기프티엘 개인정보 유출, 환불 계좌번호가 나갔다면 (+본인계좌 일괄지급정지 해야 하나, 통장묶기 사기)

들어가며

기프티엘에서 「개인정보 유출 사실 안내」 문자를 받으셨거나, 모바일 교환권을 환불받은 적이 있어 내 계좌번호도 나갔는지 궁금하신가요?

계좌번호만으로 돈이 빠져나가지는 않지만, 모르는 돈이 들어오면 손대지 말고 은행에 먼저 알리셔야 합니다.

오늘 블로그는, 10월 25일 기프티엘 운영사 스푼이 홈페이지에 올린 사과문 한 장으로 시작해 보려고 합니다.

10월 22일 외부의 비인가 접근으로 일부 고객의 이름, 휴대전화번호, 이메일, 환불 계좌번호가 나갔다는 내용입니다.

유출 인원은 1만 8천여 명으로 보도됐습니다.

이 글은 사건 이야기 대신 누가 대상이고 통지는 어떻게 오는지, 계좌번호가 알려지면 실제로 어떤 일이 생기는지,

그리고 회사가 권한 「지급정지」를 정말 걸어야 하는지를 적어보려고 합니다.

(2026년 10월 26일 기준입니다. 사과문 원문은 홈페이지에서 직접 열지 못해 보도로 받았고, 유출 인원과 범위는 조사에 따라 달라질 수 있습니다.)

1. 대상은 환불 계좌를 입력한 고객이고, 통지는 문자로 옵니다

조회 페이지는 없고 통지는 문자로

유출 대상은 모바일 교환권을 환불받으면서 계좌번호를 직접 입력한 고객이고, 회사는 대상자에게 문자(MMS)로 개별 통지하고 있습니다.

기프티엘은 롯데리아·엔제리너스 같은 롯데 계열 외식 브랜드의 모바일 교환권을 발행하고,

다른 판매처에서 산 교환권의 사용과 환불 문의를 맡는 곳입니다.

교환권을 환불받으려면 돈을 받을 계좌를 적어야 하지요.

이번에 나간 「환불 계좌번호」가 그 계좌입니다.

그래서 교환권을 선물로 받아 쓰기만 한 분은 대상이 아닐 가능성이 높고,

환불을 신청한 적이 있는 분은 통지를 기다려 보셔야 합니다.

(SBS Biz 와 뉴스토마토 보도 기준입니다. 회사가 대상 범위를 다르게 발표하면 그쪽이 맞습니다.)

여기가 중요합니다.

이번 사건에는 「내 정보가 나갔는지 조회하는 페이지」가 없습니다.

회사가 조회 페이지를 열었다는 안내는 어느 보도에도 없고, 전자신문은 회사가 해킹을 인지한 직후 서비스를 중단했다고 보도했습니다.

그러니 「유출 여부를 조회하세요」라며 링크를 보내는 문자가 오면, 그 문자 자체가 사칭입니다.

진짜 통지와 사칭을 가르는 기준은 「개인정보 보호법」 제34조 제1항에 있습니다.

유출 통지에는 다섯 가지가 들어가야 합니다.

유출된 항목, 시점과 경위, 피해를 줄이기 위해 내가 할 수 있는 일,

회사의 대응조치와 구제절차, 그리고 신고를 접수하는 부서와 연락처.

이 다섯이 없이 링크·앱 설치·인증번호·계좌 비밀번호 중 하나를 요구하면 통지가 아닙니다.

회사는 피해 접수 창구로 디지털금융기획팀과 개인정보 전용 이메일을 안내했다고 데일리시큐가 보도했습니다.

연락은 통지 문자와 홈페이지 사과문에 적힌 그 창구로만 하고, 다른 문자에 적힌 번호로는 걸지 않으시면 됩니다.

2. 계좌번호가 알려지면 생기는 일은 출금이 아니라 세 가지입니다

계좌번호로는 돈을 빼지 못한다

계좌번호와 이름만으로는 돈을 빼낼 수 없고, 실제로 생기는 일은 사칭 연락이 정확해지는 것, 모르는 돈이 들어오는 것, 그 돈을 돌려달라는 요구 셋입니다.

