다. 전자금융거래법 제2조는 금융회사를 「금융위원회의 설치 등에 관한 법률」 제38조의 기관으로 정의하는데, 여기에 「자본시장법」에 따른 금융투자업자, 곧 증권사가 들어갑니다. 그래서 아래의 보안 설정도, 사고 때의 손해 책임도 은행과 같은 틀 위에 있습니다.

전자금융감독규정 제34조는 금융회사가 이용자가 요청하면 비대면 전자금융거래를 허용하지 않는 계좌를 열어 주고, 중요 거래정보를 문자나 이메일로 알려 주는 서비스를 제공할 수 있도록 시스템을 갖추라고 정합니다. 장기 투자용 계좌처럼 MTS로 돈을 뺄 일이 거의 없는 계좌라면 아예 비대면 거래를 막아 두는 선택지도 있다는 뜻입니다.

해외IP 차단: 해외에서 들어오는 접속을 막는다

해외IP 차단은 훔친 계정 정보로 해외에서 접속하는 경로를 막는 설정입니다. 유안타증권 안내를 보면, 접속한 IP가 한국인터넷진흥원에 국내 사용 IP로 등록되지 않은 주소면 해외 IP로 보고 단순 조회만 허용하며 이체, 주문, 서비스 등록·해지는 막습니다. 한 번 신청하면 주민등록번호 기준으로 그 증권사의 전체 계좌에 적용되고, 해지는 반드시 영업점에 가야 합니다.

해지를 어렵게 만든 것이 핵심입니다. 공격자가 비밀번호를 알아내 로그인하더라도 앱에서 차단을 풀 수 없습니다. 대신 두 가지는 알아 둬야 합니다.

• 해외여행이나 출장 중에는 내 접속도 막힙니다. 해외에서 주문을 내야 한다면 출국 전에 증권사 안내를 확인해야 합니다.
• 공격자가 국내 IP를 거쳐 들어오면 이 설정만으로는 막지 못합니다. 그래서 단말기 지정을 함께 겁니다.

단말기 지정과 추가인증: 내 기기 밖에서는 못 쓰게

단말기 지정은 내가 쓸 PC, 노트북, 스마트폰, 태블릿을 미리 등록해 두는 설정입니다. 유안타증권은 최대 5대까지 지정할 수 있고, 지정하지 않은 기기에서는 대상 거래가 제한되며 이체는 300만 원 이하 금액도 불가하다고 안내합니다. 마지막 남은 1대의 지정은 영업점에서만 해지됩니다.

새 휴대전화로 바꾸면 매번 영업점에 가야 하나 싶은데, 그래서 추가인증을 함께 씁니다. 단말기 지정과 추가인증을 같이 신청하면 미지정 기기에서는 등록한 추가인증 수단을 통과해야 거래가 됩니다. KB증권은 추가인증 신청 고객이 지정하지 않은 PC에서 공동인증서를 (재)발급하거나 타기관 인증서를 등록하거나 당일 누적 300만 원 이상을 이체할 때 추가인증을 요구하고, 방법으로 등록된 전화번호로 직접 걸려 오는 ARS 승인 등을 둡니다.

확인할 점은 대상 거래의 범위입니다. 이체만 막는지, 주식 매도·매수 주문까지 막는지는 증권사마다 다릅니다. 공격자가 돈을 빼지 못하더라도 보유 주식을 헐값에 팔아 버리는 피해는 이체 제한만으로 막지 못하므로, 내 증권사 설정 화면에서 주문이 대상인지 봐 둬야 합니다. 로그인 자체에 생체인증이나 패스키 같은 추가 단계를 고를 수 있다면 켜 두는 편이 안전합니다. 패스키가 왜 피싱에 강한지는 비밀번호 대신 패스키에서 설명했습니다.

이체 한도: 뚫렸을 때의 최대 손실을 정한다

전자금융감독규정 별표는 전자자금이체의 법정 최고 한도를 정합니다. 개인 기준 인터넷뱅킹은 1회 1억 원, 1일 5억 원, 모바일뱅킹도 1회 1억 원, 1일 5억 원입니다. 실제 한도는 이 범위 안에서 증권사와 이용자가 정하는데, 처음 정한 값을 그대로 두는 사람이 많습니다.

