개인정보 유출 사고 대응 매뉴얼

2018. 02.

한약진흥재단

	목 차
Ⅰ. 개요 1 Ⅱ. 유출사고 대응팀 설치 및 운영 4 Ⅲ. 유출 원인 파악 및 추가 유출 방지 조치 8 Ⅳ. 개인정보 유출 신고 및 통지 11 Ⅴ. 피해 구제 및 재발 방지 대책 마련 18 Ⅵ. 사고 예방 23 Ⅶ. 침해 유출 사고 대응 매뉴얼 교육 및 전파 24 ※ 붙임 서식 25 ※ 참고 34

	< 개인정보 유출 대응 절차(요약) >

Ⅰ		개요

1. 목적

「개인정보 침해․유출 사고 대응매뉴얼」은 과실 및 오․남용 또는 외부 해킹 등으로 한약진흥재단(이하 재단) 내부의 개인정보에 대한 침해․유출 사고가 발생할 경우, 체계적이고 신속한 대응을 통하여 피해를 최소화 하고자 함.

2. 적용범위

○ 재단에서 처리하는 모든 개인정보 및 그 개인정보를 취급하는 개인정보취급자(외부인력 포함)의 침해․유출 사고

○ 개인정보 오․남용 등 내․외부 침해․유출 요인으로 인한 재단의 개인정보 침해․유출 사고가 발생할 경우 적용

3. 용어 정의

○ “개인정보 유출”이란 ① 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우 ② 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자기 접근한 경우 ③ 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우 ④ 기타 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우를 말한다.

○ “개인정보 노출“이란 일반 인터넷 이용자가 해킹 등 특별한 방법을 이용하지 않고, 정상적으로 인터넷을 이용하면서 타인의 개인정보를 취득할 수 있도록 인터넷에 방치되는 경우를 말한다.

○ “침해․유출사고”란 개인정보의 유출, 비인가된 접근, 정보시스템의 오남용, 비인가된 시스템 사용 또는 사용자의 계정 도용, 악성코드 유입 및 실행, 정보 서비스의 방해뿐만 아니라 해킹사고와 바이러스 사고를 포함한다. 침해․유출사고 대응팀은 본 침해․유출사고의 범위에 정의된 사고를 중심으로 대응조치를 취하도록 한다.

○ “침해․유출사고 대응팀”이란 개인정보 유출, 해킹 또는 바이러스 사고 발생에 따른 사고의 분석, 처리지원, 사후 복구, 사후 예방조치 등을 주요 업무로 하는 개인정보보호 담당부서를 말한다.

○ “개인정보 보호책임자”는 개인정보보호법 제31조에 의거 개인정보보호 업무를 총괄하고, 침해․유출사고 대응체계를 수립하다.

○ “개인정보 보호담당자”는 침해․유출사고와 관련된 내용을 숙지하고, 침해․유출사고 발생 시 본 지침에 따라 대응한다.

○ “개인정보취급자 및 일반직원”은 침해․유출사고와 관련된 내용을 숙지하고, 침해․유출사고가 발생하는 경우, 침해․유출사고 대응매뉴얼에 따라 조치하고, 개인정보 보호책임자 또는 개인정보 보호담당자에게 보고하여야 한다.

4. 관련법규

□ 관련 법령

○ 「개인정보보호법」

○ 「개인정보보호법시행령」 (대통령령 제27522호)

○ 「국가사이버안전관리규정」(대통령훈령 제316호)

○ 「정보통신기반보호법」

○ 「전자정부법」

□ 기타

○ 「표준 개인정보보호 지침」(행정자치부고시 제2016-21호)

○ 「개인정보의 안전성 확보조치 기준」(행정자치부고시 제2016-35호)

○ 「보건복지부 개인정보보호 기본지침」

○ 「한약진흥재단 개인정보보호 기본지침」

5. 사고유형

사고 유형	내 용	인지 경로
□ 과실로 인한 개인정보 침해	•정보주체의 동의 또는 법적근거 없이 개인정보를 제3자에게 제공하는 등 개인정보의 관리(수집·저장·이용·파기)가 미흡하여 정보주체에게 침해를 주는 경우	①모니터링 ②점검 ③침해신고 등
□ 과실로 인한 개인정보 유･노출	•개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실 또는 도난 당한 경우 •권한이 없는 자에게 개인정보를 잘못 전달한 경우
□ 오･남용으로 인한개인정보 유출	•개인정보 부당이용 또는 사적유용을 목적으로 유출하는 경우
□ 외부 침투에 의한개인정보 유출	•홈페이지 해킹 등 외부 침투에 의해 정보주체의 개인정보가 유출되는 경우	①시스템관리부서 ②외부접수 등

Ⅱ		유출사고 대응팀 설치 및 운영

◇ 개인정보 유출 사실을 알게 된 경우, 개인정보보호책임자는 즉시 CEO에게 보고하고 개인정보보호‧정보보호 부서를 중심으로 「개인정보 유출 신속대응팀」을 구성하여, 추가 유출 및 이용자 피해발생 방지를 위한 조치를 강구하여야 함

1. 목적

재단에서 운영되는 홈페이지, 개인정보처리시스템, 업무처리 시스템 및 전산망에 대한 유출사고 대응 활동을 지원하고 대외 유출사고 대응기관과 사고대응체계를 구축하여 급증하는 유출사고에 효율적으로 대응하는데 있음

2. 개인정보 유출 신속대응체계 구축 및 운영

※ 개인정보 유출사실 CEO 보고(정보통신망법 제27조제4항,’16.9.23.시행)

○ (전직원·취급자) 개인정보 유출사실을 발견하거나 의심스러운 정황을 알게된 경우에는 즉시 개인정보보호 담당자에게 전화, 이메일 등으로 신고

○ (개인정보보호 담당자) 신고를 받은 후 즉시 유출사실을 확인할 수 있는 부서에 유출사실, 규모, 경로 등 확인을 요청하고, 개인정보보호 책임자에게 전화, 이메일 등으로 신속하게 유출사실과 대응상황을 보고

○ (개인정보보호 책임자) 현재까지 파악된 상황을 CEO에게 신속하게 보고하고 새로운 상황이 발생될 때마다 수시로 보고해야 하며, 개인정보 유출이 확인되면 즉시 「개인정보 유출 신속대응팀」 소집

