유출된 내 정보로 오는 사칭 문자, 어떻게 걸러낼까

왜 이번 유출이 '문자 사기'로 이어지나

새마을금고 중앙회가 10월 13일 공제 고객 약 400명의 개인정보가 유출됐다고 당국에 신고하고 홈페이지에 공지했다. 서울경제 보도에 따르면 유출 항목은 이름, 생년월일, 암호화된 주민등록번호, 계좌번호와 잔액, 휴대폰·집·회사 전화번호, 주소, 이메일 등 열두 가지다. 같은 시기 OK저축은행에서도 대출신청 웹페이지를 통해 183명가량의 정보가 빠져나갔다.

불안의 핵심은 항목 수가 아니라 조합이다. 이름과 전화번호, 계좌번호가 한꺼번에 새면, 사기 문자가 실제 내 정보를 문장에 끼워 넣을 수 있다. "홍길동님, 계좌 끝자리 ****에서 이상 거래가 감지됐습니다" 같은 문자는 아무 정보도 없을 때보다 훨씬 진짜처럼 보인다. 그래서 유출 사실이 알려진 직후가 사칭 문자와 전화가 가장 몰리는 시기다.

진짜 안내와 피싱, 무엇이 다른가

Photo by Mehrpouya H on Unsplash

까다로운 점은 진짜 안내도 "유출됐으니 확인하라"고 말한다는 것이다. 문구만으로는 가를 수 없다. 갈리는 지점은 '무엇을 시키느냐'다.

구분	진짜 안내	사칭·피싱
링크	없음, 앱·홈페이지로 직접 확인	문자 속 단축·출처불명 URL
말투	사실 고지 중심	"지금 확인 안 하면 피해" 재촉
요구	없음	개인정보·인증번호·OTP 입력
확인 경로	저장된 공식 번호·공식 앱	문자가 준 링크·전화번호

기억할 원칙은 하나다. 금융사와 금융당국은 문자로 링크를 누르게 하거나 개인정보·인증번호를 입력하게 하지 않는다. "2차 피해를 막아주겠다"며 접근하는 쪽은 사실상 사기로 봐도 된다. 확인이 필요하면 문자가 준 번호가 아니라, 내가 저장해 둔 공식 고객센터 번호나 공식 앱으로 직접 들어가서 확인하면 된다.

당하기 전에 먼저 할 일

먼저 유출 소식이 난 회사의 홈페이지나 앱에서 내 정보가 포함됐는지 조회한다. 새마을금고는 공제 홈페이지에서 본인 유출 여부와 세부 항목을 확인할 수 있다. 400명대라는 규모만 보고 넘기기 쉽지만, 내가 그 안에 있는지는 조회로만 알 수 있다.

유출된 사이트와 같은 비밀번호를 다른 곳에서도 쓰고 있다면 그 비밀번호부터 바꾼다. 온라인 결제가 잦다면 패스키 같은 추가 인증을 걸어 두는 편이 안전하다.

링크를 눌렀거나 정보를 알려줬다면

실수로 링크를 누르거나 정보를 입력했다면 순서대로 움직이는 게 좋다.

1. 저장해 둔 금융사 공식 고객센터로 전화해 지급정지와 거래 중지를 요청한다.
2. 경찰(112)이나 금융감독원(1332)에 신고한다.
3. 금감원 금융소비자포털 '파인(FINE)' 또는 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 개인정보노출자로 등록한다. 제3자가 내 명의로 계좌를 트거나 대출·카드를 만드는 것을 막는 장치다. 다만 제한 범위는 금융사마다 달라 거래 은행에 확인이 필요하다.
4. 금융결제원 계좌정보통합관리서비스(payinfo.or.kr)의 '내계좌한눈에'로 내 명의 계좌 전체를 조회해, 모르는 계좌가 있는지 본다.
5. 가짜 사이트에 비밀번호나 인증번호를 입력했다면, 같은 비밀번호를 쓰는 모든 서비스에서 즉시 바꾼다.

암호화된 주민번호라도 계좌번호와 연락처가 함께 샜다면 가볍게 볼 사안이 아니다. 유출 자체는 내가 못 막았어도, 그 정보가 돈으로 이어지는 길목은 위 절차로 상당 부분 끊을 수 있다.

출처

1. 재공격에 뚫린 새마을금고…공제 고객 400여명 정보 유출
2. OK저축은행·새마을금고도 개인정보 유출
3. 이미 털린 내 정보…이런 연락 받으면 일단 의심