정보유출 통보받은 퇴직자, 순서대로 할 일
최근 대신증권과 빗썸 등 금융권 개인정보 유출이 잇따르면서 재직 당시 정보가 남아 있던 퇴직자도 통보 대상이 되고 있다. 연락처 유출인지 신분증·계좌 유출인지에 따라 대응 수위가 갈리며, 재직 때 쓰던 비밀번호의 재사용을 끊고 사칭 연락을 공식 채널로 역확인하는 것이 핵심이다. AI 챗봇은 의심 메시지의 1차 필터로만 쓰고, 개인정보를 붙여넣거나 안전 판정을 맹신해서는 안 된다.
유출 통보를 받았다면, 범위부터 확인하자
최근 증권·금융권에서 개인정보 유출이 잇따르고 있다. 대신증권에서는 비대면 계좌개설 연계서버가 뚫려 3만8천여 명의 정보가 샜고, 빗썸에서는 사내 그룹웨어가 해킹돼 임직원과 고객 신분증 사본까지 유출됐다. 한양증권처럼 임직원 정보가 포함된 사례도 있다.
회사를 떠난 지 몇 년이 지났어도 통보 대상이 될 수 있다. HR 시스템과 사내 그룹웨어에는 퇴직자의 신분증 사본, 급여 계좌, 연락처가 남아 있는 경우가 많기 때문이다. 통보를 받았다면 가장 먼저 할 일은 불안해하는 것이 아니라, '내 어떤 정보가 범위에 들어갔는지' 확인하는 것이다.
어떤 정보가 샜느냐에 따라 위험이 다르다
Photo by Jonas Leupe on Unsplash
유출 항목은 사고마다 다르고, 위험의 성격도 다르다. 대신증권이 공개한 유출 항목은 고객명, 이메일, 주소, 통신ID, 은행명, 휴대전화번호, 계좌번호 등 8개였는데 계좌번호와 휴대전화번호는 암호화된 상태였다.
반면 빗썸 사례처럼 신분증 사본이 포함되면 이야기가 달라진다. 이름과 연락처는 사칭 문자에 쓰이는 정도지만, 신분증 사본은 명의도용이나 비대면 계좌 개설 시도로 이어질 수 있다. 통보문에 적힌 유출 항목을 그냥 넘기지 말고, 연락처 수준인지 신분증·계좌 수준인지부터 구분하자. 전자라면 사칭 경계로 충분하지만, 후자라면 신분 도용 방지 서비스 가입까지 검토할 일이다.
증권사들은 개인정보가 유출됐다고 해서 곧바로 주식이나 예탁금 피해로 이어지는 것은 아니라고 설명한다. 자본시장법에 따라 고객 자산은 분리 보관되기 때문이다. 실제 위험은 자산 자체보다 유출된 정보를 미끼로 한 2차 사칭 쪽에 있다.
비밀번호 재사용부터 끊어라
퇴직자가 특히 놓치기 쉬운 지점이 비밀번호 재사용이다. 재직 시절 쓰던 사번, 사내 이메일, 그룹웨어 비밀번호를 퇴사 후에도 개인 계정이나 계열사 서비스에 그대로 쓰고 있다면, 유출된 자격정보가 다른 문을 여는 열쇠가 된다.
점검 순서는 단순하다. 유출된 이메일 주소와 같은 비밀번호를 쓰는 서비스를 떠올려 모두 바꾼다. 특히 메일, 포털, 금융 앱처럼 복구의 기점이 되는 계정부터 교체한다. 2단계 인증을 켜두면 비밀번호가 새어도 로그인 한 단계를 더 막을 수 있다.
사칭 연락은 이렇게 걸러낸다
유출 이후 가장 흔한 2차 피해는 사칭이다. 유출된 이름·연락처·소속을 안 상태로 '회사 보안팀', '금융감독원', '카드사'를 사칭해 접근한다. 통보 직후라 경계심이 낮아진 시점을 노린다.
원칙은 하나다. 걸려온 번호나 받은 링크로 되묻지 말고, 공식 홈페이지에 적힌 대표번호로 직접 역확인한다. 문자 속 링크는 누르지 않고, 어떤 경우에도 비밀번호·인증번호·신분증 사진을 다시 보내지 않는다. 금융당국도 유출 사고를 빌미로 한 보이스피싱과 스미싱을 주의하라고 당부하고 있다.
AI로 의심 메시지를 거를 때와 그 한계
받은 문자가 사칭인지 애매할 때, AI 챗봇에 내용을 붙여넣어 '이거 피싱 같냐'고 물어보는 건 쓸 만한 1차 필터다. 전형적인 피싱 문구나 어색한 표현, 급박하게 몰아붙이는 어투를 꽤 잘 짚어낸다.
다만 한계가 분명하다. 첫째, AI는 발신 번호가 진짜인지, 링크가 실제로 어디로 연결되는지는 검증하지 못한다. 문장만 보고 판단할 뿐이다. 둘째, 그럴듯하지만 틀린 답을 내놓을 수 있어 'AI가 안전하다고 했으니 눌러도 되겠지'는 위험하다. 셋째, 가장 중요한데, 의심 메시지를 확인하겠다고 신분증 번호나 계좌번호, 주민등록번호를 AI에 그대로 붙여넣으면 그 입력 자체가 또 다른 정보 노출 경로가 된다.
AI는 '이 문자의 수법이 피싱 패턴에 가까운지' 정도를 묻는 데까지만 쓰고, 진위의 최종 확인은 사람이 공식 채널로 하는 것이 맞다. 개인정보는 애초에 붙여넣지 않는 편이 안전하다.
통보받은 퇴직자가 순서대로 확인할 것
- 통보문의 유출 항목이 연락처 수준인지, 신분증·계좌 수준인지 구분
- 신분증 사본이 포함됐다면 명의도용 방지 서비스 가입 검토
- 재직 때 쓰던 비밀번호를 재사용 중인 개인·계열사 계정 전부 교체
- 메일·금융 앱 2단계 인증 설정
- 사칭 의심 연락은 공식 대표번호로 역확인, 링크·개인정보 입력 금지
- AI로 의심 문자를 거를 땐 개인정보를 붙여넣지 말 것
유출 통보 자체가 곧 피해를 뜻하진 않는다. 피해는 통보 이후 몇 주간의 사칭 시도에서 갈린다. 범위를 정확히 알고, 재사용된 비밀번호를 끊고, 낯선 연락을 공식 채널로 되짚는 습관이 가장 확실한 방어다.