유출 통보 받은 날, 순서대로 막는 2차 피해
쇼핑몰·멤버십 유출 통보를 받으면 유출된 항목에 따라 스미싱, 계정 도용, 명의도용으로 노려지는 수법이 갈린다. 항목과 무관하게 가장 급한 조치는 여러 사이트에 돌려쓴 비밀번호를 끊는 것이고, 주민번호나 신분증 정보가 포함됐다면 통신·금융 명의도용 차단까지 필요하다. 통보 문자에 적힌 유출 항목을 먼저 확인하고, 피해가 의심되면 증거를 남긴 뒤 118과 경찰 112로 신고할 수 있다.
통보를 받았다면 유출 '항목'부터 확인하라
유출 통보 문자를 받았을 때 가장 먼저 볼 것은 "무엇이 새어 나갔는가"다. 이메일과 전화번호만 빠져나갔을 때와, 아이디·비밀번호나 주민등록번호까지 포함됐을 때 해야 할 일이 다르기 때문이다.
항목과 상관없이 가장 급한 조치는 하나다. 같은 비밀번호를 여러 사이트에 돌려쓰고 있었다면 그 고리를 당장 끊는 것이다. 이유는 크리덴셜 스터핑이라는 수법에 있다. 한 곳에서 샌 아이디·비밀번호 조합을 공격자가 다른 사이트 수십 곳에 자동으로 대입하는 방식인데, 로그인에 한 번 실패하면 곧바로 다음 사람 정보로 넘어가기 때문에 이상 행동으로 탐지되지도 않는다.
유출된 항목마다 노리는 수법이 다르다
Photo by Clint Patterson on Unsplash
통보서에 적힌 유출 항목을 보고, 자신에게 어떤 위험이 큰지부터 가늠하는 편이 낫다.
| 유출된 항목 | 주로 노려지는 피해 | 먼저 할 일 |
|---|---|---|
| 이메일·전화번호 | 스미싱·피싱 문자 | 모르는 링크 클릭 금지 |
| 아이디·비밀번호 | 계정 도용 | 같은 비번 쓴 계정 전부 변경 |
| 이름·주소·생년월일 | 맞춤형 사칭 문자 | 택배·결제 사칭 경계 |
| 주민번호·신분증 | 통신·금융 명의도용 | 엠세이퍼·금감원 등록 |
이름과 연락처가 함께 샜다면 "○○님, 주문하신 상품" 식으로 진짜처럼 보이는 사칭 문자가 오기 쉽다. 반대로 유출 항목에 주민번호나 신분증 사본이 없다면, 뒤에 설명할 통신·금융 차단까지 가지 않고 비밀번호 변경과 스미싱 경계만으로도 대개 충분하다.
통보받은 당일, 이 순서로 처리하라
미루면 계정 도용이나 명의도용으로 번질 틈이 생긴다. 순서는 급한 것부터다.
먼저 유출된 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 서비스도 함께 바꾼다. 특히 이메일·클라우드·금융 앱처럼 다른 계정의 열쇠 노릇을 하는 곳을 먼저 손본다.
그다음 2단계 인증이나 패스키를 켠다. 비밀번호가 새더라도 추가 인증 없이는 로그인되지 않게 하는 장치다. 패스키는 로그인 정보를 통째로 훔쳐도 같은 데이터로는 로그인할 수 없어 크리덴셜 스터핑에 특히 강하다.
주민번호나 신분증 정보가 포함됐다면 통신 명의도용부터 막는다. 방송통신위원회와 한국정보통신진흥협회, 이동통신사가 무료로 운영하는 엠세이퍼(msafer.or.kr)에서 가능하다. 본인 명의로 통신 상품이 새로 개통되면 문자로 알려주고, '가입제한'을 걸어 두면 신규 개통 자체를 막는다. PASS 앱에서도 신청할 수 있다.
금융 쪽은 금융감독원이 운영하는 '개인정보노출자 사고예방시스템'(pd.fss.or.kr)에 등록해 둔다. 등록해 두면 은행·카드사가 본인 확인을 강화해, 명의도용으로 계좌를 트거나 대출을 받는 시도를 걸러낸다.
마지막으로 최근 결제·거래 내역을 훑는다. 본인이 하지 않은 소액결제가 있는지도 본다. 가입한 사이트가 기억나지 않으면 개인정보위와 KISA가 운영하는 E프라이버시 클린서비스(eprivacy.go.kr)에서 본인확인 내역을 조회하고 쓰지 않는 사이트를 탈퇴할 수 있다.
수상한 문자는 누르기 전에 판별한다
유출 이후 며칠간은 사칭 문자가 늘어난다. 링크는 누르기 전에 확인하는 습관이 중요하다. 카카오톡에서 KISA의 '보호나라' 채널을 추가하면 '스미싱·큐싱 확인서비스'에 의심 문자를 붙여 넣어 정상·주의·악성 여부를 판별할 수 있다.
혹시 링크를 이미 눌렀다면 118이나 경찰 112에 신고하고, 거래 은행·카드사 콜센터에 소액결제 차단과 지급정지를 요청한다. 공식 기관이나 금융사는 문자 링크로 비밀번호나 인증번호를 입력하라고 요구하지 않는다.
피해가 생겼다면 증거부터 남긴다
실제 피해가 의심되면 신고가 먼저가 아니라 증거 보존이 먼저다. 의심 문자·메일 원본은 지우지 말고 캡처하고, 로그인·결제 알림과 통장 거래내역, 피해 일시를 모아 둔다.
개인정보 침해 자체는 국번 없이 118(KISA 개인정보침해신고센터, privacy.kisa.or.kr)로 상담·신고한다. 금전 피해나 사칭 범죄는 경찰 112, 또는 사이버범죄 신고시스템 ECRM(ecrm.police.go.kr)을 이용한다. 손해배상을 원한다면 개인정보분쟁조정위원회(1833-6972, privacy.go.kr)에 조정을 신청할 수 있다. 유출 사고가 있었다고 보상이 자동으로 지급되는 것은 아니며, 피해자가 직접 신청해야 한다는 점은 미리 알아 두는 편이 좋다.