개인정보 유출, 주민번호와 카드번호 중 뭐가 더 위험할까? - 항목별 위험도, 대응법 총정리

이커머스, 통신사, OTT 서비스 등 다양한 업종에서 대형 개인정보 유출 사고가 잇따라 발생했어요. 큰 규모의 사고라서 뉴스에서도 자주 보였는데요. 처음 접했을 때는 너무 큰일처럼 느껴지고 당장 조치법을 찾아보기도 하지만, 사고가 반복되니 반응이 무뎌지곤 하죠. 불안함보다는 또 유출? 내 정보가 나보다 더 세계 여행을 많이 한다는 우스갯소리도 하곤 합니다.

지난 2025년 한 해 동안 개인정보보호위원회에 공식 신고된 유출 사고만 447건으로, 작년 대비 45.6% 급증했다고 해요. 하루 평균 1.2건이 발생했다고 볼 수 있는데요. 이렇게 개인정보가 자주 유출되니 경각심을 유지하는 것보다 피로도가 쌓이곤 해요.

하지만, 개인정보 유출 사고는 유출된 사실만큼 어떤 정보가 유출됐는지도 중요한데요. 이커머스 플랫폼에서 배송지와 이름이 유출된 것과, 이동통신사에서 유심 인증키가 유출된 것은 동일한 정보 유출로 묶이지만 위험도가 다르죠.
이번 아티클에서는 개인정보의 유형에 따라 유출됐을 때 위험도와 대응법을 정리했어요. 반복되는 유출에 왜 계속 신경 써야 하는지도 함께 짚어봤으니, 평소에 궁금했다면 아래에서 확인해 보세요!

등급이 있는 개인정보

개인정보보호법은 모든 개인정보를 동일하게 다루지 않아요. 크게 세 층위로 나뉘는데요.

일반정보
이름, 이메일, 전화번호처럼 일상적으로 많이 다루는 정보예요.
단독으로 유출됐을 때 직접적인 금융 피해로 연결되기는 어려운 항목입니다.

고유식별정보
주민등록번호, 외국인등록번호, 운전면허번호, 여권번호에 해당해요.
개인정보보호법 제24조의2는 이 항목들을 원칙적으로 수집, 처리하지 못하도록 규정해요. 법령상 허용된 경우에만 예외가 적용됩니다.

민감정보
건강, 의료 기록, 정치적 견해, 종교, 전과 기록처럼 차별이나 심각한 침해로 이어질 수 있는 항목을 포함해요.

정보들이 세 가지 층위로 나눠져 법으로 다루는 것처럼 같은 유출 사고라도 어떤 층위의 정보가 나갔는지에 따라 후속 피해의 성격과 규모가 크게 달라집니다.

암호화된 정보와 평문 정보? 뭐가 다를까

유출 사고 기사를 보면 암호화된 상태로 유출됐다는 표현이 자주 나오죠.
무슨 차이가 있는지, 왜 더 위험한지 잘 몰랐던 분들을 위해 간단하게만 설명할게요.

평문은 사람이 읽고 뜻을 바로 알 수 있는 원래의 데이터나 메시지를 뜻해요.
암호문은 반대로 평문을 보고 이해할 수 없도록 암호화한 데이터를 뜻해요.

주민등록번호를 예시로 들어볼게요. 은행, 병원 등 법적으로 허용된 일부 기관은 예외적으로 주민등록번호를 보관할 수 있어요. 이때도 암호화해서 저장하는 것이 원칙인데요. 만약 평문 그대로 저장했다면 유출됐을 때 그 값을 그대로 가져다 도용할 수 있어요. 하지만 암호문으로 저장해뒀다면, 암호화를 해독할 수 있는 복호화 키값까지 유출되지 않는 이상 원래 값을 알아내기 매우 어려워지는 것이죠.

