들어가며
"고객님의 개인정보가 유출되었습니다."
이 문자를 받으면 사람들이 보통 둘 중 하나를 합니다.
아무것도 안 하거나, 문자에 있는 링크를 누르거나.
앞엣것이 제일 흔하고 통계상 제일 비쌉니다.
뒤엣것은 유출 통보를 사칭한 2차 피싱에 그대로 걸리는 길이고요.
둘 다 최악입니다. 그 사이에 정해진 순서가 있습니다.
1. 먼저, 그 문자부터 의심하세요
유출 사고가 터지면 그걸 미끼로 삼는 2차 피싱이 곧바로 따라옵니다.
전형적인 형태는 이렇습니다.
[Web발신]
[OO몰] 개인정보 유출 안내
고객님의 정보가 유출되었습니다.
유출 항목 확인 및 보상 신청은 아래에서 가능합니다.
▸ hxxp://leak-check[.]example
*(위는 실제 사례를 참고해 재구성한 가상 예시입니다. 발신번호·URL·기업 모두 실재하지 않습니다.)*
"유출 항목 확인", "보상 신청" 이 미끼입니다.
불안한 사람은 확인하고 싶어지고, 그게 정확히 노리는 지점이거든요.
진짜인지 가려내려 하지 마세요
가려낼 필요가 없습니다. 판별을 배우면 판별에 실패하는 날 링크를 누르게 됩니다.
공격자는 판별을 어렵게 만드는 게 직업인 사람들이고요.
그래서 규칙을 하나로 줄입니다.
어느 쪽이든 문자 속 링크는 누르지 않는다. 확인은 공식 앱이나 홈페이지를 직접 열어서 한다.
이 규칙 하나면 진짜 통보든 사칭이든 안전합니다. 진짜라면 공식 채널에도 반드시 공지가 올라와 있으니까요.
2. 통보문에는 법적으로 5가지가 들어가야 합니다
공식 경로로 통보문을 확인하셨으면, 그다음은 제대로 된 통보인지 보는 겁니다.
「개인정보 보호법」 제34조 제1항이 알려야 할 내용을 다섯 가지로 못박아 뒀습니다.
| # | 알려야 할 것 | 내가 여기서 얻는 것 |
|---|---|---|
| 1 | 유출된 개인정보의 항목 | 가장 중요합니다. 이게 §4의 행동을 정합니다 |
| 2 | 유출된 시점과 경위 | 언제부터 노출됐는지 → 그 기간 이상 거래를 되짚을 수 있습니다 |
| 3 | 피해 최소화를 위해 정보주체가 할 수 있는 방법 | 회사가 권하는 조치 |
| 4 | 대응조치 및 피해 구제절차 | 배상·보상 절차가 있는지 |
| 5 | 신고 접수 담당부서 및 연락처 | 실제로 연락할 곳 |
⚠️ 오해하지 마세요. 이 5가지는 피싱 판별용이 아닙니다. 사칭 문자도 그럴듯하게 흉내낼 수 있습니다.
이건 공식 경로에서 확인한 통보문이 제 역할을 하는지 보는 기준입니다. 판별은 §1의 규칙 하나로 이미 끝났고요.
1번(유출 항목)이 없거나 뭉뚱그려져 있으면 회사에 직접 문의하세요. 그게 없으면 내가 뭘 해야 하는지 정할 수가 없습니다. 5번의 담당부서 연락처가 그래서 있는 겁니다.
3. 즉시 — 10분 안에
순서가 있고, 3번이 핵심입니다.
- 공식 앱·홈페이지를 직접 열어 공지 확인. 문자 속 링크 말고 내가 아는 경로로
- 그 사이트 비밀번호 변경
- 같은 비밀번호를 쓴 다른 사이트를 전부 변경
왜 3번이냐면
피해는 유출된 사이트가 아니라 '다른 곳'에서 터지기 때문입니다.
유출된 쇼핑몰이 내 계좌에서 돈을 빼가진 않습니다. 문제는 거기서 새어 나간 아이디·비밀번호 조합이 다른 서비스에 그대로 대입된다는 데 있습니다.
