14. 계정과 정보 보안

항목 10개 · 중국어 원문 보기(GitHub)

이 절의 항목 10개 보기

측정 기준: 돈과 개인정보. 남이 내 계정에 들어오면 먼저 돈을 잃습니다. 침입자는 내 계정으로 지인들을 사칭해 돈을 걷습니다. 신원도 빼앗긴 셈입니다.

1. 메일·결제·SNS 계정에 2단계 인증을 켜세요. 휴대폰 알림 방식이 우선, 문자 인증번호는 그다음

비용: 돈이 들지 않습니다. 계정마다 한 번씩, 두세 분이면 끝납니다.
쉽게: 2단계 인증은 비밀번호 외에 본인을 한 번 더 확인하는 절차입니다. 로그인할 때 휴대폰 알림의 확인 버튼을 누르세요. 휴대폰 알림 방식은 피싱으로 계정을 도용하려는 시도를 열에 아홉 넘게 막습니다. 로그인 위치나 예비 이메일을 묻는 옛 방식은 거의 못 막습니다.
이득: 구글이 실제 계정 탈취 시도 35만 건을 분석했습니다. 기기로 확인할 때는 휴대폰 알림이나 보안 키를 씁니다. 기기 확인 방식은 피싱형 탈취 시도의 94% 초과를 막았습니다. 자동화 탈취 시도는 100% 막았습니다. 피싱은 가짜 사이트에서 비밀번호를 받아 내는 수법입니다. 자동화 공격은 기계로 유출된 비밀번호를 대량 입력합니다. 반면 질문으로 확인하는 방식의 차단율은 낮았습니다. 질문 방식은 피싱형 탈취를 최저 10%만 막았습니다. 자동화 탈취는 73%만 막았습니다.
근거등급: A
출처: Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
비고: 같은 연구에서 실제 사용자도 인증에 실패한 경우가 있었습니다. 실제 사용자의 52%는 첫 시도에 로그인하지 못했습니다. 그래도 결국 97%는 로그인에 성공했습니다. 이메일부터 인증을 켜세요. 다른 계정 대부분은 이메일로 비밀번호를 되찾을 수 있습니다. 인증번호는 남에게 읽어 주지 마세요. 남의 대출에 인증번호를 넘겨준 경우의 법적 결과는 제8절(법적 말썽에 휘말리지 않기)에서 다룹니다.

2. 이메일 비밀번호는 어디와도 겹치지 않게 하나만 따로 쓰세요

비용: 돈이 들지 않습니다. 비밀번호 관리자에 맡기면 외울 필요도 없습니다. 한 비밀번호를 계속 쓰던 습관을 바꿔야 합니다.
쉽게: 다른 사이트에서 유출된 비밀번호로 내 메일이 뚫립니다. 메일로 비밀번호를 재설정하는 계정도 전부 함께 넘어갑니다. 그래서 이메일 비밀번호는 다른 곳에 쓰지 마세요.
이득: 공격자는 유출된 아이디와 비밀번호를 다른 곳에 몽땅 대입합니다. 이런 공격을 자격증명 무차별 대입이라고 합니다. 공격 비용이 가장 적게 듭니다. 내 메일도 이런 공격을 받습니다. 미국 사이버보안인프라보안국(CISA)은 세 가지를 권합니다. 계정마다 서로 다른 비밀번호를 쓰세요. 비밀번호는 16자 이상으로 정하세요. 관리는 비밀번호 관리자에 맡기세요.
근거등급: C
출처: US CISA. Use Strong Passwords. https://www.cisa.gov/secure-our-world/use-strong-passwords
비고: 비밀번호를 못 외우면 브라우저의 관리자를 쓰세요. 관리자는 사이트마다 다른 비밀번호를 기억해 줍니다. 비밀번호 하나를 돌려 쓰기보다 훨씬 낫습니다. 카카오톡 나와의 채팅방이나 메모 앱에 비밀번호를 두지 마세요.

