들어가며
"내 개인정보가 유출됐을까?"
이 질문으로 검색해서 오셨을 겁니다. 그런데 답을 먼저 드리면, 거의 확실히 유출됐습니다.
작년 한 해 개인정보보호위원회에 접수된 유출 신고만 447건입니다. 쿠팡·SK텔레콤·롯데카드 세 건만 합쳐도 6,000만 건이 넘고요. 대한민국 인구가 5,100만 명입니다.
그러니까 질문을 바꾸셔야 합니다. "유출됐나"가 아니라 "어디까지 나갔고, 뭘 막을 수 있나".
확인부터 하시죠. 무료고 5분입니다.
1. 확인 — 무료, 3곳, 5분
① 털린 내 정보 찾기 — kidc.eprivacy.go.kr
개인정보보호위원회와 KISA가 운영합니다. 내 아이디·비밀번호·이메일이 다크웹에서 불법 유통되고 있는지 조회합니다.
이메일 인증 후 조회할 계정 ID나 이메일을 넣으면 됩니다. 2026년 1월부터 이메일 주소로도 조회할 수 있게 확대됐고요.
결과가 나오면 그 계정 비밀번호를 즉시 바꾸세요. 조회로 끝내면 아무것도 안 한 겁니다.
② 개인정보 포털 — privacy.go.kr
여기가 제일 놀라실 겁니다. 내 명의로 본인확인을 한 웹사이트 전체가 나옵니다.
메인 → 본인확인 내역 조회 (주민번호·아이핀 최대 5년 / 휴대폰 최대 1년) 메인 → 정보주체 권리행사 → 웹사이트 회원탈퇴
아이디나 비밀번호를 몰라도 목록에서 골라 탈퇴 신청이 됩니다.
여기서 위험한 건 이번에 사고 난 유명 사이트가 아닙니다. 가입한 줄도 몰랐던 사이트입니다. 10년 전 한 번 쓰고 잊은 쇼핑몰이 지금도 내 주민번호와 그때 비밀번호를 들고 있을 수 있으니까요.
⚠️ 예전엔 e프라이버시 클린서비스(eprivacy.go.kr) 라는 별도 사이트였습니다. 지금은 개인정보 포털로 통합됐고 옛 주소는 접속되지 않습니다. 오래된 블로그 글이 아직도 옛 주소를 안내하는 경우가 많으니 조심하세요.
③ Have I Been Pwned — haveibeenpwned.com
해외 서비스인데, 어느 사고에 내 이메일이 포함됐는지 사고별로 알려줍니다. 국내 서비스가 "유출됨/아님"만 알려주는 것과 다릅니다.
Notify me 에 등록해 두시면 앞으로 새 사고에 내 이메일이 나올 때 메일이 옵니다. 한 번 해두면 계속 작동하는 몇 안 되는 조치라 이것만은 꼭 하세요.
⚠️ 이 세 곳 말고 다른 "유출 조회" 사이트에 비밀번호를 입력하지 마세요. 조회 서비스를 가장한 피싱이 실제로 있습니다. 정상적인 조회 서비스는 비밀번호 원문을 절대 묻지 않습니다.
2. 왜 이렇게까지 흔해졌나
확인해 보셨으면 이제 배경을 보겠습니다.
개인정보보호위원회와 KISA가 2026년 5월 15일 낸 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」입니다.
| 구분 | 2024년 | 2025년 |
|---|---|---|
| 유출 신고 접수 | 307건 | 447건 (+45.6%) |
| 원인 1위 | 해킹 | 해킹 276건 (62%) |
| 원인 2위 | — | 업무 과실 110건 (25%) |
| 원인 3위 | — | 시스템 오류 24건 (5%) |
해킹 유출이 171건에서 276건으로 늘었습니다. 위원회는 랜섬웨어 확산과 대형 수탁사를 노린 공급망 공격을 배경으로 짚었습니다.
세부 수법은 악성코드(랜섬웨어·웹셸) 96건(35%), SQL 인젝션·파라미터 변조 32건(12%), 관리자 페이지 비정상 접속 23건(8%) 순입니다.
같은 기간 조사·처분 227건, 과징금은 40건에 1,677억 원. 전년 대비 172% 늘었습니다.
작년, 우리 대부분은 한 번쯤 명단에 있었습니다
| 사건 | 규모 | 유출 항목 | 처분 |
|---|---|---|---|
| 쿠팡 | 3,367만여 건 | 이름·이메일·전화번호·주소·구매/배송 내역 | 과징금 6,246억 8,100만 원 + 과태료 1,680만 원 (2026.6.11) |
| SK텔레콤 | 2,324만 4,649명 (총 2,696만 건) | 전화번호·IMSI·유심 인증키 등 25종 | 과징금 1,347억 9,100만 원 (2025.8.27) |
| 롯데카드 | 297만 명 (주민번호 45만 명 포함) | 카드번호·유효기간·CVC·카드 비밀번호·주민등록번호 | 과징금 96억 2,000만 원 (2026.3.12) + 업무 일부정지 1.5개월 (2026.7.31) |
쿠팡의 6,246억 원은 개인정보위 출범 이래 최대이고 직전 기록(SK텔레콤)의 약 4.6배입니다. 다만 이 금액에는 유출 건과 별개로, 광고 목적으로 이용자 1,117만 명의 타사 온라인 활동기록을 법적 근거 없이 수집한 데 대한 2,011억 원이 들어 있습니다.