이체 한도는 보안 설정 중 유일하게 모든 방어가 뚫린 뒤에도 작동하는 장치입니다. 평소 증권 계좌에서 은행으로 옮기는 돈이 한 번에 몇백만 원 수준이라면, 1일 한도를 그 정도로 낮춰 두는 것만으로 최악의 하루 피해가 그 금액으로 묶입니다. 한도를 올릴 때 어떤 인증을 요구하는지는 증권사마다 다르니, 앱에서 비밀번호만으로 한도를 올릴 수 있는지도 함께 확인해 둡니다.

비대면 계좌개설 안심차단: 내 명의의 새 계좌를 막는다

계좌 도용과 함께 걱정되는 것은 유출된 신분 정보로 내 이름의 새 계좌가 열리는 일입니다. 금융당국은 2025년 3월 12일부터 비대면 계좌개설 안심차단을 시행하고 있습니다. 2026년 9월 18일 금융위원회 안내 기준으로 여신거래 안심차단(2024년 8월 23일 시행), 오픈뱅킹 안심차단(2025년 11월 14일 시행)과 함께 「안심차단 서비스 3종 세트」로 묶여 있습니다.

증권 계좌에도 효과가 있습니다. 삼성증권은 이 서비스를 신청한 고객은 IRP를 제외한 모든 비대면 계좌개설이 차단되고, 계좌를 열 때마다 개인(신용)정보 조회 동의를 받아 가입 여부를 확인한다고 공지했습니다. 신청 창구는 거래 중인 은행, 저축은행, 농협·수협·신협·새마을금고 등의 영업점, 은행 모바일뱅킹, 금융결제원 어카운트인포이고, 해제는 비대면으로 할 수 없고 영업점에 가야 합니다.

가상 사례: 같은 유출, 다른 결과

가나 씨는 증권 계좌에 3,000만 원어치 주식과 예수금을 두고 있습니다. 쓰던 비밀번호가 다른 사이트에서 유출되어 공격자가 아이디, 비밀번호, 인증서 비밀번호를 손에 넣었다고 가정합니다. 아래는 설정별로 공격 시도가 어디서 멈추는지 정리한 가상 사례입니다. 증권사별 세부 동작은 다를 수 있습니다.

세 설정을 함께 건 경우에도 휴대전화에 원격제어 악성앱이 깔리면 지정 기기에서 거래가 일어날 수 있습니다. 그때 마지막으로 남는 방어선이 이체 한도와 거래 알림입니다. 알림을 보고 바로 신고하면 다음 날 한도가 다시 열리기 전에 막을 수 있습니다.

사고가 났을 때 누가 책임지나

전자금융거래법 제9조제1항은 다음 사고로 이용자에게 손해가 생기면 금융회사가 배상할 책임을 진다고 정합니다.

1. 접근매체(인증서, 비밀번호, OTP 등)의 위조나 변조로 생긴 사고
2. 계약 체결이나 거래 지시가 전자적으로 전송·처리되는 과정에서 생긴 사고
3. 전자적 장치나 정보통신망에 침입해 부정하게 얻은 접근매체를 이용해 생긴 사고

다만 제2항은 이용자에게 고의나 중대한 과실이 있고 그 경우 이용자가 책임을 진다는 약정을 미리 맺었다면 책임의 전부나 일부를 이용자에게 지울 수 있다고 하고, 제3항은 그 범위를 대통령령이 정한 범위 안에서 약관에 적힌 것으로 한정합니다. 시행령 제8조가 정한 중대한 과실은 이렇습니다.

제3호가 이 글의 설정들과 직접 이어집니다. 증권사가 요구하는 추가인증을 귀찮다고 거부했다가 해킹을 당하면 내 책임이 커질 수 있습니다. 반대로 문자로 받은 링크에 인증서 비밀번호를 입력했다면 제2호의 누설로 다툼이 생길 수 있습니다.

또 제10조제1항은 금융회사가 접근매체의 분실이나 도난 통지를 받은 때부터 제3자가 그 접근매체를 써서 생긴 손해를 배상한다고 정합니다. 이상한 로그인 알림을 받았거나 휴대전화를 잃어버렸다면 증권사 고객센터에 바로 알리는 것이 피해를 막는 동시에 책임을 회사로 넘기는 일입니다.

