병원이나 학원에 맡긴 전화번호도 해커 손에 들어갈 수 있다면, 내 정보는 어디까지 안전할까요? 2026년 10월 26일 알려진 AI 개인정보 탈취 사건은 국내 업체 약 90곳에서 개인정보와 자료 약 820만 건을 빼돌린 혐의가 드러난 사건입니다. 지금 먼저 할 일은 확인되지 않은 피해자 명단을 찾아다니는 게 아니라, 쓰는 계정의 유출 이력을 점검하고 가짜 안내 문자를 피하는 것입니다. 당장 돈이 빠져나간 것은 아니어도 대비할 이유는 충분하니까요.
AI 해킹 820만 건 사건에서 실제 확인된 사실
서울경찰청은 10월 26일 생성형 AI 등을 활용해 기업과 기관의 시스템에 침입하고 정보를 빼돌린 혐의로 일당 7명을 검거했다고 밝혔습니다. 학원, 병원, 골프장, 대학교, 대기업 계열사 등이 공격 대상으로 조사됐고, 총책은 10월 23일 구속 송치됐다고 합니다. 개인적으로 눈에 들어온 건 범인의 전공이 아니라 AI 활용 뒤 공격 범위가 커졌다는 점이었습니다. 기존에도 취약한 사이트는 위험했지만 도구가 공격 속도를 더 높인 셈이죠.
경찰 조사 내용에 따르면 피해 업체는 약 90곳, 탈취한 개인정보 및 사내 자료는 약 820만 건이며 이 가운데 약 60곳은 AI를 활용한 공격 대상이었습니다. 38개 업체를 협박하며 요구한 금액은 약 3억 6천만 원으로 조사됐고, 실제 지급 사실이 확인된 돈은 30만 원이라는 보도도 나왔습니다. 범행의 구체적인 피해 범위는 추가 수사에 따라 달라질 수 있습니다. 연합뉴스 사건 보도와 뉴시스 경찰 발표 보도를 함께 보면 수치의 차이를 이해하기 편합니다.
여기서 ‘820만 건’은 고유한 사람 820만 명이라는 뜻으로 읽으면 곤란해요. 한 사람의 여러 정보가 포함됐을 수도 있고, 정확한 피해 기업 명단과 각 이용자의 피해 여부가 모두 공개된 단계도 아니기 때문입니다. 경찰이 탈취 정보를 회수했다고 알려졌지만, 다크웹 유출 등 2차 범죄 여부는 계속 수사 중입니다. AI 개인정보 탈취 보도만 보고 내 계정이 반드시 뚫렸다고 단정할 일은 아니겠죠.
내 개인정보 유출 여부를 조회하는 공식 경로
가장 먼저 방문할 곳은 개인정보보호위원회와 한국인터넷진흥원이 안내하는 털린 내 정보 찾기 서비스입니다. 사이트에서 본인 인증을 거친 뒤 아이디와 비밀번호 조합이 불법 유통 정보에서 확인되는지 조회할 수 있어요. 주소를 문자에서 눌러 들어가기보다 브라우저 주소창에 직접 입력하는 쪽을 권합니다. 피싱 사이트가 비슷한 화면을 흉내 낼 수 있거든요.
이 서비스는 계정정보 유출 여부를 확인하는 도구입니다. 특정 병원이나 학원에서 내 이름, 전화번호, 주소가 이번 사건으로 빠져나갔는지를 전부 확인해 주는 통합 피해자 명단은 아니에요. 조회 결과가 깨끗해도 모든 종류의 유출이 없었다는 보증은 되지 않습니다. 실제 이용했던 업체에서 유출 통지가 오는지 살피고, 의심되면 해당 업체의 공식 고객센터로 직접 문의하는 편이 정확합니다.
휴대전화 명의도용도 신경 쓰인다면 엠세이퍼 명의도용방지서비스의 가입사실현황조회와 가입제한서비스를 알아두세요. 내 명의의 통신서비스 개통 현황을 확인하고 신규 이동전화 개통을 제한하는 기능을 제공합니다. 평소 알뜰폰까지 여러 회선을 쓰는 가족이라면 서로 어떤 회선이 본인 것인지 확인해 두는 것만으로도 도움이 되겠어요.