○ (CEO) 전체 대응방향을 결정하고 「개인정보 유출 신속대응팀」을 중심으로 유관부서가 유기적으로 대응하여 추가 피해가 발생하지 않도록 지휘

조직별	담당자	담당 업무
개인정보 보호책임자	경영지원본부장	•유출 사고대응 총괄 지휘 •개인정보 유출대응 신속대응팀 구성·운영
침해․유출사고 대응팀	개인정보보호담당자, 전산보안책임자, 전산보안담당자, 기타 협조부서	•유출 사고 인지․접수 •유출 사고대응 절차 수립 •유출 사실 확인조사 실시 •사고내용 세부조사가 필요한 경우 유관부서와 협조
사고 발생부서	사고 발생 해당 부서장	•유출의 경우, 유출사고 대응팀에 사고내용 신고 •정보주체에게 유출사실 통지 •행정자치부 또는 전문기관에 유출통지 신고 •유출사고 대응팀과 협력하여 사고처리
고객지원 부서	대외홍보팀	•정부, 언론사, 이용자 민원 대응 •이용자 피해구제 및 분쟁조정 기구 안내
전직원	전부서	•개인정보 유출 확인 시 부서장 또는 개인정보보호 부서에 신고 •침해사고 발생 확인 시 부서장 또는 정보보호 부서에 신고 •개인정보 유출 신속 대응팀 요청에 따른 유출대응 지원
사고신고자	해당 피해자	•개인정보를 침해 받은 피해자

<업무분장>

3. 조직체계 및 비상연락체계

□ 조직체계

□ 비상연락체계

① 침해․유출사고 대응팀 연락망

조직별	담당자	전화번호	이메일
개인정보보호 책임자	천종필 부장	053-810-0231	jpcheon@nikom.or.kr
개인정보보호 담당자	박범민	053-810-0250	webpy@nikom.or.kr

② 유관 공공기관 연락망

구 분	전화번호	팩스번호	전자우편	인터넷 사이트
행정안전부	02-2100-3361	02-2100-3363	friend8@korea.kr	www.privacy.go.kr
보건복지부	044-202-2230	044-202-3910	prise@korea.kr	www.mohw.go.kr
한국인터넷진흥원	118	02-405-5229	118@kisa.or.kr	privacy.kisa.or.kr
보건복지 사이버안전센터	02-3146-8340	02-3146-8399	hcert@hcsc.go.kr	www.ssis.or.kr

4. 대응 대상

재단의 홈페이지, 개인정보·처리시스템 및 업무처리시스템을 대상으로 해킹/바이러스 사고 예방 및 대응 업무를 수행한다.

○ 홈페이지 및 시스템

구분	시스템	부서	URL
홈페이지	재단 홈페이지	대외홈보팀	www.nikom.or.kr
개인정보 처리시스템	천연물물질은행 홈페이지	한의신약팀	www.npbank.kr
	한방바이오소재은행 홈페이지	응용제품팀	www.ohbcbank.kr

Ⅲ		유출 원인 파악 및 추가 유출 방지 조치

◇ 개인정보 유출원인을 파악한 후 추가 유출 방지를 위해 유출 원인별 보호조치 실시

1. 해킹의 경우

○ (긴급 조치) 해킹 등 침해사고 발생으로 인해 개인정보가 유출된 사실을 알게 된 경우에는 개인정보 추가 유출 방지를 위한 대책을 마련하고 피해를 최소화할 수 있는 조치를 강구

- 추가 유출 방지를 위해 시스템 일시정지, 이용자 및 개인정보취급자 비밀번호 변경*, 유출 원인 분석, 기술적 보안조치 강화, 시스템 변경, 기술지원 의뢰 및 복구 등과 같은 긴급조치를 시행

* 일방향 암호화되지 않은 비밀번호가 유출된 경우에는 비밀번호를 변경하지 않으면 이용할 수 없도록 하고, 일방향 암호화된 비밀번호가 유출된 경우에도 비밀번호 변경을 유도하여 추가 피해 예방에 노력

- 개인정보 유출의 직접‧간접적인 원인을 즉시 제거하고, 미비한 보호조치 부분을 파악하여 보완

○ (필요시 기술지원 요청) 기술력 등의 한계로 자체 긴급조치가 어려운 경우 한국인터넷진흥원에 기술지원을 요청할 수 있음

기술지원 내용

개인정보가 유출되었을 것으로 의심되는 개인정보처리시스템의 접속권한 삭제·변경 또는 폐쇄 조치 지원

네트워크, 방화벽 등 대·내외 시스템 보안점검 및 취약점 조치 지원

향후 수사 등에 필요한 접속기록 등 증거 보존 조치 지원

☞ 참고1 : 해킹에 의한 개인정보 유출 시 조치사항

2. 내부자 유출의 경우

○ 개인정보 유출자가 개인정보처리시스템에 접속한 이력 및 개인정보 열람‧다운로드 등 내역을 확인

○ 개인정보 유출자의 개인정보처리시스템에 대한 접근형태가 정상인지 비정상인지 여부를 확인하고, 비정상적인 접속인 경우 우회경로를 확인하여 접속을 차단

○ 개인정보취급자의 개인정보처리시스템 접속계정, 접속권한, 접속기록 등을 검토하여 추가적인 유출 여부를 확인

○ 개인정보 유출에 활용된 단말기(PC, 스마트폰 등)와 매체(USB, 이메일, 출력물 등)를 회수하고, 수사기관과 협조하여 유출된 개인정보를 회수하기 위한 모든 방법을 강구

3. 이메일 오발송의 경우

○ 이메일 회수가 가능한 경우에는 즉시 회수 조치하고, 불가능한 경우에는 이메일 수신자에게 오발송 메일의 삭제를 요청

○ 메일서버 외 첨부파일서버(대용량 메일 등)를 이용하는 경우 첨부파일서버 운영자에게 관련 파일의 삭제를 요청

4. 개인정보가 외부에 노출된 경우

○ (외부 검색엔진을 통한 노출의 경우) 노출된 사업자의 웹페이지 삭제를 검토하고, 검색엔진에 노출된 개인정보 삭제를 요청하여야 하며, 필요시 로봇배제 규칙을 적용하여 외부 검색엔진의 접근을 차단

○ (관리자 페이지에 접속하여 노출된 경우) 관리자의 접속 IP를 제한하고, 소스코드를 수정하여 사용자 인증 절차를 추가

○ (개인정보취급자 부주의로 인한 노출의 경우) 게시글 및 첨부파일 내 개인정보 노출 부분을 마스킹(* 처리)하여 다시 게시

5. 단계별 조치방법

단계	조치 방법	세부 조치 사항
확인 단계	①사고 인지․접수	•침해․유출 사고 상황 파악 •개인정보 보호책임자에게 보고 •침해․유출사고 대응팀 설치
	②확인조사 실시	•침해․유출 사고 내용(원인, 규모 등) 세부조사 - 법령 위반사실 증빙자료 취합
	③피해 확산 여부 확인	•확인조사 결과에 따른 분석을 통해 추가 유출가능성 및 피해 확산 여부 확인 •홍보실과 공조하여 해명 보도 자료 등 배포
조치 단계	④유출통지	•정보주체에게 5일 이내 통지
	⑤유출통지 신고	•행정안전부 또는 전문기관에 5일이내 신고
	⑥사례전파 및 시스템 보완	•기술적, 관리적 보완조치
	⑦세부조사 및 조치	•국가정보원(국가사이버안전센터, 보건복지사이버안전센터)에 세부조사 의뢰