계좌번호는 송금을 받는 번호입니다.

비밀번호도 OTP 도 없이 그 번호로 출금되지는 않습니다.

그래서 「계좌가 털렸다」는 제목이 내 계좌에서 돈이 바로 빠져나간다는 뜻은 아닙니다.

다만 이름·휴대전화·이메일·계좌번호 넷이 한 묶음으로 나갔다는 것이 문제입니다.

첫째, 환불·피해보상 연락이 정확해집니다.

「기프티엘 환불 처리가 지연돼 계좌를 다시 확인한다」

「유출 피해보상금을 입금하려면 인증이 필요하다」는 문자가 내 이름과 내 계좌 뒷자리를 맞게 부릅니다.

금융위원회와 금융감독원은 10월 6일 소비자경보 「주의」에서 금융회사와 금융당국은

전화·문자로 비밀번호나 인증번호를 요구하지 않고,

피해보상이나 계좌보호를 이유로 이체를 요구하지 않으며,

개인정보 유출 안내나 피해보상을 이유로 인터넷 주소를 보내지 않는다고 적었습니다.

이 기준은 기프티엘을 사칭한 연락에도 그대로 씁니다.

둘째, 모르는 돈이 들어올 수 있습니다.

계좌번호를 아는 사람은 그 계좌에 돈을 넣을 수 있습니다.

소액을 넣고 보이스피싱 피해 신고를 해 내 계좌를 지급정지시키는 수법을 통장묶기라고 부르고,

풀어주겠다며 돈을 요구하면 통장협박이라고 부릅니다.

금융위원회는 2024년 2월 1일 이 수법에 대응하는 법 개정 보도자료에서

「공개된 장소에서 계좌번호를 불특정 다수에게 노출하지 않도록 주의」하라고 적었습니다.

이번에는 내가 노출한 것이 아니라 나간 것이지만, 결과는 같습니다.

(규모가 작은 수법이 아닙니다. 경향신문이 10월 19일 박대출 의원실의 금융감독원 자료로 보도한 수치로, 2023년부터 2026년 상반기까지 5대 은행에서 보이스피싱 피해금 입금으로 지급정지된 계좌가 14만 2,512건이었습니다.)

셋째, 잘못 보냈으니 돌려달라는 요구가 옵니다.

돈을 넣고 「실수로 보냈다, 이 계좌로 돌려달라」고 하는 것입니다.

내가 돌려준 순간 내 계좌가 범죄 자금을 옮긴 계좌가 됩니다.

셋 다 하는 일은 하나로 모입니다. 아래 3절입니다.

3. 모르는 돈이 들어왔다면 손대지 말고 은행에 반환 의사를 밝힙니다

인출도 이체도 합의금도 하지 않는다

출처를 모르는 돈이 입금되면 인출·이체하지 않고, 은행 고객센터에 입금 사실과 반환 의사를 알린 뒤 경찰에 신고합니다.

순서는 넷입니다.

1. 은행 앱의 입금 알림을 지금 켭니다. 통장묶기는 소액 입금에서 시작하니 들어온 것을 바로 알아야 합니다
2. 모르는 돈은 그대로 둡니다. 인출하거나 다른 계좌로 보내지 않습니다. 보낸 사람이 돌려달라고 해도 직접 이체하지 않고 은행을 통해 반환합니다. 임의로 쓰면 횡령 책임을 물을 수 있다고 KB국민은행 안내가 적고 있습니다
3. 은행 고객센터에 입금 사실과 반환 의사를 알립니다. 이 기록이 「사기 의도가 없었다」는 첫 증거입니다. 경찰(112)에도 입금 사실과 협박 내용을 신고합니다
4. 협박 문자·통화는 캡처해 보관합니다. 지급정지가 걸리면 이의제기 소명자료가 됩니다

지급정지가 이미 걸렸다면 합의금을 보내지 않습니다.

