현대이지웰 개인정보 유출 확인, 우리 회사 복지몰도 대상인가 (+복지포인트 소멸 사칭 문자, 전액 보상 방침)

들어가며

회사 복지몰 운영사가 해킹됐다는 뉴스를 보고, 우리 회사 복지몰이 거기인지 궁금하신가요?

로그인 화면 하단의 운영사 표기로 확인되고, 대상이면 회사 명의의 개별 통지가 오며, 오늘 할 일은 복지몰 비밀번호 변경과 포인트 사용내역 확인입니다.

오늘 블로그는, 10월 30일 저녁 현대이지웰이 홈페이지에 올린 사과문 한 장으로 시작해 보려고 합니다.

10월 29일 밤 9시쯤 회원정보 조회 API 에 외부의 비정상적인 접근이 있었고,

회사는 접근에 쓰인 IP 를 차단하고 그 시스템의 외부 접속을 전면 끊었다고 밝혔습니다.

나간 것으로 발표된 항목은 이름, 생년월일, 성별, 휴대전화번호, 이메일 다섯 가지이고,

몇 명인지는 조사 중이라 아직 없습니다.

이 글은 사건 이야기 대신 내가 대상인지 어디서 가리는지, 비밀번호가 항목에 없는데도 왜 바꾸는지,

그리고 연말 복지포인트 시즌에 어떤 문자가 올지를 적어보려고 합니다.

(2026년 10월 31일 기준입니다. 회사의 개별 안내가 나오면 그 내용이 이 글보다 우선합니다.)

1. 우리 회사 복지몰이 대상인지는 로그인 화면 하단의 운영사 표기와 회사 복지 담당자에게 확인합니다.

대상 여부는 회사 통지로 확정된다

현대이지웰은 고객사 2,700곳의 임직원 340만 명이 쓰는 복지포인트 플랫폼이고, 복지몰 이름이 회사마다 달라 이름만으로는 운영사를 알 수 없습니다.

「○○그룹 복지몰」「○○ 베네핏」처럼 회사 이름을 붙여 쓰는 곳이 많으니까요.

로그인 화면이나 첫 화면 맨 아래의 사업자 표기를 보시면 됩니다.

거기에 현대이지웰이 적혀 있으면 이번 발표의 범위 안입니다.

(2,700곳·340만 명은 회사가 2025년 4월 전자금융업 등록을 알리며 밝힌 숫자라, 지금 숫자와는 조금 다를 수 있습니다.)

그래도 범위 안이라는 것과 내 정보가 나갔다는 것은 다릅니다.

회사는 유출이 확인된 회원에게 개별 안내를 하겠다고 했고, 그 통지가 오면 그때 확정입니다.

개인정보 보호법 시행령 제39조 제1항은 통지 기한을 알게 된 때부터 72시간 이내로 정합니다.

29일 밤 9시에 알았으니 원칙대로면 11월 1일 밤까지는 통지가 와야 하는 셈이고요.

통지가 진짜인지는 내용으로 가립니다.

같은 법 제34조 제1항이 정한 일곱 가지가 들어 있어야 합니다.

유출된 항목, 시점과 경위, 피해를 줄이기 위해 내가 할 수 있는 방법,

회사의 대응조치와 구제절차, 피해 신고를 받는 부서와 연락처,

손해배상·법정손해배상·분쟁조정을 청구할 권리와 방법, 그 밖에 시행령이 정하는 사항.

여기에 「유출 여부를 조회하라」는 링크 하나만 있는 문자는 이 일곱 가지가 없습니다.

통지가 안 왔는데 궁금하시면 회사 복지 담당 부서에 물어보시면 됩니다.

고객사 단위로 계약하는 서비스라 거기서 먼저 아는 경우가 많습니다.

2. 발표된 다섯 항목에 비밀번호는 없지만, 복지몰 비밀번호는 오늘 바꾸고 포인트 사용내역을 봅니다.

비밀번호가 항목에 없어도 오늘 바꾼다

회사가 발표한 유출 항목은 이름, 생년월일, 성별, 휴대전화번호, 이메일 다섯 가지이고, 비밀번호·주민등록번호·결제정보는 발표에 없습니다.

없다는 것은 두 가지 뜻일 수 있습니다.

안 나갔다는 뜻일 수도 있고, 아직 발표가 거기까지 안 갔다는 뜻일 수도 있습니다.

