개인정보 유출 통지 받았을 때: 비밀번호·명의도용·분쟁조정 순서

먼저 답부터

유출 통지를 받으면 가장 먼저 확인할 것은 무엇이 새어 나갔는가입니다. 항목에 따라 해야 할 일이 완전히 달라집니다.

가장 급한 것은 비밀번호 재사용입니다. 한 곳이 뚫리면 같은 아이디·비밀번호로 다른 사이트에 자동 로그인을 시도하는 공격(크리덴셜 스터핑)이 뒤따릅니다. 유출된 사이트만 바꾸는 것으로는 부족합니다.

첫 24시간에 할 일

1. 통지문을 저장합니다. 유출 항목·시점·사업자명이 적혀 있습니다. 나중에 분쟁조정이나 소송의 근거가 됩니다.
2. 해당 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓴 다른 사이트도 모두 바꿉니다.
3. 주요 계정에 2단계 인증을 켭니다. 메일 계정이 최우선입니다. 메일이 뚫리면 다른 서비스의 비밀번호 재설정까지 넘어갑니다.
4. 주민등록번호가 포함됐다면 엠세이퍼 가입제한, 여신거래 안심차단, 비대면 계좌개설 안심차단을 신청합니다.
5. 카드·계좌 정보가 포함됐다면 카드사·은행에 알리고 재발급을 요청합니다.
6. 이후 며칠간 모르는 인증 문자가 오는지 주시합니다. 인증 요청 문자는 누군가 내 정보로 시도하고 있다는 신호입니다.

비밀번호를 제대로 바꾸는 법

• 사이트마다 다른 비밀번호를 씁니다. 이것 하나가 절반 이상을 막습니다.
• 비밀번호 관리자를 쓰면 전부 다르게 만들고도 기억할 필요가 없습니다. 브라우저 기본 기능도 충분합니다.
• 바꿀 때 기존 비밀번호에서 숫자만 바꾸는 방식은 피하세요. 공격에 쉽게 뚫립니다.
• 메일 → 금융 → 쇼핑 순으로 우선순위를 두고 바꿉니다. 시간이 없다면 메일부터입니다.
• 2단계 인증은 문자보다 인증 앱이 안전합니다. 유심 탈취 공격에 문자는 취약합니다.

브라우저나 운영체제가 “유출된 비밀번호” 경고를 띄우면 무시하지 마세요. 알려진 유출 목록과 대조한 결과입니다.

명의도용을 미리 막기

앞의 세 가지는 차단, 어카운트인포 조회는 내 명의 계좌가 새로 생겼는지 확인하는 용도입니다. 계좌 개설 자체를 막으려면 ‘비대면 계좌개설 안심차단’을 따로 신청합니다. 거래 중인 은행·저축은행·농협·수협·신협·새마을금고·산림조합·우체국 영업점에 가거나, 은행 앱·인터넷뱅킹 또는 어카운트인포에서 신청하면 은행 등 3,613개 금융회사에서 내 명의 수시입출식 계좌가 비대면으로 새로 열리지 않습니다. 새 계좌가 필요할 때는 가까운 금융회사 영업점에 가서 풀어야 합니다. 신청 내역은 한국신용정보원 Credit4U(credit4u.or.kr)에서 볼 수 있습니다. 각각 다른 기관이라 한 곳에서 다 되지 않는다는 점만 기억하세요.

피해가 생겼다면

1. 경찰 신고 — 명의도용·부정결제는 범죄입니다. 접수증을 받아 두세요.
2. 해당 사업자에 이의 제기 — 통신사, 카드사에 명의도용 신고 절차를 진행합니다.
3. 개인정보침해 신고(118) — 유출 사업자의 법 위반 여부를 조사받을 수 있습니다.
4. 개인정보 분쟁조정위원회 — 손해배상을 다투는 절차입니다. 소송보다 비용과 시간이 적게 듭니다.
5. 집단분쟁조정 — 같은 사고로 피해를 본 사람이 많으면 함께 신청할 수 있습니다.