Ⅳ		개인정보 유출 신고 및 통지

1. 침해사고 신고

가. 경찰청(사이버 안전국)에 수사 요청

○ 개인정보 유출로 인한 피해를 막기 위해서는 해커 등 개인정보 유출자 검거 및 개인정보 회수를 위한 조치가 선행되어야 함

○ 개인정보 유출사실을 알게 된 경우에는 즉시 경찰청 사이버 안전국에 범인 검거를 위한 수사를 요청하고 유출된 개인정보 회수를 위한 조치 실시

※ 사이버범죄 신고 :　경찰청 사이버안전국 / 사이버범죄신고‧상담 / 사이버범죄신고하기

나. 한국인터넷진흥원(보호나라)에 침해사고 신고

○ 인터넷 상 침해사고가 발생하면 즉시 한국인터넷진흥원에 신고하여 침해사고 원인분석 및 취약점 보완조치 등을 실시

※ 침해사고 신고 : KISA 보호나라 / 상담 및 신고 / 해킹 사고, ☏ 국번없이 118

2. 개인정보 유출 신고

○ (신고 시점) 개인정보의 유출사실*을 알게 된 경우 즉시(24시간 이내) 개인정보 유출사실을 한국인터넷진흥원에 신고

※ 개인정보보호법(1만건 이상)과는 달리 개인정보 유출 규모와 관계없이 신고하여야 함

- 구체적인 내용이 확인되지 않은 경우에는 그 때까지 확인된 내용을 중심으로 우선 신고하고, 추가로 확인되는 내용은 확인되는 즉시 신고

※ 구체적 사실관계 파악을 이유로 신고를 지연하는 경우에는 3천만원 이하의 과태료가 부과될 수 있음

○ (신고 항목) 개인정보 유출 신고를 할 때에는 ① 유출된 개인정보 항목, ② 유출이 발생한 시점, ③ 이용자가 취할 수 있는 조치, ④ 정보통신서비스 제공자등의 대응조치, ⑤ 이용자가 상담 등을 접수할 수 있는 부서 및 연락처를 명시

신고 항목	유의사항
①유출된 개인정보 항목	․유출된 개인정보 항목을 모두 기재해야 하며, ‘등’과 같이 일부 생략하거나 휴대전화번호와 집 전화번호를 ‘전화번호’로 기재하여서는 안됨 ․유출된 개인정보의 모든 항목을 적어야 하며, 유출 규모도 현 시점에서 파악된 내용을 모두 작성
②유출이 발생한 시점	․유출시점, 인지시점을 명확히 구분하여 날짜 및 시간 모두 작성해야 하며, 유출경위와 인지경위를 작성해야 함
③이용자가 취할 수 있는 조치	․개인정보 유출로 발생 가능한 스팸 문자, 보이스피싱, 금융사기와 같은 2차적인 피해 방지를 위해 이용자가 할 수 있는 조치를 기재(예: 비밀번호 변경 등)
④정보통신서비스 제공자 등의 대응조치	․유출사실을 안 후 긴급히 조치한 내용과 향후 이용자의 피해구제를 위한 계획 및 절차를 기재 ex) 경찰에 신고, 일시적 홈페이지 로그인 차단(홈페이지 해킹일 경우) 등
⑤이용자가 상담 등을 접수할 수 있는 부서 및 연락처	․실제 신고 접수 및 상담이 가능한 전담 처리부서와 해당 담당자 연락처를 기재
⑥ 기타	․유출된 기관명, 사업자번호, 사업자 주소, 웹사이트 주소 기재

○ (신고 방법) 방송통신위원회와 한국인터넷진흥원이 운영 중인 “개인정보보호 포털”(www.i-privacy.kr)*을 통해 해당 시점까지 확인된 내용을 중심으로 신고

- 전화, 팩스, 이메일, 우편 등의 방법을 이용하는 경우에는 정확한 신고 접수 여부를 반드시 확인(신속한 신고-접수를 위해 “개인정보보호 포털” 활용)

※ 유출 신고 : 개인정보보호 포털/ 개인정보 신고/ 개인정보 누출 신고/ 사업자

<개인정보 유출 및 침해사고 신고 경로>

구 분		전화 번호	팩스 번호	전자 우편주소	인터넷 사이트
한국인터넷 진흥원	개인정보 유출	118	02-405-5229	118@kisa.or.kr	www.i-privacy.kr
	침해사고				www.krcert.or.kr

3. 개인정보 유출 통지

○ (통지 시점) 개인정보 유출시 침해사실을 인지한 시점으로부터 즉시(24시간 이내) 개인정보 유출사실을 이용자에게 통지

- 온라인의 경우 유출된 개인정보의 확산 속도가 빨라 피해가 가중될 수 있으므로 먼저 파악한 유출사실을 신속하게 통지하여 추가 피해를 방지

- 구체적인 내용이 확인되지 않은 경우에는 그 때까지 확인된 내용을 중심으로 우선 개별 통지하고, 추가로 확인되는 내용에 대해서는 확인되는 즉시 개별 또는 홈페이지를 통해 신속히 통지

※ 구체적 사실관계 파악을 이유로 이용자 통지를 지연하는 경우에는 3천만원 이하의 과태료가 부과될 수 있음

- 유출된 개인정보가 대규모여서 24시간 이내에 전체 통지가 기술적으로 불가능한 경우에는 우선적으로 홈페이지 팝업창 등을 통해 방문하는 이용자가 모두 알 수 있도록 현재까지 파악된 유출사실을 게시한 후 개별 통지를 병행하여야 함

※ 개인정보가 유출된 이용자가 유출사실을 신속히 인지한 후 대비할 수 있도록 가능한 모든 방법을 병행하여야 함

☞ 잘못된 대응사례①

o OO사는 이상 징후를 인지하고 5일 후, 개인정보 유출사실을 확인하고 2일 후부터 유출 통지를 실시함

o 침해사고로 추정되는 이상 징후를 알게 된 경우에는 즉시 미래창조과학부‧한국인터넷진흥원에 침해신고를 하여야 하고, 개인정보가 유출된 사실을 알게 된 경우에는 24시간 이내에 해당 이용자에게 유출 통지를 이행하여야 함