10월 31일 현재 회사가 「비밀번호는 안전하다」고 따로 밝힌 보도는 없습니다.

그래서 비용이 없는 쪽을 먼저 합니다.

1. 복지몰 비밀번호를 바꿉니다. 아이디가 이메일이나 사번이면 더 먼저입니다. 이메일이 나갔으니 아이디 절반은 이미 상대 손에 있는 것이니까요
2. 그 비밀번호를 쓰던 다른 사이트를 바꿉니다. 특히 나간 이메일 주소로 로그인하는 포털·쇼핑몰이 먼저입니다
3. 복지몰에서 포인트 사용내역과 주문내역, 등록된 배송지와 연락처를 봅니다. 내가 안 쓴 사용이나 모르는 주소가 있으면 아래 4절의 상담센터에 바로 알립니다

세 번째가 이 유출의 다른 점입니다.

복지포인트는 돈처럼 쓰는 것이고,

현대이지웰은 2025년 4월 금융위원회에 전자금융업자로 등록한 회사입니다.

전자금융거래법 제28조 제2항이 선불전자지급수단을 발행·관리하려면 등록하도록 정하고 있어서인데,

이번에 KISA 뿐 아니라 금융감독원에도 신고한 이유가 그것입니다.

회사는 현재까지 부정 사용이나 2차 피해가 확인되지 않았다고 했습니다.

그 말이 맞는지 내 계정에서 보는 것이 오늘 세 번째 일입니다.

3. 「잔여 복지포인트 소멸 예정」 문자와 인사팀 이름의 메일이 이번 유출에 가장 잘 맞는 사칭입니다.

포인트 확인은 링크 말고 앱으로

회사는 출처가 불분명한 링크와 첨부파일, 개인정보 입력 요구에 응하지 말라고 당부했는데, 이번 조합으로 만들어지는 말은 「유출 보상」보다 「포인트 소멸」 쪽입니다.

복지포인트는 회사마다 쓰는 기한이 있고, 연말에 남은 포인트를 쓰라는 안내가 실제로 옵니다.

지금이 11월이고, 상대는 내 이름과 휴대전화번호와 이메일을 갖고 있습니다.

「김○○님, 잔여 복지포인트 ○○만 원이 12월 31일 소멸됩니다. 아래에서 확인하세요」가 그대로 만들어집니다.

여기가 중요합니다.

내 이름과 포인트 소멸 시기를 아는 것은 이번에 나간 정보로 누구나 할 수 있는 일이라, 믿을 근거가 아닙니다.

그래서 문자와 메일 안에 있는 것은 아무것도 쓰지 않습니다.

• 링크와 버튼을 누르지 않습니다
• 포인트는 즐겨찾기해 둔 복지몰 주소나 앱으로 내가 로그인해서 봅니다
• 인사팀·총무팀 이름의 메일은 그 부서에 내가 걸어 확인합니다

상대가 넷 중 하나를 요구하면 확인할 것도 없이 끊으시면 됩니다.

앱 설치, 인증번호, 비밀번호, 신분증 사진.

회사의 후속 안내에 이 넷을 요구하는 내용이 들어갈 이유가 없으니까요.

📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.

[○○복지몰] 김○○님, 잔여 복지포인트 187,000원이 12월 31일 소멸 예정입니다. 소멸 전 확인 및 연장 신청은 아래에서 가능합니다.
hxxp://point-extend[.]example

이메일이 회사 메일이었다면 사칭 메일도 회사 메일로 옵니다.

회사 메일로 왔다고 회사가 보낸 것이 아닙니다.

보낸 사람 주소 뒤의 도메인이 우리 회사 것과 한 글자라도 다르면 그걸로 끝입니다.

4. 상담센터는 10월 31일 오전 9시 30분부터 24시간이고, 번호는 사과문에서 보고 내가 겁니다.

확인 전화는 내가 건다

회사는 10월 31일 오전 9시 30분부터 전담 상담센터를 24시간 운영한다고 했고, 전화번호는 보도에 없어 홈페이지 사과문에서 직접 보셔야 합니다.

번호를 이 글에 적지 않은 이유가 있습니다.

보도된 번호가 없어서이기도 하지만, 상담센터 번호가 퍼지면 그 번호를 발신번호로 꾸민 전화가 따라오기 때문입니다.

그래서 방향을 정해 둡니다.

