계정 유출·해킹 당했을 때 상황별 대응 6가지 (지급정지·명의도용 차단 순서)

'털린 내 정보 찾기 서비스'(kidc.eprivacy.go.kr)에 평소 쓰는 이메일 주소를 넣으면, 지금까지 어떤 유출 사고에 내 계정이 섞여 있었는지가 목록으로 나온다. 막히는 건 그다음이다. "비밀번호를 바꾸세요"는 어디에나 있지만, 돈이 이미 빠져나간 상황과 아직 아무 일도 없는 상황은 해야 할 일도 순서도 전혀 다르다. 특히 금전 피해는 연락 순서 하나로 회수 가능성이 갈린다.

이 글은 예방법이 아니라 이미 털린 뒤의 이야기다. 상황 여섯 가지로 나눠, 각각 어디에 먼저 연락하고 무엇을 며칠 안에 끝내야 하는지만 정리했다.

먼저 3분: 내가 어디까지 털렸는지 확인한다

대응의 크기는 "무엇이 털렸는가"로 정해진다. 비밀번호만 샜는지, 주민등록번호·계좌까지 샜는지에 따라 상황 1로 끝날 수도 있고 상황 4까지 가야 할 수도 있다. 무료로 즉시 확인할 수 있는 곳은 세 군데다.

어카운트인포를 여기 넣은 이유가 있다. 계정 유출의 진짜 피해는 "모르는 계좌·모르는 자동이체"로 나타나는데, 은행 앱을 하나씩 켜서는 절대 못 찾는다. 전 금융권을 한 화면에서 보는 곳이 여기다.

상황 1. 유출 목록에는 떴는데 아직 피해는 없다

가장 흔한 상황이고, 가장 흔하게 잘못 대응하는 상황이기도 하다. 대부분 "가입한 사이트 전부 비밀번호 변경"을 시도하다 30분 만에 지치고 절반쯤에서 멈춘다. 순서를 뒤집는 게 맞다. 털린 비밀번호가 재사용된 곳부터 끄는 것이다.

1·2순위만 끝내도 실질적 위험의 대부분이 사라진다. 3순위 이하는 며칠에 걸쳐 나눠 해도 늦지 않다. 새 비밀번호를 매번 머리로 짜내다 보면 결국 비슷해지므로, 이럴 때는 비밀번호 생성기로 서비스마다 다른 문자열을 뽑아 두는 쪽이 빠르다.

상황 2. 낯선 기기·해외 IP 로그인 알림이 왔다

비밀번호 변경부터 하는 사람이 많은데, 그것만으로는 이미 로그인해 있는 상대는 쫓겨나지 않는다. 다수의 서비스가 비밀번호를 바꿔도 기존 로그인 세션은 유지한다. 순서는 이렇다.

1. 비밀번호 변경 — 새 진입을 막는다.
2. 다른 기기 로그아웃 / 접속 기기 관리 — 이미 들어와 있는 상대를 끊는다. 네이버는 '내정보 > 보안설정 > 로그인 기록', 구글은 '보안 > 내 기기', 카카오는 '카카오계정 > 연결된 서비스'에 있다.
3. 2단계 인증(2FA) 설정 — 비밀번호가 또 새도 로그인은 막힌다.
4. 계정 복구 정보 확인 — 이게 마지막 관문이다. 공격자가 복구용 이메일이나 전화번호를 자기 것으로 바꿔 놨다면, 비밀번호를 아무리 바꿔도 상대가 '비밀번호 찾기'로 다시 가져간다. 복구 이메일·전화번호가 내 것인지 반드시 눈으로 확인한다.

4번을 빠뜨려 같은 계정을 두세 번 다시 뺏기는 사례가 실제로 많다. 2단계 인증을 아직 안 걸었다면 비밀번호 관리와 2단계 인증 정리를 먼저 보는 편이 낫다.

상황 3. 계좌에서 돈이 빠져나갔다 — 여기서는 순서가 전부다

이 상황만은 "확인부터"가 아니라 "신고부터"다. 사기범이 돈을 인출하기 전에 계좌를 묶는 게 회수의 전제이기 때문이다. 통화 대기 시간을 줄이려면 경찰청 112와 해당 금융회사 콜센터 중 먼저 연결되는 쪽으로 건다. 112로 신고하면 경찰청과 금융회사 간 핫라인으로 즉시 지급정지가 걸린다.

