회사에서 “개인정보가 유출됐을 가능성이 있습니다”라는 이메일이나 편지를 받았다면 무엇부터 해야 할까요? 미국 개인정보 유출 대처에서 가장 중요한 것은 무조건 비밀번호부터 바꾸거나 Credit Monitoring에 가입하는 것이 아닙니다.
먼저 무슨 정보가 유출됐는지 확인해야 합니다. 이메일 주소와 비밀번호가 노출된 경우와 Social Security number(SSN)가 노출된 경우에는 위험의 종류와 대응 방법이 다르기 때문입니다.
특히 SSN처럼 다른 사람 명의로 새로운 신용계좌를 만드는 데 악용될 수 있는 정보가 유출됐다면 Credit Freeze를 적극적으로 검토할 필요가 있습니다. 반면 Credit Monitoring은 이미 발생한 변화를 발견하는 데 도움을 주는 서비스입니다.
미국 개인정보 유출 대처, 먼저 무엇이 털렸는지 확인하세요
Data breach 통지를 받으면 회사가 보낸 안내에서 어떤 개인정보가 영향을 받았는지부터 확인하는 것이 좋습니다.
- 이메일 주소만 노출: 이후 들어오는 피싱 이메일과 문자에 주의합니다.
- Username·Password 노출: 해당 비밀번호를 즉시 변경하고 같은 비밀번호를 사용한 다른 사이트도 변경합니다. 가능하면 MFA(Multi-Factor Authentication)를 켭니다.
- Credit/Debit Card 정보 노출: 카드사나 은행에 연락하고 거래내역을 확인합니다. 필요하면 카드번호 교체를 요청합니다.
- Bank Account 정보 노출: 은행 거래를 집중적으로 확인하고 의심스러운 출금이 있으면 즉시 금융기관에 신고합니다.
- SSN 등 중요한 신원정보 노출: Credit Report를 확인하고 Credit Freeze 또는 Fraud Alert를 검토합니다.
FTC도 유출된 정보의 종류에 따라 대응을 달리하도록 안내합니다. 예를 들어 로그인 정보가 노출됐다면 비밀번호를 변경하고, 같은 비밀번호를 다른 서비스에서도 사용했다면 그곳의 비밀번호도 바꾸는 것이 중요합니다.
SSN이 유출됐다면 비밀번호 변경만으로 부족할 수 있습니다
Social Security number는 비밀번호와 성격이 다릅니다. 비밀번호는 바꿀 수 있지만 SSN은 일반적으로 그렇게 간단하게 교체할 수 있는 정보가 아닙니다.
신원도용범이 SSN과 이름, 생년월일 등 충분한 개인정보를 확보하면 피해자의 이름으로 새로운 신용계좌를 개설하려고 시도할 수 있습니다.
이 때문에 FTC는 누구나 Credit Freeze를 설정할 수 있으며, 특히 SSN이나 다른 중요한 정보가 data breach로 노출된 경우 그 중요성이 더 커진다고 안내합니다.
Credit Freeze는 무엇을 막아줄까
Credit Freeze 또는 Security Freeze를 설정하면 일반적으로 새로운 채권자가 자신의 Credit File에 접근하기 어려워집니다. 대부분의 금융회사는 신용정보를 확인하지 못하면 새 신용계좌를 승인하지 않기 때문에 명의도용을 이용한 새 계좌 개설을 막는 데 도움이 됩니다.
미국에서는 Equifax, Experian, TransUnion 세 곳에 각각 신청해야 합니다.
Freeze를 설정하거나 해제하는 것은 무료이며 Credit Score를 떨어뜨리지 않습니다. 나중에 자동차 대출이나 모기지, 신용카드처럼 새로운 신용을 신청해야 한다면 필요한 기간 동안 일시적으로 해제할 수도 있습니다.
다만 Credit Freeze가 모든 사기를 차단하는 것은 아닙니다. 이미 가지고 있는 신용카드나 은행계좌를 탈취해 사용하는 범죄까지 막아주는 기능은 아닙니다. 그래서 기존 금융계좌의 거래내역도 별도로 확인해야 합니다.
Credit Freeze와 Fraud Alert는 무엇이 다를까
두 제도는 비슷해 보이지만 작동 방식이 다릅니다.
| 구분 | Credit Freeze | Fraud Alert |
|---|---|---|
| 주요 목적 | Credit File 접근을 제한해 새 계좌 개설을 어렵게 함 | 새 신용 승인 전에 본인 확인을 강화하도록 알림 |
| 신청 | 3개 Credit Bureau에 각각 신청 | 3개 중 한 곳에 신청하면 다른 두 곳에도 전달 |
| 비용 | 무료 | 무료 |
| 일반적인 기간 | 본인이 해제할 때까지 | Initial Fraud Alert는 1년 |
Fraud Alert는 Credit Report 자체를 막는 장치가 아닙니다. 대신 새로운 신용을 제공하려는 업체가 신청자의 신원을 확인하도록 요구하는 장치입니다.
반면 Credit Freeze는 Credit File 접근 자체를 제한하는 더 직접적인 예방수단입니다. 이미 Freeze를 해두었더라도 신원도용이 의심된다면 Fraud Alert를 함께 설정할 수도 있습니다.
Credit Monitoring을 신청했으면 Freeze는 필요 없을까
그렇지 않습니다. 두 기능은 서로 대체하는 서비스라고 보기 어렵습니다.
Credit Freeze는 예방에 가깝고 Credit Monitoring은 감시에 가깝습니다.