3. 휴대폰에 화면 잠금을, 유심에는 PIN 번호를 설정하세요

비용: 돈이 들지 않습니다. 화면 잠금과 유심 PIN은 한 번씩만 설정하면 됩니다.
쉽게: 유심은 휴대폰 안에 들어 있는 작은 카드입니다. 문자 인증번호는 이 카드가 연결된 번호로 옵니다. 휴대폰을 잃으면 주운 사람이 유심을 뺄 수 있습니다. 다른 폰에 꽂으면 인증번호를 받을 수 있습니다. 주운 사람은 인증번호로 계정을 하나씩 바꿉니다. 유심에 PIN을 걸어 두세요. 새 폰에서 전원을 켜면 PIN을 요구합니다. PIN 없이는 인증번호를 받을 수 없습니다.
이득: 분실 후 가장 빠른 공격 경로는 유심을 빼는 방식입니다. 공격자는 인증번호를 받아 계정을 초기화합니다. 유심 PIN을 설정하면 다른 폰에 꽂아도 PIN을 요구합니다. 전원을 켤 때 PIN을 입력해야 합니다. 주운 사람은 인증번호를 받을 수 없습니다.
근거등급: C
출처: 저자 경험, 직접 문헌 없음. PUK 설명은 삼성전자서비스 「USIM의 PUK 번호 확인 방법」 https://www.samsungsvc.co.kr/solution/23806; SK텔레콤 T world 「유심보호서비스」 https://www.tworld.co.kr/web/product/callplan/NA00008634; KT닷컴 「(안심) 유심보호서비스」 https://product.kt.com/wDic/productDetail.do?ItemCode=1645; LG유플러스 「유플러스 유심보호서비스」 https://www.lguplus.com/mobile/plan/addon/addon-familysafety-info/LRZ1002321
비고: 메뉴 이름은 기종마다 다릅니다. 설정 화면 검색창에 'SIM'을 입력해 잠금 메뉴를 찾으세요. PIN을 세 번 틀리면 유심이 잠깁니다. 이때는 PUK 번호로만 잠금을 풉니다. PUK는 유심이 붙어 있던 플라스틱 카드에 적혀 있습니다. 카드가 없으면 통신사 홈페이지에서 조회하세요. SK텔레콤은 T월드 '나의 가입 정보', LG유플러스는 '가입정보 조회/변경'에 있습니다. PUK를 10번 틀리면 유심이 폐기됩니다. 그때는 대리점에서 유심을 새로 사야 합니다. PIN을 정한 즉시 PUK를 종이에 적어 두세요. 통신 3사는 무료 '유심보호서비스'도 운영합니다. 가입하면 내 유심을 다른 기기에서 쓸 수 없습니다. KT는 이름이 '(안심) 유심보호서비스'입니다. SK텔레콤은 2025년 5월 3일부터 14일까지 고객을 자동으로 가입시켰습니다. 폰을 정상적으로 바꿀 때는 이 서비스를 먼저 해지하세요.

