43화 「개인정보 유출 대처 방법은? SK플래닛 기프티콘·진에어 1,454명·빗썸 844명 해킹으로 본 유출 확인·명의도용 방지(엠세이퍼)·개인정보노출자 사고예방시스템·법정손해배상 300만원 쉽게 정리 [지식만화 43화] 신이말했다」

개인정보 유출 사실을 알게 되면 가장 먼저 할 일은 세 가지예요. 회사가 보낸 유출 통지에서 어떤 항목이 빠져나갔는지 확인하고, 출처가 불분명한 링크·전화·인증번호 요구에는 절대 응하지 않으며, 명의도용 방지 서비스(엠세이퍼)와 금융감독원 개인정보노출자 사고예방시스템에 등록해 내 이름으로 휴대전화나 계좌가 새로 만들어지는 것을 막는 거예요(경찰청 사이버범죄 신고시스템·금융감독원). 법으로도 회사는 유출을 알게 된 때부터 72시간 이내에 정보주체에게 알려야 하고, 피해를 본 사람은 실제 손해를 입증하지 않아도 300만원 이하의 법정손해배상을 청구할 수 있어요(개인정보 보호법·시행령). 안녕하세요, 신이말했다입니다. 30일에는 'SK플래닛 개인정보 유출'이 실시간 검색어 최고 1위, '진에어 개인정보 유출'과 '빗썸 고객정보 유출'이 최고 2위까지 오를 만큼 하루 사이에 유출 소식이 잇따랐어요(실거미). 지식만화 43화는 「개인정보 유출, 어떻게 대처할까?」예요. 이번 화에서는 연합뉴스·머니투데이·테크M·뉴스핌·한국경제·전자신문·한겨레·파이낸셜뉴스 보도와 SK플래닛 기프티콘 공지, 국가법령정보센터, 개인정보보호위원회, 찾기쉬운 생활법령정보, 경찰청, 금융감독원, 금융위원회 자료를 바탕으로 궁금이와 꼬북 박사가 차근차근 풀어 볼게요. ■ SK플래닛 개인정보 유출: 기프티콘 이용자 이름·환급계좌까지 OK캐쉬백과 기프티콘 등을 운영하는 SK플래닛은 10월 28일 오후 6시 40분쯤 외부의 비정상적인 접근 정황을 확인해 차단했다고 29일 밝혔어요(연합뉴스·머니투데이). 회사가 기프티콘 고객센터에 올린 공지에 따르면 일부 고객의 이름, 전화번호, 이메일, 구매쿠폰 일련번호, 환급계좌 등이 유출된 것으로 보이며, 구체적인 유출 여부와 대상 고객을 확정하기 위한 정밀 조사가 진행 중이에요(SK플래닛 공지). 정확한 유출 규모도 아직 집계 중이라, 회사는 조사가 끝나는 대로 상세 내용과 피해 여부 조회 방법을 개별 문자와 홈페이지 공지로 알리겠다고 했어요(연합뉴스). 유출이 확인된 기프티콘은 모두 폐기한 뒤 다시 보내 주고, 고객에게 실질적인 피해가 생기면 전액 보상하겠다는 방침도 밝혔어요(테크M). 전담 대응 대표번호는 1800-0133으로 평일 오전 10시부터 오후 5시까지 운영되고, 전용 이메일로도 문의를 받아요(SK플래닛 공지). 기프티콘은 쿠폰 번호만 알면 다른 사람이 쓸 수 있는 경우가 많아서, 아직 쓰지 않은 기프티콘이 있다면 회사 안내를 꼭 확인해 보는 것이 좋아요. ■ 진에어 1,454명·빗썸 844명: 무엇이 빠져나갔나 같은 날 진에어도 홈페이지에 회원 1,454명의 정보가 유출됐다고 공지했어요. 회원정보를 조회하는 응용 프로그램 인터페이스(API)에 외부의 비정상적인 공격이 있었고, 28일 이를 확인해 공격 IP를 차단했다고 설명했어요(연합뉴스). 유출 항목은 아이디, 성명, 생년월일, 성별, 국적, 휴대전화번호, 이메일 주소, 최근 로그인 일시 등 8개이고, 비밀번호와 금융정보, 결제 내역은 유출되지 않았다고 밝혔어요(뉴스핌·머니투데이). 진에어는 유출된 회원에게 이메일로 개별 통지할 예정이에요(뉴스핌). 