개인정보가 털리면 실제로 벌어지는 일 — 유출 직후부터 몇 년 뒤까지

털리미에는 2026년 11월 8일 기준 확인된 국내 유출 사건 594건이 기록돼 있습니다. 피해 인원이 공개된 271건만 더해도 약 3억 3천만 명입니다. 한 사람이 여러 사건에 겹쳐 세어진 숫자지만, 우리나라 인구(약 5,100만 명)의 6배가 넘습니다. 대부분의 사람이 이미 여러 번 털렸다는 뜻입니다.

그런데 유출 소식은 "또 털렸네" 하고 지나가기 쉽습니다. 당장 눈에 보이는 피해가 없기 때문입니다. 이 글은 유출 뒤에 실제로 무슨 일이 벌어지는지를 시간 순서대로, 털리미에 기록된 사건과 공식 발표·보도로 확인된 사실만으로 정리했습니다.

가장 큰 문제: 한 번 나간 정보는 돌아오지 않습니다

비밀번호는 바꾸면 됩니다. 하지만 이름, 생년월일, 전화번호, 집 주소, 주민등록번호는 평생 씁니다. 회사가 사과하고 서버를 고쳐도, 이미 복사돼 나간 정보는 지울 방법이 없습니다.

• 털리미 기록에서 전화번호가 유출 항목에 든 사건은 283건, 주민등록번호는 90건입니다.
• 주민등록번호는 바꿀 수 있지만 뒤 6자리만 바뀌고, 피해나 피해 우려를 입증해 위원회 심사를 거쳐야 합니다. 심사 기간은 최대 6개월이고 3개월 더 늘어날 수 있습니다(주민등록번호가 유출됐다면).
• 결혼정보회사 듀오 사건에서는 회원 약 42만 명의 키·몸무게·혈액형·종교·혼인 경력·학교·직장명까지 나갔습니다. 이런 정보는 바꿀 수도 없습니다.

유출 직후: 회사도, 나도 모르는 시간

유출이 일어난 날과 내가 알게 되는 날 사이에는 몇 달에서 몇 년의 공백이 있습니다. 그동안 정보는 이미 다른 사람 손에 있습니다.

• SK텔레콤: 내부망 첫 침투는 2021년 8월이었고, 회사가 악성코드를 발견한 것은 2025년 4월입니다. 약 2,324만 명의 전화번호와 유심 인증키 등 25종이 나갔습니다.
• 쿠팡: 비정상 접근은 2025년 6월 24일 시작됐고, 회사가 확인한 것은 11월 18일입니다. 처음에는 약 4,500개 계정으로 신고됐다가 약 3,370만 계정으로 늘었습니다.
• 따릉이: 2024년 6월 회원 약 462만 명의 정보가 빠져나갔습니다. 운영 공단은 한 달 뒤 분석 보고서로 유출을 알았지만 서울시에 보고하지 않았고, 2026년 1월 경찰 통보로 알려졌습니다. 회원 개별 통지는 2026년 7월, 유출 2년 뒤에 시작됐습니다.
• 듀오: 2025년 1월 유출됐지만 회원에게 통지하지 않았고, 2026년 4월 개인정보보호위원회 발표로 세상에 알려졌습니다.

공개 뒤 1주: 사칭 문자가 먼저 옵니다

유출이 보도되면 그 회사 이름을 넣은 사기 문자가 바로 쏟아집니다. 쿠팡 유출이 공개된 것은 2025년 11월 29일이었고, 경찰청 전기통신금융사기 통합대응단과 통신 3사는 12월 4일 "쿠팡 사태 악용 피싱 주의" 경보를 냈습니다.

이때 나온 신종 수법은 이렇습니다. "신청하지 않은 신용카드가 발급됐다"는 연락으로 불안하게 만든 뒤, 쿠팡 유출 때문일 수 있다며 가짜 고객센터로 전화하게 합니다. 가짜 상담원은 악성 앱을 점검해 주겠다며 원격제어 앱을 깔게 하고, 그 뒤로는 휴대전화를 마음대로 조작합니다. 유출 뉴스가 사기의 각본이 되는 셈입니다.

몇 달 뒤: 정보가 팔리고, 돈이 빠져나갑니다

2014년 1월 KB국민카드, 롯데카드, NH농협카드에서 약 1억 400만 건이 유출됐을 때, 정부와 금융당국은 "유출 정보는 시중에 유통되지 않았다"고 했습니다. 두 달 뒤 검찰 수사에서 8천만 건이 넘는 정보가 대출중개업자에게 넘어가 대출 영업에 쓰인 사실이 드러났습니다. 유출 정보에는 이름과 주민등록번호, 주소, 결제계좌, 카드 유효기간까지 들어 있었습니다.

실제로 돈이 빠져나간 사례도 있습니다.