크리덴셜 스터핑이라고 합니다.
유출된 조합 자동화 프로그램 결과
아이디 A / 비번 X → 포털에 대입 → 실패
→ 쇼핑몰에 대입 → 실패
→ 메일에 대입 → ✅ 성공
↓
비밀번호 재설정 통로 확보
↓
다른 계정도 순서대로 열림
사람이 표적을 고르는 게 아닙니다. 수백만 건을 기계가 훑습니다. "나는 별로 중요한 사람도 아닌데"가 방어가 안 되는 이유죠.
그래서 1번과 2번만 하고 3번을 건너뛰면 앞의 두 개는 거의 의미가 없습니다. 정작 열리는 문은 그대로 열려 있으니까요.
💡 "같은 비밀번호 쓴 곳이 어딘지 모르겠는데요"
정상입니다. 그럴 땐 중요도 순으로 바꾸세요 — 메일 → 금융 → 포털·SNS → 쇼핑.
4. 오늘 안에
유출 항목에 따라 할 일이 다릅니다
§2에서 확인한 1번 항목을 다시 보세요.
이메일 · 전화번호
앞으로 스팸과 스미싱이 늘어납니다. 링크만 안 누르면 실질 피해로 이어지긴 어렵습니다.
→ 모르는 번호의 링크를 안 누르는 것으로 충분합니다.
주소 · 구매 내역 ← 가장 위험합니다
이름·주소·주문번호가 붙은 정교한 사칭 문자가 옵니다. "의심스러운 문자"가 아니라 "그럴듯한 안내" 로 도착하고요.
→ 택배·환불·배송지 오류 안내를 전부 의심하세요. 확인은 공식 앱을 직접 열어서.
주민등록번호 · 카드 정보
내 이름으로 개통·대출·결제가 일어날 수 있습니다. 스스로 바꿀 수 없는 정보라 성격이 다릅니다.
→ §5의 명의 차단을 오늘 안에 하세요. 이번 주로 미루지 마시고요.
2단계 인증을 켭니다
메인 이메일이 1순위입니다. 메일 계정은 다른 모든 계정의 비밀번호 재설정 통로니까요. 메일이 뚫리면 공격자는 다른 서비스에서 "비밀번호를 잊으셨나요?"만 누르면 됩니다.
| 방식 | 안전도 | 비고 |
|---|---|---|
| SMS 문자 인증 | 낮음 | 유심 스와핑·문자 가로채기에 취약 |
| 인증 앱 (OTP) | 높음 | 기기 안에서 숫자를 만들어 통신망을 안 탐 |
| 패스키 / 보안키 | 가장 높음 | 피싱 사이트에서는 아예 작동하지 않음 |
유출된 사이트에도 켜세요. 비밀번호를 바꿔도 다시 유출될 수 있습니다. 한 겹을 더 얹는 겁니다.
결제 알림을 켭니다
카드사·은행 앱의 실시간 결제 알림을 켜두면 이상 결제를 몇 분 안에 잡습니다.
금융 피해는 속도가 전부입니다. 하루 뒤에 아는 것과 5분 뒤에 아는 건 결과가 완전히 다릅니다.
5. 이번 주 안에 — 내 명의를 막아둡니다
개인정보 포털 — privacy.go.kr
메인 → 본인확인 내역 조회 (주민번호·아이핀 최대 5년 / 휴대폰 최대 1년) 메인 → 정보주체 권리행사 → 웹사이트 회원탈퇴
여기서 위험한 건 이번에 사고 난 유명 사이트가 아닙니다. 가입한 줄도 몰랐던 사이트입니다.
⚠️ 예전 e프라이버시 클린서비스(eprivacy.go.kr) 는 개인정보 포털로 통합됐고 옛 주소는 접속되지 않습니다. 오래된 글들이 아직 옛 주소를 안내하니 조심하세요.
명의도용방지 Msafer — msafer.or.kr
한국정보통신진흥협회 운영. 무료입니다. 가입사실현황조회로 내 명의 회선을 보고, 가입제한으로 앞으로의 개통을 막습니다.