피해가 의심될 때 순서

1. 증권사 고객센터에 전화해 사고 신고와 거래 정지를 요청합니다. 통지한 시점이 제10조의 책임 기준이 되므로 통화 일시와 상담 내용을 기록해 둡니다.
2. 다른 금융회사 계좌도 함께 지급정지합니다. 금융결제원 어카운트인포에서 은행·제2금융권·증권사 계좌를 한 번에 막을 수 있고, 절차는 수상한 문자 링크를 눌렀다면 무엇부터 할까에 정리했습니다.
3. 경찰(112)에 신고하고 금융감독원(1332)에 상담합니다. 사건사고사실확인원은 증권사에 손해배상을 청구할 때 근거가 됩니다.
4. 비밀번호와 인증서를 새로 만들고, 같은 비밀번호를 쓴 다른 서비스도 바꿉니다. 그다음 해외IP 차단, 단말기 지정, 이체 한도를 다시 확인합니다.

흔한 오해

OTP가 있으면 다른 설정은 필요 없다. OTP는 이체 순간의 본인 확인일 뿐이고, 어디서 접속했는지나 어느 기기인지는 따지지 않습니다. OTP가 필요 없는 주문도 막지 못합니다. 해외IP 차단, 단말기 지정, 이체 한도는 각각 다른 층의 방어입니다.

해킹당하면 무조건 증권사가 다 물어준다. 원칙은 금융회사 배상이지만, 시행령 제8조의 중대한 과실이 약관에 들어 있고 실제로 해당하면 책임이 나뉠 수 있습니다. 추가 보안조치를 켜 두는 것이 그 다툼을 줄이는 방법입니다.

안심차단을 걸면 기존 증권 계좌도 안전하다. 비대면 계좌개설 안심차단은 새 계좌 개설을 막을 뿐, 이미 있는 계좌의 로그인이나 이체는 막지 않습니다. 기존 계좌는 해외IP 차단, 단말기 지정, 이체 한도로 따로 지켜야 합니다.

정리

증권 계좌의 잠금장치는 층을 나눠 거는 것이 핵심입니다. 해외IP 차단은 해외 접속을, 단말기 지정과 추가인증은 내 기기 밖의 거래를, 이체 한도는 모든 방어가 뚫린 뒤의 최대 손실을, 비대면 계좌개설 안심차단은 내 명의의 새 계좌를 막습니다. 해제를 영업점에서만 할 수 있게 만든 설정이 많아 조금 불편하지만, 그 불편이 공격자에게도 똑같이 적용됩니다. 해킹 손해는 전자금융거래법 제9조에 따라 원칙적으로 금융회사가 배상하지만, 회사가 요구한 추가 보안조치를 거부했다면 내 책임이 생길 수 있으니 켜 두는 쪽이 여러모로 유리합니다.

참고 자료

• 금융위원회, 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다 (2026년 10월 2일 보도참고)
• 금융위원회, 추석 명절 전후 보이스피싱 피해에 주의하세요: 금융거래 안심차단서비스 (2026년 9월 18일 보도자료)
• 정책브리핑, 비대면 계좌개설 안심차단 서비스 시행 (2025년 3월 12일)
• 국가법령정보센터: 전자금융거래법 제2조(정의), 2026년 10월 2일 시행본
• 국가법령정보센터: 전자금융거래법 제9조(금융회사 또는 전자금융업자의 책임)
• 국가법령정보센터: 전자금융거래법 제10조(접근매체의 분실과 도난 책임)
• 국가법령정보센터: 전자금융거래법 시행령 제8조(고의나 중대한 과실의 범위), 2026년 4월 28일 시행본
• 국가법령정보센터: 금융위원회의 설치 등에 관한 법률 제38조(검사 대상 기관)
• 국가법령정보센터: 전자금융감독규정 제34조와 별표 전자지급수단의 세부적 이용한도 (금융위원회고시 제2026-29호, 2026년 7월 15일 시행)
• 유안타증권, 해외IP차단 서비스 안내 (2026년 10월 5일 확인)
• 유안타증권, 단말기지정서비스 안내 (2026년 10월 5일 확인)
• KB증권, 보안센터 추가인증서비스 안내 (2026년 10월 5일 확인)
• 삼성증권, 「비대면 계좌개설 안심차단」 서비스 시행 안내 (2026년 10월 5일 확인)