• KT: 불법 소형 기지국(펨토셀)을 거쳐 가입자 정보가 새어 나갔고, 368명의 휴대전화에서 777건의 무단 소액결제가 일어났습니다.
• 롯데카드: 약 297만 명의 정보가 유출됐고, 그중 28만 명은 카드번호와 CVC, 카드 비밀번호 앞 2자리까지 나갔습니다. 온라인 결제에 필요한 정보가 거의 다 나간 것입니다.

유출 정보가 흘러가는 끝에는 보이스피싱이 있습니다. 경찰청이 국회에 낸 자료를 보면 2025년 보이스피싱 피해액은 1조 2,578억 원으로 최근 5년 중 가장 많았고, 전년보다 47.2% 늘었습니다. 건수로 나누면 한 건에 약 5,384만 원이고, 피해액의 78.6%가 검찰·금융감독원 같은 기관을 사칭한 수법이었습니다. 내 이름과 주민등록번호, 최근 거래 내역을 정확히 아는 "수사관"의 전화는 의심하기 어렵습니다.

여러 곳의 정보가 합쳐지면

한 사건에서는 이름과 전화번호, 다른 사건에서는 주소와 이메일, 또 다른 사건에서는 주민등록번호가 나갑니다. 하나씩은 별것 아니어 보여도 합치면 한 사람의 신상이 완성됩니다. 털리미 기록에서 같은 회사가 두 번 이상 유출을 일으킨 곳만 50곳이고, 쿠팡은 5건, KT는 4건입니다.

몇 년 뒤: 보상은 늦고 작습니다

피해자가 받는 보상은 유출 규모에 비해 작고, 받기까지 오래 걸립니다.

• 카드3사: 유출이 알려진 지 약 5년 뒤인 2018년 12월, 대법원이 소송을 낸 사람에게 1인당 10만 원 배상을 확정했습니다. 소송을 내지 않은 대부분은 받지 못했습니다.
• 인터파크: 약 1,030만 명이 유출됐고, 소송을 낸 약 2,400명이 1인당 10만 원을 받았습니다.
• SK텔레콤: 개인정보 분쟁조정위원회가 1인당 30만 원 배상 조정안을 냈지만 회사가 받아들이지 않았습니다.
• 쿠팡은 1인당 현금이 아닌 5만 원 상당 구매 이용권, 따릉이는 5,000원 상당 30일 정기권을 줬습니다. 듀오는 2026년 10월 국정감사 기준 보상 계획이 없었습니다.

회사가 내는 과징금은 커졌습니다. 쿠팡 6,246억 원, SK텔레콤 1,347억 원, KT 539억 원입니다. 하지만 과징금은 나라에 내는 돈이라 피해자에게 돌아가지 않습니다. 법에는 피해액을 입증하지 않아도 300만 원 이하를 청구할 수 있는 법정손해배상 제도가 있지만, 직접 소송을 내야 합니다. 보상 사례는 유출 보상금, 실제로 얼마였을까에 모았습니다.

피해자에게 불리한 구조

1. 늦게 압니다. 유출부터 통지까지 몇 달, 길게는 2년이 걸리고, 그동안 정보는 이미 쓰이고 있습니다.
2. 연결을 증명하기 어렵습니다. 사기 피해를 입어도 그 사기범이 어느 유출에서 내 정보를 얻었는지 밝히기 어렵습니다. 쿠팡 사태 때도 경찰은 2025년 12월 초 기준 "유출과 직접 연결된 2차 피해는 아직 확인되지 않았다"고 밝혔습니다.
3. 되돌릴 수 없습니다. 비밀번호 말고는 대부분 바꿀 수 없는 정보입니다.
4. 반복됩니다. 같은 회사, 같은 업종에서 유출이 되풀이되고, 그때마다 내 정보 조각이 하나씩 더해집니다.

그래서 지금 할 일

• 명의도용방지서비스에서 내 명의 휴대전화 신규 가입을 막고, 금융감독원 개인정보노출자 사고예방시스템에 등록해 둡니다. 유출 통지를 기다리지 않아도 됩니다.
• 비밀번호를 서비스마다 다르게 쓰고, 2단계 인증을 켭니다.
• 휴대전화 소액결제 한도를 0원으로 하거나 차단합니다.
• "유출 피해 보상", "카드 발급", "수사관"을 말하는 문자와 전화는 끊고, 공식 번호로 직접 확인합니다. 보이스피싱은 1394, 금융 피해는 1332입니다.
• 유출 통지는 지우지 말고 캡처해 둡니다. 주민등록번호 변경, 분쟁조정, 소송에 근거가 됩니다.

유출된 정보가 어떤 수법에 쓰이는지는 유출된 개인정보는 어떻게 악용될까에, 통지를 받은 뒤의 순서는 유출 통지를 받았을 때 할 일에 있습니다. 내가 쓰는 서비스가 몇 번 털렸는지는 털림 체크에서 골라 보세요.