개인정보 유출 통지를 받았다면 먼저 해야 할 일

개인정보 유출 통지를 받았다면 문자나 이메일의 링크부터 누르지 말고, 사업자의 공식 홈페이지·앱·고객센터에서 같은 사고가 실제로 공지됐는지 먼저 확인하세요. 유출 사고 소식을 악용한 2차 피싱일 수 있기 때문입니다.

• 개인정보: 살아 있는 개인에 관한 정보로서 그 개인을 알아볼 수 있거나 다른 정보와 쉽게 결합해 알아볼 수 있는 정보
• 손해배상: 위법한 행위나 계약 위반으로 생긴 손해를 갚는 책임

진짜 통지가 맞다면 다음 단계는 무엇이 유출됐는지 보고, 위험도가 높은 정보부터 보호하는 것입니다. 이메일과 연락처만 나갔다면 피싱 경계가 핵심이고, 비밀번호가 포함됐다면 같은 비밀번호를 쓴 다른 계정까지 바꿔야 합니다. 주민등록번호나 금융정보가 포함됐다면 명의도용과 금융 피해를 막는 조치가 먼저입니다.

통지에서 먼저 확인할 내용

개인정보 보호법 제34조는 개인정보처리자가 유출 등을 알게 된 경우 정보주체에게 알려야 할 사항을 정합니다. 유출된 개인정보 항목, 시점과 경위, 피해를 줄이기 위해 정보주체가 할 수 있는 방법, 사업자의 대응조치와 피해구제 절차 등입니다.

통지서에서 최소한 아래를 찾으세요.

1. 어떤 정보가 유출됐는지
2. 언제 어떤 경위로 유출됐는지
3. 사업자가 이미 한 조치가 무엇인지
4. 이용자가 해야 할 보호조치가 무엇인지
5. 문의·신고 담당부서가 어디인지
6. 손해배상·법정손해배상 청구와 분쟁조정 등 법적 권리 및 행사 방법이 무엇인지

여섯 번째 항목은 2026년 9월 11일 시행된 제34조 제1항 제6호에 명시된 통지사항입니다. 이 항목들 중 빠진 내용이 있다면 고객센터에 서면이나 이메일로 다시 물어 답변을 받아 둡니다. 나중에 분쟁조정이나 손해배상을 검토할 때 사업자가 무엇을 언제 알렸는지가 중요한 자료가 됩니다.

개인정보 보호법 시행령 제39조는 개인정보 유출 등을 안 경우 원칙적으로 72시간 이내에 통지하도록 규정합니다. 이 72시간은 사업자의 통지 의무에 관한 기준입니다. 이용자가 통지를 받은 뒤 ‘72시간 안에만 피해구제를 신청해야 한다’는 의미는 아닙니다.

‘유출 가능성’ 통지를 받았다면

2026년 9월 11일부터는 유출이 최종 확인되지 않았더라도, 불법 접근으로 유출이 의심되는 등 일정한 경우 ‘유출 가능성’을 알리는 통지도 받을 수 있습니다. 가능성 통지는 내 정보가 실제로 넘어갔다는 확정이 아니지만, 무시해도 되는 안내도 아닙니다. 비밀번호 재사용 점검과 사칭 피싱 경계는 확정 통지와 똑같이 해 두는 편이 안전합니다. 제도 변화는 유출 가능성 통지 72시간 개정 내용에서 자세히 다룹니다.

유출된 정보에 따라 대응을 다르게 하세요

유출 정보	우선 확인할 것
이메일·전화번호	피싱·스팸 증가, 계정 찾기 악용
아이디·비밀번호	비밀번호 변경, 같은 비밀번호를 쓰는 다른 계정
주민등록번호·신분증	명의도용·신규계좌·통신가입 위험
카드·계좌정보	의심 결제·이체, 금융회사 알림·차단
인증정보·OTP 등	인증수단 폐기·재발급 필요성
주소·구매내역	택배·환불·보상 사칭 피싱 가능성

연락처만 유출된 사고와 비밀번호·신분증·금융정보가 함께 유출된 사고를 같은 수준으로 대응할 필요는 없습니다. 표에서 내 경우에 해당하는 줄을 모두 찾은 뒤, 비밀번호·신분증·금융정보·인증정보처럼 계정 탈취나 명의도용·금전 피해와 직접 연결되는 정보부터 보호합니다.

