유출 통지 받았을 때 해야 할 일 7가지 (2026)

2026년 10월 2일, 하나은행은 외부에서 영업지원시스템에 비정상적으로 접근한 정황을 확인했고 고객 89명의 주민등록번호·주소·직장명 등이 빠져나갔다고 밝혔다. 같은 주에 신한·국민은행의 유출 발표도 이어졌다. 나흘 뒤 금융위원회가 내놓은 소비자경보는 해커가 아니라 문자를 겨냥하고 있었다. 유출 피해 보상을 내세운 링크, 우대 대출을 미끼로 한 안내, 보안 점검을 핑계로 한 앱 설치 요구.

그러니까 개인정보 유출 통지를 받은 사람이 가장 먼저 마주칠 위험은 다음에 올 문자다. 아래 7가지는 그 순서를 따른다. 전부 오늘 할 필요는 없다. 유출 항목을 읽고 나면 건너뛸 칸이 꼭 생긴다.

그 통지, 진짜인지부터 — 링크 말고 대표번호로

1통지 문자에 적힌 링크와 전화번호는 일단 쓰지 않는다. 회사 공식 앱을 직접 열거나, 주소창에 홈페이지를 직접 입력하거나, 홈페이지에 적힌 고객센터 대표번호로 확인한다. 금융위원회도 10월 6일 보도자료에서 같은 방법을 권했다. 진짜 통지라면 공식 채널에 같은 공지가 있다. 강남언니 운영사처럼 홈페이지에 본인 유출 항목 조회 메뉴를 따로 연 곳도 있다.

진짜 통지에 무엇이 들어 있어야 하는지는 법에 정해져 있다. 개인정보 보호법 제34조는 유출된 항목, 시점과 경위, 정보주체가 피해를 줄일 방법, 회사의 대응조치와 피해 구제절차, 신고를 받을 담당부서와 연락처를 알리라고 한다. 시행령 제39조는 원칙적으로 유출을 알게 된 때부터 72시간 안에 알리도록 했다(긴급 차단 조치 등이 필요하면 그 사유가 해소된 뒤 지체 없이).

유출 항목 한 줄이 오늘 할 일을 정한다

2통지문에서 가장 오래 봐야 할 줄은 "유출된 항목"이다. 같은 유출이라도 이름과 이메일만 나간 경우와 주민등록번호가 포함된 경우는 할 일이 전혀 다르다. 실제 최근 사고만 봐도 그렇다. 쿠팡은 2025년 11월 약 3,370만 계정의 이름·이메일·전화번호·주소·일부 주문정보가 노출됐고 결제정보와 카드번호는 포함되지 않았다고 공지했다. 하나은행 건에는 주민등록번호가 들어 있었다. 강남언니 건은 시술·상담 정보까지 포함된 것으로 보도됐다.

3비밀번호와 2단계 인증

항목에 비밀번호가 없다면 급하게 바꿀 이유는 상대적으로 적다. 문제는 재사용이다. 유출된 서비스와 같은 비밀번호를 다른 곳에도 쓰고 있었다면, 바꿔야 할 곳은 사실 그 다른 곳들이다. 바꾸는 김에 이메일·은행·쇼핑 계정에 2단계 인증을 켜 두고, 지원하는 서비스라면 패스키로 넘어가는 것도 방법이다. 내 계정이 이미 어딘가에 돌고 있는지 궁금하다면 털린 내 정보 찾기 활용법을 함께 보자.

반전: 비밀번호보다 위험한 건 '나를 아는 문자'

통념은 "유출 = 비밀번호 바꾸기"다. 그런데 최근 큰 사고의 공통점은 반대 방향을 가리킨다. 쿠팡, 강남언니, 하나은행 세 곳이 발표한 유출 항목 어디에도 비밀번호는 없었다. 빠져나간 건 나에 대한 맥락이다. 이름, 주소, 최근 주문, 받은 시술. 이 맥락이 붙은 사칭 문자는 진짜 통지보다 더 그럴듯해진다. 소비자분쟁조정위원회는 2026년 7월 쿠팡 집단분쟁조정 결정에서 해커가 일부 고객에게 직접 메일을 보내는 등 실제 악용 가능성이 드러났다는 점을 근거로 들었다.