개인정보 유출 보상 문자와 AI 피싱을 구별하는 신호
저는 이번 사건에서 2차 피해 가능성이 특히 걱정됐습니다. 유출 사실 자체보다 ‘피해보상금을 지급하니 신청하라’는 가짜 문자를 믿고 인증번호를 넘겨주는 순간 피해가 커질 수 있어서예요. 한국인터넷진흥원은 2026년 10월 6일 금융권 등 유출 사고를 악용한 보상금 안내 사칭 피싱을 경고했습니다. 보호나라 공식 주의 공지에도 같은 위험이 구체적으로 적혀 있습니다.
AI로 자연스럽게 다듬은 문장이나 실제 직원처럼 들리는 음성이라고 믿을 이유는 없습니다. 배송 문제, 유출 내역 확인, 계정 잠김, 보상 신청을 핑계로 링크 클릭이나 앱 설치를 재촉한다면 일단 대화를 멈추는 편이 안전해요. 전화번호가 저장된 지인 이름으로 표시돼도 다른 연락 수단으로 확인해 보세요. 실제 예약정보처럼 일부 개인정보를 먼저 말하며 신뢰를 얻는 사칭도 가능하니까요.
| 상황 | 위험 신호 | 안전한 행동 |
|---|---|---|
| 유출 보상 안내 | 수령 기한을 압박하며 링크 클릭 요구 | 문자 링크 대신 업체 공식 앱이나 고객센터 이용 |
| 로그인 이상 알림 | 비밀번호와 일회용 인증번호를 함께 요구 | 서비스 앱에서 로그인 기록 확인 후 비밀번호 변경 |
| 기관 직원 전화 | 원격제어 앱 설치 또는 송금 요청 | 통화 종료 후 공식 대표번호로 재확인 |
| 피해 명단 조회 | 신분증 사진이나 카드번호를 먼저 제출하라고 요구 | 공식 유출 조회와 해당 업체 공지만 이용 |
수상한 링크를 눌렀다면 상황별 대처 순서
링크만 열었는지, 로그인 정보를 입력했는지, 앱까지 설치했는지에 따라 대응이 달라집니다. 무조건 휴대전화를 초기화하면 된다는 조언부터 따르면 자료만 잃을 수 있어요. 저는 아래 순서대로 무엇을 했는지 먼저 구분하겠어요. 위험한 행동이 있었을수록 비밀번호와 금융 조치를 서둘러야 합니다.
- 링크만 열고 아무것도 입력하지 않았다면 페이지를 닫고 다운로드·설치 여부, 브라우저 알림 허용 여부를 점검합니다. 의심스러운 파일은 실행하지 마세요.
- 아이디나 비밀번호를 입력했다면 메시지의 링크가 아닌 공식 앱이나 사이트에서 비밀번호를 즉시 바꿉니다. 같은 비밀번호를 쓰는 다른 계정도 함께 변경하고 모든 기기에서 로그아웃하는 기능을 활용하세요.
- 인증번호, 카드번호, 계좌정보를 전달했다면 해당 서비스와 금융회사에 바로 연락해 계정 보호, 카드 정지 또는 거래 조치 가능 여부를 문의합니다. 거래 내역도 살펴야겠죠.
- 수상한 앱을 설치했다면 개인정보 입력과 금융거래를 멈추고 가능하면 다른 안전한 기기로 금융회사에 연락합니다. 감염이 의심되는 휴대전화는 전문가 안내를 받아 점검하고 인증정보를 교체하는 편이 낫습니다.
해킹이나 스미싱 상담은 한국인터넷진흥원 118 상담 안내에서 받을 수 있습니다. 금전 피해가 의심되면 금융회사에 즉시 신고하고, 범죄 신고는 경찰 112를 이용하세요. 통화 내역과 문자, 계좌 이체 정보 등 증거를 지우지 않고 남겨두면 사건 설명에도 도움이 됩니다.
비밀번호와 2단계 인증을 먼저 바꿔야 하는 이유
AI 개인정보 탈취 피해를 걱정하면서 모든 사이트 비밀번호를 한꺼번에 바꾸려다 중간에 포기하는 경우가 많습니다. 저는 이메일 계정부터 손보는 걸 권해요. 다른 서비스의 비밀번호 재설정 메시지를 받는 통로라서, 이메일이 탈취되면 연쇄적으로 피해가 이어질 수 있거든요. 그다음 은행·결제 서비스, 포털, 쇼핑몰 순으로 접근해도 늦지 않겠습니다.