📄 이것만 따로 다룬 글이 있습니다 → [내 이름으로 개통된 휴대폰이 있는지, 5분이면 확인됩니다]
⚠️ Msafer 가입제한은 전화·이메일·문자로 처리되지 않습니다. 그렇게 요구하는 연락은 사칭입니다.
어카운트인포 — payinfo.or.kr
금융결제원 운영. 내 명의 계좌·카드를 일괄 조회합니다. 모르는 계좌가 나오면 즉시 그 금융사에 문의하세요.
6. 하지 말아야 할 것
❌ 통보 문자에 회신하거나 링크를 누르는 것 — 진짜 통보라도 링크는 안 누릅니다.
❌ "유출 확인해드립니다", "보상 신청"에 응답하는 것 — 2차 피싱입니다. 정상적인 조회 서비스는 비밀번호 원문을 요구하지 않습니다.
❌ 아무 조치도 안 하는 것 — 통계상 가장 흔하고 가장 비쌉니다.
피해가 의심되면 — 개인정보 침해신고 118 / 금융 피해(계좌 지급정지) 112. 후자는 먼저 걸고 나서 생각하세요.
7. 통보가 안 왔거나 너무 늦게 왔다면
회사는 72시간 안에 알려야 합니다
「개인정보 보호법」 제34조와 시행령 제39조·제40조가 기한을 정해뒀습니다.
| 구분 | 대상 | 기한 |
|---|---|---|
| 통지 | 정보주체(나) | 유출을 알게 된 때부터 72시간 이내 |
| 신고 | 개인정보보호위원회 또는 전문기관(KISA) | 72시간 이내 |
신고 의무가 생기는 경우 (시행령 제40조 제1항)
셋 중 하나만 해당해도 신고해야 합니다.
- 1천 명 이상의 정보주체 개인정보가 유출된 경우
- 민감정보 또는 고유식별정보(주민등록번호 등)가 유출된 경우
- 외부의 불법적인 접근(해킹 등)으로 유출된 경우
3번이 넓습니다. 해킹으로 유출됐다면 인원수와 무관하게 신고 대상입니다.
통지 위반과 신고 미이행 모두 3천만 원 이하 과태료 대상입니다(제75조 제2항 제17호·제18호).
내가 할 수 있는 것
뉴스로는 사고를 알았는데 나한테 통보가 안 왔다면 —
- 먼저 공식 채널 공지를 확인합니다. 개별 통지 전에 홈페이지 공지로 먼저 알리는 경우가 있습니다
- 통보 대상인지 고객센터에 직접 문의합니다
- 그래도 답이 없거나 부실하면 118 또는
privacy.go.kr로 개인정보 침해신고를 합니다
신고는 처벌이 목적이 아니라, 내가 통보 대상인지 확인받는 경로이기도 합니다.
8. 배상을 받을 수 있나요
받을 수 있습니다. 다만 기대치는 현실적으로 잡으시는 게 낫습니다.
법정손해배상 — 손해액을 입증하지 않아도 됩니다
「개인정보 보호법」 제39조의2가 법정손해배상청구를 두고 있습니다.
- 개인정보처리자의 고의 또는 과실로 개인정보가 분실·도난·유출·위조·변조·훼손된 경우
- 300만 원 이하 범위에서 상당한 금액을 손해액으로 하여 청구할 수 있습니다
- 입증 책임이 뒤집혀 있습니다 — 개인정보처리자가 고의·과실 없음을 스스로 입증하지 못하면 책임을 면할 수 없습니다
일반 손해배상은 "얼마나 손해를 봤는지"를 피해자가 증명해야 하는데, 유출 피해는 그게 거의 불가능합니다. 이 조항은 그 벽을 없애려고 있는 겁니다.
소송이 부담스러우면 — 개인정보 분쟁조정위원회
kopico.go.kr
- 개인정보를 침해당한 사람은 누구든지 분쟁조정을 신청할 수 있습니다
- 신청 내용에 법령 위반행위의 중지와 손해배상 청구가 포함됩니다
- 같은 사고로 피해자가 50명 이상이면 집단분쟁조정을 신청할 수 있습니다
소송보다 비용과 시간 부담이 훨씬 적습니다. 대형 유출 사고라면 집단분쟁조정 쪽이 현실적이고요.
