정보 유출 통보 받은 뒤, 돈 지키는 순서
최근 KB국민·하나·신한은행 등에서 고객 개인정보가 업무지원시스템을 통해 유출됐다. 유출 통보는 실제 금전 피해가 아니라 명의도용 위험 신호이므로, 사고예방시스템·엠세이퍼로 2차 피해를 먼저 막고 피해 발생 시 증거를 남기는 순서가 중요하다. 보상은 신용정보법상 법정손해배상과 금융·개인정보 분쟁조정으로 청구할 수 있으니 통지서와 신고 기록부터 확보해 두어야 한다.
'유출 통보'는 아직 피해가 아니다
은행에서 "귀하의 정보가 유출됐을 수 있다"는 안내를 받았다면 두 가지를 분리해야 한다. 내 정보가 밖으로 나갔을 '가능성'과, 그 정보로 누군가 돈을 빼갔거나 내 명의로 계좌·대출을 튼 '실제 피해'는 전혀 다른 단계다.
유출 항목은 은행마다 달랐다. SBS 보도에 따르면 KB국민은행은 고객 99명과 직원 20명 등 119명의 이름·전화번호·주소와 암호화된 주민등록번호가, 하나은행은 고객 89명의 주민번호·이름·주소·이메일·전화번호가 업무지원시스템을 통해 노출됐다. 앞서 신한은행은 대출모집인 웹페이지에서 고객 2만5000명의 정보가 샌 것으로 발표됐다.
통보를 받았다고 당장 돈이 빠지는 것은 아니다. 다만 주민번호와 연락처, 대출 정보가 함께 묶여 나갔다면 명의도용과 스미싱의 재료가 된다. '피해가 없으니 괜찮다'가 아니라 '피해가 생기기 전에 길목을 막는다'가 맞는 순서다.
지금 바로 막아야 할 2차 피해
Photo by Jonas Leupe on Unsplash
먼저 내 명의로 새 계좌·카드·대출이 열리지 못하게 잠근다. 금융감독원 금융소비자정보포털 '파인'의 개인정보노출자 사고예방시스템에 본인을 등록하면, 전 금융회사의 신규 계좌 개설과 대출·카드 발급 때 본인확인을 한 번 더 거치도록 제한이 걸린다.
휴대폰은 따로 챙긴다. 한국정보통신진흥협회가 운영하는 무료 서비스 엠세이퍼(M-Safer)는 내 명의로 이동전화가 새로 개통되면 문자로 알리고, 신규 가입 자체를 막는 '가입제한'도 설정할 수 있다. 대포폰은 보이스피싱의 출발점이라 이 하나만으로도 경로가 끊긴다.
이미 내 명의로 뭔가 열려 있지 않은지도 본다. 계좌정보통합관리서비스(어카운트인포)에서 전 은행 계좌를, 신용정보원 조회로 대출 내역을 확인할 수 있다. 모르는 계좌나 대출이 보이면 그때부터는 '피해' 단계다.
피해가 의심되면, 손대기 전에 증거부터
무단 결제 문자, 모르는 대출 승인, 개인정보를 아는 척하는 전화를 받으면 바로 지우거나 끊지 말고 먼저 남긴다. 보상 단계에서 "그런 피해가 있었다"를 증명하는 것은 본인 몫이기 때문이다.
남길 자료는 분명하다. 은행이 보낸 유출 통지서와 안내 문자 원본, 스미싱 문자와 의심 통화의 날짜·시각, 무단 결제·이체·대출의 거래내역 화면, 본인 신고 기록이다. 특히 날짜와 시각은 "통보 이후에 생긴 피해"라는 연결고리가 되므로 시간이 함께 찍히게 보관한다. 금전 피해가 났다면 경찰(112)과 금융감독원(1332)에 신고하고 해당 카드·계좌는 즉시 지급정지를 건다.
금융회사 책임은 어디까지인가
핵심은 '정보가 샜다'가 아니라 '은행이 막을 수 있었는데 못 막았나'다. 신용정보법은 금융회사가 고의나 중대한 과실로 개인신용정보를 유출해 피해를 입혔다면 손해액의 5배 이내에서 배상하도록 정한다. 실제 손해액을 입증하기 어려우면 손해배상 대신 300만원 이하의 법정손해배상을 청구할 수도 있다.
그래서 통보 단계부터 은행의 공식 공지와 통지서를 모아둬야 한다. 개인정보 보호법상 기관은 유출 사실을 안 뒤 72시간 안에 신고하고, 통지문에 유출 항목과 규모, 시점과 경위, 피해 최소화 대책, 구제 절차, 담당 부서 연락처를 담아야 한다. 이 통지문이 책임 범위를 가늠하는 1차 자료다.
이번 사건은 외부에 노출된 시스템을 파고든 침투였다. 전문가들은 사람 손으로는 불가능한 시간대에 공격이 이어졌다는 점에서 자동화된 수법 가능성을 지적했고, 금융당국은 긴급회의를 열어 외부 노출 시스템을 전수 점검하도록 했다. 다만 개별 보상 방침은 은행마다 다르게 나올 수 있으니 거래 은행의 공식 공지를 직접 확인하는 편이 정확하다.
보상을 청구할 때 확인할 것
창구는 크게 둘이다. 금융 거래 관련 피해는 금융감독원 금융분쟁조정(1332)으로, 개인정보 유출 자체의 손해배상은 개인정보 분쟁조정위원회(1833-6972)로 신청한다. 둘 다 비용이 없고 평균 두세 달 안에 결론이 나며, 같은 사고 피해자가 50명 이상이면 집단분쟁조정도 가능하다.
현실적인 배상 수준도 알아두는 게 좋다. 금전 피해 없이 정보만 유출된 경우 위자료는 1인당 수십만원 선에 그친 사례가 많다. 큰 배상을 기대하기보다 2차 피해를 막고 증거를 갖추는 쪽이 실속 있다.
상담 전 네 가지만 정리하면 빨라진다. 유출 통지서의 유출 항목과 시점, 사고예방시스템·엠세이퍼 등록 여부, 실제 피해의 날짜·금액·거래내역, 경찰·금감원 신고 접수번호다. 이 넷이면 통보만 받았는지, 실제 피해가 있었는지, 책임을 누구에게 물을지가 한 번에 정리된다.