Credit Monitoring은 Credit Report를 확인해 새로운 대출이나 신용카드 계좌가 나타나는 등 변화가 생기면 알려주는 서비스입니다. 하지만 누군가 은행계좌에서 돈을 빼가거나 SSN을 이용해 세금환급을 신청하는 모든 형태의 신원도용을 잡아주는 것은 아닙니다.
회사에서 data breach 피해자에게 무료 Credit Monitoring을 제공한다면 이용할 가치가 있습니다. FTC도 개인정보 유출 이후 회사가 무료 Credit Monitoring을 제공한다면 이를 활용하라고 안내합니다.
다만 “무료 monitoring을 신청했으니 더 이상 할 일이 없다”고 생각해서는 안 됩니다. SSN처럼 장기간 악용될 수 있는 정보가 유출됐다면 Credit Freeze를 별도로 검토하는 편이 안전합니다.
Credit Report에서 모르는 계좌가 있는지도 확인하세요
개인정보 유출 통지를 받았다면 Credit Report를 확인해 자신이 만들지 않은 계좌나 조회 기록이 있는지 살펴보는 것이 좋습니다.
미국에서는 무료 Credit Report를 확인할 수 있으며, CFPB는 현재 전국 주요 Credit Bureau의 보고서를 매주 무료로 확인할 수 있다고 안내합니다.
특히 다음과 같은 흔적은 그냥 넘기지 않는 것이 좋습니다.
- 신청한 적 없는 신용카드나 대출
- 알지 못하는 주소나 개인정보 변경
- 본인이 하지 않은 Credit Inquiry
- 모르는 연체계좌나 Collection
- 은행·카드 명세서의 승인하지 않은 거래
이미 내 이름으로 계좌가 만들어졌다면 대응 단계가 달라집니다
Data breach는 개인정보가 노출됐다는 의미이고, Identity Theft는 누군가 그 정보를 실제로 사용했다는 의미입니다.
자신이 개설하지 않은 신용카드나 대출이 발견되는 등 실제 신원도용 흔적이 확인됐다면 단순 모니터링 단계에서 끝내지 말고 해당 금융회사에 즉시 연락해야 합니다.
FTC의 IdentityTheft.gov에서는 피해 내용을 신고하면 상황에 맞는 개인별 Recovery Plan을 만들 수 있습니다. 필요한 경우 FTC Identity Theft Report와 금융회사·Credit Bureau 등에 제출할 서류 작성에도 활용할 수 있습니다.
CFPB도 신원도용 피해가 발생했다면 영향을 받은 계좌를 닫고 금융기관의 fraud department에 연락한 뒤 IdentityTheft.gov에 신고하고 Credit Freeze나 Fraud Alert 등 필요한 조치를 취하도록 안내합니다.
Data Breach 직후에는 ‘회사에서 온 이메일’도 다시 의심하세요
개인정보 유출 사고가 알려지면 또 다른 위험이 시작될 수 있습니다. 공격자가 실제 사고를 이용해 피해 회사나 금융기관을 사칭하는 2차 피싱을 시도할 수 있기 때문입니다.
“당신의 정보가 유출됐으니 지금 계정을 확인하세요”라는 문자나 이메일의 링크를 바로 누르기보다, 해당 회사의 공식 웹사이트나 앱을 직접 열어 공지 내용을 확인하는 편이 안전합니다.
특히 비밀번호, SSN, 은행정보를 다시 입력하라고 요구하거나 돈을 보내야 계정을 보호할 수 있다고 한다면 더욱 주의해야 합니다.
통지를 받았다면 이 순서로 확인해 보세요
- Breach notice를 읽고 정확히 어떤 정보가 유출됐는지 확인합니다.
- Password가 노출됐다면 즉시 변경하고 재사용한 사이트도 함께 변경합니다.
- MFA를 사용할 수 있는 중요한 계정에는 MFA를 설정합니다.
- 카드·은행정보가 관련됐다면 거래내역을 확인하고 금융기관에 연락합니다.
- Credit Report에서 모르는 계좌가 있는지 확인합니다.
- SSN 등 신원도용 위험이 큰 정보가 노출됐다면 세 Credit Bureau의 Credit Freeze를 검토합니다.
- 필요하면 Fraud Alert도 설정합니다.
- 회사가 무료 Credit Monitoring을 제공한다면 조건을 확인하고 활용합니다.
- 실제 신원도용이 확인됐다면 IdentityTheft.gov에서 신고하고 Recovery Plan을 시작합니다.
미국 개인정보 유출 대처에서 중요한 질문은 “Credit Freeze를 해야 하나?” 하나가 아닙니다. 내 정보 가운데 무엇이 유출됐고, 그 정보로 범죄자가 무엇을 할 수 있는가를 먼저 판단해야 합니다.
비밀번호가 노출됐다면 Password 변경과 MFA가 가장 급할 수 있습니다. SSN처럼 새로운 신용계좌 개설에 악용될 수 있는 정보가 노출됐다면 Credit Freeze의 중요성이 훨씬 커집니다. 이미 모르는 계좌나 거래가 나타났다면 예방 단계가 아니라 신원도용 복구 단계로 넘어가야 합니다.
Data breach 통지를 받았다면 이메일을 읽고 끝내지 마시고, 먼저 유출된 정보의 종류를 한 줄로 적어보세요. 무엇을 보호해야 하는지가 정해지면 다음 행동도 훨씬 명확해집니다.