금융위원회는 2024년 2월 1일 「사기범은 지급정지 해제 권한이 없으므로 합의금을 절대 송금하지 마세요」라고 적었습니다.

해제는 은행 이의제기로만 됩니다.

금융감독원은 2026년 5월 3일 은행연합회와 함께 이의제기 절차를 표준화해,

소명자료를 내면 5영업일 안에 해제 여부를 통보하도록 했습니다(파이낸셜뉴스 보도 경유).

입금액이 소액이고 과거 지급정지 이력이 없으며 나머지 거래가 생계와 관련되면,

의심 금액만 정지하고 나머지 잔액은 바로 풀어 줍니다.

(5영업일은 기준이고 실제 처리 기간은 은행마다 달랐습니다. 경향신문이 10월 19일 보도한 7월 평균은 하나 3.5일부터 국민 18.6일까지 벌어져 있었습니다. 급여 계좌가 묶이면 그 기간 쓸 돈이 없어지니, 아래 자주 묻는 것의 첫째를 보세요.)

4. 회사가 권한 「지급정지」는 비상 수단이고, 통지만 받았다면 안심차단입니다

돈이 나갈 상태가 아니면 안심차단

본인계좌 일괄지급정지는 내 계좌의 모든 출금을 멈추는 비상 조치라, 통지만 받은 단계에서는 안심차단 3종과 입금 알림이 맞습니다.

사과문은 계좌정보 악용이 의심되면 계좌정보통합관리서비스(어카운트인포) 등으로 계좌를 점검하고,

필요하면 지급정지를 하라고 권했습니다(보도 경유).

틀린 말은 아닙니다. 다만 「의심되면」이 조건입니다.

어카운트인포의 본인계좌 일괄지급정지를 걸면 계좌통합관리서비스 이용약관 제12조에 따라

그 계좌의 출금·이체·자동이체가 모두 멈추고, 연결된 체크카드도 안 됩니다.

입금은 됩니다.

해제는 거래 금융회사 영업점에 가야 하고, 영업일 09:00~16:00 입니다(금융감독원 2023년 7월 4일 확대 발표 기준).

금요일 밤에 걸면 월요일까지 카드값·통신요금 자동이체가 빠지지 않고, 그 연체는 내 책임입니다.

반대로 안심차단은 새로 열리는 것을 막습니다.

제도	막는 것	기존 거래
여신거래 안심차단	내 이름으로 새 대출·카드 발급	영향 없음
비대면 계좌개설 안심차단	내 이름으로 새 계좌 비대면 개설	영향 없음
오픈뱅킹 안심차단	다른 금융회사 앱에 내 계좌 연결·출금	영향 없음
본인계좌 일괄지급정지	내 계좌의 모든 출금	전부 멈춤

금융위원회·금융감독원 10월 6일 소비자경보가 유출 고객에게 권한 것도 안심차단 3종 가입과 개인정보노출자 사고예방시스템 등록이었습니다.

안심차단 셋은 거래 금융회사 영업점, 어카운트인포의 「내계좌한눈에」, 은행 앱에서 신청하고 해제는 영업점입니다.

그러면 일괄지급정지는 언제인가.

이미 모르는 돈이 들어왔거나, 인증번호를 불러 줬거나, 사칭 전화에 앱을 설치한 뒤입니다.

그때는 걸고 영업점에 가는 불편을 감수하는 게 맞습니다.

5. 통지 문자와 입금 내역은 지우지 마세요, 분쟁조정과 배상 청구의 서류입니다

통지·입금내역·사칭 연락을 남긴다

배상은 지금 청구하는 것이 아니지만, 유출 사실과 2차 피해를 증명할 기록은 지금만 남길 수 있습니다.

「개인정보 보호법」 제39조의2는 손해액을 증명하지 않아도

300만 원 이하에서 법원이 배상액을 정하는 법정손해배상을 두고 있습니다.

다만 회사의 과실과 유출 규모가 확정되지 않은 단계라, 지금 할 일은 서류를 남기는 것까지입니다.

남길 것은 셋입니다.