4. 휴대폰을 잃어버렸을 때는 이 순서로 하세요: 유심 정지, 원격 잠금, 비밀번호 변경, 신고, 계좌·카드 정지

비용: 돈이 들지 않습니다. 전부 하면 십몇 분 걸립니다.
쉽게: 속도보다 순서를 지키세요. 먼저 유심을 정지해 인증번호 수신을 막으세요. 이어서 원격으로 폰을 잠그고 내용을 지우세요. 그다음 남의 컴퓨터에서 메일과 금융 비밀번호를 바꾸세요. 경찰에 신고하고 접수 증빙을 받으세요. 필요하면 은행·카드사에 이체와 결제를 막아 달라고 하세요. 폰이 없어도 통신사 고객센터에 전화해 유심을 정지할 수 있습니다.
이득: 한국 이동통신 3사는 모두 분실 신고를 받습니다. 같은 통신사 휴대폰에서는 국번 없이 114(무료)로 전화하세요. 앱과 홈페이지에서도 신고할 수 있습니다. SK텔레콤은 T월드, KT는 마이KT를 쓰세요. LG유플러스는 홈페이지에서 휴대폰 분실 신고를 접수합니다. 도난이면 112에 신고하세요. 기기 식별번호(IMEI)와 모델을 알려 주세요. 미국 연방통신위원회도 같은 순서를 권합니다. 단순 분실로 보여도 원격으로 잠그세요. 도난이면 즉시 신고하세요. 모델과 IMEI는 통신사에 알리세요.
근거등급: C
출처: US FCC. Protect Your Smart Device. https://www.fcc.gov/consumers/guides/protect-your-mobile-device; SK텔레콤 T월드 고객지원(휴대폰 분실신고 안내) https://m.tworld.co.kr/customer/faq/do-like-this?id=B00038; KT 고객지원(분실 신고/해제) https://help.kt.com/lostphone/LostReportOrCancel.do; LG유플러스 고객지원(분실 접수/취소) https://www.lguplus.com/support/lost-device; LG유플러스 고객센터 전화 안내 https://www.lguplus.com/support/service/ars; 경찰청 경찰민원24(유실물 민원) https://minwon24.police.go.kr/main.do; 금융위원회 보도자료 「6.29일부터 어카운트인포 모바일 앱에서도 여러 금융회사의 신용카드를 한 번에 분실신고 할 수 있습니다」(2022.6.29.) https://www.fsc.go.kr/no010101/77993. 순서는 저자 경험; KT 고객센터 안내 https://help.kt.com/store/KtCustCenter.do
비고: 114는 내 통신사의 휴대폰으로 걸 때만 내 통신사로 연결됩니다. 남의 폰이나 집 전화로 114를 누르면 그 전화의 통신사로 갑니다. 다른 전화로 걸 때는 SK텔레콤 1599-0011(유료), LG유플러스 1544-0010(유료)으로 전화하세요. KT는 1588-0010(유료)입니다. 그래서 내 통신사와 이 번호들을 미리 적어 두세요. 신고할 때는 분실 날짜와 장소를 알려 주세요. 누가 폰을 주웠을 때 연락받을 번호도 함께 알려 주세요. 잃어버린 폰이 경찰에 들어왔는지는 경찰청 '경찰민원24'(minwon24.police.go.kr)의 '유실물 민원'에서 '습득물 검색'으로 찾아보세요. 분실물 신고도 같은 곳에서 할 수 있습니다. 카드를 여러 장 잃어버렸다면 카드사 한 곳에만 신고해도 됩니다. 그 카드사에 다른 회사 카드도 함께 신고해 달라고 하세요. 금융결제원 '어카운트인포' 앱의 '내 카드 한눈에'에서도 한꺼번에 신고할 수 있습니다. 이때 내 명의 신용·체크카드가 모두 정지됩니다. 일괄 취소는 안 됩니다. 카드를 찾으면 카드사마다 따로 해제하세요. 법인카드는 대상이 아닙니다. 우체국·증권사·저축은행처럼 체크카드만 내주는 곳의 카드는 그 회사에 직접 신고하세요. 신분증 재발급은 제7절(돈이 없을 때 사는 법)에서 다룹니다. 명의 도용 대출은 제8절(법적 말썽에 휘말리지 않기)에서 다룹니다.