4그래서 네 번째 할 일은 규칙 하나를 정해 두는 것이다. 금융위원회(2026-10-06)가 정리한 수법은 피해 보상·우대 대출 문자로 링크 클릭 유도, 대환대출을 가장한 기존 대출 상환 이체, 신용점수 상향·보증료 명목의 선입금, 보안 점검을 핑계로 한 원격제어·악성 앱 설치다. 넷 중 하나라도 해당하면 사기로 보고 끊는다. 정부기관과 금융회사는 전화나 문자로 앱 설치를 요구하지 않는다. 링크가 의심스러우면 스미싱 판별 3단 방어선으로 걸러 본다.

5주민등록번호가 나갔다면 명의도용 차단까지 간다. 모두 무료지만, 공짜는 아니다. 막는 만큼 나도 불편해진다.

여기서 의견이 갈린다. 일단 전부 걸어 두라는 쪽과, 필요한 것만 걸라는 쪽. 주민번호·주소·전화번호가 함께 나간 조합이라면 앞쪽이 맞다. 이름과 이메일만 나갔다면 다섯 개를 다 걸어도 막을 수 있는 것보다 불편이 크다. 금융위 집계로는 2025년 10월 말까지 여신거래 안심차단 약 318만 명, 비대면 계좌개설 안심차단 약 252만 명이 가입했다.

남겨 두고, 신고하고, 구제받기

6통지 문자·메일은 지우지 말고 화면을 캡처해 받은 날짜와 함께 보관한다. 이후 받은 의심 문자도 링크는 누르지 말고 화면만 캡처한 뒤 지운다. 신고할 때도, 분쟁조정을 신청할 때도 이 기록이 출발점이 된다.

7신고와 상담은 번호 세 개로 정리된다.

• 118 — 한국인터넷진흥원 개인정보침해 신고센터. 침해 상담·신고를 받는다.
• 1394 — 경찰청 전기통신금융사기 통합대응단. 사기가 의심될 때 상담.
• 112 또는 금융회사 콜센터 — 실제로 돈이 빠져나갔다면 지체 없이 지급정지를 요청한다.

구제 쪽도 선례가 쌓이고 있다. 개인정보 분쟁조정위원회는 2025년 11월 SK텔레콤 유출 사건에서 조정을 신청한 3,998명에게 1인당 30만 원을 배상하라는 조정안을 냈다. 쿠팡 건은 소비자분쟁조정위원회가 2026년 7월 신청인 1인당 10만 원(현금 또는 쿠팡캐시)을 제시했다. 다만 조정안은 양쪽이 모두 받아들여야 효력이 생기고, 한쪽이라도 거부하면 성립하지 않는다. 주민등록번호 자체를 바꾸는 길도 있지만 유출 사실만으로 되지는 않는다. 피해나 피해 우려를 입증해 주민등록번호변경위원회 심사를 거쳐야 한다.

유출 통지를 받은 날, 정작 바뀌어야 하는 건 비밀번호보다 습관 하나다. 나를 정확히 아는 문자일수록 한 번 더 의심하는 습관. 다음 문자가 이름과 최근 주문 내역을 정확히 맞히며 "보상 대상자"라고 말할 때, 손가락은 링크 대신 어디로 가야 할까.

참고: 금융위원회 소비자경보(2026-10-06) · 금융위원회 쿠팡 유출 관련 유의사항(2025-12-01) · 개인정보위 시행령 개정 브리핑(2026-09-10) · 뉴시스 — SKT 분쟁조정 결정 · 머니투데이방송 — 하나은행 유출. 기업별 유출 규모·항목은 각 사 공지와 주요 언론 보도 기준이다.