개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제7조는 저장할 때 반드시 암호화해야 하는 항목을 정해두고 있는데요. 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 같은 고유식별정보와 신용카드번호, 계좌번호, 생체인식정보 등이 여기 해당해요. 유출됐을 때 위험도가 높을수록 평문을 그대로 저장하지 않는 것이 원칙이에요. 하지만 일부 유출 사건에서 평문으로 저장했단 사실이 밝혀져 더 충격을 주기도 했죠.

물론 평문을 암호화해도 완전히 안전하다고 말할 수 없기도 하고, 유출되지 않는 것이 가장 중요하긴 해요. 하지만 이번 아티클에서는 기업, 서비스가 아닌 개인이 할 수 있는 방안을 집중해서 확인해 볼게요.

사회공학적 기법으로 연결되는 [배송지와 연락처 유출]

이커머스, 배달 앱처럼 배송 정보를 다루는 서비스에서 유출이 발생하면 보통 이름, 이메일, 배송지 주소, 연락처, 최근 주문 내역, 공동현관 비밀번호 정도가 유출되는데요. 상황에 따라서 결제한 카드 정보나 로그인 비밀번호까지 유출되는 경우도 있어요.

이 정보만으로는 계좌에서 직접 돈을 빼거나 카드 결제를 하기는 어려워요. 계좌 출금이나 카드 결제에는 비밀번호, 카드번호, OTP 같은 추가 인증이 필요하기 때문이죠.

하지만 그렇다고 안전한 건 아니에요. 이름과 전화번호 조합으로 표적형 스미싱을 할 수 있기 때문인데요. 배송 확인 문자가 실제 주문 정보, 배송지를 정확히 언급하면 더 실제 문자처럼 느껴지죠. 배송지를 확인해 주세요 혹은 주문 정보를 확인하세요 같은 안내가 링크와 함께 온다면 자연스럽게 누르게 됩니다.

이렇게 알고 있는 정보를 이용해 원하는 행동을 하도록 유도하는 기법을 사회공학적 기법이라고 하는데요. 자세한 내용이 궁금하다면 26년 사회공학적 기법 실제 사례와 대처법 아티클을 확인해 보세요!

온라인 결제로 연결되는 [카드 정보 유출]

카드 결제할 때는 보통 카드번호, 유효기간, CVV(카드 뒷면 세 자리 숫자) 세 가지가 필요해요. 이 세 가지 정보를 동시에 알고 있다면 실물 카드 없이도 온라인 결제를 할 수 있는데요. 만일 세 정보가 모두 유출됐다면 반드시 재발급을 받아 피해를 막아야 합니다.

반면 카드번호와 유효기간만 유출된 경우는 상대적으로 위험도가 낮아요. 대부분의 온라인 결제가 CVV 확인을 요구하기 때문인데요. PCI-DSS(카드 업계 국제 보안 표준)가 결제 이후 CVV를 저장하는 것 자체를 금지하고 있어서 CVV 유출은 비교적 적어요.

2014년에 발생했던 국내 카드 3사 대규모 유출 사건에서도 1억 건이 넘는 정보가 유출됐지만 세 곳 모두 CVV는 유출되지 않았습니다. 다만 모든 곳이 기준을 완전히 준수한다고 단정할 수 없고, 결제 시 CVV를 확인하지 않는 곳에서는 피해 가능성이 있을 수 있으니 유의할 필요가 있어요.

유심 복제로 이어지는 [유심 인증키, IMSI 유출]

통신 서비스에서 유심 인증키(Ki)와 IMSI(국제 이동가입자 식별 번호)가 함께 유출되면 유심 복제가 가능해지는데요. 과학기술정보통신부가 공식으로 설명한 위험 범위에 따르면, 유심이 복제되면 도청, SIM Swapping(피해자 명의로 문자 인증을 가로채는 수법), 금융거래까지 가능하다고 해요.