5. 카드에 모르는 결제가 보이면 먼저 분실신고·이용 정지를 하세요. 신고 뒤 사용과 위조·해킹 결제는 카드사가 책임집니다

비용: 돈은 들지 않습니다. 이상한 결제가 보이면 즉시 분실신고를 하거나 이용을 정지하세요. 신고 기록, 결제 통지 문자, 상담 녹취는 남겨 두세요. 카드가 지금 내 손에 있다면 상담할 때 그 사실을 말하세요. 카드사는 신고를 받으면 접수자와 접수번호를 알려 줘야 합니다. 그 번호를 받아 적어 두세요. 상담사와 다투고 싶어도 참아야 합니다. 먼저 이용을 정지하세요.
쉽게: 신고한 뒤의 결제는 카드사가 책임집니다. 신고 전 결제도 신고일부터 60일 전까지는 원칙적으로 카드사가 책임집니다. 다만 비밀번호를 알려 줬거나 카드를 빌려줬다면 약관에 따라 내가 일부를 낼 수 있습니다. 카드가 복제됐거나 해킹으로 정보가 샌 경우는 다릅니다. 카드사가 내 고의나 중대한 과실을 증명해야 합니다. 발견하자마자 신고하세요.
이득: 법은 사용 경위와 통지 시점에 따라 책임을 나눕니다. 분실·도난 통지를 받은 뒤의 신용카드 사용은 카드사가 책임집니다. 근거: 「여신전문금융업법」 제16조 제1항. 통지 전 거래도 통지일부터 60일 전까지는 카드사가 책임집니다. 근거: 같은 법 제16조 제2항, 같은 법 시행령 제6조의9. 다만 카드사는 분실·도난 때 회원이 책임의 전부나 일부를 지는 계약을 맺을 수 있습니다. 회원에게 고의나 과실이 없으면 이 계약을 적용하지 못합니다. 근거: 같은 법 제16조 제3항. 카드사는 신고를 받으면 접수자와 접수번호를 바로 알려야 합니다. 근거: 같은 조 제4항. 위조·변조 카드 사용도 카드사가 책임집니다. 해킹이나 정보 유출로 얻은 카드 정보를 쓴 경우도 같습니다. 내 명의를 도용해 만든 카드도 카드사가 책임집니다. 다만 내게 고의나 중대한 과실이 있으면 빠집니다. 근거: 같은 법 제16조 제5항 제3호. 위조·변조 카드와 해킹 정보 사용에서 카드사가 회원에게 책임을 넘기려면 회원의 고의나 중대한 과실을 증명해야 합니다. 근거: 같은 법 제16조 제6항. 회원 책임 계약은 서면이나 전자문서로 맺어야 효력이 있습니다. 중대한 과실은 계약서에 적힌 것만 인정됩니다. 근거: 같은 조 제7항. 내가 이의를 제기한 금액은 조사가 끝날 때까지 카드사가 청구할 수 없습니다. 근거: 같은 법 제16조 제10항. 계좌이체나 간편결제 같은 전자금융거래에도 비슷한 규정이 있습니다. 다만 신고 전 60일까지 책임지는 규정은 없습니다. 금융회사는 접근매체를 위조·변조해 생긴 사고를 배상합니다. 전송·처리 과정에서 생긴 사고도 배상합니다. 해킹으로 훔친 접근매체를 쓴 경우도 배상 대상에 해당합니다. 근거: 「전자금융거래법」 제9조. 다만 내게 고의나 중대한 과실이 있고 이를 미리 약정했다면 내가 책임을 질 수 있습니다. 근거: 같은 법 제9조 제2항. 분실·도난 통지 뒤의 사용도 금융회사가 책임집니다. 근거: 같은 법 제10조. 부정사용 때문에 신용정보에 연체가 잘못 올라갔다면 정정을 청구하세요. 근거: 「신용정보의 이용 및 보호에 관한 법률」 제38조 제2항. 회사는 청구에 정당한 사유가 있다고 보면 그 정보의 제공과 이용을 바로 멈춥니다. 그다음 사실인지 조사합니다. 사실과 다르거나 확인할 수 없는 정보는 지우거나 고쳐야 합니다. 근거: 같은 조 제3항. 최근 6개월 안에 그 정보를 받아 간 곳에도 고친 내용을 알려야 합니다. 근거: 같은 조 제4항. 처리 결과는 7일 안에 알려야 합니다. 결과에 이의가 있으면 금융위원회에 시정을 요청할 수 있습니다. 근거: 같은 조 제5항.
근거등급: A
출처: 여신전문금융업법 제16조 https://www.law.go.kr/법령/여신전문금융업법/제16조; 여신전문금융업법 시행령 제6조의9 https://law.go.kr/lsLinkCommonInfo.do?lspttninfSeq=60963; 전자금융거래법 제9조·제10조 https://www.law.go.kr/법령/전자금융거래법/제9조; 신용정보의 이용 및 보호에 관한 법률 제38조 https://www.law.go.kr/법령/신용정보의이용및보호에관한법률/제38조; 신한카드 「신용카드 개인회원 표준약관」(2026.4.1.) 제39조 https://www.shinhancard.com/pconts/html/helpdesk/terms/terms56/1238377_1133.html
비고: 내가 책임을 질 수 있는 경우는 두 가지입니다. 첫째, 고의나 중대한 과실이 있는 경우입니다. 시행령은 비밀번호를 누설한 경우를 들고 있습니다. 카드를 양도하거나 담보로 준 경우도 포함합니다. 근거: 시행령 제6조의9 제2항. 둘째, 분실·도난 카드가 신고 전에 쓰였고 내게 과실이 있는 경우입니다. 이때는 약관에 따라 일부를 낼 수 있습니다. 인증번호를 남에게 넘기지 마세요. 제1항(2단계 인증)을 보세요. 먼저 이용을 정지하세요. 상담사와 다투지 말고 카드사에 배상을 청구하세요. 금융감독원(1332)에서도 상담할 수 있습니다. 카드사 약관에도 이의 제기 절차가 있습니다. 신한카드 약관 제39조는 결제일부터 14일 안에 이의를 제기할 수 있다고 정합니다. 카드사 조사 결과에 이의가 있으면 금융감독원에 조정을 요청하세요. 기한은 결과를 통지받은 날부터 7일입니다. 조정이 끝날 때까지 카드사는 분쟁 금액의 연체를 이유로 연체정보를 등록하지 못합니다. 조항 번호와 기간은 카드사 약관마다 다를 수 있으니 내 카드사 약관을 확인하세요. 속아서 내가 직접 보낸 돈은 다른 절차를 따릅니다. 112 신고와 지급정지는 제8절(법적 말썽에 휘말리지 않기)에서 다룹니다.

