회원정보가 유출됐다는 문자에 내 이름과 가입한 쇼핑몰 이름이 정확히 적혀 있다면 믿어도 될까요? 유출 사고가 알려진 직후에는 이 두 가지를 갖춘 가짜 안내가 함께 퍼지곤 해요. 그래서 진위를 따지기 전에, 문자 안의 링크와 전화번호는 쓰지 않는다는 원칙부터 정해 두는 편이 안전해요.
내 정보가 맞는 문자와 공식 공지는 별개
한국인터넷진흥원은 유출 사고를 악용한 피싱에서 이름, 연락처, 계좌정보, 주소를 먼저 보여 주는 수법을 확인했다고 밝혔어요. 이미 새어 나간 정보를 믿음을 얻는 도구로 쓰는 방식이에요. 정보가 정확하다는 사실은 진짜라는 증거가 되지 못해요.
피해보상금을 받게 해 주겠다며 메신저로 옮기게 하거나, 유출된 정보가 범죄에 연루됐다며 수사기관을 사칭하는 사례도 보고됐어요. 두 경우 모두 목적은 링크 접속이나 송금이에요. 링크는 누르지 마세요.
9월 11일 이후 달라진 유출 통지
개정 개인정보 보호법이 2026년 9월 11일부터 시행되면서, 유출이 최종 확인되기 전이라도 가능성이 높으면 72시간 안에 알려야 해요. 나중에 유출되지 않은 것으로 확인되면 정정 통지를 보내도록 정해졌어요.
이 변화 때문에 가능성 통지 뒤에 유출 통지나 정정 통지가 한 번 더 올 수 있어요. 문자가 두 번 왔다는 이유로 가짜라고 단정할 수도, 진짜라고 믿을 수도 없는 상황이에요. 횟수는 기준이 못 돼요. 통지 문구와 형식은 회사마다 달라서 저도 문장만 보고 진위를 가를 기준은 찾지 못했어요.
대신 통지 항목에 분쟁조정 신청 방법과 손해배상 청구 방법이 추가된 점은 판단에 쓸 수 있어요. 정식 통지는 보상을 이 두 절차로 안내하며, 문자 링크에 계좌번호를 바로 입력하는 방식이 아니에요. 보상을 내세우면서 링크에서 계좌번호부터 입력하게 한다면 사칭을 먼저 의심하는 편이 맞아요.
166만명 유출에서 쓰인 건 다른 곳의 비밀번호
개인정보보호위원회는 2026년 8월 31일 GS리테일에 과징금 128억3600만원을 부과했다고 밝혔어요. 해커는 다른 경로로 미리 확보한 아이디와 비밀번호를 대입하는 크리덴셜 스터핑으로 GS SHOP과 GS25에 로그인했어요.
두 곳 피해 인원을 더하면 166만153명이에요. 다만 이 수치는 정보가 빠져나간 인원이라, 대입 공격을 받은 계정이 몇 개였는지는 제 계산으로 알 수 없어요.
이 사례가 알려 주는 건 비밀번호가 어디서 샜느냐보다 어디에 같이 쓰였느냐예요. 안내를 받은 사이트 하나만 바꾸면 같은 비밀번호를 쓰는 다른 사이트는 여전히 열려 있어요. 범위를 넓혀야 해요.
조사 과정에서 추가로 확인된 1599명에게는 72시간을 넘겨 통지가 갔어요. 거꾸로 보면 사고 소식이 나온 지 한참 뒤에 온 안내도 진짜일 수 있다는 뜻이에요.
공식 앱으로 직접 들어가 공지부터 확인하기
받은 문자는 지우지 말고 남겨 두세요. 그다음 이미 깔려 있는 공식 앱이나 앱스토어에서 판매자를 확인한 앱, 주소창에 직접 입력한 홈페이지로 접속해 공지사항이나 유출 조회 페이지가 있는지 봐요.
실제로 해 보면 앱에서는 공지 메뉴가 깊이 숨어 있거나 아예 없어서 못 찾는 경우가 있어요. 이럴 땐 PC 홈페이지 첫 화면의 팝업이나 하단 공지를 다시 확인해요. 메뉴 이름도 앱마다 달라요.
공지가 확인되면 해당 계정 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 사이트도 이어서 바꿔요. 고객센터에 물어볼 때는 문자에 적힌 번호 대신 공식 홈페이지에 나온 번호를 써야 해요.
사이트마다 다른 비밀번호를 외우기 어렵다면요? 비밀번호 관리 앱을 쓰거나 주요 계정에 2단계 인증을 켜 두면 한 곳이 뚫려도 다른 곳까지 번지는 피해가 줄어요.
신고 창구
스미싱이 의심되는 문자는 국번 없이 118이나 카카오톡 보호나라 채널에서 확인하고 신고할 수 있어요. 링크를 이미 눌렀다면 입력했던 비밀번호를 바꾸고 휴대폰 보안 점검까지 해 두는 게 좋아요.
공식 공지가 있었다면 해당 사이트와 같은 비밀번호를 쓰는 사이트까지 두 단계로 바꾸면 돼요. 공지가 없었다면 그 문자는 118에 넘겨요. 공지도 없는데 링크를 이미 눌렀다면 비밀번호 변경과 118 상담을 같은 날 끝내는 게 우선이에요.