☞ 잘못된 대응사례②

o OO사는 해커에 의해 개인정보가 유출된 사실을 확인한 후 경찰청에 신고하였으나, 수사관으로부터 해커가 검거될 때까지는 유출 통지를 유보해 달라는 구두 요청을 받고 30일 이상 통지를 지연

o 해커 검거를 통해 유출된 개인정보를 회수하기 위해 반드시 필요한 경우로서 경찰청으로부터 공식 문서로 반드시 필요한 최소한의 기간 동안 유출통지 보류를 요청받은 경우에는 방송통신위원회에 유출 신고 후 협의하여야 하고 사유를 소명하여야 함

○ (통지 대상) 개인정보가 유출된 사실을 알게 된 경우에는 유출된 이용자 수, 유출된 개인정보의 유형에 관계없이 유출 통지 절차를 운영하여야 함

☞ 잘못된 대응사례①

o OO사는 개인정보 유출을 알게 된 후 유출된 이용자를 대상으로 유출통지를 실시하였으나, ‘아이디’, ‘아이디+일방향 암호화된 비밀번호’만 유출된 이용자에 대하여는 별도의 통지절차를 이행하지 않음

o 유출된 개인정보의 유형이 ‘아이디+비밀번호’만이더라도 별도 분리 보관되어 있는 연락처 정보 등을 활용하여 유출 통지를 진행해야 하고, 연락처가 없는 경우에는 홈페이지를 통해 30일 이상 게시하여야 함

☞ 잘못된 대응사례②

o OO사는 개인정보취급자가 업무상 e-메일을 보내면서 붙임 파일로 이용자 10여명의 인적사항이 담긴 파일을 다른 사람에게 잘못 보냈으나, 해당 파일에 담긴 이용자에게 별도의 유출 통지절차를 이행하지 않음

o 정보통신망법 제27조의3의 규정은 유출된 경우이면 그 수량과 관계없이 통지‧신고하여야 함

○ (통지 방법) 통지를 할 때에는 이용자가 실제로 확인 가능하도록 이용빈도가 높은 방법*을 우선 활용하여 통지

※ (예) 휴대전화번호를 보유하고 있는 경우에는 전화통화 및 문자를 통해 우선 통지하고, 곤란한 경우에는 이메일, 팩스, 우편 등의 방법을 활용

- 이용자의 연락처를 알 수 없는 등 정당한 사유가 있어 통지가 불가능한 경우에는 자신의 인터넷 홈페이지에 30일 이상 게시하여 접속하는 이용자가 알 수 있도록 유지하여야 함

※ 홈페이지에 게시할 때에는 ‘사과문’, ‘개인정보 유출 안내’ 등의 제목을 사용하되, 법정 통지사항이 모두 포함되어야 함

- 천재지변이나 그 밖에 정당한 사유로 홈페이지 게시조차 곤란한 경우에는 「신문 등의 진흥에 관한 법률」에 따른 전국을 보급지역으로 하는 둘 이상의 일반일간신문에 1회 이상 공고하여야 함

<홈페이지 개인정보 유출 통지문(예시)>

○ (유출 확인절차 마련) 홈페이지 등을 통해 개인정보 유출사실을 확인할 수 있는 절차를 마련하여 운영

- 홈페이지 구성 시에는 확인 과정에서 추가적인 개인정보 유출이 발생하지 않도록 웹 취약점을 제거한 후 운영하고, 전송구간 암호화(보안서버 구축 등)를 이행

- 본인확인을 명목으로 주민등록번호를 입력하도록 유도하는 것은 인터넷 상 주민번호 사용 제한에 반할 수 있음을 유의

☞ 잘못된 대응사례

o OO사는 개인정보 유출을 알게 된 후 자사 홈페이지를 통해 이용자가 자신의 개인정보가 유출되었는지 여부를 확인하는 페이지를 운영하였으나,

- 본인확인을 위해 이름과 주민등록번호를 입력하도록 하고, 전송구간 암호화 조치를 취하지 않음

o 본인확인을 위해 유출된 정보를 입력하도록 하는 것과 개인정보와 인증정보 전송구간 암호화 조치를 하지 않은 경우 추가적인 개인정보 유출의 위험이 발생할 수 있으므로,

- 유출 확인 페이지를 운영할 때에는 주민등록번호를 활용하지 않도록 하고, 전송구간 암호화 조치(보안서버 구축 등)를 반드시 이행하여야 함

Ⅴ		피해구제 및 재발방지 대책 마련

◇ 이용자 피해구제 방법 안내 및 유사 사고의 재발방지를 위해 대책 마련

1. 피해구제 안내

○ 정보주체에게 개인정보 침해․유출 피해에 대한 피해구제, 상담 등을 문의할 수 있음을 안내

<예시> 한약진흥재단의 개인정보 처리에 대한 불만, 피해구제 결과에 만족하지 못하거나 보다 자세한 도움이 필요하면 한약진흥재단 또는 아래 기관에 문의하여 주시기 바랍니다.

▶ 개인정보침해신고센터 : 118번 (한국인터넷진흥원 운영)

- 소관업무 : 개인정보 침해사실 신고, 상담 신청, 자료제공

▶ 개인정보분쟁조정위원회 : 118번 (한국인터넷진흥원 운영)

- 소관업무 : 개인정보 분쟁조정신청, 집단분쟁조정 (민사적 해결)

▶ 행정심판위원회 : 국민권익위원회(www.acrc.go.kr) 홈페이지 참조

2. 분쟁조정 신청

○ 개인정보보호위원회에 설치되어 있는 개인정보 분쟁조정위원회를 통해 개인정보 유출에 따른 분쟁조정 절차가 있음을 안내

※ 홈페이지(www.kopico.go.kr) 및 분쟁조정위원회에 우편(서울특별시 종로구 세종대로 209 정부서울청사 4층 개인정보 분쟁조정위원회) 또는 FAX(02-2100-2485) 이용

○ 신청사유

□ 특별한 제한을 두고 있지 않으므로 개인정보 처리와 관련하여 당사자 간에 분쟁이 있으면 신청 가능

○ 신청방법

□ 분쟁조정은 개인정보분쟁조정위원회에 방문, 전화, 팩스, 인터넷, 우편, 전자우편 등 다양한 수단으로 신청 가능

<개인정보 분쟁조정 절차>

3. 분쟁조정의 효력

○ 개인정보분쟁조정위원회의 조정 결정에 대히 신청인과 상대방이 이를 수락하여 조정이 성립된 경우에는 조정서를 작성하게 되며, 조정서의 내용은 개인정보보호법 제47조 제5항의 규정에 따라 “재판상 화해”(민사소송법상 확정판결과 동일한 효력)로 간주

□ 조정성립 후 당사자가 결정내용을 이행하지 않을 경우에는 법원으로부터 집행문을 부여받아 강제집행을 할 수 있는 효력이 있음

4. 피해구제 구성도

5. 손해배상 청구 및 책임

○ 개인정보 침해․유출 사고로 정보주체가 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있으며 개인정보처리자는 고의 또는 과실이 없음을 입증할 책임이 있음