⚠️ 아직 확정된 처분이 아닙니다. SK텔레콤은 2026년 1월 19일 서울행정법원에 과징금 취소 소송을 냈고, 쿠팡도 법적 대응 방침을 밝혔습니다. 이 글은 처분 내용을 사실로 전하되 기업의 최종 책임을 단정하지 않습니다.
3. "나는 중요한 사람도 아닌데"
가장 흔한 오해라 따로 뺐습니다.
공격자는 당신이 누구인지 관심이 없습니다. 필요한 건 하나뿐이거든요. 한 번이라도 재사용한 비밀번호.
이걸 크리덴셜 스터핑이라고 합니다. 어딘가에서 새어 나온 아이디·비밀번호 조합을 자동화 프로그램이 다른 사이트에 그대로 넣어보는 겁니다. 사람이 표적을 고르는 게 아니라 수백만 건을 기계가 훑습니다. 표적 선정이라는 개념 자체가 없어요.
2024년 국내 해킹 유출 신고 중 크리덴셜 스터핑이 원인으로 잡힌 건 9건이었습니다. 건수만 보면 적은데, KISA는 이걸 기업 침투의 대표 수단으로 지목합니다. 유통되는 자격증명이 그만큼 많고 싸니까요.
규모를 보여주는 수치가 하나 있습니다. 2026년 6월 HIBP에 추가된 정보탈취 악성코드 로그 하나에만 고유 이메일 5,600만 개, 고유 비밀번호 1억 2,400만 개가 들어 있었습니다. 특정 기업 사고가 아니라, 개인 PC에 감염된 악성코드가 브라우저에 저장된 로그인 정보를 긁어간 걸 모아놓은 겁니다.
회사가 아무리 잘 지켜도 내 PC가 뚫리면 내 계정은 유출됩니다.
그래서 무슨 일이 생기냐면
유출 자체로는 대개 아무 일도 안 일어납니다. 문제는 그다음입니다.
유출된 내 정보 │ ├─ 비밀번호 재사용 → 다른 계정까지 도미노 (크리덴셜 스터핑) ├─ 이름·주소·구매내역 → 진짜 같은 스미싱 · 기관 사칭 └─ 신분 정보 → 나도 모르는 휴대폰 개통 · 대출
2025년 보이스피싱 피해액은 1조 2,578억 원. 2006년 통계 집계 이래 처음으로 1조를 넘었습니다.
| 연도 | 피해액 |
|---|---|
| 2022년 | 5,438억 원 |
| 2023년 | 4,472억 원 |
| 2024년 | 8,545억 원 |
| 2025년 | 1조 2,578억 원 |
1~10월 누계로는 1조 566억 원 / 1만 9,972건, 건당 평균 약 5,300만 원입니다. 한 번 걸리면 평균 5천만 원이 사라진다는 뜻이죠.
다만 반가운 흐름도 있습니다. 2026년 1~4월 피해액은 2,225억 원 / 4,739건으로 전년 동기 대비 48% 줄었습니다. 범정부 통합 대응과 금융권 AI 공조가 작동하기 시작한 결과로 분석됩니다.
4. 계정 잠그기 — 오늘 안에
비밀번호 재사용부터 끊으세요
유출된 비밀번호 하나 = 그걸 쓴 모든 계정이 열린 상태입니다.
사이트마다 다르게 쓰셔야 하고, 외울 수 없는 게 정상입니다. 외워지는 비밀번호는 이미 규칙이 있다는 뜻이고, 규칙은 추측됩니다.
2단계 인증을 켭니다
비밀번호가 털려도 로그인을 막는 마지막 한 겹입니다. 전부 켤 시간이 없으면 이 순서로 하세요.
메일 → 금융 → 포털·SNS → 쇼핑
방식마다 안전도가 다릅니다.
| 방식 | 안전도 | 비고 |
|---|---|---|
| SMS 문자 인증 | 낮음 | 유심 스와핑·문자 가로채기에 취약 |
| 인증 앱 (OTP) | 높음 | 기기 안에서 숫자를 만들어 통신망을 안 탐 |
| 패스키 / 보안키 | 가장 높음 | 피싱 사이트에서는 아예 작동하지 않음 |
가능하면 인증 앱이나 패스키로. SMS만 되는 서비스면 SMS라도 켜는 게 낫습니다. 안 켜는 것보단 훨씬요.
비밀번호 관리자를 쓰세요
프로그램 설치가 부담스러우면 브라우저 내장 관리자로도 충분합니다. 길고 무작위인 비밀번호를 사람이 외우는 건 애초에 불가능한 일입니다. 도구에 맡기세요.
