“고객님의 CI가 유출됐습니다”라는 안내를 받고 당황하셨나요? CI 유출은 카드처럼 바로 정지할 수 없어 더 막막합니다. 돈이 즉시 빠지진 않지만 방치하면 표적 피싱의 먹잇감이 됩니다. CI 유출 대응 방법을 우선순위대로 정리했습니다.
결론 먼저 — CI 유출, ‘천천히 오는 위험’이라 더 무섭다
2026년 6월 티빙 이용자 정보 유출, 2025년 롯데카드 유출이 잇따라 알려지면서 ‘CI 유출’이라는 단어가 갑자기 뉴스에 등장했습니다. 카드번호가 털리면 카드를 정지하면 되는데, CI는 그럴 수가 없습니다.
핵심부터 말하면 이렇습니다. CI 유출만으로 통장에서 돈이 곧장 빠져나가지는 않습니다. 하지만 CI는 평생 안 바뀌는 값이라, 시간이 지나면서 다른 유출 정보와 결합돼 맞춤형 스미싱·보이스피싱·계정 탈취의 연결고리가 됩니다. 그래서 ‘당장 큰일’이 아니라 ‘꾸준히 관리해야 할 위험’으로 봐야 합니다.
대응의 방향도 여기서 갈립니다. CI 자체는 못 바꾸니, CI와 결합되는 다른 정보(비밀번호·인증·연락처 반응)를 지키는 것이 진짜 방어입니다.
CI가 뭐길래 — ‘온라인 주민번호’라 불리는 이유
CI(연계정보, Connecting Information)는 주민등록번호를 한 방향으로 암호화(해시)한 88바이트짜리 값입니다. 본인확인기관(NICE·KCB 등)이 만들어 각 서비스에 넘겨주는, 일종의 ‘온라인용 식별번호’입니다.
문제는 이 값의 두 가지 성질입니다. 첫째, 모든 사이트에서 똑같습니다. 티빙에서의 내 CI와 쇼핑몰에서의 내 CI가 같은 값입니다. 둘째, 주민번호가 바뀌지 않는 한 평생 고정입니다. 비밀번호처럼 새로 바꿀 수 있는 게 아닙니다. 이 두 성질 때문에 ‘온라인 주민번호’라는 별명이 붙었습니다.
CI를 더 깊이 이해하고 싶다면 본인확인 내역을 직접 조회하는 방법까지 함께 보면 좋습니다.
CI vs DI, 한 줄 차이
비슷해 보이는 DI(중복가입확인정보)와는 결정적으로 다릅니다.
| 구분 | CI (연계정보) | DI (중복가입확인정보) |
|---|---|---|
| 같은 사람이면 | 모든 사이트에서 동일 | 사이트마다 다름 |
| 쓰임 | 서비스 간 동일인 식별·연동 | 한 서비스 내 중복가입 방지 |
| 비유 | 어디서나 통하는 ‘주민번호’ | 그 학교에서만 쓰는 ‘학번’ |
DI는 사이트마다 값이 달라 유출돼도 피해가 그 사이트 안에 갇힙니다. 반면 CI는 어디서나 같으니, 한 곳에서 새면 여러 서비스가 ‘같은 사람’으로 엮일 수 있습니다. CI 유출이 더 신경 쓰이는 이유가 바로 이것입니다.
CI 유출이 위험한 진짜 이유 — 흩어진 ‘나’가 한 명으로 합쳐진다
평소 우리는 티빙, 쇼핑몰, 카드사, 포털에 따로따로 가입해 씁니다. 공격자 입장에서는 이 계정들이 서로 남남으로 흩어져 있습니다. 그런데 CI가 유출되면, 같은 CI를 가진 여러 데이터베이스를 한 인물 프로필로 결합할 수 있게 됩니다.
이렇게 결합된 프로필은 표적 공격의 재료가 됩니다. 예를 들어 “고객님, OO서비스 결제 할인 안내”처럼 내가 실제로 쓰는 서비스 이름을 정확히 넣은 스미싱이 날아옵니다. 받는 사람은 “내가 진짜 쓰는 서비스네?” 하고 방심하게 됩니다. AI로 문구가 정교해지면서 이런 맞춤형 공격은 더 그럴듯해지고 있습니다.
다만 과하게 겁먹을 필요는 없습니다. CI는 그 자체로는 ‘누구인지’를 알려주지 않습니다. 이름·연락처 같은 다른 정보와 결합돼야 개인이 특정됩니다. 그래서 대응의 핵심은 ‘CI 자체’가 아니라 ‘CI에 붙는 정보와 내 반응’을 지키는 데 있습니다.
유출됐을 때 지금 당장 할 일 5가지
안내를 받았거나 내가 쓰던 서비스가 유출 사고를 냈다면, 아래 순서대로 처리하세요.