예를 들어 쇼핑몰에서 이름·연락처·주소·구매내역이 유출됐다는 통지를 받았다면 비밀번호가 포함되지 않았더라도 경계할 일이 있습니다. 실제 주문 내역을 아는 사람이 “주문하신 상품 배송 문제”나 “유출 피해 보상금 지급” 같은 문자를 보내면 진짜처럼 보이기 쉽기 때문입니다. 이 시기에 오는 링크 문자는 일단 의심하고, 확인이 필요하면 앱이나 공식 고객센터로 직접 들어갑니다.

같은 비밀번호를 썼다면 다른 서비스도 바꾸세요

유출된 서비스의 비밀번호만 바꾸고 끝내면 다른 계정이 위험할 수 있습니다. 유출된 아이디와 비밀번호 조합을 다른 사이트에 그대로 넣어 보는 공격이 흔하기 때문입니다.

안전한 기기에서 아래 순서로 확인하세요.

1. 이메일 계정
2. 금융·간편결제 계정
3. 메신저·SNS
4. 쇼핑몰 등 결제수단이 연결된 계정
5. 같은 비밀번호를 사용한 나머지 서비스

이메일 계정을 가장 먼저 바꾸는 이유는 다른 서비스의 비밀번호 재설정 메일이 모두 그곳으로 가기 때문입니다. 가능하면 서비스마다 서로 다른 비밀번호를 사용하고 2단계 인증을 켭니다. 로그인 기기·접속기록 기능이 있다면 모르는 기기가 있는지도 확인하세요.

신분증·주민등록번호가 포함됐다면 명의도용을 따로 보세요

이 경우 비밀번호 변경만으로는 충분하지 않을 수 있습니다. 다음을 점검합니다.

• 본인 명의로 새 통신회선이 개통되지 않았는지
• 모르는 금융계좌·대출·결제수단이 생기지 않았는지
• 본인확인·인증 문자가 갑자기 오지 않는지
• 신분증 재발급이나 별도 차단 조치가 필요한지

점검에 쓸 수 있는 공적 서비스도 있습니다. 한국정보통신진흥협회의 명의도용 방지서비스(엠세이퍼)에서는 내 명의로 가입된 이동통신 회선을 조회하고 신규 가입을 제한할 수 있습니다. 금융감독원 금융소비자 정보포털(파인)의 개인정보노출자 사고예방시스템에 등록하면, 금융회사가 내 명의의 신규 거래에 추가 본인확인을 하게 됩니다. 계좌정보통합관리서비스에서는 내 명의로 개설된 계좌를 한 번에 확인할 수 있습니다. 각 서비스는 통지 문자의 링크가 아니라 검색이나 즐겨찾기로 직접 접속합니다.

주민등록번호가 유출돼 생명·신체·재산에 피해를 입거나 입을 우려가 있다면 주민등록번호 변경을 신청하는 제도도 있습니다. 주소지 주민센터에 신청하면 주민등록번호변경위원회가 변경 여부를 심사합니다. 주민등록번호변경위원회 안내에 따르면 복지·세금·건강보험 등 연계된 공공기관 정보는 자동으로 바뀌고, 은행·보험·통신 등 민간 서비스와 주민등록증·운전면허증은 본인이 변경·교체를 신청해야 합니다. 실제 피해뿐 아니라 법에서 정한 피해 우려가 있는 경우에도 신청 가능성을 확인하세요.

사업자가 안내한 명의도용 예방서비스가 있다면 공식 홈페이지에서 직접 찾아 이용하세요. 통지 문자 안의 링크만 믿고 신분증 사진이나 인증번호를 다시 입력하는 일은 피해야 합니다.