지급정지 이후는 「전기통신금융사기 피해 방지 및 피해금 환급에 관한 특별법」(통신사기피해환급법)이 정한 기한을 따라간다.

전화로 지급정지만 걸어 놓고 서면 제출을 잊으면 절차가 그대로 멈춘다. 3영업일이 이 표에서 가장 놓치기 쉬운 숫자다.

함께 해 둘 것이 하나 더 있다. 금융감독원 '개인정보노출자 사고예방시스템'(pd.fss.or.kr)에 노출 사실을 등록하면 전 금융권에 공유되어, 내 명의의 신규 계좌 개설·대출 신청 때 본인 확인 절차가 강화된다. 이미 빠져나간 돈을 되찾는 장치는 아니고, 다음 피해를 막는 장치다.

상황 4. 내 명의로 휴대폰이 개통됐다

주민등록번호와 신분증 사본까지 샌 경우에 일어난다. 명의도용 개통은 소액결제·대포폰으로 이어지므로, 확인과 차단을 같이 걸어야 한다.

• 가입 현황 조회 — 명의도용방지서비스 Msafer(msafer.or.kr)에서 내 명의로 개통된 이동전화 회선 전체를 조회할 수 있다. 알뜰폰을 포함한 전 통신사가 대상이다.
• 가입 제한(사전 차단) — 같은 사이트에서 신규 개통을 아예 막아 둘 수 있다. 내가 직접 해제하기 전까지는 누구도 내 명의로 새 회선을 못 만든다. 휴대폰을 자주 바꾸지 않는다면 걸어 두는 쪽이 이득이다.
• 소액결제 차단 — 통신사 고객센터에서 휴대폰 소액결제 한도를 0원으로 내려 둔다.
• 신용조회 차단 — 신용정보회사(나이스지키미·올크레딧)에서 신용조회를 차단해 두면 명의도용 대출 시도를 막는 층이 하나 더 생긴다.

상황 5. 메신저·SNS 계정이 탈취돼 지인에게 사칭 메시지가 갔다

내 피해보다 2차 피해가 빠른 상황이다. 실제로 이 유형의 목적은 대개 내 계정이 아니라 내 지인의 돈이다.

1. 계정 복구가 됐다면 즉시 비밀번호 변경 + 전 기기 로그아웃(상황 2와 동일).
2. 다른 채널로 지인에게 알린다. 탈취된 그 계정으로 "제 계정이 해킹됐어요"라고 보내 봐야 공격자가 지울 수 있다. 다른 메신저·전화·SNS 스토리로 알리는 게 확실하다.
3. 계정 복구 자체가 막혔다면 서비스 고객센터의 '해킹 신고' 창구로 간다. 여기서는 최초 가입 정보(가입 시기, 쓰던 기기, 결제 이력)를 얼마나 대는지가 복구 속도를 좌우한다.
4. 이미 송금한 지인이 생겼다면 그 지인이 상황 3의 절차를 그대로 밟아야 한다. 사칭당한 내가 대신 신고해 줄 수는 없다.

상황 6. 이용하던 서비스에서 "개인정보 유출" 통지 메일을 받았다

이 메일을 스팸으로 넘기기 전에, 두 가지를 구분해서 봐야 한다. 하나는 진짜 통지인지이고, 다른 하나는 무엇이 유출됐는지다.

개인정보 보호법 제34조와 같은 법 시행령에 따르면, 개인정보처리자는 유출 사실을 알게 된 때로부터 72시간 이내에 정보주체에게 통지해야 한다. 통지에는 유출된 항목, 유출 시점과 경위, 피해 최소화 방법, 처리자의 대응 조치와 피해 구제 절차, 신고 접수 연락처가 들어간다. 또한 ① 1천 명 이상의 정보주체 정보가 유출됐거나 ② 민감정보·고유식별정보가 유출됐거나 ③ 해킹 등 외부의 불법적인 접근에 의한 유출인 경우에는 개인정보보호위원회 또는 한국인터넷진흥원에도 72시간 이내에 신고해야 한다.

그래서 확인 포인트는 이렇다.