다행히 유심 인증키는 변경할 수 있는데요. 새 유심을 발급받으면 인증키 값이 바뀌기 때문에 기존 인증키로 복제된 유심은 무력화된다고 해요. 관련 유출 통보를 받았다면 통신사에 유심 교체를 요청하는 것이 가장 확실한 대응 방법입니다.

명의를 도용할 수 있는 [주민등록번호, CI 유출]

대한민국 국민의 고유번호, 주민등록번호

주민등록번호는 개인정보보호법이 지정한 최고 보호 등급의 고유식별정보예요. 생년월일, 성별, 지역 정보(2010년 10월 이후로는 포함되지 않음)를 포함하고 있고 명의도용이나 금융 사기에 직접 연결될 수 있어요. 2008년, 2014년 등 수년간 발생한 여러 대형 유출 사고로 수억 건의 주민등록번호가 유출된 것으로 추산할 수 있는데요.

가장 큰 문제는 한 번 유출되어도 개인이 할 수 있는 방법이 없어 그 위험이 오랜 기간 동안 지속된다는 점이에요. 생명, 신체, 재산 피해 또는 성범죄, 스토킹 피해 등이 있거나 우려된다는 사실을 입증하고, 위원회 심의를 거치면 주민등록번호를 변경할 수 있기도 하지만, 단순히 정보가 유출됐다는 이유만으로는 변경할 수 있지 않아요.

온라인 주민번호, CI(연계정보)

CI(연계정보)는 주민등록번호를 암호화한 고유 식별값이에요. 온라인에서 주민번호 대신 동일한 이용자를 식별하는 수단으로 사용하기 때문에 온라인 주민번호라고도 불려요. CI 단독으로는 주민번호를 역산하거나 계좌에 직접 접근하기 어렵지만 이름, 생년월일, 이메일 같은 다른 정보와 결합되면 개인을 식별할 수 있는 정확도가 높아지고, 피싱에도 활용될 수 있어요.

유출 사건 기사에서 CI와 같이 자주 등장하는 DI(중복가입확인정보)는 조금 다른데요. 특정 웹사이트에 이미 가입한 적이 있는지를 확인하기 위한 값이라 웹사이트마다 다른 값이 부여돼요. 비유하면 CI는 신분증이고 DI는 매장 회원 카드인 것이죠. 그래서 DI 하나만 유출된 사고는 다른 서비스로 피해가 번질 가능성이 CI보다 낮아요.

주민등록번호와 CI 정보 모두 변경이나 재발급이 어려워 한 번 유출되면 대응할 수 있는 방법이 현저히 적어요. 유출이 우려된다면 명의도용 방지 서비스를 이용해 본인 명의의 신규 통신 가입을 제한하거나 신용평가사를 통해 명의보호 서비스를 설정하는 것이 좋습니다.

이미 여러 번 유출됐는데, 또 신경 써야 할까?

이런 생각 하시는 분들이 많을 거예요. 유출 뉴스가 반복되니 내 정보는 이미 다 나갔는데, 이제 와서 뭘 어쩌겠어 싶기도 하죠. 특히 주민등록번호나 CI처럼 바꿀 수 없는 정보라면 더 그래요.
하지만, 지금까지 별일 없었다는 게 앞으로도 안전하다는 뜻은 아니에요.

유출된 정보는 바로 쓰이지 않고 쌓였다가 나중에 조합해서 사용돼요.
몇 년 전 유출된 주민등록번호와 최근에 새로 유출된 전화번호가 시간이 지나 합쳐진 정보로 사용될 수 있어요. 과기정통부·KISA의 2026년 사이버 위협 보고서에서는 파편화된 개인정보가 여러 경로로 수집, 결합되면 보이스피싱 혹은 스미싱 같은 공격이 더 정교해질 수 있다고 말했어요. 유출은 한 번의 사고가 아니라 시간이 지날수록 조각들이 맞춰지면서 위험이 누적되는 것이죠.

