들어가며
여의도순복음교회 성도 85만 명의 정보가 나갔다는데, 내 것은 이름과 생년월일뿐이라면 괜찮은 걸까요?
그 둘로 개통·대출은 안 되지만 교회 사칭 전화에는 충분하니, 오늘 할 일은 「교회에서 왔다」는 연락을 믿지 않는 것입니다.
오늘 블로그는, 10월 7일 여의도순복음교회가 낸 사과문으로 시작해 보려고 합니다.
교회는 10월 6일 오후 3시 한국인터넷진흥원(KISA)에서 침해 정황을 통보받았고,
유출이 의심되는 자료 7건 중 1건에 성도 85만 명의 이름·생년월일이 들어 있었다고 밝혔습니다.
같은 날 서울 서초구 사랑의교회도 교인 8만 9천 명의 정보가 나간 정황으로 관계기관에 신고했습니다.
이 글은 사건 이야기 대신 이름·생년월일만 나갔을 때 실제로 벌어지는 일, 만약 주민등록번호가 함께 나간 2,629건에 해당하면 어떻게 해야하는지,
그리고 교회 이름으로 오는 연락을 걸러내는 기준을 적어보려고 합니다.
(2026년 10월 8일 아침 기준입니다. 조사가 진행 중이라 내용은 바뀔 수 있습니다.)
1. 여의도순복음교회·사랑의교회 발표 — 나간 것과 안 나간 것
85만 명 전원은 이름과 생년월일이 나갔고, 그중 일부는 주민등록번호·전화번호·주소를 고친 기록까지 나갔습니다.
교회가 외부 보안 전문가와 분석해 발표한 내용을 보도로 받아 적으면 이렇습니다.
| 자료 | 규모 | 들어 있던 것 |
|---|---|---|
| 성도 정보 변경 이력 1건 | 약 85만 명 | 이름 · 생년월일 · 변경 내용 |
| 그 안의 주민등록번호 변경 이력 | 2,629건 | 바뀌기 전후의 주민등록번호로 추정 |
| 그 안의 전화번호 변경 이력 | 3,964건 | 전화번호 |
| 그 안의 주소 변경 이력 | 7,202건 | 주소 |
| 나머지 6건 | — | 교적 이동 · 안수 · 세례 기록, 1993~2019년 헌금 기록. 교회는 개인정보가 없다고 밝힘 |
헌금 기록은 거래번호·금액·내역만 있고 누구의 것인지 식별할 정보는 없다는 게 교회 설명입니다.
(보안업체 분석을 받은 보도에는 교인 정보 96만 건, 헌금 기록 33만 건, 전자결재 문서 6만 8천 건이라는 숫자가 있습니다.
교회 발표와 다른 숫자이고, 어느 쪽이 맞는지는 조사 결과로 갈립니다.)
사랑의교회는 교인 8만 9천 명과 직원 286명의 정보가 공격자 서버에서 발견됐다고 보도됐습니다.
항목은 이름·주소·전화번호로 전해졌는데, 이건 교회 발표가 아니라 보안업체 분석을 받은 보도입니다.
교회는 비상대책팀을 꾸리고 관계기관에 신고했다고만 밝혔고, 10월 8일 아침까지 홈페이지에 유출 공지는 없었습니다.
2. 이름·생년월일만 나갔을 때 벌어지는 일, 2가지!
그 둘로 내 이름의 개통이나 대출은 못 하지만, 사칭과 비밀번호 추측에는 그대로 씁니다.
개통·대출·계좌 개설은 신분증과 본인 명의 휴대폰 인증을 거칩니다.
이름과 생년월일만 아는 사람이 할 수 있는 일이 아니죠.
그런데 여기가 중요합니다.
첫째, 사칭의 재료가 됩니다.
「○○○ 성도님, 19○○년 ○월생 맞으시죠」로 시작하는 전화를 받으면 사람은 교회라고 믿습니다.
유출 사실 자체도 재료입니다.
「유출 피해 확인 절차」「보상 신청 안내」라는 말이 교회 이름을 달고 올 수 있고,
교회가 뉴스에 오른 지금이 그 말이 가장 잘 통하는 때입니다.
전화번호 변경 이력에 든 3,964건은 그 번호로 바로 걸 수 있다는 뜻이고요.
둘째, 생년월일로 만든 비밀번호가 바로 뚫립니다.
