기프티콘 보냈을 뿐인데 환급계좌까지 유출, 다음에 올 문자가 더 위험한 이유

선물하기로 커피 쿠폰 한 장 보낸 적이 있다면 이번 소식이 남의 일처럼 들리지 않을 것이다. SK플래닛은 10월 28일 저녁 기프티콘 서비스에서 외부의 비정상적인 접근 정황을 확인하고 이를 차단했다고 29일 밝혔다. 지금까지 일부 이용자의 이름, 전화번호, 이메일, 구매쿠폰 일련번호, 환급계좌 등이 유출된 것으로 보인다고 한다.

회사는 유출 여부와 대상 고객을 확정하는 조사를 진행 중이고, 조사가 끝나면 피해 여부 조회 방법을 개별 문자와 홈페이지로 알리겠다고 했다. 유출이 확인된 기프티콘은 폐기하고 다시 보내며, 실질적인 피해가 생기면 전액 보상하겠다는 입장이다. 출처가 불분명한 링크를 누르거나 개인정보·금융정보 입력을 요구하는 연락에 응하지 말라는 당부도 덧붙였다.

사기 사건을 오래 맡아 보면 유출 소식 자체보다 그 뒤에 오는 연락이 더 무섭다. 내 이름과 전화번호, 계좌까지 아는 사람이 "피해 조회", "보상 접수"를 내세우며 연락해 오면 의심하기가 훨씬 어려워지기 때문이다.

1. 무엇이 새어 나갔고, 왜 위험한가

기사에 나온 항목만 놓고 봐도 조합이 좋지 않다. 이름과 전화번호는 문자를 보낼 대상을 고르는 데, 쿠폰 일련번호와 구매 내역은 진짜 회사 직원처럼 보이게 하는 데, 환급계좌는 "보상금을 넣어 드리겠다"는 거짓말을 그럴듯하게 꾸미는 데 쓰일 수 있다.

흔한 수법은 이렇다. 유출 사고 직후 회사 이름을 앞세운 문자가 오고, 링크를 누르면 피해 조회 화면처럼 꾸민 페이지가 뜬다. 거기서 인증번호나 카드 정보를 넣게 하거나 원격제어 앱을 깔게 한 뒤 계좌의 돈을 빼 간다. 이렇게 되면 유출 회사의 책임과는 별개로, 문자를 보낸 사람은 사기죄와 전기통신금융사기 관련 법률 위반으로 처벌 대상이 된다.

2. 유출 자체에 대한 회사의 책임

가. 증명 책임은 회사에 있다

개인정보 보호법 제39조 제1항은 개인정보처리자가 법을 위반한 행위로 정보주체가 손해를 입으면 배상을 청구할 수 있다고 정하면서, 회사가 고의나 과실이 없음을 입증하지 못하면 책임을 면할 수 없다고 했다. 같은 조 제3항은 고의나 중대한 과실로 유출된 경우 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있게 했다.

실제 손해액을 증명하기 어려운 이용자를 위해서는 제39조의2의 법정손해배상 제도가 있다. 개인정보처리자의 고의 또는 과실로 개인정보가 유출되었다면 300만 원 이하의 범위에서 상당한 금액을 손해액으로 청구할 수 있고, 이때도 회사가 고의나 과실이 없었다는 점을 입증하지 못하면 책임을 진다.

나. 유출만으로 위자료가 인정되지는 않는다

다만 정보가 새어 나갔다는 사실만으로 곧바로 위자료가 나오지는 않는다. 대법원은 주유 보너스카드 회원 정보 유출 사건에서 판단 기준을 이렇게 내놓았다.

대법원 2012. 12. 26. 선고 2011다59834 판결

위자료로 배상할 정신적 손해가 생겼는지는 유출된 정보의 종류와 성격, 제3자의 열람 여부나 그 가능성, 확산 범위, 추가 피해 가능성, 회사의 관리 실태와 피해 확산 방지 조치 등을 종합해 사건마다 개별적으로 판단해야 한다.

그 사건에서는 유출된 저장매체가 곧바로 압수되거나 폐기돼 제3자가 정보를 열람하거나 이용할 수 없었다고 보고 위자료를 인정하지 않았다. 이번 사건은 외부 접근으로 유출된 것으로 알려져 사정이 다를 수 있다. 결국 정보가 실제로 어디까지 퍼졌는지, 2차 피해로 이어질 가능성이 있는지가 배상을 가르는 핵심이 된다. 회사의 조사 결과와 개별 통지를 꼭 챙겨 두어야 하는 이유다.

3. 2차 사기를 막고 되찾는 방법

가. 지금 해 둘 일

회사 이름으로 온 문자라도 링크는 누르지 말고, 공식 홈페이지나 앱에 직접 들어가 피해 여부를 확인한다. 환급계좌가 유출 항목에 들어 있으니 "보상금 입금을 위해 계좌 인증이 필요하다"는 연락은 일단 사기로 의심하는 편이 안전하다. 통신사 스팸 차단 기능과 은행의 해외 접속 차단, 지연이체 서비스를 미리 설정해 두면 피해가 생겨도 규모를 줄일 수 있다.

나. 이미 돈이 빠져나갔다면

전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법 제3조에 따라 피해자는 돈을 보낸 계좌의 금융회사나 사기에 이용된 계좌의 금융회사에 지급정지 등 피해구제를 신청할 수 있다. 여기서는 시간이 곧 돈이다. 112나 해당 은행 고객센터에 바로 연락해 지급정지부터 신청하고, 문자 화면과 링크 주소, 통화 기록, 이체 내역은 지우지 말고 남겨 둔다.

그다음 고소장을 내면서 사기에 쓰인 계좌 명의인을 상대로 한 민사 청구와 형사재판 단계의 배상명령 신청을 함께 검토한다. 유출 회사에 배상을 구하려면 내가 당한 사기와 이번 유출 사이의 연관성을 보여 줄 자료가 필요하니, 범인이 내 쿠폰 번호나 구매 내역을 언급했다면 그 대목을 꼭 캡처해 둔다.

다. 공동소송 광고는 차분하게

큰 유출 사고 뒤에는 공동소송 참여를 권하는 광고가 쏟아진다. 참여 자체가 나쁜 것은 아니지만, 앞의 판례처럼 유출 사실만으로 배상이 인정되지 않을 수 있다는 점과 착수금·성공보수 구조를 먼저 확인해야 한다. 참여 신청을 내세워 신분증 사본이나 계좌 정보를 요구하는 연락이라면 출처부터 다시 확인하는 것이 좋다.

4. 맺으며

개인정보 유출은 사고가 난 날보다 그 뒤 몇 주가 더 위험하다. 회사는 유출 대상을 빨리 확정해 정확히 알려야 하고, 이용자는 회사 이름을 내건 연락일수록 한 번 더 의심해야 한다. 법은 유출 회사에 무거운 증명 책임을 지우고 있지만, 이미 빠져나간 돈을 되찾는 일은 결국 피해자가 얼마나 빨리 움직이느냐에 달려 있다.

(대온 법률사무소 신동우 대표변호사)

이 칼럼은 2026. 10. 30. 기준 법령과 판례로 쓴 일반적인 법률 정보이며, 개별 사건에 대한 법률 자문이 아닙니다.

다른 칼럼

글 신동우 대표변호사 · 2026. 10. 30.