• 「상담센터입니다」라며 걸려 오는 전화는 받되, 인증번호·비밀번호·앱 설치를 말하면 끊습니다
• 회사 쪽 확인은 사과문의 번호로 내가 겁니다
• 복지몰 앱이나 사이트의 고객센터 메뉴에서 번호를 봐도 됩니다. 문자에 적힌 번호는 쓰지 않습니다

상담센터에 물을 것은 둘입니다.

첫째, 내가 유출 대상인지,

둘째, 위에 2절에서 본 모르는 사용·주소가 있다면 그 처리.

회사 밖의 창구도 있습니다.

개인정보 침해 신고와 상담은 118,

사칭 연락으로 돈이 나갔다면 112 와 1394 가 먼저입니다.

회사는 금융감독원과 KISA 에 신고를 마쳤다고 했으니, 118 에 거는 것은 신고 중복이 아니라 내 사례를 남기는 일입니다.

5. 「피해 확인 시 전액 보상」과 법정손해배상 300만 원은 다른 창구이고, 지금은 기록을 남깁니다.

보상과 배상은 다른 창구다

회사가 밝힌 「전액 보상」은 이번 사고로 피해가 확인된 경우의 회사 방침이고, 개인정보 보호법의 손해배상은 그것과 별개로 청구하는 것입니다.

둘을 섞으면 「회사가 알아서 준다」로 읽히기 쉬워서 나눕니다.

보상은 회사가 정한 것입니다.

포인트가 빠져나갔거나 사칭으로 돈이 나간 것처럼 피해가 확인돼야 대상이고,

무엇을 피해로 보는지는 회사가 개별 안내에서 밝힐 일입니다.

배상은 법이 정한 것입니다.

개인정보 보호법 제39조의2 는 회사의 고의나 과실로 유출됐을 때

손해액을 입증하지 않고도 300만 원 이하에서 청구할 수 있게 하고,

회사가 고의·과실이 없음을 입증하지 못하면 책임을 면하지 못한다고 정합니다.

다만 조사가 끝나지 않아 회사의 과실 여부는 확정되지 않았습니다.

사과문도 손해배상 청구와 개인정보분쟁조정위원회 조정 신청을 할 수 있다고 적었습니다.

지금 청구하는 것이 아니라 지금 남겨 두는 것입니다.

받은 통지 문자, 회사의 후속 안내, 사칭 전화·문자의 번호와 내용, 그리고 2절에서 본 사용내역 화면.

분쟁조정은 1833-6972 이고, 신청 방법은 따로 글이 있습니다.

자주 묻는 것

Q. 퇴사한 회사의 복지몰이 현대이지웰이었습니다. 저도 대상인가요?

회원 탈퇴를 안 했으면 대상일 수 있습니다. 회원정보 조회 API 로 나간 것이라 그 시점에 회원 정보가 남아 있었느냐가 기준이고, 그건 회사만 압니다. 전 직장 복지몰에 로그인이 되면 위에 2절대로 비밀번호를 바꾸고 탈퇴하시면 되고, 로그인이 안 되면 상담센터에 「전 직원인데 대상인지」를 물으시면 됩니다. 개별 통지는 등록된 연락처로 가니, 회사 메일로 가입했다면 통지를 못 받을 수 있습니다.

Q. 주소도 나갔다는 기사를 봤습니다.

보도가 갈립니다. 회사 사과문을 옮긴 보도 대부분은 다섯 항목이고, 한 매체가 주소를 더해 「등」으로 썼습니다. 이 글은 다섯 항목 기준으로 썼고, 회사의 개별 통지에 적힌 항목이 최종입니다. 주소가 포함됐다고 통지가 오면 택배·방문을 핑계로 한 연락이 더해지니, 그때는 집으로 오는 「본인 확인」 방문도 회사에 내가 걸어 확인하면 됩니다.

Q. 유출 여부를 조회하는 페이지가 있나요?

10월 31일 현재 보도된 조회 페이지는 없습니다. 회사가 「개별 안내」라고만 했으니 통지가 오는 쪽입니다. 지금 「유출 조회」 링크를 보내는 문자가 있다면 회사가 만들지 않은 것을 보내는 셈이라 누르지 않으시면 됩니다. 조회 페이지가 생기면 회사 공지에서 연 주소만 씁니다.