※ 참고3 : 개인정보 유출에 따른 2차 피해 유형 및 대응요령 안내

6. 손해배상 책임의 성립요건

○ 개인정보 침해․유출 행위가 존재하고 위법할 것

○ 정보주체에게 손해가 발생하였을 것

○ 침해․유출 행위와 손해 발생 간에 인과관계가 있을 것

○ 개인정보처리자의 고의․과실 및 책임이 있을 것

7. 개인정보 유출 사고 전파

○ 개인정보 침해 발생을 인지한 경우 임직원 및 이해관계가 있는 사업자에게 개인정보 유출 상황을 전파하여 유사 피해가 발생할 수 있음을 전파하여야 함

○ 전파 시에는 한국인터넷진흥원과 협의를 통해 기 구축되어 있는 사업자 핫라인을 활용

○ 이용자에게 개인정보 유출로 인해 보이스피싱, 파밍 등 추가 피해가 발생할 수 있으므로 피해 방지를 위한 유의사항을 안내

- 금융감독원과 경찰청에서 합동으로 운영 중인 보이스피싱 지킴이 홈페이지의 대처요령을 참조하여 안내

8. 이용자 피해구제 관련 민원 대응 강화

○ 이용자 개인정보 유출 문의에 신속히 대응할 수 있도록 스크립트와 유출통지문을 작성하고 필요시 이용자 상담 회선을 증설

○ 전화, 이메일, 홈페이지, SNS 등 다양한 채널을 통해 이용자의 개인정보 유출사실, 유출경위를 확인할 수 있는 창구를 마련

○ 이용자에게 피해 발생에 따른 구제절차를 안내하고, 이용자의 요청이 있는 경우에는 별도의 “개인정보 유출 확인서” 발급 절차를 운영

9. 유출 원인분석 및 재발방지 대책 마련

○ 개인정보 유출 원인에 맞는 대책을 마련 및 유사 사고 재발 방지를 위해 개인정보보호 교육 실시

○ 개인정보 유출사고 시나리오 작성 및 모의훈련을 실시하여 개인정보 유출 대응체계 점검

○ 홈페이지의 취약점을 연 1회 이상 정기적으로 점검

○ 개인정보가 인터넷 상에 노출되는 것을 방지하기 위해 검색엔진의 로봇배제 규칙을 적용하여 홈페이지 접근 제한

- 홈페이지에 첨부파일을 포함한 게시글 작성시 개인정보 포함여부를 확인 및 이용자에게 게시글 작성 시 개인정보가 노출되지 않도록 주의할 것을 안내

- 관리자 페이지에 접근하는 IP제한 또는 VPN 등 안전한 접속수단 사용

<로봇배제 규칙 예시>

Ⅵ		사고예방

1. 사고예방 활동

○ 개인정보 침해․유출 사고를 대비하여 사정 사고예방 활동 실시

□ 개인정보보호 관리 현장 점검

□ 개인정보 오남용 및 불법사용 모니터링

□ 웹사이트 개인정보 노출여부 점검

2. 사고요인 점검

○ 수집단계에서의 침해․유출 사고요인 점검

□ 불필요한 개인정보 수집 여부 점검

□ 수집된 개인정보의 개인정보보호 처리방침 게재 여부 점검

□ 개인정보 수집 시 정보주체 동의 여부 점검

○ 저장 및 관리단계에서의 침해․유출 사고요인 점검

□ 수집된 개인정보 불법적인 유출 위협 상태

□ 수집 목적 달성 또는 보유기간 초과 여부

□ 권한관리 등 시스템 오류로 인한 개인정보 노출 위험 여부

□ 관리자 또는 이용자의 실수로 인한 개인정보 노출 위험 여부

○ 이용 및 제공단계에서의 침해․유출 사고요인 점검

□ 개인정보보호 처리방침에 명시되지 않은 위탁사업자나 제3의 서비스 제공자에게 개인정보 제공 여부

□ 개인정보를 제3자에게 양도 또는 불법적 거래 여부

○ 파기단계에서의 침해․유출 사고요인 점검

□ 수집 목적 달성 또는 보유기간 초과한 개인정보 파기 여부

□ 개인정보 적절한 파기 여부

○ 개인정보 특별점검 실시

□ 개인정보의 관리 미흡으로 개인정보 유출사고 발생 가능성이 우려되는 경우

Ⅶ		침해․유출사고 대응매뉴얼 교육 및 전파

1. 개요

○ 침해․유출사고에 대비하여 개인정보 취급자 대상 교육 및 모의훈련 실시, 재단 내 인트라넷 게시 및 문서전파로 효율적으로 대응할 수 있는 체계를 구축

2. 수단별 전파 계획

○ 교육

□ 시기 및 방법 : 연1회 개인정보보호 교육 시 병행 실시

□ 내용 : 침해․유출사고시 신고 및 조치방법, 유출통지 등 침해구제 방법, 업무분장 및 비상연락체계

□ 대상 : 개인정보취급자 및 일반직원

○ 모의훈련

□ 시기 및 방법 : 연1회 별도 시나리오 마련하여 실시

□ 내용 : 개인정보 침해 시 대응절차의 신속성 및 정확성

□ 대상 : 개인정보취급자 및 일반직원

○ 인트라넷 게시

□ 방법 : 재단 내 그룹웨어 게시판을 통한 게시

○ 문서전파

□ 재단 내 전자결재시스템을 통하여 전파 실시

[붙임 1]

유출통지 방법

구 분	내 용
통지대상	정보주체
통지방법	◯ 서면, 전파우편, FAX전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법 ◯ 위의 통지방법과 동시에 홈페이지 공개 가능 - 단, 통지 및 조치 후에도 1만명 이상의 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 7일 이상 통지내용을 게재
통지내용	◯ 유출된 개인정보의 항목 ◯ 유출된 시점과 그 경위 ◯ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 ◯ 개인정보처리자의 대응조치 및 피해 구제절차 ◯ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
통지시기	유출사실을 발견할 때로부터 5일 이내
통지연기	◯ 개인정보 유출확산방지를 위한 조치가 필요한 경우 연기 가능 - 개인정보가 유출되었을 것으로 의심되는 개인정보처리시스템의 접속권한 삭제·변경 또는 폐쇄 조치 - 네트워크, 방화벽 등 대·내외 시스템 보안점검 및 취약점 보완 조치 - 향후 수사에 필요한 외부의 접속기록 등 보존 조치 - 정보주체에게 유출 관련 사실을 통지하기 위한 유출확인 웹페이지 제작 등의 통지방법 마련 조치 - 기타 개인정보의 유출확산 방지를 위한 필요한 기술적·관리적 조치 ◯ 개인정보처리자는 위 각 항목의 조치를 취한 이후, 정보주체에게 다음 각 항목의 사실만 일차적으로 알리고 추후 확인되는 즉시 알릴 수 있음 - 정보주체에게 유출이 발생한 사실 - 통지내용 중 확인된 사항

