들어가며
비밀번호가 유출되면 바꾸면 됩니다. 카드는 재발급받으면 되고, 전화번호도 바꿀 수 있습니다.
그게 안 되는 정보가 있습니다.
주민등록번호, 지문, 병력, 종교, 정치성향, 범죄경력. 법이 따로 이름을 붙여 관리하는 것들인데, 한 번 나가면 회수도 교체도 안 됩니다.
그래서 이 정보들은 '대응'이 아니라 '예방'의 영역입니다. 그 예방을 어떻게 하는지 씁니다.
그리고 대부분 모르시는 게 하나 있는데, 주민등록번호는 내가 동의해도 못 받아 갑니다.
1. 주민번호는 동의해도 못 받습니다
주민등록번호는 민감정보가 아니라 '고유식별정보' 입니다(제24조, 시행령 제19조). 주민번호·여권·운전면허·외국인등록번호 네 가지인데, 다른 셋은 별도 동의를 받으면 되고 주민번호만 다릅니다.
제24조의2 — 개인정보처리자는 법률·대통령령 등에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우 등을 제외하고는 주민등록번호를 처리할 수 없다.
즉 정보주체가 동의해도 안 됩니다. 2014년 개정으로 이렇게 바뀌었습니다.
- 쇼핑몰·커뮤니티·이벤트 응모에서 주민번호를 요구하면 일단 멈추세요. 요즘 웬만한 곳은 안 받습니다
- 왜 받는지 물어보셔도 됩니다. 법령 근거를 대지 못하면 그 수집 자체가 위법입니다
- 금융·통신·의료처럼 법령에 근거가 있는 곳은 정상입니다
💡 앞 6자리만 받는 것도 안심할 일이 아닙니다. 생년월일과 성별을 조합하면 사실상 같은 정보가 되니까요.
2. 민감정보 — 법이 따로 이름 붙인 9가지
「개인정보 보호법」 제23조와 시행령 제18조는 개인정보 중 특별히 위험한 것을 따로 묶어 민감정보라 부릅니다.
종교는 '사상·신념'에 들어갑니다.
민감정보는 다른 동의와 분리해서 별도로 받아야 합니다. 한 칸에 뭉쳐 받으면 그 동의는 효력이 없고, 어기면 5년 이하 징역 또는 5천만 원 이하 벌금입니다(제71조). 과태료가 아니라 형사처벌입니다.
3. 왜 다른 문제인가
전화번호가 유출되면 스미싱이 옵니다. 귀찮지만 번호를 바꾸면 멈춥니다. 민감정보는 그 경로가 없습니다.
일반 개인정보의 피해가 스팸·스미싱·명의도용이라면, 민감정보는 차별·불이익·협박·아웃팅입니다. 그리고 대응하면 멈추는 게 아니라 평생 남습니다. 종교를 바꿀 수는 없고, 지문은 열 개뿐이니까요.
실제로 어떤 게 새어 나가나
2026년 8월, 어느 종교단체 신도 명부로 보이는 데이터가 다크웹에 올라왔다는 보도가 있었습니다. 128만 명분, 836MB.
⚠️ 확정된 사실이 아닙니다. 해당 단체는 "작년에 신고와 안내까지 마친 사고 건을 다시 올린 것"이라는 입장을 밝혔고, 2025년 5월 한국인터넷진흥원과 서울경찰청 사이버수사대에 신고했다고 했습니다. 이 글은 어느 단체인지를 다루지 않습니다. 유출 항목의 성격만 봅니다.
주목할 건 규모가 아니라 무엇이 들어 있었는가 입니다.
| 흔한 항목 | 흔하지 않은 항목 |
|---|---|
| 이름 · 생년월일 · 성별 | 가족관계 |
| 연락처 · 자택 주소 | 교내 직책 |
| 이메일 · 회원 ID | 금식 기간 |
오른쪽 칸은 연락처가 아닙니다. 이 사람이 무엇을 믿고 어떻게 생활하는지입니다. 그리고 이런 건 유출되고 나면 할 수 있는 게 거의 없습니다.
4. 가입할 때 3초
동의창을 다 읽으라는 말은 현실적이지 않습니다. 세 군데만 보세요.
① 체크박스가 따로 있는가 — "개인정보 수집·이용 및 민감정보 처리에 동의합니다"처럼 한 줄에 뭉쳐 있으면 그건 법을 안 지킨 겁니다.
② [선택]은 전부 끕니다 — 선택에 동의하지 않았다는 이유로 가입을 거부할 수 없습니다(제22조). 선택을 다 끄면 가입이 막히는 곳이라면 그 자체가 위법이고요.
③ "왜 필요한지"가 적혀 있는가 — 수집 목적을 못 쓰는 항목은 받을 이유도 없습니다. 배달앱이 종교를 왜 묻겠습니까.
5. 이미 준 것 회수하기
개인정보 포털 privacy.go.kr 에서 두 가지를 할 수 있고 둘 다 무료입니다.
| 기능 | 무엇을 |
|---|---|
| 본인확인 내역 조회 | 내 이름·번호로 가입된 사이트 목록이 나옵니다 |
| 웹사이트 회원탈퇴 | 그 목록에서 바로 탈퇴 신청. 사이트마다 들어갈 필요가 없습니다 |
처음 열어보시면 대개 놀라십니다. 절반은 가입한 기억조차 없는 곳이거든요.