금융감독원은 2016년 9월 1일 금융꿀팁에서 생년월일·전화번호처럼 추정 가능한 숫자를 카드 비밀번호로 쓰지 말라고 했습니다.
카드가 부정사용돼도 비밀번호가 생일이면 「과실로 누설」로 봐서 보상이 깎이니까요.
카드·계좌·앱 비밀번호 중 생년월일이 들어간 것이 있으면 오늘 바꾸시면 됩니다.
하나 더 있습니다.
이 자료는 혼자 쓰이지 않습니다.
다른 유출에서 나간 전화번호·주소와 이름·생년월일로 맞춰지면 한 사람의 묶음이 됩니다.
그리고 「이 사람은 이 교회 성도」라는 사실 자체가 「개인정보 보호법」 제23조가 따로 보호하는 사상·신념에 관한 정보에 가깝습니다.
신앙을 아는 상대의 말은 더 믿게 되고, 사칭하는 쪽이 노리는 게 그것입니다.
3. 주민등록번호 변경 이력 2,629건 — 해당하면 차단 둘
통지문에 주민등록번호가 유출 항목으로 적혀 있으면, 엠세이퍼 가입제한과 여신거래 안심차단을 오늘 겁니다.
「변경 이력」은 교회에 등록된 번호를 고친 기록입니다.
주민등록번호를 고쳤다면 바뀌기 전과 후의 번호가 같이 남는 게 보통이라, 그 2,629건에 든 분은 주민등록번호가 나간 것으로 보고 움직이시는 게 맞습니다.
내가 거기 들어가는지는 교회 통지문으로 압니다.
「개인정보 보호법」 제34조 제1항은 통지에 유출된 항목, 시점과 경위, 피해를 줄이기 위해 내가 할 수 있는 방법, 교회의 대응 조치와 구제 절차, 신고를 접수할 담당 부서와 연락처를 넣도록 정합니다.
통지문에 「주민등록번호」가 적혀 있나요? 그럼 아래 둘을 오늘 거시면 됩니다.
- 엠세이퍼 가입제한 — 내 이름으로 휴대폰이 개통되는 걸 막습니다
- 여신거래 안심차단 — 주거래 금융회사 앱에서 신청하면 내 이름의 대출·카드 발급이 막힙니다
둘 다 무료고, 신청 방법은 따로 글이 있습니다.
주민등록번호 변경은 유출 사실만으로는 안 되고 실제 피해 우려가 인정돼야 하니, 그건 나중 단계입니다.
주소 변경 이력 7,202건에 해당하면 교회 이름으로 오는 우편물도 의심 대상에 들어갑니다.
통지문은 지우지 말고 캡처해 두세요. 나중에 배상을 청구할 때 첫 서류가 됩니다.
4. 교회에서 왔다는 전화·문자 — 거르는 기준 셋
연락 안에 적힌 번호와 링크는 쓰지 않고, 교회 홈페이지에 적힌 번호로 내가 다시 겁니다.
교회 이름을 달고 올 수 있는 연락은 세 갈래입니다.
- 헌금 계좌 안내 문자. 「건축헌금 계좌가 바뀌었다」「구제 헌금을 이 계좌로」. 헌금 계좌는 문자가 아니라 주보나 홈페이지에서 확인합니다
- 교역자·구역장 사칭. 「급한 일이 있어 상품권을 대신 사 달라」「잠깐 송금해 달라」는 메신저 연락. 아는 이름이라도 전화로 본인 확인을 먼저 합니다
- 유출 확인·보상 링크. 「피해 대상자 조회」「보상금 신청」. 교회는 10월 8일 아침 기준 조회 페이지를 연 적이 없습니다
📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.
[○○교회] 김○○ 성도님(19○○년 ○월생), 개인정보 유출 피해 보상 대상자입니다. 본인 확인 후 보상금 수령 계좌를 등록하세요.
hxxp://member-care[.]example
여의도순복음교회 홈페이지는 주소창에 fgtv.com 을 직접 입력해 들어가고, 전화는 거기 적힌 번호로 내가 겁니다.
의심스러운 문자는 카카오톡 「보호나라」 채널의 스미싱 확인서비스에 붙여 넣으면 한국인터넷진흥원이 판정해 줍니다.