개인정보 유출 표준 통지문안 (예시)

※ 부가설명 란에 필수사항은 <  >, 참고사항은 (  )로 표기 하였음

※ 필수사항이 확인되지 않아 통지문에 포함하지 않은 경우 추후 확인되면 반드시 추가 통지

※ 아래 예시를 참고하여 유출 상황에 적합하게 내용을 변경하여 활용

표준 통지문안 예시	부가 설명
개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.	<제목> - ‘유출 통지’ 문구 포함
귀하의 개인정보 보호를 위해 최우선으로 노력하여 왔으나, 불의의 사고로 귀하의 소중한 개인정보가 유출되었음을 알려 드리며, 이에 대하여 진심으로 사과를 드립니다.	(사과문) - 유출 통지 사실 알림 - 사과문을 먼저 표현
귀하의 개인정보는 ○○○○년 ○○월 ○○일 ○○○시스템 장애 처리를 위한 데이터 분석 과정에서 유지관리업체로 전달되었고, 유지관리업체는 자체 서버에 저장‧보관하다가 안전한 조치를 다하지 못해 ○○○○년 ○○월경 해커에 의한 해킹으로 유출되었습니다. 유출된 정확한 일시는 ○○○○○에서 현재 수사가 진행 중이며, 확인되면 추가로 알려 드리도록 하겠습니다.	<유출된 시점과 경위> - 유출된 시점과 경위를 누구나 이해할 수 있게 상세하게 설명 - ‘귀하’, ‘고객님’ 등으로 유출된 정보주체 명시 ※ 부적합한 표현 : 일부 고객, 회원정보의 일부 - 추가 확인된 사항은 반드시 추가로 통지
유출된 개인정보 항목은 이름, 아이디(ID), 비밀번호(P/W), 주민등록번호, 이메일, 연락처 등 총 6개입니다.	<유출된 항목> - 유출된 항목을 누락 없이 모두 나열 ※ ‘등’으로 생략하거나, ‘회사전화번호’ 및 ‘집전화번호’를 합쳐서 ‘전화번호’로 표시 안됨
유출 사실을 인지한 후 즉시 해당 IP와 불법접속 경로를 차단하고, 취약점 점검과 보완 조치를 하였습니다. 또한, 유지보수업체 서버에 있던 귀하의 개인정보는 즉시 삭제 조치하였습니다.	<개인정보처리자의 대응조치> - 접속경로 차단 등 예시된 항목 외에도 망분리, 방화벽 설치, 개인정보 암호화, 인증 등 접근 통제, 시스템 모니터링 강화 등 조치한 내용 설명
○○○○○이 발표한 수사 결과에 따르면 현재 해커는 검거되었고, 해커가 불법 수집한 개인정보는 2차 유출하거나 판매하지는 않은 것으로 확인되었습니다. 따라서 현재로서는 이번 사고로 인한 2차 피해가 발생할 가능성이 높지 않아 보이나, 혹시 모를 피해를 최소화하기 위하여 귀하의 비밀번호를 변경하여 주시기 바랍니다. 그리고 개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 기타 궁금하신 사항은 연락주시면 친절하게 안내해 드리고, 신속하게 대응하도록 하겠습니다.	<피해 최소화를 위한 정보주체의 조치방법> - 유출 경위에 따라 정보주체가 할 수 있는 방법을 안내 - 사건에 따라 다양한 피해를 추정하여 예방 가능한 방법을 모두 안내 (보이스 피싱, 피싱 메일, 불법 TM, 스팸문자 등)
아울러, 피해가 발생하였거나 예상되는 경우에는 아래 담당부서에 신고하시면 성실하게 안내와 상담을 해 드리고, 필요한 조사를 거쳐 손실보상이나 손해배상 등의 구제절차를 진행하도록 하겠습니다. 한국인터넷진흥원의 개인정보 분쟁 조정이나 민사 상 손해배상 청구, 감독기관인 안전행정부 개인정보침해신고센터 등을 통해 피해를 구제받고자 하실 경우에도 연락주시면 그 절차를 안내하고 필요한 제반 지원을 아끼지 않도록 하겠습니다.	<개인정보처리자의 피해 구제절차> - 보상이나 배상이 결정된 경우에는 그 내용을 상세히 기재 - 보상이나 배상이 결정되지 않은 경우 계획과 절차를 안내 - 감독기관 등을 통한 구제절차도 안내
앞으로 장애처리 과정에 대한 개인정보 보호 조치 강화 등 내부 개인정보 보호 관리체계를 개선하고, 관계 직원 교육을 통해 인식을 제고하여, 향후 다시는 이와 유사한 사례가 발생하지 않도록 최선의 노력을 다하겠습니다.	(개인정보처리자의 향후 대응계획) - 추가적인 향후 대응계획을 포함
항상 믿고 사랑해 주시는 귀하께 심려를 끼쳐 드리게 되어 거듭 진심으로 사과드립니다.	(사과문)
‣ 피해 등 접수 담당부서 : 00000부 ‣ 피해 등 접수 전화번호 : 031-8035-0000 ‣ 피해 등 접수 e-메일주소 : abcd@kordi.or.kr	<피해 등 신고 접수 담당부서 및 연락처> - 전담처리부서 안내를 원칙으로 하되, 대량 유출로 일시적으로 콜센터 등 다른 부서를 지정한 경우 해당 부서를 안내
<기관명> 직원 일동	(발신명의)

[붙임 2]

유출통지 신고방법

구 분	내 용
신고대상	1만명 이상의 정보주체에 관한 개인정보가 유출된 경우
신고기관	행정안전부, 한국인터넷진흥원 ※ [붙임 3] 유출사고 발생에 따른 신고기관 참조
신고시기	유출사실을 발견할 때로부터 5일 이내 (정보주체에 대한 통지 및 조치결과 신고)
신고방법	◯ 전자우편, 팩스, 인터넷 사이트를 통한 신고 및 신고서 제출 ※ [별지 제2호서식] 개인정보 유출신고서 참조 ◯ 시간적 여유가 없거나 특별한 사정이 있는 경우 유선신고 후 유출신고서 제출 가능
신고내용	기관명, 통지여부, 유출된 개인정보 항목·규모, 유출시점·경위, 유출피해 최소화 대책·조치 및 결과, 정보주체가 할 수 있는 피해최소화 방법 및 구체절차, 담당부서·담당자 연락처

[붙임 3]