AI가 정보 조합을 더 쉽게 만들어요.
2026년 순천향대학교 연구에 따르면 개인을 특정하기 어렵게 만든 정보도 AI가 SNS 게시글이나 커뮤니티 글 등과 연결해서 개인을 특정해낼 수 있었다고 해요(2.8% 확률). 물론 가상 데이터로 진행한 실험이라 실제 유출 정보로 일어났다는 뜻은 아니지만, AI 기술이 발전할수록 예전에는 안전하다고 여겼던 파편 정보도 위험해질 수 있다는 뜻이에요.

개인이 유출 자체는 못 막아도 조합돼서 피해로 이어지는 걸 늦출 수는 있어요.
아래 표와 예방법까지 꼭 확인해 보세요!

한눈에 보는 정보 유형별 위험도

여러 사례를 살펴봤으니, 정보 유형별 위험도를 한눈에 정리해 볼게요. 표의 위험도 등급은 정부나 기관이 발표한 공식 분류 표가 아니라 법령, 공식 조사 결과, 처분 사례를 근거로 임의로 작성한 것이니 참고용으로만 확인해 주세요.

출처: 개인정보보호법 제24조의2, 개인정보의 안전성 확보조치 기준 제7조, KISA 암호이용활성화 기준, 데일리시큐, 개인정보보호위원회 처분 사례.

지금 할 수 있는, 정보 유출 예방법

유출은 대부분 기업 쪽 보안 사고에서 시작되기 때문에 개인이 완전히 막는 것은 어려워요. 그래도 피해 범위를 줄일 수 있는 무료 공식 서비스들이 있습니다. 한눈에 볼 수 있도록 정리했어요.

• 금융감독원 개인정보노출자 사고예방시스템(pd.fss.or.kr, 콜센터 1332)

  • 개인정보 유출이 의심될 때 등록하면 명의도용으로 인한 대출, 카드 발급 시도를 금융기관들이 걸러줍니다.

• 엠세이퍼(M-Safer) 명의도용방지서비스(msafer.or.kr)

  • 본인 명의로 새 이동전화가 개통되는 것을 미리 막을 수 있어요.

• 털린 내 정보 찾기(kidc.eprivacy.go.kr)

  • 개인정보보호위원회와 KISA가 함께 운영하는 서비스예요.
    내가 쓰는 이메일, 아이디가 이미 다크웹 등에서 유출된 적 있는지 이메일 인증만으로 조회할 수 있어요.

• 서비스별로 다른 비밀번호 + 2단계 인증(OTP)

  • KISA가 공식적으로 권고하는 기본 수칙이에요.
    이것만 지켜도 한 서비스의 유출이 다른 계정으로 번지는 걸 막을 수 있어요.

• 의심스러운 문자는 KISA 보호나라 카카오톡 채널로 확인

  • 스미싱 여부를 판정해 주는 서비스예요. 실제로 피해가 발생했다면 118로 신고하면 돼요.

정보 유형별 유출되었을 때 대응법

유출 사고 뉴스를 접했을 때 사고가 일어났다는 사실만 확인하지 말고 어떤 정보가 유출됐는지 확인하는 것이 무엇보다 중요합니다. 정보 유형에 따라 위험도도 다르고 할 수 있는 대응법이 다르기 때문이에요.

지금까지 정보 유형별로 위험도와 예방, 대응법을 살펴봤어요. 예전에는 유출 사고 뉴스를 봐도 또 유출됐구나 하고 넘어갔다면, 이제는 어떤 정보가 새어나갔는지에 따라 무엇을 확인하고 무엇을 해야 할지 좀 더 감이 잡히실 거예요.

일상에서 내 정보를 조금 더 안전하게 지키고 싶다면, 드림핵의 필수 보안 의식 함양 Path를 확인해 보세요. 선수 지식이 없어도 보안을 전혀 몰라도 이해하실 수 있습니다.