• 기프티엘의 통지 문자 — 지우지 않습니다. 추가 통지가 오면 같이 둡니다
• 모르는 입금과 그 뒤 은행·경찰에 알린 기록 — 입금 내역 캡처, 고객센터 통화 시각, 신고 접수번호
• 사칭 연락 — 환불·피해보상을 말하는 문자나 전화의 번호와 내용

사과문은 피해를 입었거나 분쟁조정이 필요한 고객은 개인정보 분쟁조정위원회에 조정을 신청하거나

손해배상을 청구할 수 있다고 적었다고 보도됐습니다.

분쟁조정위원회는 kopico.go.kr, 1833-6972 이고, 개인정보침해 신고센터는 국번 없이 118 입니다.

회사는 보안 전문기관과 관계 부처에 신고하고 수사를 요청했다고 밝혔으니 개인이 따로 유출 신고를 할 것은 없고,

사칭 연락으로 실제 피해가 생겼을 때 112와 118에 신고하시면 됩니다.

자주 묻는 것

Q. 환불 계좌를 바꾸거나 해지해야 하나요?

해지까지는 필요 없습니다. 계좌번호만으로 출금은 안 되니까요. 다만 그 계좌가 급여·주거래 계좌라면 통장묶기로 묶였을 때 생활비가 같이 묶입니다. 환불이나 중고거래처럼 남에게 알려 주는 용도의 계좌를 따로 두고 거기에는 큰돈을 두지 않는 것이 현실적인 방법입니다. 이미 나간 번호를 바꾸고 싶다면 새 계좌를 만들고 옛 계좌를 정리하는 것인데, 자동이체 이전이 따라오니 급하게 할 일은 아닙니다.

Q. 환불 신청한 적이 있는데 통지 문자를 못 받았습니다.

대상이 아닐 수도 있고, 통지가 아직 안 왔거나 회사에 남은 번호가 지금 번호와 다를 수도 있습니다. 조회 페이지가 없으니 사과문에 적힌 피해 접수 창구로 환불 신청 이력이 있는데 대상인지 물으시는 것이 방법입니다. 「유출 여부 조회」 링크를 보내는 문자는 쓰지 않습니다.

Q. 이메일도 나갔는데 비밀번호는 괜찮나요?

보도된 유출 항목에 비밀번호는 없습니다. 다만 이메일 주소를 다른 사이트의 아이디로 쓰는 분이 많으니, 예전에 다른 곳에서 유출된 비밀번호를 지금도 쓰는 사이트가 있다면 바꿔 두시는 게 맞습니다. 어디서 나갔는지 모르겠으면 개인정보 포털의 「털린 내 정보 찾기」(kidc.eprivacy.go.kr)에서 내 아이디와 비밀번호 조합이 떠도는지 조회할 수 있습니다.

마무리

글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.

계좌번호가 알려져서 생기는 일은 돈이 나가는 것이 아니라, 모르는 돈이 들어오는 것입니다.

모르는 돈이 들어왔다면 손대지 말고 은행에 반환 의사를 밝히고, 이미 돌려줬거나 인증번호를 불러 줬다면 은행 콜센터와 112에 지급정지를 먼저 요청하세요.