카드·계좌·인증정보가 포함됐다면 금융조치를 우선하세요

유출 통지에 카드정보·계좌정보·인증정보가 포함됐다면 금융회사 공식 고객센터를 통해 아래를 확인하세요.

• 최근 의심 거래
• 결제 알림 설정
• 카드 재발급·사용정지 필요성
• 간편결제 로그인 상태
• 인증수단 재발급 여부

실제 금전 피해가 확인되면 개인정보 유출 대응과 별도로 즉시 금융회사·경찰의 피해 절차를 이용해야 합니다. 이미 돈이 빠져나갔거나 사기 문자에 속아 송금했다면 스미싱·보이스피싱 피해 직후 24시간 대응의 지급정지 절차를 먼저 따릅니다.

유출 통지를 받은 뒤 자주 하는 실수

• 통지 문자 속 링크를 눌러 ‘피해 여부 조회’를 위해 개인정보를 다시 입력함
• 유출된 서비스의 비밀번호만 바꾸고 같은 비밀번호를 쓰는 이메일은 그대로 둠
• “보상금 지급”, “피해자 등록” 문자에 계좌번호나 신분증 사진을 보냄
• 당장 피해가 없다고 통지 문자와 메일을 지움
• 사업자 고객센터와 전화로만 이야기하고 답변 기록을 남기지 않음

피해가 없어도 통지와 조치 기록은 남겨 두세요

개인정보 유출 뒤 피해가 바로 나타나지 않을 수도 있습니다. 몇 달 뒤 유출정보를 이용한 피싱이나 명의도용이 생겼을 때, 사고와 피해 사이의 흐름을 설명하려면 기록이 도움이 됩니다.

보관할 자료:

• 유출 통지 원문
• 공식 공지 URL 또는 화면
• 유출 항목 목록
• 비밀번호 변경일
• 카드·신분증 재발급 기록
• 고객센터 문의와 접수번호
• 이후 도착한 의심 문자·메일
• 실제 피해가 있다면 거래내역

사업자의 설명이 부족하거나 피해가 생겼다면

사업자가 어떤 정보가 유출됐는지 설명하지 않거나, 실제 피해가 발생해 분쟁이 생겼다면 개인정보 포털의 신고·분쟁조정 관련 안내를 확인할 수 있습니다. 같은 사고로 피해를 입은 사람이 여럿이라면 개별 조정 외에 집단분쟁조정 절차가 진행되는지도 살펴봅니다.

개인정보·해킹·스미싱 대응 상담은 KISA 118에서도 받을 수 있습니다.

손해배상 여부는 유출 사실 하나만으로 자동 결정되지 않습니다. 실제 손해, 사업자의 법적 책임, 사고와 손해 사이의 인과관계 등 구체적인 사정을 따로 검토합니다. 다만 개인정보 보호법은 사업자가 자신에게 고의나 과실이 없었음을 증명하지 못하면 책임을 면하기 어렵도록 정하고 있습니다. 실제 손해액을 입증하기 어려운 경우를 위해 일정 범위 안에서 배상을 청구할 수 있는 법정손해배상 제도도 있으므로, 구체적인 요건과 한도는 법령 원문이나 분쟁조정 안내에서 확인합니다.

유출 정보별 우선순위 다시 보기

개인정보 유출 통지 대응은 링크를 누르기보다 공식 채널에서 진위를 먼저 확인하고, 유출된 정보의 위험도에 따라 조치를 나누는 것에서 시작합니다.

비밀번호가 유출됐다면 재사용 계정부터 바꾸고, 신분증·주민등록번호가 포함됐다면 명의도용 차단을, 금융·인증정보가 포함됐다면 금융회사 조치를 우선 확인하세요. 통지서와 이후 조치 기록은 삭제하지 말고 보관해 둡니다.

2026년 10월 5일 보완: 유출 통지에 포함할 법적 권리 안내와 주민등록번호 변경 후속조치를 현행 기준에 맞췄습니다.