내 정보, 다크웹에 유출됐을까?
1분이면 직접 확인한다
정부 '털린 내정보 찾기'가 2026년 1월 이메일 조회까지 확대됐습니다. 국내 서비스와 글로벌 HIBP를 함께 써서 내 계정 유출을 확인하고 대응하는 법.
어느 날 모르는 번호로 "고객님 계정에 이상 로그인이 감지됐습니다"라는 문자가 온다. 무시했는데 며칠 뒤 쇼핑몰 포인트가 사라지고, 가입한 적 없는 서비스에서 환영 메일이 날아온다. 시작은 대개 몇 년 전 어느 사이트에서 새어 나간 이메일과 비밀번호 한 쌍이다.
공격자는 이 조합을 다크웹에서 사들여 포털·금융앱·쇼핑몰에 그대로 대입한다. 이걸 크리덴셜 스터핑이라 부른다. 다행히 내 계정이 이 명단에 올라 있는지는 이제 몇 번의 클릭으로 확인할 수 있다. 정부가 만든 도구부터 세계에서 가장 유명한 유출 조회 사이트까지, 순서대로 짚어 보자.
왜 지금인가2026년, 이메일만 넣어도 조회된다
개인정보보호위원회와 한국인터넷진흥원(KISA)이 운영하는 '털린 내 정보 찾기' 서비스가 2026년 1월 29일부터 확대 개편돼 본격 운영에 들어갔다. 가장 큰 변화는 조회 방식이다. 예전에는 아이디·비밀번호 조합만 넣을 수 있었는데, 이제 이메일 주소 하나로도 유출 여부를 확인할 수 있다.
사소해 보이지만 실제로는 결정적인 개선이다. 요즘 대부분의 서비스가 이메일을 그대로 아이디로 쓰기 때문이다. 즉 이메일 하나가 털리면 그것과 엮인 수십 개 계정이 동시에 위험해진다. 개편은 이 현실을 반영했다.
개인정보위·KISA가 다크웹 등 음성화 사이트에서 확보한 국내 불법 유통 계정정보. 여기에 구글의 비밀번호 진단 데이터 40억여 건이 더해져 대조에 쓰인다.
배경에는 끊이지 않는 크리덴셜 스터핑 사고가 있다. 과거 유명 연예인들의 스마트폰이 뚫린 사건도 다른 곳에서 새어 나온 계정정보가 재사용된 정황이 지목됐다. 유출은 한 번으로 끝나지 않고, 재고처럼 쌓여 두고두고 되팔린다는 뜻이다.
1단계 · 국내정부 '털린 내정보 찾기'로 확인하기
가장 먼저 쓸 도구는 정부 서비스다. 국내 사이트에서 새어 나간 계정을 가장 두텁게 커버한다. 접속 주소는 kidc.eprivacy.go.kr 하나만 기억하면 된다.
- 사이트 접속 후 동의 — 개인정보 수집·이용 동의에 체크한다. 입력한 정보는 조회에만 쓰이고 저장되지 않는다.
- 1차 인증(이메일) — 본인 이메일로 받은 인증번호를 넣는다. 남의 정보를 함부로 조회하지 못하게 막는 장치다.
- 조회 대상 입력 — 확인하고 싶은 이메일 주소, 또는 아이디·비밀번호 조합을 넣는다. 이메일 조회가 새로 열린 부분이다.
- 결과와 안내 확인 — 유출 이력이 있으면 어떻게 대응할지 '안전한 패스워드 이용 안내' 메뉴가 함께 뜬다.
주의할 점은 조회 한도다. 이메일 계정 하나당 하루 5건까지만 확인할 수 있다. 그러니 아무 문자열이나 넣어 보지 말고, 평소 자주 쓰는 이메일과 주력 비밀번호부터 우선순위를 정해 조회하는 편이 낫다.
2단계 · 글로벌Have I Been Pwned로 해외까지 훑기
국내 서비스가 놓치는 영역이 있다. 링크드인, 어도비, 각종 해외 게임·쇼핑 사이트처럼 글로벌 서비스에서 터진 유출이다. 여기에 강한 도구가 Have I Been Pwned(HIBP)다.
보안 전문가 트로이 헌트가 2013년부터 운영해 온 무료 사이트로, 수십억 건 규모의 유출 데이터베이스를 모아 두고 있다. 쓰는 법은 허무할 만큼 간단하다.
- 메인 화면 검색창에 이메일 주소를 넣고 'pwned?' 버튼을 누른다.