근거 자료

• 스푼 「개인정보 유출 사실 안내 및 사과문」(기프티엘 홈페이지, 2026.10.25 게시) — 10.22 외부 비인가 접근 확인 · 유출 항목 이름·휴대전화번호·이메일·환불 계좌번호 · 공격 IP 차단·접근 통제 강화·DB 접속 모니터링 강화 · 보안 전문기관·관계 부처 신고 및 수사 요청 · 대상 고객 MMS 개별 통지 · 출처 불명 문자·이메일·전화 주의 · 계좌정보 악용 의심 시 계좌정보통합관리서비스 등으로 점검·지급정지 · 부정 사용 의심 시 회사 신고 · 분쟁조정위원회 조정 신청·손해배상 청구 안내 · 피해 접수 창구 디지털금융기획팀·개인정보 전용 이메일. 원문은 홈페이지가 열리지 않아 연합뉴스·데일리시큐·전자신문·머니투데이·이투데이·SBS Biz·뉴스토마토 2026.10.25 보도로 받았다
• 유출 인원 1만 8,359명 — 전자신문·조선비즈 2026.10.25 보도 제목 기준. 해킹 인지 직후 서비스 중단 — 전자신문 같은 날 보도 제목 기준. 둘 다 기사 본문은 확인 못 했고, 다른 매체는 「규모 미공개」로 보도해 참고치
• 유출 대상이 환불 신청 시 계좌를 직접 입력한 고객이라는 것 — SBS Biz·뉴스토마토 2026.10.25 보도 경유
• 기프티엘 서비스 설명(롯데 계열 외식 브랜드 교환권 발행, 타 판매처 구매 교환권의 사용·환불 문의 전담, 약 150개 브랜드 3,000여 상품) — 전자신문·데일리시큐 2026.10.25
• 「개인정보 보호법」 제34조(유출 등의 통지·신고) 제1항 · 제39조의2(법정손해배상)
• 금융위원회·금융감독원 소비자경보 「주의」(2026.10.6) — 금융회사·금융당국은 전화·문자로 비밀번호·인증번호 요구 없음, 피해보상·계좌보호 이유 이체 요구 없음, 유출 안내·피해보상 이유 URL 발송 없음 · 안심차단서비스 3종 가입·개인정보노출자 사고예방시스템 등록 권고 · 1394 상담 · 피해 시 금융회사 콜센터 지급정지. 데일리안 2026.10.6 보도 경유
• 금융위원회 「통장협박 등 신·변종 보이스피싱에 대한 신속한 피해구제 절차를 마련하였습니다 — 통신사기피해환급법 개정안 국회 본회의 통과」(2024.2.1) — 합의금 송금 금지 · 계좌번호 노출 주의 · 피해금과 무관한 부분 신속 지급정지 해제
• 금융감독원·은행연합회 지급정지 이의제기 업무처리 절차 표준화(2026.5.3) — 소명자료 제출 후 5영업일 심사 · 소액·이력 없음·생계 거래면 일부 지급정지. 파이낸셜뉴스 2026.5.3 보도 경유
• 경향신문 「통장묶기 …」(2026.10.19) — 박대출 의원실이 금융감독원에서 받은 자료. 5대 은행 지급정지 142,512건(2023~2026 상반기) · 7월 이의제기 평균 처리 기간 은행별 3.5~18.6일
• KB국민은행 「통장 묶기 사기 예방법」(kbthink.com, 2026.8.6) — 입금 알림 · 인출·이체 금지 · 은행·경찰 신고와 반환 의사 표시 · 임의 사용 시 횡령 책임 · 2026.7.1부터 금융회사 앱 이의제기. 시중은행 안내라 참고치
• 금융결제원 「계좌통합관리서비스 이용약관」 제12조 — 본인계좌 일괄지급정지의 범위(출금·자동이체 정지, 체크카드 제한, 입금 가능) · 금융감독원 오프라인 채널 확대 발표(2023.7.4) — 해제는 거래 금융회사 영업점
• 개인정보 분쟁조정위원회(kopico.go.kr, 1833-6972) · 개인정보침해 신고센터 118 · 개인정보 포털 「털린 내 정보 찾기」(kidc.eprivacy.go.kr)

⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액, 지급정지 이의제기 결과는 사안마다 다르니 변호사·대한법률구조공단(132) 또는 개인정보침해 신고센터(118)에 확인하세요.
⚠️ 조사가 진행 중입니다. 유출 인원·원인·책임 범위는 확정되지 않았습니다. 이 글은 회사의 책임을 단정하지 않으며, 회사 사과문과 기관 발표가 밝힌 사실만 옮겼습니다. 사과문 원문은 직접 열지 못해 보도로 받았습니다.

#보안로그 #생활보안 #개인정보유출 #기프티엘 #기프티엘개인정보유출 #모바일상품권 #환불계좌 #계좌번호유출 #통장묶기 #통장협박 #지급정지 #안심차단 #보이스피싱 #개인정보보호법 #정보보안