앞서 20일에는 대한항공과 아시아나항공이 수탁사인 글로벌 항공 IT 시스템 운영사 아마데우스로부터 개인정보 유출 정황을 통보받기도 했어요(한국경제). 가상자산 거래소 빗썸은 27일 사내 모바일 그룹웨어 '다우오피스'에 외부 비인가자가 침입해 고객 6,444명의 정보가 유출 대상에 포함됐다고 밝혔어요. 이 가운데 5,600명의 정보는 외부에서 열 수 없도록 암호화(DRM)된 파일이어서, 실제 개인정보가 노출된 고객은 844명이에요(전자신문). 844명의 경우 성명, 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등 민감한 정보가 포함됐고, 고객마다 실제 유출 범위는 달라요(전자신문·한겨레). 이와 별도로 임직원 715명의 정보도 유출됐어요(연합뉴스). 침입은 27일 오전 11시 28분부터 낮 12시 27분 사이에 일어났고, 빗썸은 거래소 계정이나 보유 자산 정보와는 분리된 내부 업무 시스템이라 고객 데이터베이스가 직접 침해된 정황은 없다고 설명했어요. 금융위원회는 금융감독원, 금융보안원 등과 긴급 점검회의를 열고 현장조사에 나섰어요(전자신문). ■ 개인정보 유출 통지와 신고: 회사는 72시간 안에 알려야 개인정보 보호법 시행령 제39조에 따르면 회사(개인정보처리자)는 개인정보가 유출된 사실을 알게 되면 서면, 이메일, 문자 같은 방법으로 72시간 이내에 정보주체에게 알려야 해요. 알릴 내용은 유출된 항목, 유출 시점과 경위, 피해를 줄이기 위해 정보주체가 할 수 있는 방법, 회사의 대응조치와 피해 구제절차, 피해 신고를 받는 담당부서와 연락처, 손해배상과 분쟁조정 같은 법적 권리 등이에요(찾기쉬운 생활법령정보). 구체적인 항목이나 경위를 아직 확인하지 못했다면 유출 사실과 그때까지 확인된 내용을 먼저 알리고, 추가로 확인되는 내용은 확인 즉시 알려야 해요(국가법령정보센터). SK플래닛이 규모를 집계하는 중에 먼저 공지를 올린 것도 이런 구조와 관련이 있어요. 또 1천 명 이상의 정보가 유출됐거나, 주민등록번호 같은 고유식별정보나 민감정보가 유출됐거나, 외부의 불법적인 접근으로 유출된 경우에는 72시간 이내에 개인정보보호위원회나 한국인터넷진흥원(KISA)에 신고해야 해요(개인정보보호위원회). 통지나 신고를 하지 않으면 3천만원 이하의 과태료를 물 수 있고, 유출 사고가 나면 개인정보보호위원회가 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있어요. 다만 회사가 안전성 확보에 필요한 조치를 다한 경우는 예외예요(찾기쉬운 생활법령정보). 빗썸은 사고 당일 오후 11시 39분 KISA에, 이튿날 오전 0시 48분 개인정보보호위원회에 신고했다고 밝혔어요(전자신문). ■ 개인정보 유출 대처 방법: 지금 바로 할 일 5가지 첫째, 유출 통지를 받았다면 어떤 항목이 빠져나갔는지 먼저 확인해요. 이름과 전화번호만 나갔는지, 계좌번호나 신분증 사본까지 나갔는지에 따라 해야 할 일이 달라져요. 빗썸처럼 홈페이지에서 유출 여부를 직접 조회할 수 있게 하는 곳도 있어요(전자신문). 둘째, 유출된 정보를 미끼로 한 2차 피해를 조심해요. SK플래닛과 진에어는 출처가 불분명한 링크나 첨부파일을 열지 말고, 개인정보나 금융정보 입력 요구에 응하지 말라고 당부했어요. 빗썸은 임직원을 사칭해 인증번호를 묻거나 앱 설치를 유도하는 연락에도 응하지 말라고 했어요(연합뉴스). 