유출통지 신고기관(전문기관)

□ 신고기관

구 분	전화번호	팩스번호	전자우편주소	인터넷 사이트
행정안전부	02-2100-3361	02-2100-3363	friend8@korea.kr	www.privacy.go.kr
한국인터넷진흥원	118	02-405-5229	118@kisa.or.kr	privacy.kisa.or.kr www.privacy.go.kr

[별지 제1호서식]

개인정보 침해․유출사고 관리대장

접수일자	신고자유형	신고내용	종결일자	처리내용	비고

※ 신고자 유형은 ‘직원’ 및 ‘피해자’ 등으로 구분

※ 처리내용은 내부 인사조치 사항을 중심으로 간략히 기술

예) 주의, 경고, 감봉 등

[별지 제2호서식]

개인정보 침해․유출신고서
기관명
정보주체에의 통지 여부
침해된 개인정보의 항목 및 규모
침해된 시점과 그 경위
침해피해 최소화 대책ㆍ조치 및 결과
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호 책임자
	개인정보 담당자
침해신고접수기관	기관명		담당자명			연락처

[별지 제3호서식]

침해․유출사고 보고 양식

담 당	정보보안담당관

침해․유출사고 처리 담당자	침해․유출사고 번호
신고자 정보
소속
신고자 이름
전화번호
E-mail
피해 시스템 정보
IP 주소
호스트 명
운영체제
추정 피해 시간
시스템 운영 환경
공격 시스템 정보
IP 주소
호스트 명
사고에 대한 설명(간단히 작성)
사고발견 경위, 피해현황 등
관련 기관(부서) 통지
기관(부서)명	통지 내용

[별지 제4호서식]

개인정보 침해․유출사고 처리보고서

보고일자	년 월 일	문서번호
침해신고 / 접수번호
침해대상정보	□ 일반 개인정보 □ 주민번호 □ 계좌번호
접수일시		신고자
침해․유출사고 처리책임자		신고자 연락처
신고내용
대응과정	일시	대응활동
침해내용	확인된 침해 정보의 세부사항, 규모 및 유출방법(유출, 외부자 제공, 수집, 접근, 분석, 이용, 내부자 제공, 불법 저장, 불안전한 저장, 파기, 비파기 등 세부사항)
침해발생 경위
관련자
침해 발생원인
증거자료
복구 및 재발방지 조치
처분

참고 1		해킹에 의한 개인정보 유출 시 조치사항

□ 해커가 삽입한 악성코드 확인 및 삭제

○ 한국인터넷진흥원에서 배포중인 ‘휘슬’을 활용하여 웹서버에 삽입된 악성코드와 웹쉘 파일을 찾아서 삭제

※ 악성코드 탐지도구 제공 페이지 : KISA 보호나라 → 다운로드 → 휘슬 / 캐슬

□ 침해 발생 시스템의 계정, 로그 등을 점검하여 침해 현황 확인

점검 항목	점검 내용	비고
계정	· 사용하지 않는 계정 및 숨겨진 계정 확인 - 윈도우 : [관리도구]→[컴퓨터 관리]→ [로컬사용자 및 그룹]→[사용자] 정보 확인 - 리눅스 : /etc/passwd 확인	‧ $ 문자가 포함된 계정 확인 ‧ 패스워드 미설정 계정 확인 ‧ /bin/bash 설정 계정 확인
로그파일	· 이벤트 로그 및 시스템 로그 변조 유무 확인 - 윈도우 : [관리도구]→[컴퓨터 관리]→ [이벤트뷰어] 확인 - 리눅스 : /var/log/secure, message 등 확인 · 윈도우 웹로그 경로 및 변조 유무 확인 - [관리도구]→[인터넷정보서비스(IIS)관리]에서 · 리눅스 웹로그 경로 확인 - /usr/local/apache/logs 확인	‧ 웹로그 생성/수정 시간 확인
웹쉘	· 확장자별 웹쉘 패턴 점검 - asp, aspx, asa, cer, cdx, php, jsp, html, htm, jpg, jpeg, gif, bmp, png	‧ 휘슬 사용
백도어	· 네트워크 상태 확인 - nmap -sV 침해사고시스템IP · 비정상 포트 및 외부연결 확인 - 윈도우 : netstat, TCPView 등 사용 - 리눅스 : netstat -nlp, lsof -i	‧ 6666, 6667 등 의심 Port 확인 ‧ 의심 Port를 사용하는 프로세스 확인
루트킷	· 숨겨진 프로세스 및 비정상 프로세스 확인 · 변조된 파일 및 시스템 명령어 확인 - Windows : IceSword, GMER 등 사용 - Linux : Rootkit Hunter, Check Rootkit 등 사용	‧ Rootkit Hunter 업데이트 필수

□ 로그분석 결과에 따른 접속경로 차단 등

○ 로그 분석 결과 침입자 접속경로가 확인된 경우 접속경로를 차단하고 경유한 시스템은 추가적인 분석

구분	접속 경로 차단 방법	비고
서버	· 윈도우 [제어판]→[Windows 방화벽]→[일반]방화벽 사용→[예외]→원격데스크톱→편집→범위변경→사용자 지정 목록 설정(허용할IP)	특정 IP에 원격데스크톱 서비스를 허용하고 나머지 IP접속은 차단
	· 리눅스 iptables -A INPUT -p TCP --dport 22 -s 허용할IP –j ACCEPT iptables -A INPUT -p TCP --dport 22 -s –j DROP	특정 IP에 ssh 서비스를 허용하고 나머지 IP접속은 차단
네트 워크	· 방화벽/라우터/스위치 access-list 101 permit tcp 허용할IP host 접근서버IP eq 22 interface ethernet 0 ip access-group 101 in	특정 IP에 ssh 서비스 허용정책을 ethernet 0 인터페이스에 인바운드 정책 적용

□ 기타 조치사항

○ 서버, PC 등 정보처리시스템의 백신을 최신으로 업데이트하고 전체 디렉토리를 점검

○ 직원 PC의 운영체제, 오피스 프로그램의 보안 업데이트를 실시

○ 가능한 경우 침해사고 원인을 식별하고 재발방지를 위해 개인정보 유출 시스템의 휘발성 및 비활성 정보 수집

- 기술적인 사항은 한국인터넷진흥원이 배포하는 ｢침해사고 분석절차 안내서｣ 참조

※ 제공 페이지 : 한국인터넷진흥원/ 자료실/ 관련법령·기술안내서/ 기술안내 가이드/ 침해사고 분석절차 안내서

○ 수사시관과 협조하여 유출된 개인정보를 회수하기 위한 조치를 강구

참고 2		개인정보보호 포털 유출 신고서 양식

개인정보 유출 신고서* (필수)가 표시되어있는 항목을 꼭 기재 부탁드리며, 부족한 내용이 있을 경우 연락이 갈 수 있습니다.
기관명(필수)							사업자번호 (필수)
사업자주소 (사업자등록기준)							웹 사이트 주소
누출된 개인정보의 항목 및 규모(필수)
누출이 발생된 시점, 누출 인지 시점 및 경위(필수)
이용자가 취할 수 있는 조치(필수)
정보통신서비스 제공자등의 대응조치(필수)
담당부서ㆍ담당자 및 연락처(필수)				성명		연락처			이메일
		개인정보 보호책임자
		개인정보 보호담당자
※ 하단은 접수기관에서 기재하는 부분이므로 신고자는 기재하실 필요가 없습니다.
신고접수기관	기관명(지역)		접수자명		연락처			이메일			접수일자