6. 로그인된 기기와 연동된 앱 목록을 가끔 점검하고, 안 쓰는 것은 끊으세요

비용: 돈이 들지 않습니다. 한 번에 몇 분 걸립니다. 아무도 점검하라고 알려 주지 않습니다. 스스로 점검을 기억해야 해서 번거롭습니다.
쉽게: 로그인 기기 목록에는 계정을 쓸 수 있는 폰·컴퓨터가 나옵니다. 침입자는 들어온 뒤 바로 행동하지 않고 머무는 경우가 많습니다. 모르는 기기나 오래 안 쓴 연동 앱이 있는지 보세요. 전부 로그아웃하고 비밀번호를 바꾸세요.
이득: 계정 도용은 대부분 그 자리에서 드러나지 않습니다. 침입자는 먼저 계정에 들어와 머뭅니다. 로그인 기기 목록에서 현재 계정을 쓸 수 있는 기기를 확인합니다. 연동 앱 목록에는 내 계정에 접근할 수 있는 다른 서비스가 나옵니다. 낯선 기기나 안 쓰는 앱의 연동이 가장 먼저 눈에 띄는 흔적입니다.
근거등급: C
출처: 저자 경험, 직접 문헌 없음
비고: 카카오계정, 네이버 아이디, 구글·애플·삼성 계정에서 이 목록을 보세요. 보통 보안 설정이나 연결된 서비스 항목에서 찾을 수 있습니다. 낯선 기기가 보이면 전체 기기 로그아웃을 누르고 비밀번호를 바꾸세요.

7. 앱 설치하며 "전체 동의"를 누르지 마세요. 안 줘도 되는 정보를 안 줬다고 서비스를 거부하지 못합니다

비용: 돈이 들지 않습니다. 전체 동의를 누르고 싶은 마음을 참아야 합니다.
쉽게: 앱이 요구하는 정보가 서비스에 꼭 필요한지 보세요. 꼭 필요한 정보가 아니라면 제공을 거절하세요. 이를 이유로 서비스를 끊지 못합니다. 지도 앱에는 위치 정보가 필요합니다. 손전등 앱에는 주소록이 필요하지 않습니다.
이득: 선택 동의 항목이나 마케팅 목적 수집에 동의하지 않아도 됩니다. 이를 이유로 서비스 제공을 거부하지 못합니다. 근거: 「개인정보 보호법」 제22조 제5항. 동의를 받을 때는 항목을 구분해서 알기 쉽게 알려야 합니다. 근거: 같은 법 제22조 제1항. 동의 없이 처리할 정보는 동의 대상과 구분해 알려야 합니다. 동의 없이 처리할 수 있다는 입증 책임은 처리자가 집니다. 근거: 같은 법 제22조 제3항. 회사는 목적에 필요한 최소한의 정보만 모아야 합니다. 최소한이라는 입증 책임은 회사가 집니다. 근거: 같은 법 제3조 제1항, 제16조 제1항. 최소한을 넘는 정보에 동의하지 않았다고 서비스를 거부하면 안 됩니다. 근거: 같은 법 제16조 제3항. 휴대폰 접근권한도 같습니다. 주소록이나 위치처럼 꼭 필요하지 않은 권한을 거부했다고 서비스를 거부하면 안 됩니다. 근거: 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제22조의2 제2항.
근거등급: A
출처: 개인정보 보호법 제3조·제16조·제22조 https://www.law.go.kr/법령/개인정보보호법/제22조; 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제22조의2 https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/제22조의2
비고: 서비스에 꼭 필요한 정보인지 따져 보세요. 앱을 설치한 뒤 설정에서 앱 권한 화면을 여세요. 필요 없는 권한은 꺼 두세요. 실제로 필요할 때 '이번만 허용'을 선택하세요.