개인정보 보호법 시행령에 따라 사업자는 유출을 알게 된 때부터 72시간 이내에 정보주체에게 서면 등으로 알려야 합니다. 1천명 이상이거나 민감정보·고유식별정보가 포함됐거나 외부의 불법 접근으로 생긴 유출이면, 같은 72시간 안에 개인정보보호위원회나 한국인터넷진흥원에도 신고해야 합니다. 통지를 늦게 받았거나 항목이 불분명하면 그 사실도 함께 신고하세요.

유출 통지 자체가 사기인 경우

유출 사고가 알려지면 그걸 미끼로 한 2차 사기가 자주 따라옵니다.

• 문자·메일 링크를 누르지 마세요. 해당 서비스 앱이나 공식 주소를 직접 입력해 들어갑니다.
• “보상금을 지급한다”며 계좌나 인증번호를 요구하는 연락은 사기입니다.
• “보안 조치를 도와주겠다”며 원격 제어 앱 설치를 요구하는 것도 사기입니다.
• 기관을 사칭한 전화는 끊고 공식 대표번호로 다시 걸어 확인하세요.

통지문이 법이 정한 내용을 다 담았는지 대조하기

개인정보 보호법 제34조는 유출 통지에 들어가야 할 항목을 정해 두었다. 받은 문자나 메일을 아래 항목과 한 줄씩 맞춰 보면 빠진 부분이 바로 보인다.

1. 유출된 개인정보의 항목
2. 유출 시점과 경위
3. 피해를 줄이기 위해 내가 할 수 있는 방법
4. 사업자의 대응조치와 피해 구제절차
5. 피해 신고를 받는 담당부서와 연락처
6. 손해배상·법정손해배상 청구와 분쟁조정 등 내 권리와 행사 방법

시행령은 사업자가 항목이나 경위를 아직 다 확인하지 못했더라도 유출 사실과 그때까지 확인된 내용을 먼저 알리고, 추가로 확인되는 내용은 확인되는 즉시 알리도록 한다. 첫 통지가 짧았다면 후속 통지가 오는지 지켜보고, 오지 않으면 통지문에 적힌 담당부서에 묻는다.

분쟁조정과 손해배상, 기간과 금액으로 보기

15일 규칙은 놓치기 쉽다. 조정안이 기대보다 적어도 답을 미루면 수락으로 처리되므로, 받은 날짜를 적어 두고 기한 안에 수락이든 거부든 의사를 밝힌다.

자주 묻는 질문

비밀번호를 바꿨는데 또 뭘 해야 하나요?

2단계 인증을 켜고, 해당 계정의 로그인 기록과 연결된 기기를 확인해 모르는 세션을 로그아웃시키세요. 메일 계정이라면 전달 규칙이 몰래 추가돼 있는지 봐야 합니다.

주민등록번호는 바꿀 수 없나요?

주민등록번호 변경위원회를 통해 제한적으로 변경이 가능합니다. 유출로 인해 생명·신체·재산에 피해가 있거나 우려되는 경우가 대상입니다.

통지를 못 받았는데 뉴스로 알았습니다.

해당 사업자에 본인 정보 포함 여부를 문의할 수 있습니다. 답을 주지 않으면 118에 신고하세요.

공식 확인 자료

• 개인정보침해 신고센터(118): https://privacy.kisa.or.kr/ (새 창 / opens in a new window)
• 개인정보 분쟁조정위원회: https://www.kopico.go.kr/ (새 창 / opens in a new window)
• 개인정보보호위원회: https://www.pipc.go.kr/ (새 창 / opens in a new window)
• 엠세이퍼(통신 명의도용 차단): https://www.msafer.or.kr/ (새 창 / opens in a new window)

사고 유형과 유출 항목에 따라 필요한 조치가 달라집니다. 판단이 어려우면 118로 상담받으세요. 확인일 2026-09-30.

함께 보면 좋은 글

• 엠세이퍼 가입제한 신청·해제: 내 명의 휴대폰 개통 차단 확인
• Microsoft 계정 해킹 의심: 복구·세션·메일 전달규칙 점검 순서

완료 판정: 비밀번호 변경과 2단계 인증을 마쳤고, 필요한 차단 서비스를 신청했으며, 통지문을 보관했다면 초기 대응은 끝난 것입니다.