그리고 상대가 아래 다섯 중 하나를 요구하면 확인할 것도 없이 끊으시면 됩니다.
앱 설치, 인증번호, 계좌 비밀번호, 신분증 사진, 상품권.
교회가 성도에게 이 다섯을 전화로 요구할 일은 없으니까요.
5. 통지는 어떻게 오나 — 교회 안 나간 지 오래된 분도 대상
법은 72시간 안에 통지하라고 정하지만 연락처를 모르면 홈페이지 게시로 갈음할 수 있어서, 오래전 교적만 남은 분은 공지를 직접 보셔야 합니다.
「개인정보 보호법」 제34조와 시행령 제39조는 유출을 알게 된 때부터 72시간 안에 정보주체에게 알리도록 정합니다.
항목이나 경위를 다 확인하지 못했으면 확인된 것만 먼저 알리고, 나머지는 확인되는 즉시 다시 알려야 하고요.
교회도 「관련 법령과 절차에 따라 해당 성도들에게 통보 중」이라고 했습니다.
같은 조 제3항은 1천 명 이상이면 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에 신고하도록 정하고, 교회는 KISA에 신고했습니다.
여기가 중요합니다.
85만 명은 지금 교회에 다니는 분만이 아닙니다.
이사를 갔거나, 다른 교회로 옮겼거나, 몇 해 전 교적만 올려 둔 분의 번호는 교회에 옛 것으로 남아 있을 수 있죠.
시행령 제39조는 연락처를 알 수 없는 경우 홈페이지에 30일 이상 게시하는 것으로 통지를 갈음할 수 있게 해 뒀습니다.
번호가 바뀐 분은 문자를 기다리지 말고 교회 홈페이지 공지를 직접 보시면 됩니다.
통지가 오면 보관하고, 피해가 생기면 개인정보침해 신고센터 118로 신고합니다.
「개인정보 보호법」 제39조의2는 손해액을 증명하지 않아도 300만 원 이하에서 법원이 배상액을 정하는 법정손해배상을 두고 있습니다.
다만 규모와 원인이 확정되지 않은 단계라, 지금 할 일은 통지를 보관하는 것까지입니다.
6. 오늘 순서 — 10분!
- [ ] 교회 이름으로 온 연락의 번호·링크는 쓰지 않습니다. 홈페이지 주소를 직접 입력하고, 거기 적힌 번호로 내가 겁니다
- [ ] 생년월일이 들어간 비밀번호를 바꿉니다. 카드·계좌·교회 앱·메신저 순서로
- [ ] 통지문이 왔으면 유출 항목을 읽습니다. 「주민등록번호」가 있으면 엠세이퍼 가입제한과 여신거래 안심차단을 오늘 겁니다
- [ ] 통지문을 캡처해 둡니다. 추가 통지가 오면 같이 둡니다
- [ ] 번호가 바뀐 분은 교회 홈페이지 공지를 직접 봅니다. 문자를 기다리지 않습니다
- [ ] 가족 중 어르신 성도가 있으면 이 글의 다섯 가지(앱 설치·인증번호·계좌 비밀번호·신분증 사진·상품권)만 전해 드립니다
- [ ] 이미 링크를 눌렀거나 송금했다면 — 112와 은행에 지급정지, 30분 안에
자주 묻는 것
Q. 교회를 떠난 지 10년이 넘었는데 왜 제 정보가 남아 있나요?
교적은 탈퇴 처리를 하지 않으면 그대로 남습니다. 「개인정보 보호법」 제35조는 내 정보 중 무엇을 갖고 있는지 보여 달라고 요구할 권리를, 제36조는 삭제를 요구할 권리를 정합니다. 교회 홈페이지의 개인정보처리방침에 접수 부서가 적혀 있으니 거기에 열람과 삭제를 요구하시면 됩니다. 다만 이번 통지가 올 때까지는 연락처를 그대로 두는 편이 통지를 받는 데 낫습니다.
Q. 헌금 기록도 나갔다는데, 제가 얼마를 냈는지 알려지나요?
교회 발표로는 아닙니다. 1993~2019년 헌금 기록에는 거래번호·금액·내역만 있고 누구의 것인지 식별할 정보가 없다고 밝혔습니다. 보안업체 분석을 받은 보도에는 헌금 기록 33만 건이라는 숫자가 있지만, 그것이 개인과 연결되는지는 확인된 바 없습니다. 조사 결과가 다르게 나오면 교회가 추가 통지를 해야 합니다.