단, 브라우저 내장을 쓰신다면 그 브라우저 계정(구글·애플·MS)의 2단계 인증은 반드시 켜야 합니다. 거기가 뚫리면 전부 뚫리니까요.
메인 이메일부터
메일 계정은 다른 모든 계정의 비밀번호 재설정 통로입니다. 메일이 뚫리면 공격자는 다른 서비스에서 "비밀번호를 잊으셨나요?"만 누르면 됩니다.
다 못 하시겠으면 메일 계정 2단계 인증 하나만이라도 오늘 켜세요.
5. 내 이름으로 벌어지는 일 막기
계정 보안이 "내 데이터"를 지키는 거라면, 이건 "내 이름" 을 지키는 조치입니다.
명의도용방지 Msafer — msafer.or.kr
한국정보통신진흥협회(KAIT) 운영. 무료입니다.
- 가입사실현황조회 — 내 명의로 개통된 통신 서비스 전체 조회
- 가입제한 — 앞으로 내 명의로 신규 개통이 안 되도록 잠금
휴대폰을 자주 안 바꾸신다면 가입제한을 걸어두는 편이 낫습니다. 나중에 필요하면 직접 해제하면 되고요.
📄 이 항목만 따로 자세히 쓴 글이 있습니다 → [내 이름으로 개통된 휴대폰이 있는지, 5분이면 확인됩니다]
조회 결과 읽는 법, 모르는 회선이 나왔을 때의 신고 순서, 금융 쪽 차단까지 다룹니다.
⚠️ Msafer 가입제한은 전화·이메일·문자로 처리되지 않습니다. 그렇게 요구하는 연락은 사칭입니다.
어카운트인포 — payinfo.or.kr
금융결제원 운영. 내 명의 계좌·카드를 일괄 조회하고 안 쓰는 계좌를 정리할 수 있습니다. 모르는 계좌가 나오면 즉시 그 금융사에 문의하세요.
문자 속 링크는 안 누릅니다
이름·주소·주문번호가 정확해도 마찬가지입니다. 오히려 정확할수록 의심하셔야 하고요. 유출된 구매 내역이 붙은 스미싱은 "의심스러운 문자"가 아니라 "그럴듯한 안내" 로 도착하니까요.
확인은 항상 공식 앱을 직접 열어서. 문자에서 출발하지 마세요.
6. 유출 통보 문자를 받으셨다면
기업에서 "고객님의 개인정보가 유출되었습니다" 문자를 받으셨다면 순서가 따로 있습니다.
10분 안에 — 공식 앱·홈페이지를 직접 열어 공지 확인 → 그 사이트 비밀번호 변경 → 같은 비밀번호 쓴 다른 사이트 전부 변경
세 번째가 핵심입니다. 앞의 둘만 하고 이걸 건너뛰면 정작 열리는 문은 그대로 열려 있습니다.
📄 이 상황만 따로 다룬 글이 있습니다 → [「개인정보가 유출되었습니다」 문자를 받은 날]
통보문에 법적으로 들어가야 하는 5가지, 통보가 안 왔을 때, 배상 청구까지 다룹니다.
7. 오늘 저녁 5분
유출을 막는 건 이미 내 손을 떠난 일입니다. 내 정보를 가진 회사가 뚫리는 걸 내가 막을 방법은 없으니까요.
그런데 피해를 막는 건 아직 내 몫이고, 5분이면 됩니다.
kidc.eprivacy.go.kr에서 유출 여부 확인- 메일 계정 2단계 인증 켜기
- 재사용 중인 비밀번호 바꾸기
여유가 되시면 추가로,
privacy.go.kr로 가입한 줄도 몰랐던 사이트 정리msafer.or.kr로 내 명의 개통 차단haveibeenpwned.com의Notify me등록
이 글을 가족이나 친구에게 보내주시면, 그 사람 계정이 안전해지는 만큼 내 계정도 안전해집니다. 크리덴셜 스터핑은 연결된 계정을 타고 번지거든요.
근거 자료
- 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」, 2026.5.15
- 개인정보보호위원회 전체회의 — SK텔레콤(2025.8.27) · 롯데카드(2026.3.12) · 쿠팡(2026.6.11). SK텔레콤은 2026.1.19 과징금 취소 소송 제기, 쿠팡도 법적 대응 방침
- 과학기술정보통신부 민관합동조사단, 쿠팡 침해사고 조사 결과, 2026.2
- 금융위원회, 롯데카드 업무 일부정지 처분, 2026.7.31
- 경찰청 국가수사본부, 2025년 보이스피싱 피해 현황
- Have I Been Pwned (
haveibeenpwned.com) — 수치는 매일 변합니다 - 개인정보 침해신고 118 · 금융 피해 112
함께 읽으면 좋은 글
- [「개인정보가 유출되었습니다」 문자를 받은 날]
- [내 이름으로 개통된 휴대폰이 있는지, 5분이면 확인됩니다]
#보안로그 #생활보안 #개인정보유출 #유출확인 #털린내정보찾기 #개인정보포털 #크리덴셜스터핑 #2단계인증 #명의도용 #보이스피싱 #계정보안 #정보보안
댓글
댓글 쓰기