8. 내 개인정보를 열람하고 정정·삭제할 권리가 있습니다. 거부당하면 분쟁조정이나 소송으로 갈 수 있습니다

비용: 돈이 들지 않습니다. 상대가 미룰 때만 민원이나 소송이 필요합니다. 소송은 몇 달부터 걸립니다. 변호사 비용은 먼저 본인이 냅니다. 이기면 대법원규칙이 정한 한도 안에서 일부를 상대에게 받을 수 있습니다. 지면 상대 변호사 비용 일부까지 낼 수 있습니다. 그래서 신고와 조정부터 하세요. 상대가 처리를 미루면 계속 재촉해야 합니다.
쉽게: 내 정보를 열람하거나 복사해 달라고 요구할 수 있습니다. 정보를 고치거나 지워 달라고 요구해도 됩니다. 동의를 철회하면 회사는 남은 정보를 복구 불가능하게 지워야 합니다. 회사가 요구를 거부할 때는 사유를 밝혀야 합니다. 회사가 요구를 받아들이지 않으면 분쟁조정이나 법원으로 가세요. 회원 탈퇴와 정보 삭제는 별개입니다. 탈퇴 뒤에는 삭제를 따로 요청하세요.
이득: 「개인정보 보호법」은 열람권을 제35조에 규정합니다. 정정·삭제권은 제36조에 규정합니다. 제37조는 처리 정지와 동의 철회 권리를 규정합니다. 회사는 열람 요구를 받으면 기간 안에 열람하게 해야 합니다. 법은 열람 거부 사유를 제한합니다(제35조 제3항·제4항). 회사는 삭제할 때 복구나 재생이 안 되게 조치해야 합니다(제36조 제3항). 동의 철회 시 지체 없이 복구 불가능하게 파기해야 합니다(제37조 제3항). 권리 행사 절차는 수집 절차보다 어려워서는 안 됩니다(제38조 제4항). 회사는 거절에 이의를 제기할 절차를 마련해 안내해야 합니다(제38조 제5항). 분쟁은 개인정보 분쟁조정위원회가 조정합니다(제40조). 침해 신고 전화는 118입니다. 조정 문의 전화는 1833-6972입니다.
근거등급: A
출처: 개인정보 보호법 제35조·제36조·제37조·제38조·제40조 https://www.law.go.kr/법령/개인정보보호법/제35조; 개인정보분쟁조정위원회 https://www.kopico.go.kr; 민사소송법 제98조·제109조 https://www.law.go.kr/법령/민사소송법/제109조
비고: 회원 탈퇴와 개인정보 삭제는 별개입니다. 탈퇴 후 삭제를 따로 요구하세요. 폰을 바꾸거나 중고로 팔기 전에는 옛 폰에서 조치하세요. 모든 계정에서 로그아웃하세요. 연동도 끊은 뒤 초기화하세요. 법은 사후 삭제권을 보장합니다. 이미 새어 나간 정보를 되돌리지는 못합니다.