- 결과에 어떤 사이트에서, 어떤 정보(비밀번호·전화번호·주소 등)가 새어 나갔는지 목록으로 표시된다.
- 'Notify me' 메뉴에 등록해 두면 앞으로 새 유출이 발견될 때 이메일로 알려준다. 한 번 확인하고 끝낼 게 아니라 알림까지 걸어 두는 걸 권한다.
비밀번호 자체가 걱정된다면 'Pwned Passwords' 기능을 쓰면 된다. 비밀번호 전체를 서버로 보내지 않고 일부 해시값만 대조하는 방식이라, 조회 과정에서 비밀번호가 그대로 노출되지는 않는다.
착각 주의"유출 없음"은 안전 보증서가 아니다
여기서 많은 사람이 방심한다. 조회 결과가 깨끗하게 나오면 "내 계정은 안전하구나" 하고 창을 닫는다. 절반만 맞는 이야기다.
정부 DB든 HIBP든 세상의 모든 유출을 알고 있지는 못하다. 아직 공개되지 않았거나, 애초에 데이터를 넘겨받지 못한 유출도 많다. HIBP 스스로도 "pwnage 없음이라는 결과는 참고일 뿐 절대적 보장이 아니다"라고 명시한다. 즉 조회에서 아무것도 안 나와도, 이미 어딘가에서 털렸을 가능성은 남는다.
그래서 국내와 해외 도구를 함께 쓰는 게 기본이다. 둘은 경쟁 관계가 아니라 서로의 사각지대를 메운다.
| 구분 | 털린 내정보 찾기 | Have I Been Pwned |
|---|---|---|
| 운영 | 개인정보위·KISA(정부) | 트로이 헌트(개인·비영리) |
| 강점 영역 | 국내 사이트 계정 유출 | 글로벌 서비스 유출 |
| 조회 방식 | 이메일 또는 ID/PW, 본인 인증 필요 | 이메일·전화번호 즉시 조회 |
| 제한 | 하루 5건 | 사실상 무제한, 알림 구독 가능 |
정리하면 이렇다. 국내 계정이 걱정되면 정부 서비스로, 해외 계정과 상시 감시가 필요하면 HIBP로. 진짜 안전은 조회 결과가 아니라 그다음에 무엇을 하느냐에서 갈린다.
유출됐다면2차 피해를 끊는 4단계
조회에서 붉은 신호가 떴다고 당황할 필요는 없다. 순서대로만 처리하면 대부분의 2차 피해는 막힌다.
- 비밀번호부터 바꾼다 — 유출된 사이트는 물론, 같은 비밀번호를 쓴 다른 사이트까지 전부. 새 비밀번호는 12자 이상, 생일·전화번호처럼 유추 가능한 요소를 빼고 무작위성을 높인다.
- 2단계 인증을 켠다 — 문자보다는 인증 앱이나 생체·패스키 방식이 안전하다. 비밀번호가 털려도 두 번째 관문에서 공격이 멈춘다.
- 비밀번호 재사용을 끊는다 — 크리덴셜 스터핑이 통하는 유일한 이유가 '같은 비밀번호 돌려쓰기'다. 비밀번호 관리자를 쓰면 사이트마다 다른 비밀번호를 어렵지 않게 유지할 수 있다.
- 명의도용을 감시한다 — 계정정보가 새면 스미싱·명의도용으로 번진다. 이상 문자·결제 알림을 켜 두고, 본인 명의로 개통된 회선이나 가입 내역을 주기적으로 점검한다.
딱 하나만 한다면 재사용을 끊는 것이다. 유출된 비밀번호가 그 사이트에서만 쓰였다면, 공격자가 다른 곳에서 할 수 있는 일은 없다. 나머지 3단계는 이 하나를 든든하게 받쳐 주는 장치다.
마무리 — 오늘 5분의 값
유출은 이미 벌어진 사고다. 되돌릴 수는 없지만, 그 정보가 재사용되는 걸 막는 건 지금 내 손안에 있다. 정부 서비스에서 주력 이메일을 넣어 보고, HIBP에 알림을 걸고, 겹쳐 쓰던 비밀번호 한두 개를 정리하는 것. 여기까지가 오늘 할 일이다.
다음에 "이상 로그인 감지" 문자를 받았을 때, 그게 진짜 위협인지 흔한 스미싱인지 스스로 판단할 근거가 생긴다. 그 판단력이 5분 투자의 진짜 값이다.