- 해당 서비스 비밀번호를 바꾸고, 같은 비번을 쓰던 다른 사이트도 전부 변경합니다. CI 유출의 실질적 위험은 비밀번호 재사용에서 터집니다. 한 사이트가 털리면 같은 비번을 쓴 모든 사이트가 함께 위험해집니다.
- 2단계 인증(2FA)을 켭니다. 비밀번호가 새도 휴대폰 인증이라는 두 번째 잠금이 있으면 계정 탈취를 크게 막을 수 있습니다. 가장 가성비 좋은 방어입니다.
- 가능하면 탈퇴 후 재가입을 고려합니다. 일부 서비스는 재가입 시 CI 연계가 갱신돼, 기존 유출 값과의 연결을 끊는 효과를 기대할 수 있습니다. 꼭 필요한 서비스에 한해 판단하세요.
- 내가 가입한 서비스 목록을 점검합니다. 어디에 무엇이 연결돼 있는지 알아야 2차 피해를 예측할 수 있습니다. 본인확인 내역 조회 서비스를 쓰면 흩어진 가입 흔적을 한 번에 볼 수 있습니다.
- 유출 후 날아오는 문자·전화는 응답·클릭하지 말고, 공식 채널로만 확인합니다. 유출 직후가 피싱이 가장 몰리는 시기입니다. 링크를 누르거나 전화 안내대로 따라 하지 말고, 앱이나 공식 홈페이지로 직접 들어가 확인하세요.
유출 안내 문자, 진짜와 가짜 구분법
유출 사고 뒤에는 ‘안내’를 가장한 피싱이 함께 옵니다. 다음 신호가 보이면 일단 의심하세요.
- 문자 안에 단축 URL이나 낯선 링크가 들어 있고 클릭을 유도한다 → 공식 안내는 보통 링크 클릭이 아니라 앱·공식 사이트 접속을 안내합니다.
- “지금 바로”, “오늘까지”처럼 급하게 몰아붙인다 → 시간 압박은 피싱의 단골 수법입니다.
- 비밀번호, 인증번호, 계좌·카드번호를 문자나 통화로 직접 요구한다 → 정상 기관은 이런 정보를 그렇게 받지 않습니다.
조금이라도 의심되면 그 문자에 답하지 말고, 해당 서비스 고객센터 공식 번호로 직접 전화해 사실 여부를 확인하세요. 피싱이 의심되면 경찰청·금융감독원 등 공식 신고 창구를 이용하면 됩니다.
기업이 해야 하는 일은 따로 있다
유출은 결국 서비스 운영사의 책임 영역이 큽니다. 개인정보보호법상 사업자는 유출을 인지하면 빠른 시간 안에 규제당국·전문기관에 신고하고 이용자에게 개별 통지해야 하며, 대규모일 경우 홈페이지 공지도 병행해야 합니다. 통지 기한이나 신고처는 사안에 따라 달라질 수 있어, 실제 절차는 공식 가이드로 확인하는 것이 정확합니다.
이용자로서 기억할 점은 하나입니다. 정식 통지는 ‘확인’을 요청하지 ‘정보 입력’을 요구하지 않습니다. 입력을 요구하면 십중팔구 사칭입니다.
마무리 — 못 바꾸는 값일수록 습관으로 막는다
CI는 한 번 정해지면 내가 바꿀 수 없는 값입니다. 그래서 ‘CI를 지킨다’는 접근은 애초에 성립하기 어렵고, CI에 결합되는 정보와 내 행동을 관리하는 것이 현실적인 방어입니다. 비밀번호 재사용 끊기, 2단계 인증, 유출 후 사칭 경계 — 이 세 가지 습관이 CI 유출의 실질적 피해를 막아줍니다.
뉴스에 ‘CI 유출’이 또 등장해도 흔들리지 않으려면, 평소에 위 습관을 깔아두는 게 가장 확실합니다. 결제 단계의 2차 피해를 줄이는 가상카드, 기기 단의 개인정보 최소화까지 함께 챙기면 방어막이 한층 두꺼워집니다.
자주 묻는 질문
Q. CI가 유출되면 돈이 바로 빠져나가나요?
아닙니다. CI는 주민번호를 해시한 식별값일 뿐, 그 자체로 결제 권한이 없습니다. 다만 이름·연락처 등 다른 유출 정보와 결합되면 표적 피싱·계정 탈취의 매개가 되므로, 비밀번호 변경과 2FA로 결합 경로를 차단하는 것이 중요합니다.
Q. CI는 비밀번호처럼 새로 바꿀 수 없나요?
일반적으로 개인이 임의로 바꿀 수 없습니다. CI는 주민번호를 기반으로 생성돼 주민번호가 바뀌지 않는 한 고정됩니다. 그래서 일부 서비스에서 탈퇴 후 재가입으로 연계를 갱신하는 정도가 현실적인 선택이며, 근본 대응은 ‘CI에 붙는 정보’를 지키는 쪽입니다.