계정마다 서로 다른 긴 비밀번호를 쓰고, 서비스가 지원하면 인증 앱이나 보안 키 같은 추가 인증을 켜세요. 휴대전화 문자 인증만 지원하는 곳도 있지만 가능한 인증 수단 중 피싱에 강한 방식을 우선하는 편이 좋습니다. 로그인된 기기 목록에 낯선 기기가 있는지, 계정 복구용 이메일이나 전화번호가 바뀌지 않았는지도 함께 확인해야 합니다.
작은 실수 하나도 기억해 둘 만합니다. 유출 조회 서비스를 쓴 뒤 확인할 계정이 많다고 비밀번호를 메모장에 그대로 적어 공유하거나, 가족 단체방에 캡처를 올리면 또 다른 노출이 생겨요. 암호 관리 도구를 사용하고 본인만 접근하도록 관리하는 편이 마음이 놓입니다. 인증번호는 고객센터 직원이라고 주장하는 사람에게도 전달하지 않는 습관이 필요해요.
가족과 소규모 사업자가 놓치기 쉬운 추가 대응
부모님께는 ‘모르는 번호를 받지 마세요’보다 한 문장이 더 유용할 것 같습니다. ‘개인정보가 유출됐으니 보상금을 받으라는 문자가 와도 링크를 누르지 말고 나에게 먼저 보여주세요’라고요. 실제로 KISA가 경고한 보상 사칭 수법과도 맞닿아 있습니다. 어르신이나 학생이 쓰는 계정의 복구 연락처까지 함께 점검하면 좋겠어요.
개인정보를 맡아 관리하는 학원이나 병원 같은 사업자라면 사안이 다릅니다. 사고 흔적과 접속 기록을 보존하고 영향을 받은 시스템의 추가 침해를 차단하며, 침해사고 신고와 개인정보 유출 신고 요건을 각각 검토해야 합니다. 개인정보 포털 유출신고 안내는 기업·기관을 위한 절차와 자료 보존 유의사항을 설명합니다. 고객에게는 확인된 사실과 문의 창구를 안내하고, 근거 없이 ‘피해 없다’고 단정하는 말은 피하는 편이 신뢰를 지킬 겁니다.
자주 묻는 질문
Q. 820만 건이면 국민 820만 명의 정보가 털린 건가요?
아닙니다. 보도된 수치는 개인정보와 관련 자료의 건수로, 고유 피해자 수와 일치한다고 확정할 수 없습니다. 업체별 실제 유출 항목도 추가 확인이 필요합니다.
Q. 털린 내 정보 찾기에서 유출 내역이 없으면 안심해도 될까요?
계정정보 관련 확인 결과로 받아들이는 게 적절합니다. 전화번호나 주소 등 모든 개인정보 유출을 포괄해 판정하는 서비스는 아니어서, 해당 업체의 통지와 계정 이상 징후도 함께 살펴보세요.
Q. AI 챗봇을 쓰기만 해도 개인정보가 탈취되나요?
이번 사건은 범죄자가 AI를 해킹에 활용한 혐의에 관한 이야기입니다. 일반적인 챗봇 이용 자체가 이번 피해에 포함된다는 근거는 없어요. 다만 신분증, 비밀번호, 주민등록번호처럼 민감한 정보는 어느 서비스에든 불필요하게 입력하지 않는 편이 안전합니다.
Q. 경찰이 정보를 회수했다는데 비밀번호를 바꿔야 하나요?
본인이 쓰는 계정의 유출 정황이나 수상한 로그인 기록이 있다면 바로 변경하는 편이 좋습니다. 이번 사건은 2차 유출 여부에 관한 수사가 계속되고 있어 회수 사실만으로 안전을 단정하기 어렵습니다.
출처와 참고한 곳
- 연합뉴스 — 2026년 10월 26일 서울경찰청 발표와 피해 규모 보도
- 뉴시스 — AI를 활용한 공격 업체 수와 협박 피해, 추가 수사 현황
- KISA 보호나라 — 개인정보 유출 보상금 사칭 피싱 주의 공지
- 개인정보 포털 — 털린 내 정보 찾기 서비스의 범위와 이용 안내
- 엠세이퍼 — 통신서비스 명의도용방지 기능 안내
함께 읽으면 좋은 글
- 브라질 룰라 4선 성공 2026 대선 역전승과 소년공 대통령 프로필
- 브라질 룰라 대통령 프로필과 역사·업적·논란으로 본 2026년 4선
- 전현무계획4 논란 74세 식당 촬영 거절 후 상호 노출과 사전 섭외 해명