9. 얼굴인식은 거부할 수 있는 게 원칙입니다. 생체정보는 민감정보라 별도 동의를 받아야 합니다

비용: 돈이 들지 않습니다. 얼굴인식을 요구받으면 다른 방법은 없는지 물어보세요. 어려운 점은 그 한마디를 입 밖에 내는 데 있습니다.
쉽게: 얼굴인식으로 뽑은 정보는 민감정보입니다. 다른 개인정보 처리 동의와 별도로 동의를 받아야 합니다. 통합 동의창에 섞어 두면 안 됩니다. 동의를 철회하면 바로 지워 달라고 요구할 수 있습니다.
이득: 특정 개인을 알아보려고 신체·생리·행동 특징을 기술적으로 처리한 정보입니다. 법령은 이런 정보를 민감정보로 정합니다. 근거: 「개인정보 보호법」 시행령 제18조 제3호. 민감정보를 처리하려면 다른 개인정보와 별도로 동의를 받아야 합니다. 근거: 「개인정보 보호법」 제23조 제1항. 동의를 철회하면 정보를 지체 없이 파기해야 합니다. 복구할 수 없도록 지워야 합니다. 근거: 같은 법 제37조 제3항. 개인정보보호위원회 「생체정보 보호 안내서」는 회사가 할 일로 세 가지를 더 듭니다. 얼굴 말고 다른 확인 수단을 마련하고, 저장할 때 암호화하고, 원본 정보는 다른 개인정보와 따로 보관하라는 것입니다. 이용자는 다른 생체정보나 적절한 대체 수단을 요구할 수 있다고도 적습니다.
근거등급: A
출처: 개인정보 보호법 제23조·제37조 https://www.law.go.kr/법령/개인정보보호법/제23조; 개인정보 보호법 시행령 제18조 https://www.law.go.kr/법령/개인정보보호법시행령/제18조; 개인정보보호위원회 「생체정보 보호 안내서」(2024.12.) https://www.privacy.go.kr/cmm/fms/FileDown.do?atchFileId=ATCH_000000000900657&fileSn=1
비고: 얼굴인식은 출입문, 헬스장, 사무실 출퇴근, 호텔 체크인에 자주 쓰입니다. 시스템이 얼굴만 지원한다고 하면 대체 수단을 요구하세요. 안내서는 출입·출퇴근 관리라면 출입카드나 비밀번호, 대면 확인을 대체 수단으로 듭니다. 다만 한국에는 다른 수단이 있어도 얼굴만 쓰는 경우를 직접 금지하는 조문이 없습니다. 안내서는 강제 규범이 아닙니다. 그래서 실제로 다툼이 벌어지기까지 시간이 걸립니다. 얼굴정보가 유출돼도 얼굴은 비밀번호처럼 바꿀 수 없습니다. 비밀번호보다 조심해서 다루세요. 다투게 되면 개인정보침해신고센터(118)에 신고할 수 있습니다. 분쟁조정위원회(1833-6972)에 조정을 신청할 수도 있습니다. 열람·삭제권은 제8항(열람·정정·삭제)을 보세요. 남의 대출을 위해 얼굴인증을 대신해 주는 문제는 제8절(법적 말썽에 휘말리지 않기)에서 다룹니다.