셋째, 한국정보통신진흥협회의 명의도용 방지 서비스 엠세이퍼(msafer.or.kr)에서 내 이름으로 개통된 휴대전화가 있는지 '가입사실현황조회'로 확인하고, '가입제한' 메뉴로 온라인 신규 가입을 미리 막을 수 있어요(경찰청·금융감독원). 넷째, 주민등록번호나 신분증 사본처럼 범죄에 악용될 수 있는 정보가 나갔다면 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 노출 사실을 등록해요. 등록하면 금융회사가 내 명의로 신용카드를 발급하거나 예금계좌를 개설할 때 본인확인을 더 엄격하게 해요(찾기쉬운 생활법령정보·금융위원회). 다섯째, 금융결제원 계좌정보통합관리서비스(payinfo.or.kr)에서 내 계좌와 대출, 카드 정보를 한 번에 조회해 모르는 계좌나 대출이 없는지 살펴봐요. 경찰청은 신분증이나 신용카드 사진이 노출됐다면 즉시 재발급을 받으라고 안내해요(경찰청 사이버범죄 신고시스템). 이미 수상한 링크를 눌러 악성앱 설치가 의심된다면, 금융감독원은 휴대전화를 비행기모드로 바꾸거나 전원을 끈 뒤 초기화하고, 노출 등록과 계좌 지급정지 신청은 다른 휴대전화나 PC로 하라고 권해요(금융감독원). ■ 피해를 입었다면: 신고 118, 분쟁조정, 법정손해배상 300만원 개인정보 침해를 당했다면 국번 없이 118로 전화하거나 개인정보침해신고센터(privacy.kisa.or.kr)에 신고할 수 있어요. 신고 내용은 법 위반 여부를 검토해 시정 등 행정지도를 하고 결과를 알려 줘요. 단, 금융정보(개인신용정보) 침해는 금융위원회(1332)로 신고해요(개인정보 포털). 회사와 다툼이 생기면 개인정보분쟁조정위원회(kopico.go.kr)에 누구나 무료로 분쟁조정을 신청할 수 있어요. 일반 분쟁조정은 신청일부터 60일 이내에 조정안을 만들어야 하고, 피해자가 50명 이상이고 쟁점이 공통되면 집단분쟁조정도 가능해요(대한민국 정책브리핑·개인정보보호위원회). 소송으로 가는 길도 있어요. 개인정보 보호법 제39조의2에 따라 회사의 고의나 과실로 개인정보가 유출됐다면, 정보주체는 300만원 이하의 범위에서 상당한 금액을 손해액으로 정해 배상을 청구할 수 있어요. 이때 회사가 고의나 과실이 없었다는 것을 스스로 입증하지 못하면 책임을 면할 수 없어요(국가법령정보센터). 실제 손해가 얼마인지 하나하나 증명하기 어려운 개인정보 유출 사고의 특성을 고려한 제도예요. 진에어도 공지에서 제39조·제39조의2에 따른 손해배상 청구와 제43조에 따른 분쟁조정 신청을 안내했어요(뉴스핌). ■ 한 줄 정리 개인정보 유출 소식을 들으면 유출 항목을 확인하고, 수상한 링크와 인증번호 요구는 무시하고, 엠세이퍼와 개인정보노출자 사고예방시스템으로 명의도용을 막는 것이 먼저예요. SK플래닛은 기프티콘 이용자의 이름·전화번호·이메일·쿠폰번호·환급계좌 유출 정황을 조사 중이고, 진에어는 1,454명의 8개 항목, 빗썸은 고객 844명의 주민등록번호·계좌번호·신분증 사본 등이 노출됐다고 밝혔어요. 회사는 72시간 안에 통지·신고해야 하고, 피해자는 118 신고, 무료 분쟁조정, 300만원 이하 법정손해배상 같은 길을 쓸 수 있어요. 이번 화 내용은 연합뉴스, 머니투데이, 테크M, 뉴스핌, 한국경제, 전자신문, 한겨레, 파이낸셜뉴스, SK플래닛 기프티콘 공지, 국가법령정보센터, 개인정보보호위원회, 찾기쉬운 생활법령정보, 개인정보 포털, 대한민국 정책브리핑, 경찰청 사이버범죄 신고시스템, 금융감독원, 금융위원회, 실거미를 참고했어요. 다음 화에서 또 만나요!