개인정보 유출 확인하고 대응하는 4단계 총정리
유출 사고에서 진짜 피해는 유출 자체가 아니라 같은 비밀번호를 여러 곳에 쓴 것에서 나온다. 한 곳이 뚫리면 나머지가 함께 열린다. 대응 순서는 넷이다. 유출 여부를 확인하고, 비밀번호를 갈고, 명의도용을 차단하고, 금융 계정을 점검한다.
목차
- 유출은 어떻게 확인하나?
- 1단계: 무엇부터 하나?
- 2단계: 2단계 인증은 왜 필수인가?
- 3단계: 명의도용은 어떻게 막나?
- 4단계: 금융 쪽은 무엇을 보나?
- 유출 통지를 받으면?
- 자주 묻는 질문
- 정리
유출은 어떻게 확인하나?
내 계정이 알려진 유출 목록에 있는지 조회하는 서비스가 있다. 이메일 주소만 넣으면 확인된다.
| 확인 대상 | 어디서 |
|---|---|
| 이메일·비밀번호 유출 | Have I Been Pwned |
| 주민번호 도용 | 개인정보보호 포털 |
| 명의도용 통신 가입 | 명의도용방지서비스 |
| 계정 알림 | 브라우저·비밀번호 관리자 |
네 번째는 이미 켜져 있을 수 있다. 크롬이나 비밀번호 관리자가 저장된 비밀번호가 유출 목록에 있으면 경고를 띄운다. 무시하고 넘긴 알림이 있었다면 다시 확인해야 한다.
1단계: 무엇부터 하나?
비밀번호 재사용을 끊는 것이다. 유출된 계정 하나를 고치는 것보다 중요하다. 뚫린 사이트는 이미 손을 떠났지만, 같은 비밀번호를 쓰는 나머지 계정은 아직 내가 지킬 수 있기 때문이다.
공격자는 유출된 아이디와 비밀번호 조합을 다른 사이트에 그대로 넣어본다. 이 방식이 통하는 이유는 단 하나, 사람들이 같은 비밀번호를 돌려쓰기 때문이다.
규모를 보면 왜 자동화되는지 알 수 있다. 유출 목록 1건에 계정이 수백만 개씩 들어 있고, 이를 사이트 10곳에 대입하면 시도 횟수가 수천만 건이 된다. 사람이 하는 일이 아니라 프로그램이 24시간 돌리는 작업이라 표적이 되기 위해 특별할 필요가 없다.
우선순위는 이렇게 잡는다.
- 이메일 계정 — 다른 모든 계정의 복구 창구다. 여기가 뚫리면 전부 뚫린다
- 금융·결제 계정 — 은행·증권·간편결제
- 본인 확인에 쓰이는 계정 — 네이버·카카오·구글
- 나머지 — 쇼핑몰·커뮤니티
첫 번째가 왜 최우선인지는 분명하다. 비밀번호를 잊었을 때 재설정 링크가 어디로 가는지 생각하면 된다.
2단계: 2단계 인증은 왜 필수인가?
비밀번호가 이미 유출됐어도 두 번째 관문이 있으면 막힌다. 유출 대응에서 가장 효과가 큰 조치다. 공격자가 아이디와 비밀번호를 모두 알고 있어도 두 번째 인증을 통과하지 못하면 로그인이 실패하기 때문이다.
- 인증 앱 — 권장. 기기 안에서 코드가 생성된다
- 보안 키 — 가장 강하다. 물리 장치를 꽂는다
- 문자(SMS) — 없는 것보다 낫지만 유심 탈취에 약하다
세 번째의 약점이 실제 사고로 이어진다. 통신사에서 유심을 재발급받아 문자를 가로채는 수법이 있어서, 문자 인증만 믿는 것은 위험하다.
여력이 없다면 이메일 계정 하나만이라도 인증 앱으로 바꾼다. 그 하나가 나머지를 지키는 자물쇠다.
3단계: 명의도용은 어떻게 막나?
내 이름으로 계정이나 계약이 만들어지는 것을 차단하는 제도가 있다. 주민번호는 바꿀 수 없으므로, 유출된 뒤에는 정보를 되찾는 대신 그 정보로 무언가를 만들지 못하게 막는 쪽이 현실적인 대응이 된다.
- 명의도용방지서비스 — 내 이름으로 개통된 휴대폰 회선을 조회한다
- 가입제한 서비스 — 신규 통신 가입 자체를 막아둔다
- 정부24 본인확인 내역 — 내 정보로 처리된 민원을 확인한다
두 번째는 평소에 걸어두는 편이 낫다. 휴대폰을 새로 개통할 일은 몇 년에 한 번인데, 막아두면 그 사이의 도용이 원천 차단된다. 필요할 때 해제하면 된다.