• 항목이 구체적으로 적혀 있는가 — "일부 정보"라고만 쓰여 있으면 고객센터에 직접 유출 항목을 물어본다. 비밀번호가 포함됐는지, 주민등록번호가 포함됐는지에 따라 상황 1로 끝날지 상황 4까지 갈지가 갈린다.
• 메일 안의 링크를 누르지 않는다 — 유출 사고 직후는 그 사고를 사칭한 피싱 메일이 함께 도는 시기다. 반드시 주소창에 서비스 도메인을 직접 입력해 들어간다. 사칭 메일을 가려내는 기준은 피싱 메일 판별법에 정리해 두었다.
• QR 코드가 들어 있으면 더 의심한다 — 인쇄물이나 메일 속 QR은 도착지가 눈에 안 보인다. 링크 주소만 먼저 확인하려면 QR 코드 리더로 읽어 도메인을 보고 판단한다.

한 번 유출 통지를 받은 서비스라면 결제 수단을 남겨 둘 이유가 있는지도 같이 따져볼 만하다. 쇼핑몰마다 카드를 등록해 두는 습관 자체가 유출 사고의 피해 면적을 넓히는데, 이 부분은 핫딜 쇼핑 안전 요령에 따로 정리돼 있다.

신고처·기한 한눈에 보기

이 표는 북마크해 두는 쪽을 권한다. 정작 필요한 순간에는 검색할 정신이 없기 때문이다. 평소 쓰는 다른 생활 도구와 정리 글은 kimgoon 생활·라이프스타일 가이드에 모여 있다.

자주 묻는 질문

털린 내 정보 찾기 서비스에서 "유출 이력 없음"이 나오면 안전한가요? 아닙니다. 이 서비스는 수사기관이 확보했거나 확인된 유출 데이터를 기준으로 조회합니다. 아직 공개되지 않았거나 확보되지 않은 유출은 잡히지 않습니다. "없음"은 안전 증명이 아니라 "확인된 범위에는 없다"는 뜻으로 읽고, 비밀번호 재사용은 그와 별개로 정리하는 게 맞습니다.

비밀번호를 바꿨는데도 또 로그인당했습니다. 왜 그런가요? 두 가지 중 하나일 확률이 높습니다. 첫째, 공격자가 계정 복구용 이메일·전화번호를 자기 것으로 바꿔 놔서 '비밀번호 찾기'로 다시 가져가는 경우. 둘째, 기존 로그인 세션이 살아 있어 애초에 쫓겨나지 않은 경우입니다. 상황 2의 4단계(복구 정보 확인)와 2단계(전 기기 로그아웃)를 함께 하지 않으면 반복됩니다.

보이스피싱으로 송금한 지 하루가 지났는데 지금 신고해도 의미가 있나요? 있습니다. 사기범이 아직 인출하지 않았다면 남은 잔액에 대해 지급정지가 걸립니다. 다만 시간이 지날수록 회수 가능 금액이 줄어드는 구조이므로 지금 즉시 112 또는 해당 금융회사로 연락하고, 전화로 먼저 신청했다면 3영업일 이내에 피해구제신청서와 신분증 사본을 서면으로 제출하세요.

주민등록번호가 유출됐는데 변경할 수 있나요? 제한적으로 가능합니다. 주민등록번호 유출로 생명·신체·재산에 피해를 입었거나 입을 우려가 큰 경우 주민등록번호 변경위원회에 변경을 신청할 수 있습니다(주민등록법). 다만 심사를 거치는 절차이므로, 신청과 별개로 Msafer 가입 제한과 신용조회 차단을 먼저 걸어 두는 편이 현실적으로 더 빠른 방어입니다.

회사나 쇼핑몰의 잘못으로 유출됐는데 배상을 받을 수 있나요? 개인정보 보호법은 처리자의 고의·과실로 인한 손해에 대해 손해배상 책임을 정하고 있고, 실제 손해 입증이 어려운 경우를 위한 법정손해배상 청구도 두고 있습니다. 개인정보 분쟁조정위원회(개인정보보호포털 privacy.go.kr)를 통한 조정 신청이 소송보다 부담이 적은 경로입니다.

관련 가이드

tools.kimgoon.kr

보안·암호 가이드 더 보기

tools.kimgoon.kr

안전한 비밀번호 생성기

tools.kimgoon.kr

비밀번호 관리와 2단계 인증

kimgoon.kr

kimgoon 라이프스타일 가이드

tools.kimgoon.kr

피싱 메일 판별법

hotdeal.kimgoon.kr

온라인 쇼핑 안전 가이드