환불계좌까지 샜다, 기프티엘 이용자 점검 순서
롯데 계열 모바일 상품권 기프티엘에서 10월 22일 해킹으로 이름·휴대전화번호·이메일·환불계좌번호가 유출됐고, 운영사 스푼은 25일 사과 공지를 올렸다. 환불계좌번호까지 포함돼 계좌를 미끼로 한 사칭 문자와 전화의 2차 피해 위험이 커졌다. 공식 안내는 문자로만 오고 URL 클릭을 요구하지 않으니, 유출 항목을 먼저 확인하고 의심 문자는 개인정보를 가린 뒤 AI 챗봇으로 점검하면 된다.
무엇이 샜는지부터 확인한다
기프티엘 운영사 스푼은 10월 22일 외부에서 비인가 접근이 있었다고 확인했고, 25일 홈페이지에 사과 공지를 올렸다. 유출된 항목은 이름, 휴대전화번호, 이메일, 환불계좌번호 네 가지다. 비밀번호나 카드번호가 아니라는 점은 다행이지만, 환불계좌번호가 섞여 있다는 게 이번 사건의 핵심이다.
유출 규모는 아직 공개되지 않았다. 회사는 "일부 고객"이라고만 밝혔고 숫자는 조사 중이다. 즉 내가 대상인지 아닌지는 지금 스스로 단정할 수 없다. 스푼은 유출 대상 고객에게만 문자메시지로 개별 안내한다고 밝혔다. 기프티엘은 롯데리아·엔제리너스 같은 롯데 계열 외식 브랜드의 교환권을 발행하는 서비스라, 평소 이 쿠폰을 자주 썼고 환불 계좌를 등록한 적이 있다면 일단 대상일 가능성을 염두에 두는 편이 안전하다.
공식 공지인지 사칭 문자인지 가린다
Photo by Jonas Leupe on Unsplash
유출 사고가 알려지면 그 사고 자체를 미끼로 한 사칭 문자가 뒤따른다. 가려내는 기준은 단순하다. 공식 개별 안내는 문자(MMS)로 오지만, 링크를 눌러 로그인하거나 앱을 설치하라고 요구하지 않는다.
반대로 사칭 문자는 대부분 URL이 들어 있다. '피해보상 신청', '환불 접수', '긴급 보안 조치' 같은 문구로 급하게 클릭을 유도하는 유형을 KISA가 반복해서 경고해 왔다. 정부기관과 금융회사는 문자나 전화로 원격제어 앱 설치를 요구하지 않는다는 점도 판별 기준이 된다. 링크를 누르라거나 앱을 깔라고 하면, 발신 번호가 그럴듯해도 사칭으로 보는 게 맞다.
출처가 애매한 문자는 열어보지 말고, 국번 없이 118(KISA 상담)이나 카카오톡 보호나라 채널로 신고하면 2차 피해 예방법까지 안내받을 수 있다.
환불계좌가 포함된 유출, 계좌부터 점검한다
이번엔 계좌번호가 유출 항목에 들어갔다. 계좌번호만으로 돈이 빠져나가지는 않지만, 사기범이 "환불해 드리겠다"며 접근할 때 실제 계좌번호를 알고 있으면 신뢰를 주기 쉽다.
본인 계좌의 거래 내역을 한 번에 확인하려면 금융결제원의 계좌정보 통합관리서비스를 쓰면 된다. 모바일에서는 '어카운트인포' 앱을 설치해 간편인증으로 본인 명의 은행·증권 계좌를 모아 볼 수 있다. 모르는 자동이체나 낯선 거래가 있는지 점검하고, 의심되면 해당 은행에 바로 문의한다. 신고나 분쟁에 대비해 받은 문자와 통화 기록은 지우지 말고 캡처해 두는 편이 낫다.
의심 문자를 AI 챗봇에 물어볼 때
문자가 진짜인지 헷갈릴 때 ChatGPT나 Gemini, Claude 같은 AI 챗봇에 "이거 피싱이야?"라고 물어보는 사람이 늘었다. 판단 근거를 빠르게 짚어주는 데 유용하지만, 문자를 통째로 붙여넣는 건 피해야 한다. 상당수 챗봇은 입력 내용을 기본적으로 학습·품질 개선에 쓸 수 있어, 내 이름·전화번호·계좌번호를 그대로 넣으면 유출된 정보를 한 번 더 외부에 내보내는 셈이 된다.
그래서 붙여넣기 전에 네 가지를 가린다. 이름과 전화번호는 [이름]·[번호]로 바꾸고, 계좌번호는 지우고, 링크는 전체 주소 대신 도메인만(예: 뒤쪽 주소는 빼고 앞부분만) 남긴다. 그다음 "이 문구와 링크 구조가 피싱 수법인지, 어떤 점이 의심스러운지 알려줘"라고 물으면 개인정보 노출 없이 판단 근거를 받을 수 있다. 챗봇의 답은 참고일 뿐, 최종 확인은 공식 고객센터나 118을 통해 하는 게 안전하다.