첫 번째에서 모르는 회선이 나오면 그 자체가 사고다. 즉시 통신사와 경찰에 신고해야 한다.
4단계: 금융 쪽은 무엇을 보나?
금전 피해로 이어지는 경로를 막는다. 계좌와 대출은 실제 손실이 발생하는 지점이라, 사후에 되돌리는 것보다 사전에 알림을 켜두는 편이 훨씬 낫다.
- 계좌통합관리서비스 — 내 이름의 모든 계좌를 한 번에 조회
- 내계좌지급정지 — 보이스피싱 의심 시 일괄 정지
- 신용조회 알림 — 내 정보로 대출이 조회되면 통보된다
세 번째가 조기 경보 역할을 한다. 누군가 내 명의로 대출을 알아보면 조회 기록이 남고 알림이 온다. 실제 대출이 실행되기 전에 알 수 있는 유일한 신호다.
카드사 앱의 결제 알림도 함께 켠다. 소액 결제로 카드가 살아 있는지 시험해보는 수법이 있어서, 작은 금액일수록 놓치면 안 된다.
유출 통지를 받으면?
기업에서 유출 통지를 받았다면 순서대로 처리한다. 통지문에 적힌 유출 항목에 따라 해야 할 일의 범위가 달라지므로, 먼저 읽고 나서 움직이는 것이 시간을 아낀다.
- 통지 내용 확인 — 어떤 항목이 유출됐는지
- 해당 계정 비밀번호 변경 — 같은 비밀번호를 쓴 다른 곳도 함께
- 2단계 인증 설정 — 아직 안 했다면 이때 한다
- 주민번호가 포함됐다면 명의도용 차단 — 통신·금융 양쪽
첫 번째를 대충 넘기면 안 된다. 이메일만 유출된 것과 주민번호까지 유출된 것은 대응 범위가 다르다.
통지를 사칭한 피싱도 함께 늘어난다. 통지 메일의 링크를 누르지 말고 해당 서비스에 직접 접속해 확인하는 것이 안전하다.
계정 정리는 비밀번호 관리자와 2단계 인증 설정하는 순서 정리에 자세히 정리했다. 안 쓰는 계정을 줄이면 유출 면적도 함께 줄어드니 구독 서비스 정리하는 3단계 점검법과 판단 기준을 함께 본다.
브라우저 쪽 노출은 브라우저 추적 차단 설정하는 방법과 확인 순서와 크롬 확장 프로그램 정리하는 기준 4가지 정리에, 집 네트워크는 와이파이 속도 올리는 공유기 설정 5가지 정리에 정리했다.
신고와 상담은 개인정보보호 포털에서 할 수 있다.
자주 묻는 질문
유출 확인 사이트에 이메일을 넣어도 안전한가?
널리 쓰이는 서비스는 조회용으로만 쓴다. 다만 비밀번호는 어떤 사이트에도 입력하지 않는다.
비밀번호를 다 바꿔야 하나?
우선순위대로 한다. 이메일·금융·본인확인 계정이 먼저이고 나머지는 그다음이다.
문자 인증도 2단계 인증 아닌가?
맞지만 가장 약하다. 유심 탈취에 취약하므로 인증 앱으로 바꾸는 편이 낫다.
주민번호가 유출되면 바꿀 수 있나?
원칙적으로 변경이 어렵고 예외적인 절차만 있다. 그래서 명의도용 차단이 현실적인 대응이다.
유출 통지 메일이 진짜인지 어떻게 아나?
메일의 링크를 누르지 말고 해당 서비스에 직접 접속해 공지를 확인한다.
정리
- 진짜 위험은 유출 자체가 아니라 비밀번호 재사용이다
- 1단계는 이메일 계정부터 비밀번호를 바꾸는 것이다
- 2단계 인증은 인증 앱이나 보안 키로 한다. 문자는 가장 약하다
- 명의도용은 통신 가입제한을 미리 걸어두면 원천 차단된다
- 신용조회 알림이 실행 전 유일한 경보다
- 유출 통지 메일의 링크 대신 직접 접속해 확인한다
다음 행동은 이메일 계정의 2단계 인증을 인증 앱으로 바꾸는 것이다. 하나만 한다면 그것이다.
글쓴이 션잇 · IT 전문가. 업무 자동화와 AI 도구를 다룬다
댓글