유출 공지 받았다면 거래소 계정부터 잠그는 순서

공지를 받으면 처음 10분, 순서가 중요하다

거래소에서 개인정보 유출이나 이상 접근 공지를 받았다면 가장 먼저 할 일은 비밀번호 교체다. 다만 같은 비밀번호를 다른 사이트에서도 쓰고 있었다면 거래소뿐 아니라 그 사이트들까지 함께 바꿔야 한다. 유출된 이메일과 비밀번호 조합으로 다른 서비스에 로그인을 시도하는 수법이 2차 피해의 출발점이기 때문이다.

그다음은 2단계 인증이다. SMS 문자 인증만 켜져 있다면 OTP 앱 방식으로 바꾸는 편이 낫다. 문자는 유심 복제나 번호 가로채기에 노출될 수 있지만, OTP 앱은 기기 안에서 코드가 생성돼 탈취가 어렵다. 설정을 마쳤으면 로그인 기록과 등록된 기기 목록을 확인해 모르는 접속이 있는지 본다.

돈이 빠져나가는 길부터 막는다

Photo by Jonas Leupe on Unsplash

계정이 뚫려도 자산을 바로 옮기지 못하게 하는 장치가 출금 주소 사전 등록이다. 미리 등록한 지갑 주소로만 출금이 되도록 제한하는 기능으로, 빗썸과 코인원이 운영하고 있다. 업비트는 2025년 2월 13일부터 100만 원 미만 출금도 등록되지 않은 주소로는 보낼 수 없게 막았고, 빗썸도 비슷한 시기에 사전 등록제를 넓혔다.

이 설정을 켜두면 해커가 로그인에 성공하더라도 자기 지갑 주소를 새로 등록하는 절차를 다시 통과해야 해서 시간을 벌 수 있다. 출금 비밀번호나 출금 전용 인증을 따로 두는 기능이 있다면 함께 켜두는 것이 좋다.

진짜 거래소와 사칭을 가르는 선

유출 사고 뒤에는 "피해 보상", "계정 점검"을 내세운 사칭 문자와 전화가 따라붙는다. 구별 기준은 단순하다. 한국인터넷진흥원(KISA)은 정부기관과 금융회사가 전화나 문자로 원격제어 앱 설치를 요구하는 경우는 없다고 못 박았다. 또 정부 차원의 개별 보상 절차 자체가 없으며, 텔레그램 같은 메신저로 피해 보상을 접수받지도 않는다.

실제 사례도 이 기준을 뒷받침한다. 금융당국은 2026년 2월 빗썸 오지급 보상을 사칭한 문자를 두고, 메시지에 인터넷 주소(URL) 링크가 들어 있으면 100% 사기라고 경고했다. 거래소는 보상이나 안내 문자에 링크를 넣지 않기로 했기 때문이다. 검찰이나 경찰을 사칭하며 "유출된 정보가 범죄에 쓰였다"고 겁을 주고 안전계좌 입금을 요구하는 전화도 전형적인 수법이다.

정리하면 링크, 원격제어 앱, 개별 보상 이 셋 중 하나라도 나오면 응하지 말고 끊는 게 맞다.

이미 눌렀거나 의심되면: 신고 경로

의심 문자가 진짜인지 헷갈리면 카카오톡 '보호나라' 채널의 스미싱·피싱 확인 서비스로 먼저 걸러볼 수 있다. 스미싱 상담과 신고는 국번 없이 118, 금융 피해로 번졌을 때 계좌 지급정지는 112가 빠르다. 전기통신금융사기 통합신고대응센터(counterscam112.go.kr)에서도 접수할 수 있다.

이미 링크를 눌러 앱이 깔린 것 같다면 휴대전화를 비행기 모드로 바꾸거나 초기화한 뒤 경찰에 신고한다. 통신사의 무료 '번호 도용 문자 차단 서비스'를 신청해두면 내 번호를 사칭한 문자 발송을 줄일 수 있고, 소액결제 피해가 있으면 통신사에서 소액결제 확인서를 받아 신고에 쓴다. 내 정보가 어디까지 샜는지 궁금하면 개인정보보호위원회와 KISA가 운영하는 '털린 내 정보 찾기' 서비스로 확인할 수 있다.

상황별로 짚어두기

• 공지를 막 받았다면: 비밀번호 교체 → OTP 2단계 인증 → 로그인 기록·기기 확인 → 출금 주소 사전 등록 순으로 10분 안에 끝낸다.
• 보상·점검 문자를 받았다면: 링크를 누르지 말고 거래소 공식 앱이나 홈페이지에서 공지를 직접 확인한다. 거래소는 안내 문자에 링크를 넣지 않는다.
• 이미 눌렀다면: 비행기 모드·초기화 후 118과 경찰에 신고하고, 금융 피해가 있으면 112로 지급정지를 요청한다.

유출 공지는 불안하지만, 계정을 잠그는 순서와 사칭을 거르는 기준만 알아두면 피해로 이어지는 길목은 대부분 막을 수 있다.

출처

1. KISA "피해보상 사칭 문자·통화 주의"
2. 빗썸, 4월부터 100만원 미만 가상자산 출금에 '주소 등록' 요구
3. KISA 스미싱·큐싱 신고 안내