10. 출처를 알 수 없는 "AI 중개 사이트"에 코드·키·개인정보를 맡기지 마세요. AI가 명령을 자동 실행하게 둘 때는 특히요

비용: 정식 서비스는 보통 중개보다 비쌉니다. 충전도 불편합니다. 중개는 저렴한 가격으로 이용자를 끌어들입니다. 한 곳에서 여러 모델을 쓸 수 있다는 점도 매력입니다.
쉽게: 중개 사이트는 이용자와 모델 회사 사이에서 작동합니다. 중개 사이트는 이용자가 보낸 내용과 답변을 모두 봅니다. 내용을 고칠 수도 있습니다. 연구팀은 중개 사이트 400여 곳을 조사했습니다. 9곳이 답변에 악성 코드를 섞었습니다. 17곳은 연구자가 일부러 노출한 클라우드 키를 사용했습니다. AI가 명령을 자동 실행하면 조작된 명령도 그대로 실행합니다. 명령 하나만 바뀌어도 기기 전체의 제어권을 빼앗길 수 있습니다.
이득: 캘리포니아대 샌타바바라 캠퍼스 등의 연구자가 조사했습니다. 조사는 2026년에 진행했습니다. 연구팀은 유료 중개 28곳의 서비스를 구매했습니다. 무료 중개 400곳도 모았습니다. 유료 서비스는 중국 쇼핑몰·중고거래 플랫폼(타오바오, 셴위)과 해외 온라인 상점에서 구매했습니다. 무료는 공개 커뮤니티에서 모았습니다. 유료 1곳과 무료 8곳은 응답 속 도구 호출에 악성 코드를 심었습니다. 도구 호출은 AI가 내 컴퓨터에서 실행하는 명령입니다. 패키지 설치가 한 예입니다. 2곳은 시점을 골라 공격했습니다. 논문에는 완전 자동 세션에서만 공격한 사례가 나옵니다. 17곳은 연구자가 일부러 노출한 클라우드 서비스 키를 사용했습니다. 1곳은 연구자 지갑의 이더리움을 옮겼습니다. 지갑에 든 돈이 아주 적어 피해는 50달러 미만이었습니다. 공격은 눈에 띄지 않았습니다. 설치 명령에서 requests를 철자가 비슷한 reqeusts로 바꿨습니다. 눈으로 구별하기 어렵습니다. 중개를 거칠 때는 AI가 명령을 자동 실행하게 두지 마세요. 실행할 명령을 먼저 읽으세요. 개인정보보호위원회도 2026년 5월 이용자 가이드를 발표했습니다. 위원회는 대화를 학습에 쓰지 못하도록 설정하라고 권합니다. 대화 기록도 삭제하라고 안내합니다. 주민등록번호·여권번호·계좌번호·비밀번호·인증코드는 아예 입력하지 말라고 권합니다. 가족이나 동료처럼 다른 사람의 정보를 넣을 때도 조심하라고 안내합니다.
근거등급: B
출처: Liu H, Shou C, Wen H, Chen Y, Fang RJ, Feng Y. (2026). Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain. arXiv:2604.08407. https://arxiv.org/abs/2604.08407; 개인정보보호위원회 보도자료(2026.5.19.) https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12084; 개인정보보호위원회 「생성형 AI 서비스 이용자를 위한 개인정보 보호 가이드」(2026.5.) https://pipc.go.kr/np/cmm/fms/FileDown.do?atchFileId=FILE_000000000560841&fileSn=2; 한국인터넷진흥원 보호나라 「AI 개발도구 위장 악성코드 유포 주의 권고」(2026.7.16.) https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205020&nttId=72133
비고: 연구는 하나뿐이며 아직 공식 출판 전입니다. 이를 고려해 근거등급을 B로 낮췄습니다. 조사 대상은 대부분 무료 중개였습니다. 유료 중개는 28곳뿐입니다. 전체 중개 중 악성 중개가 차지하는 비율은 계산할 수 없습니다. 언론 일부는 지갑 도난 피해를 50만 달러로 보도했습니다. 다만 논문 본문에 나온 피해는 50달러 미만입니다. 피해 규모를 기준으로 이득을 중으로 평가했습니다. 키와 코드를 도둑맞았을 때 손해 규모는 상황마다 다릅니다. 연구는 손해 금액 데이터를 제시하지 않았습니다. 한국인터넷진흥원(KISA) 보호나라 보안공지에서는 중개 사이트를 직접 다룬 경보를 찾지 못했습니다. 2026년 10월 20일에 'AI', '중개', '프록시'로 검색했습니다. 가까운 경보는 2026년 7월 16일 「AI 개발도구 위장 악성코드 유포 주의 권고」입니다. KISA는 AI 보조도구를 공식 배포처에서만 받으라고 권합니다. 중개를 썼다면 모델 회사에서 사용한 키를 폐기하세요. 새 키를 만들어 쓰세요. 클라우드와 코드 저장소 키도 함께 바꾸세요. 이 조심으로 얻는 이득은 주로 본인에게 돌아옵니다.

TODO 확인 필요

한국 정부·기관의 'AI 중개(릴레이) 사이트' 겨냥 공식 경보 — 2026-10-20 KISA 보호나라 보안공지 검색으로는 찾지 못했다. 국가사이버안보센터 등 다른 기관은 확인하지 않았다. 경보가 나오면 항목 10에 추가.