입주민 앱 해킹, 지금 바꿔야 할 3가지
GS건설 일부 자이 아파트의 커뮤니티 예약 시스템이 해킹돼 이름·연락처·주소 등 생활정보가 유출됐을 가능성이 확인됐고, 과기정통부가 11월 11일 직권조사에 착수했다. 금융정보가 아닌 생활정보 유출이라 직접적인 금전 피해보다 사칭 문자 같은 2차 악용 위험이 크다. 유출 통지 여부를 직접 확인하고, 앱 비밀번호 변경·연동 계정 정리·사칭 문자 경계 순으로 대응하면 된다.
자이 입주민 정보 유출, 지금 상황부터 정리
GS건설은 2026년 10월 28일 밤 10시 15분께 일부 자이 아파트의 커뮤니티 시설 예약관리 서버에 외부에서 비정상 접근이 있었던 사실을 확인하고 이를 차단했다. 다음 날 정부에 신고했고, 10월 30일 입주민에게 안내했다. 과학기술정보통신부는 11월 11일 이 사고에 대한 직권조사에 착수했다. 지난달 시행된 개정 정보통신망법에 따른 첫 직권조사 사례다.
유출 가능 항목에는 이름, 생년월일, 휴대전화번호, 이메일, 주소, 성별, 세대주 여부, 회원번호, 최종 로그인 IP, RF카드번호 등이 포함됐다. GS건설은 비밀번호는 암호화돼 있었고 주민등록번호와 계좌·카드 같은 금융정보는 애초에 수집·보관하지 않아 유출 대상이 아니라고 설명했다. RF카드번호도 시설 이용용이지 출입용은 아니라고 밝혔다.
핵심은 이번에 빠져나갔을 수 있는 정보가 돈을 직접 꺼내가는 금융정보가 아니라, 누군가를 속일 때 쓰기 좋은 '생활정보'라는 점이다. 이름과 전화번호, 사는 단지와 동·호수가 묶이면 관리사무소나 택배를 사칭한 문자가 훨씬 그럴듯해진다. 대응의 무게중심도 그쪽에 둬야 한다.
입주민 앱에는 생각보다 많은 정보가 쌓인다
Photo by Jonas Leupe on Unsplash
커뮤니티 예약 앱 하나에도 회원가입 때 넣은 연락처와 주소, 시설 예약 기록, 출입에 쓰는 RF카드 정보, 결제 수단 연동 정보까지 모인다. 여기에 입주민 인증을 위해 세대 정보와 동·호수가 연결된다. 아파트 앱이 편의 기능을 늘릴수록 한곳에 쌓이는 개인정보의 종류도 함께 늘어난다는 뜻이다.
유출 여부를 수동적으로 기다릴 필요는 없다. 개인정보 보호법은 처리자가 유출 사실을 안 때부터 72시간 안에 정보주체에게 알리도록 하고 있다. 2026년 9월 개정으로 실제 유출이 확정되지 않고 가능성만 인지한 경우에도 통지하게 바뀌었고, 통지에 담을 항목에 손해배상·분쟁조정 안내와 비밀번호 변경 같은 계정 보호조치가 추가됐다. 연락처를 알 수 없으면 홈페이지에 30일 이상 게시하는 방식으로 대신할 수 있으니, 앱 공지와 운영사 홈페이지 공지도 함께 확인하는 편이 안전하다.
내 계정이 과거에 다른 사고로 털린 적이 있는지는 개인정보위와 KISA가 운영하는 '털린 내 정보 찾기'(kidc.eprivacy.go.kr)에서 조회할 수 있다. 2026년 1월 개편으로 아이디·비밀번호 조합뿐 아니라 이메일 주소로도 조회가 가능해졌다.
바꾸는 순서가 중요하다
할 일이 많아 보이지만 순서를 정해두면 간단하다.
첫째, 입주민 앱의 비밀번호부터 바꾼다. 이번 사고에서 비밀번호 자체는 암호화돼 있었다고 하지만, 유출 통지를 받았다면 바꾸는 쪽이 원칙이다.
둘째, 그 비밀번호를 다른 서비스에서도 똑같이 쓰고 있었다면 그곳들을 먼저 교체한다. 공격자가 유출된 이메일과 비밀번호 조합을 여러 사이트에 그대로 넣어보는 수법에 대비하는 단계다. 이메일 주소가 함께 노출됐을 수 있는 이번 사안에서는 특히 중요하다. 쓰지 않는 사이트는 개인정보 포털(privacy.go.kr)의 웹사이트 회원탈퇴 서비스로 정리할 수 있다.
셋째, 사칭 문자를 경계한다. 관리사무소, 택배, '유출 보상 안내'를 내세운 문자가 올 수 있다. 출처가 불분명한 링크는 누르지 않는 것이 기본이고, 의심되면 카카오톡 '보호나라' 채널의 스미싱 확인 서비스로 문자가 정상인지 확인하거나 한국인터넷진흥원 118에 상담하면 된다. 소액결제를 차단하거나 한도를 낮춰 두면 피해 범위를 줄일 수 있다.
RF카드번호가 걱정된다면 GS건설 설명대로 출입용이 아닌 시설 이용용인지, 재발급이 필요한지는 단지 관리사무소에 직접 문의하는 것이 정확하다. 유출 규모와 단지별 범위는 아직 확인 중이라, 통지 내용과 관리사무소 공지를 계속 챙겨보는 것이 지금으로선 가장 현실적인 대응이다.