솔직하게 말씀드리면
실제 인정되는 금액은 사건마다 크게 다르고, 청구가 받아들여지지 않은 사례도 많습니다. 300만 원은 상한이지 기준선이 아닙니다.
그래서 순서는 이렇게 잡으세요.
§3~§5의 조치가 먼저입니다. 배상은 그다음이고요.
받아낼 돈보다 막아낸 피해가 훨씬 큽니다.
한 장 요약
| 언제 | 무엇을 |
|---|---|
| 10분 | 공식 앱에서 공지 확인 → 그 사이트 비밀번호 변경 → 같은 비밀번호 쓴 곳 전부 변경 |
| 오늘 | 유출 항목 확인 → 메일·해당 사이트 2단계 인증 → 결제 알림 |
| 이번 주 | privacy.go.kr 사이트 정리 → msafer.or.kr 개통 차단 → payinfo.or.kr 계좌 점검 |
| 3개월 | 내가 먼저 시작하지 않은 연락은 전부 의심 |
자주 묻는 것
Q. 비밀번호를 바꿨는데 또 바꿔야 하나요?
유출된 사이트와 같은 비밀번호를 쓴 모든 곳을 바꾸셔야 합니다. 유출된 사이트 하나만 바꾸는 건 절반도 안 한 겁니다. (§3)
Q. 주민등록번호가 유출됐는데 바꿀 수 있나요?
원칙적으로 못 바꿉니다. 그래서 §5의 명의 차단이 유일한 실질적 방어입니다. 유출을 되돌릴 수 없으니 쓰이는 것을 막는 쪽으로 가는 거죠.
Q. 몇 달 전 사고인데 지금 해도 소용 있나요?
있습니다. 유출된 자격증명은 몇 년씩 유통되고 재사용됩니다. 오래된 사고일수록 이미 여러 손을 거쳤을 가능성이 크고요.
Q. 통보를 받은 적이 없는데 저는 안전한가요?
아니요. 신고된 사고만 447건(2025년, 개인정보보호위원회·KISA)이고 통보 대상에서 누락되는 경우도 있습니다. kidc.eprivacy.go.kr 에서 30초면 확인됩니다.
마무리
유출 자체를 막는 건 이미 내 손을 떠난 일입니다.
하지만 그 뒤에 벌어질 일은 아직 내 손 안에 있습니다.
그리고 하나 더 — 유출 통보는 대개 사고가 난 뒤에 옵니다. 그래서 통보를 받기 전에 해두는 게 가장 쌉니다.
근거 자료
- 「개인정보 보호법」 제34조(유출 등의 통지·신고) · 제39조의2(법정손해배상청구) · 제75조(과태료)
- 「개인정보 보호법 시행령」 제39조(유출 등의 통지) · 제40조(유출 등의 신고)
- 법제처 「찾기쉬운 생활법령정보」 — 개인정보처리자의 유출 시 조치방안
- 개인정보 분쟁조정위원회 (
kopico.go.kr) - 개인정보보호위원회·한국인터넷진흥원, 「2025년 개인정보 유출 신고 동향 및 조사·처분 사례」, 2026.5.15
- 개인정보 포털 (
privacy.go.kr) · Msafer (msafer.or.kr) · 어카운트인포 (payinfo.or.kr)
⚠️ 이 글은 일반적인 정보 제공이며 개별 사안에 대한 법률 자문이 아닙니다.
함께 읽으면 좋은 글
- [내 개인정보가 유출됐는지 확인하는 법]
- [내 이름으로 개통된 휴대폰이 있는지, 5분이면 확인됩니다]
#보안로그 #생활보안 #개인정보유출 #유출통보 #개인정보보호법 #법정손해배상 #개인정보분쟁조정 #크리덴셜스터핑 #스미싱 #2단계인증 #명의도용 #정보보안
댓글
댓글 쓰기