정보 유출 뒤, 명의도용 대출 막는 순서
2026년 10월 빗썸에서 고객 6,444명의 정보가 유출됐고, 그중 844명은 신분증 사본과 주민등록번호까지 그대로 노출됐다. 이런 신분정보는 내가 모르는 비대면 대출이나 계좌개설로 이어질 수 있는데, 2024년부터 신규 여신을 실시간 차단하는 제도가 생겨 대응 순서가 분명해졌다. 여신거래 안심차단과 통신 가입제한을 먼저 걸고 계좌를 점검한 뒤, 피해 기록을 증거로 남겨두는 것이 순서다.
유출된 정보가 대출로 바뀌는 길
2026년 10월 27일 낮, 암호화폐 거래소 빗썸의 사내 그룹웨어에 외부 침입자가 약 59분간 접근했다. 회사는 29일 안내문을 내고 고객 6,444명의 정보가 유출됐다고 밝혔다. 이 중 844명은 성명, 휴대전화번호, 주민등록번호, 운전면허번호, 계좌번호에 더해 신분증 사본까지 그대로 노출됐고, 나머지 5,600여 명분은 암호화돼 있었다.
문제는 신분증 사본이다. 이름과 주민등록번호, 신분증 이미지가 한 세트로 묶이면 비대면 계좌개설이나 대출 심사의 본인확인을 넘길 재료가 된다. 그래서 금융사 유출의 2차 피해는 보이스피싱 전화보다 '내가 모르는 사이에 생긴 대출과 개통'이 더 무섭다. 아래 순서는 그 두 가지를 먼저 막고, 이미 벌어진 일을 확인하는 흐름으로 짰다.
먼저 걸어야 할 두 개의 빗장
Photo by Jonas Leupe on Unsplash
가장 효과가 큰 조치는 여신거래 안심차단이다. 2024년 8월 23일부터 시행된 제도로, 거래 중인 은행·저축은행·농협·수협·신협·새마을금고·우체국 영업점을 방문해 신청하면 한국신용정보원에 차단 정보가 등록된다. 이후 신용대출, 카드론, 신용카드 발급, 주식담보대출 같은 신규 여신거래가 실시간으로 막힌다. 신용점수에는 영향이 없다.
본인이 정작 대출을 받으려면 금융회사 영업점을 다시 방문해 해제해야 하는 번거로움이 있다. 바꿔 말하면, 당장 대출 계획이 없는 사람에게는 걸어두는 쪽이 유리하다. 다만 지방자치단체에 등록한 대부업자는 참여 대상에서 빠져 있어 완벽하지는 않다.
통신 쪽은 엠세이퍼(msafer.or.kr)에서 막는다. '가입사실현황조회'로 내 명의로 개통된 회선을 확인하고, '가입제한'을 걸면 신규 개통과 번호이동, 기기변경을 사전에 차단한다. 유출된 신분정보로 대포폰을 여는 경로를 끊는 무료 서비스다.
금융사에 '나를 조심하라'고 알리기
금융감독원의 개인정보노출자 사고예방시스템도 함께 쓸 수 있다. 2003년부터 운영돼 온 제도로, 금융소비자 정보포털 '파인'이나 은행 영업점에서 등록하면 그 정보가 금융협회를 통해 금융사로 전달된다. 이후 영업점 단말기에 주의 문구가 떠서 직원이 본인확인을 더 깐깐하게 한다.
한계도 분명하다. 2021년 보도에서는 일부 저축은행·대부업체 등 수십 개 금융기관에 실시간 전파가 되지 않는다는 지적이 있었다. 그래서 이 등록만 믿기보다 앞의 여신거래 안심차단과 함께 거는 편이 안전하다.
내 계좌에 무슨 일이 있었는지 확인
차단을 걸었다면 이미 벌어진 일을 점검할 차례다. 금융결제원이 운영하는 어카운트인포(accountinfo.or.kr)에서 본인 명의로 열린 전 금융사 계좌를 한 번에 조회할 수 있다. 만 19세 이상 내국인이면 금융인증서나 공동인증서로 접속 가능하다. 여기서 내가 만든 적 없는 계좌가 보이거나, 거래 내역에 모르는 대출·결제가 있으면 즉시 대응해야 한다.
모르는 거래를 발견하면 경찰(112)과 금융감독원(1332)에 신고하고 해당 금융사에 지급정지를 요청한다. 접수 과정에서 받은 사건번호와 통화 기록은 뒤에서 말할 증거가 된다.
책임을 묻는 법적 근거
피해가 실제로 생겼다면 유출한 회사에 책임을 물을 수 있다. 개인정보보호법은 개인정보처리자가 '고의나 과실이 없었다'는 점을 스스로 입증하지 못하면 배상 책임을 지도록 정하고 있다. 입증 부담이 피해자가 아니라 회사 쪽에 있는 구조다. 또 제39조의2의 법정손해배상 제도를 쓰면 구체적 손해액을 입증하지 못해도 1인당 300만원 이하 범위에서 법원이 배상액을 정할 수 있다. 2023년 개정으로 고의나 중과실이 있으면 손해액의 최대 5배까지 청구할 길도 열렸다.
다만 유출이 곧 배상으로 이어지는 것은 아니다. 2026년 1월 대법원은 약 40만 명의 정보가 유출된 사건에서, 정보가 암호화돼 있었고 외부로 퍼진 증거가 없으며 회사가 신속히 조치했다는 점을 들어 배상 의무를 인정하지 않았다. 실제 배상 여부는 유출 항목과 확산 정도, 회사 대응에 따라 갈린다. 신분증 사본처럼 민감한 정보가 평문으로 나간 이번 빗썸 건은 앞선 판례와는 성격이 다르다고 볼 여지가 있다.
지금 남겨둘 것
소송까지 가지 않더라도 증거는 지금 모아야 한다. 회사가 보낸 유출 안내문과 문자는 유출 항목과 시점을 보여주는 1차 자료이니 캡처해 둔다. 모르는 대출·결제 내역, 신고 접수번호, 그리고 스트레스로 병원을 찾았다면 진료 기록도 정신적 피해를 입증하는 자료가 된다. 손해배상 청구 시효는 유출 사실을 안 날부터 3년이지만, 자료는 시간이 지날수록 모으기 어려우니 서두르는 편이 낫다.