※ 개인정보보호 포털 유출 신고서/신고안내 양식(www.i-privacy.kr/개인정보유출신고/신고안내/서면신고)

참고 3		개인정보 유출에 따른 2차 피해 유형 및 대응요령

	피해종류	활용된 개인정보 주요항목	개인정보 악용 절차	이용자 대응요령
금전적	온라인 사기쇼핑	주민등록번호, 카드번호, 유효기간 등	① 카드번호, 유효기간으로 온라인 결제가 가능한 국내외 홈쇼핑 사이트에 접속 ② 홈쇼핑 홈페이지, ARS를 통한 온라인 사기 결제‧주문	• 신용카드 정지 및 재발급 신청 ※ 신고기관 : 각 카드사, 한국소비자원 소비자 상담센터(☏1372) 등
	명의도용을 통한 통신서비스 가입	이름, 주소, 주민등록번호 등	① 유출된 개인정보를 이용하여 휴대전화, 인터넷전화 등 가입 ※ 통신서비스 가입 시 본인확인절차가 있으므로 주민등록증 위조 등 추가적인 불법 행위 수반이 예상됨 ② 불법 가입한 전화번호로 스팸을 발송하여 금전적 이익을 취득함 ※ 명의를 도용당한 사람은 서비스 이용제한을 당하거나 명의도용 소명절차를 밟는 등 피해를 당함	• 한국정보통신진흥협회(KAIT)의 명의도용방지서비스(M-Safer)를 통한 불법 통신서비스 신규가입 여부 확인 ※ 신고기관 : 통신민원조정센터(msafer.or.kr) ※ 명의도용방지서비스(M-Safer) : 통신서비스 신규가입시 이메일‧문자로 가입여부 통보
	명의도용을 통한 신용카드 복제	이름, 신용카드 번호, 유효기간 등	① 유출된 개인정보를 이용하여 신용카드 불법 복제 ※ 특수장비를 이용하여 카드번호, 유효기간, 이름 등으로 복제 가능 ② 불법 복제된 카드를 국내외에서 활용하여 상품 결제 등에 악용 ※ 국내외 POS단말기의 경우 마그네틱 부분만을 이용하여 결제 가능	• 신용카드 정지 및 재발급 신청, 이용내역 통지 서비스 가입 ※ 신고기관 : 각 카드사, 경찰, 금융감독원(☏1332)
	스미싱	휴대전화번호	① ‘정보유출 확인 안내' 등 금융기관을 사칭하는 문자메시지에 악성코드(인터넷주소)를 삽입하여 발송 ② 금융기관 사칭 메시지를 받은 피해자가 인터넷주소(URL)를 클릭하면 악성코드에 감염되어 소액결제 피해 및 개인‧금융정보 탈취	• 수상한 문자메시지 삭제 및 메시지 상 링크 클릭하지 않기 또는 카드사 공지 전화번호 확인 ※ 신고기관 : 카드사, 경찰, 불법스팸대응센터(☏118)
비금전적	보이스피싱	신용카드번호, 휴대전화, 집전화번호, 집주소 등	① 경찰, 금융감독당국 또는 금융회사 직원을 사칭하여 전화 ② 금융관련 업무 목적 사칭을 통한 개인정보‧금융정보 탈취(비밀번호, 보안카드번호 등) ③ 유출된 금융사를 사칭, 개인정보 유출 확인을 빙자하여 ARS를 통해 계좌번호/비밀번호 등 금융정보 입력 요청	• 수상한 전화 거부 및 각 카드사에서 공지한 전화번호 확인 ※ 신고기관 : 카드사, 경찰, 불법스팸대응센터(☏118)
	명의도용을 통한 온라인회원 가입	이름, 이메일, 연락처 등	① 유출된 개인정보를 이용하여 웹사이트 가입 ※ 일부 홈페이지의 경우 이름, 이메일, 연락처만으로 회원가입 가능 ② 명의도용을 통해 본인도 모르는 수십여개의 웹사이트 가입하여 개인정보 불법 이용	• e프라이버시 클린서비스(www.eprivacy.go.kr)를 활용한 해당 사이트 탈퇴 요청 ※ 신고기관 : 경찰, 불법스팸대응센터(☏118) ※ 국내 사이트로 주민번호 사용 내역이 있는 경우만 가능하며, 주민번호 미사용시 서비스 불가
	휴대전화/이메일 스팸발송	휴대전화 번호, 이메일 주소 등	① 유출된 개인정보를 이용해 불특정 다수에게 스팸 발송 ※ 유출된 모든 휴대전화, 이메일로 도박 등 스팸 무작위 발송 가능 ※ 신용정보, 연소득등 활용 대출 스팸 발송, 자동차 보유여부를 활용한 보험 스팸 발송 등 특정유형의 개인에 대한 타겟 마케팅 가능 ② 휴대전화, 이메일 서비스 이용자는 원치 않는 홍보‧마케팅 광고 수신	• 지능형 스팸차단서비스를 이용한 스팸 차단, 수신 스팸 적극 신고 ※ 신고기관 : 카드사, 경찰, 불법스팸대응센터(☏118) ※ 지능형 스팸차단서비스 : 발신‧회신번호 등 발송패턴을 분석하여 스팸을 차단해주는 서비스
	사회공학적 기법을 활용한 악성코드 유포메일 발송	이메일주소 등	① 해커가 특정 대상을 목표로 스팸/피싱 시도용 첨부파일이 포함되어 있거나 연결을 유도 URL이 포함된 이메일 발송 ② 수신자들이 이메일에 포함된 첨부파일 및 URL을 클릭 ③ 해커가 수신자의 PC를 장악하여 기밀 및 개인정보를 빼냄	• 의심가는 이메일을 받은 경우 함부로 열람하지 않고 바로 삭제 • 사용자 PC의 바이러스 백신을 항상 최신버전으로 유지 및 정기적 검사 수행 ※ 신고기관 : 경찰, 불법스팸대응센터(☏118)