다만 탈퇴가 완전한 삭제는 아닙니다. 전자상거래 기록 5년처럼 법정 보관기간만큼은 남습니다. 확실한 방법은 회수가 아니라 애초에 덜 주는 것입니다.
6. 이미 유출됐다면
되돌릴 수 있는 것(비밀번호·카드·계좌·전화번호)은 바꾸면 끝납니다.
되돌릴 수 없는 것(주민번호·지문·병력·신념)은 바꿀 수 없으니 도용을 막는 방향으로 갑니다.
개인정보 침해 신고·상담은 국번 없이 118 또는 privacy.go.kr 입니다.
건강·종교 같은 민감정보가 나갔다면 위 조치로는 막히지 않습니다. 남는 건 유출한 곳에 대한 조치 — 개인정보위 신고(118)와 분쟁조정위원회(kopico.go.kr)입니다.
7. 같은 습관이 만드는 다른 사고 — 검색 상단의 가짜 다운로드
주제가 달라 보이지만 뿌리가 같아서 함께 씁니다. "여기까지 왔으면 안전하겠지" 라는 가정이요.
2026년 4월 15일 KISA 공지입니다. "카카오톡 PC버전"을 검색하면 공식 페이지를 위장한 피싱 사이트가 상단에 노출되고, 그 설치 파일을 실행하면 정보 탈취형 악성코드가 깔립니다. 두 달간 약 560건이 확인됐습니다.
상단에 뜨는 경로는 검색 광고를 사거나 순위를 조작하는 것입니다. 검색 결과의 순서는 신뢰의 순서가 아닙니다. 우리는 대개 맨 위를 누르고, 공격자는 그 습관에 돈을 씁니다.
그리고 카카오톡만의 문제가 아닙니다. 압축 프로그램, 브라우저처럼 "이름은 아는데 공식 주소는 모르는" 모든 프로그램에 같은 방식이 적용됩니다.
안전하게 받는 법
공식 주소를 한 번 찾아 북마크해두면 검색할 일이 없어집니다. 그리고 설치 전에 .exe 에서 오른쪽 클릭 → 속성 → 디지털 서명을 보세요. 비어 있으면 실행하지 마세요.
윈도우가 경고를 띄우면 "추가 정보 → 실행"을 누르지 마십시오. 그 습관이 이 공격의 성공 조건입니다.
이미 설치했다면
- 네트워크를 끊습니다 (와이파이 끄기 / 랜선 뽑기)
- 백신으로 전체 검사
- 비밀번호를 전부 바꿉니다 — 감염된 PC가 아니라 다른 기기에서. 메일 계정을 가장 먼저 (다른 모든 계정의 재설정 통로입니다)
- 확신이 안 서면 초기화가 가장 확실합니다. 정보 탈취형은 흔적을 잘 안 남깁니다
상담은 국번 없이 118. 무료이고 24시간입니다.
자주 묻는 것
Q. 지문으로 폰 잠금 해제하는 것도 위험한가요?
폰의 지문 잠금은 대개 기기 안에서만 처리되고 서버로 가지 않습니다(안드로이드·아이폰 모두). 조심할 건 외부 서비스에 지문·얼굴을 등록하는 경우입니다. 어디에 저장되는지 안내가 없으면 등록하지 마세요.
Q. 이미 주민번호를 준 곳이 많은데요?
법령 근거가 있는 곳(금융·통신·의료)은 정상이니 그대로 두시면 됩니다. 문제는 근거 없이 받아간 곳인데, privacy.go.kr 의 본인확인 내역 조회로 목록을 보고 안 쓰는 곳부터 탈퇴하시면 됩니다.
Q. 법령 근거를 대라고 하면 알려주나요?
알려줘야 합니다. 못 대면 그 수집이 위법이고요. 답이 없거나 부실하면 118로 신고하실 수 있습니다.
마무리
동의창을 넘기는 습관과 검색 맨 위를 누르는 습관은 같은 가정에 기댑니다. 여기까지 왔으면 안전하겠지, 하는 것이요. 공격자는 정확히 그 가정을 노립니다.
3초만 더 보시면 됩니다. 체크박스가 따로 있는지, 그리고 도메인 끝 두 조각.
근거 자료
- 「개인정보 보호법」 제22조 · 제23조·시행령 제18조(민감정보) · 제24조·시행령 제19조(고유식별정보) · 제24조의2 · 제71조
- KISA 보안공지(2026.4.15) — 카카오톡 사칭 악성코드, 2026.2.10~4.14 약 560건
- 보안뉴스(2026.8.28) — 신도 명부 유출 정황. 확정 사실 아님, 당사자 반박·신고 상태 병기
privacy.go.kr·pd.fss.or.kr·msafer.or.kr·payinfo.or.kr·kopico.go.kr· 침해신고 118
#보안로그 #생활보안 #민감정보 #주민등록번호 #고유식별정보 #개인정보보호법 #개인정보포털 #회원탈퇴 #가짜사이트 #악성코드 #개인정보유출 #정보보안
댓글
댓글 쓰기