Q. 복지몰에 2단계 인증이 없는데 어떻게 하나요?

복지몰은 서비스마다 로그인 방식이 달라 이 글이 단정할 수 없습니다. 2단계 인증 메뉴가 없으면 비밀번호를 다른 어디에도 안 쓰는 것으로 바꾸는 것이 할 수 있는 전부이고, 그 비밀번호를 만드는 법은 따로 글이 있습니다. 대신 나간 이메일 계정 자체에는 2단계 인증을 켜 두세요. 비밀번호 재설정 메일이 거기로 가니까요.

마무리

글이 길었습니다. 전부 다 기억하지 않아도 됩니다. 딱 하나만 기억해야 한다면 이 문장을 꼭 기억해 주세요.

내 이름과 포인트 소멸 시기를 아는 문자는 믿을 근거가 아니고, 포인트는 링크 말고 앱으로 내가 로그인해서 봅니다.

이미 링크를 눌러 비밀번호를 넣었다면 복지몰과 같은 비밀번호를 쓰는 곳을 지금 바꾸고, 돈이 나갔다면 112 와 1394 에 먼저 연락하세요.

근거 자료

• 현대이지웰 대표이사(박종선) 명의 사과문(2026.10.30 홈페이지 게시) — 회원정보 조회 API 외부 비정상 접근 · 10.29 21:00경 인지 · 공격 IP 차단, 해당 시스템 외부 접속 전면 차단 · 유출 항목 이름·생년월일·성별·휴대전화번호·이메일 · 유출 규모 조사 중 · 금융감독원·KISA 신고 · 2차 피해·부정 사용 미확인 · 유출 확인 회원 개별 안내 · 10.31 09:30부터 24시간 전담 상담센터 · 피해 확인 시 전액 보상 · 손해배상 청구·개인정보분쟁조정위원회 조정 신청 안내 · 당부(출처 불분명 링크·첨부파일·개인정보 입력 요구 주의) · 전사 보안 시스템·취약점 전면 재점검. 사과문 페이지는 이 글을 쓰는 환경에서 열리지 않아 뉴스핌(10.30 21:15)·파이낸셜뉴스(10.30 21:19)·이투데이(10.30 21:14)·아시아경제(10.30 21:28)·대전일보(10.30 21:54)·서울경제(10.30)·파이낸셜투데이(10.31 08:56)·공감신문(10.31 08:27) 보도로 교차 확인했다
• 보안뉴스(2026.10.31 09:59) — 유출 항목에 「주소」를 더해 보도. 고객사 약 2,700곳·이용 임직원 약 340만 명·시장 점유율 약 50%
• 현대이지웰 전자금융업 등록 발표(2025.4.3) — 금융위원회 전자금융업 등록, 선택적 복지 시장 최초, 공공기관·민간기업 2,700곳·임직원 340만 명. 헤럴드경제·서울경제 보도 경유
• 「전자금융거래법」 제28조 제2항(선불전자지급수단의 발행 및 관리 업무는 금융위원회 등록)
• 「개인정보 보호법」 제34조 제1항(유출 통지 7가지) · 제4항(보호위원회 또는 전문기관 신고) · 제39조(손해배상책임) · 제39조의2(법정손해배상의 청구 — 300만 원 이하, 고의·과실 없음 입증 책임 회사) — 2026.3.10 개정(법률 제21445호), 2026.9.11 시행
• 「개인정보 보호법 시행령」 제39조 제1항(알게 된 때부터 72시간 이내 통지) · 제40조 제1항(1천 명 이상 유출, 외부 불법 접근에 의한 유출 등은 72시간 이내 신고)
• 개인정보분쟁조정위원회 1833-6972 · 개인정보침해 신고센터 118 · 보이스피싱 통합신고 1394 · 경찰 112

⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 배상 요건과 금액은 사안마다 다르니 변호사·대한법률구조공단(132) 또는 개인정보분쟁조정위원회(1833-6972)에 확인하세요.
⚠️ 조사가 진행 중입니다. 유출 인원·항목·원인·책임 범위는 확정되지 않았습니다. 이 글은 회사의 책임을 단정하지 않으며, 사과문과 보도가 밝힌 사실만 옮겼습니다. 회사의 개별 안내 내용이 이 글보다 우선합니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 복지몰 이름은 가리고 도메인은 예약된 예시용 주소를 썼습니다.

#보안로그 #생활보안 #개인정보유출 #현대이지웰 #현대이지웰유출 #복지몰 #복지포인트 #복지포인트소멸 #스미싱 #비밀번호변경 #크리덴셜스터핑 #전자금융업자 #법정손해배상 #개인정보보호법 #개인정보분쟁조정