Q. 사랑의교회 교인입니다. 저는 뭘 하면 되나요?
같습니다. 보도된 항목은 이름·주소·전화번호인데 교회 공식 발표는 아직 없으니, 교회 홈페이지 공지와 통지를 기다리면서 위에 4절의 기준으로 연락을 거르시면 됩니다. 전화번호가 나갔다면 교회 이름으로 오는 전화가 늘 수 있고, 주소가 나갔다면 우편물 사칭도 대상에 들어갑니다. 통지가 오면 항목을 읽고 3절대로 움직이시면 됩니다.
Q. 이름·생년월일만 나갔는데도 배상을 받을 수 있나요?
청구할 길은 있습니다. 법정손해배상은 항목이 적어도 유출 자체로 청구할 수 있고, 금액은 법원이 정합니다. 다만 지금은 유출 규모와 원인이 확정되지 않았고 교회의 책임 범위도 조사 중이라, 할 수 있는 건 통지문을 보관하는 것입니다. 개인정보보호위원회의 조사 결과가 나오면 분쟁조정 신청 여부를 그때 정하시면 됩니다.
마무리
글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.
교회가 성도에게 전화로 인증번호·계좌 비밀번호·상품권을 요구할 일은 없습니다.
교회 이름으로 온 연락에 이미 링크를 눌렀거나 돈을 보냈다면, 지금 112와 은행에 지급정지를 요청하세요.
근거 자료
- 여의도순복음교회 유출 의심 자료 분석 결과 발표·이영훈 담임목사 사과문(2026.10.7) — KISA 통보(10.6 15시) · 7건 중 6건 개인정보 없음 · 1건(성도 정보 변경 이력)에 85만 명 이름·생년월일, 주민등록번호 변경 2,629건·전화번호 변경 3,964건·주소 변경 7,202건 · 헌금 기록(1993~2019)은 거래번호·금액·내역만 · 개별 통보 중 · 외부 접속 차단·서버 비밀번호 변경·방화벽 교체 · KISA 신고, 수사 의뢰 검토. 크리스천투데이·경향신문·SBS·서울신문·아시아경제·뉴스핌(10.7) 보도 경유, 공지 원문 미확인
- 사랑의교회 — 교인 8만 9천 명·직원 286명 정보 발견 정황, 비상대책팀 구성·관계기관 신고. 한국일보·MBC·뉴스핌(10.6~7) 보도 경유, 교회 공지 미확인(10.8 아침 sarang.org 공지 없음)
- 오아시스시큐리티 분석 — 교인 정보 96만 건·헌금 기록 33만 건·전자결재 6만 8천 건, 웹쉘 침투. 한국일보·MBC(10.6) 보도 경유, 교회 발표와 숫자 다름
- 「개인정보 보호법」 제23조(민감정보) · 제34조(유출 등의 통지·신고) · 제35조(열람) · 제36조(정정·삭제) · 제39조의2(법정손해배상) · 같은 법 시행령 제39조(72시간·우선 통지·홈페이지 30일 게시 갈음)·제40조(1천 명 이상 신고)
- 금융감독원 금융꿀팁 200선 ④ 「카드 분실·도난 피해예방 요령」(2016.9.1) — 생년월일·전화번호 비밀번호 금지. 이투데이 보도로 받음(기사 경유)
- 한국인터넷진흥원 「보호나라」 카카오톡 채널 스미싱 확인서비스 · 개인정보침해 신고센터 118
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액, 주민등록번호 변경 여부는 사안마다 다르니 변호사·대한법률구조공단(132) 또는 개인정보침해 신고센터(118)에 확인하세요.
⚠️ 조사가 진행 중입니다. 유출 인원·항목·시점·원인·책임 범위는 확정되지 않았습니다. 두 교회의 발표는 모두 보도로 받은 것이며, 이 글은 교회의 책임을 단정하지 않습니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 도메인은 예약된 예시용 주소입니다.
#보안로그 #생활보안 #개인정보유출 #여의도순복음교회 #여의도순복음교회개인정보유출 #사랑의교회 #교회해킹 #교회사칭 #유출통지 #생년월일유출 #주민등록번호유출 #명의도용 #스미싱 #보이스피싱 #정보보안
댓글
댓글 쓰기