동네 가게에서 지역사랑상품권으로 결제하려고 앱을 켰더니, 그 앱을 운영하는 곳에서 "회원님 개인정보가 조회됐습니다"라는 안내가 와 있다면 어떨까요(가상의 장면이에요). 한국조폐공사가 운영하는 모바일 지역사랑상품권 플랫폼 착(chak)에서 실제로 외부인이 권한 없이 들어와 이용자 3,083명의 개인정보를 조회한 일이 확인됐습니다(한국경제·헤럴드경제 11월 14일).
지역화폐 착 개인정보 유출, 무슨 일이 있었나
조폐공사는 11월 13일 오전 9시 30분께 시스템에서 이상한 접근 흔적을 처음 찾았다고 밝혔어요. 외부의 허가받지 않은 사람이 시스템에 들어와 일부 이용자 정보를 조회했고, 14일 오전 6시 기준으로 확인된 인원이 3,083명이에요.
조폐공사는 공격이 시작된 것으로 보이는 IP를 막고 해외 IP 접속을 모두 차단했어요. 공격받은 서버의 서비스를 먼저 멈춘 뒤 긴급 보안 조치를 하고 다시 열었고, 한국인터넷진흥원(KISA) 등 관계 기관에 신고했다고 합니다.
지역화폐 착 앱에서 어떤 개인정보가 노출됐나
노출된 항목은 이름, 생년월일, 휴대전화번호, 계좌번호, 연계정보(CI), 이메일, 암호화된 카드번호예요. 다만 한 사람에게서 이 항목이 모두 빠져나간 건 아니고, 3,072명은 2개 이하, 11명은 3~4개 항목이 조회됐다고 해요.
카드번호는 암호화된 형태로 조회됐다고 밝혔기 때문에 번호가 그대로 보이는 상태였다고 단정하긴 어려워요. 기사에도 비밀번호가 새었다는 말은 없었습니다.
사람들이 헷갈리는 부분, 내 상품권 잔액도 털렸을까
가장 많이 걱정하는 건 충전해 둔 상품권이 빠져나갔느냐일 거예요. 지금까지 나온 기사는 개인정보가 조회됐다는 사실만 전하고, 상품권 잔액이나 결제 피해가 있었다는 내용은 없어요. 반대로 피해가 전혀 없다고 확인된 것도 아니니, 앱의 이용 내역을 직접 한 번 보는 편이 낫습니다.
여기서부터는 제 생각, 이름·전화·계좌가 같이 새면 문자가 정교해진다
제가 이번 일에서 눈여겨본 건 노출 항목의 조합이에요. 이름과 휴대전화번호, 계좌번호가 함께 있으면 "지역화폐 환불 대상입니다", "개인정보 유출 보상 신청하세요" 같은 문자가 그럴듯하게 만들어질 수 있어요. 사고가 터진 직후가 오히려 사칭 문자가 가장 많이 도는 때라는 점을 기억해 두면 좋겠습니다.
조폐공사·지자체를 사칭해 링크를 누르게 하거나 앱 설치를 권하는 연락은 일단 의심하고, 앱 안의 공지나 공식 고객센터로 다시 물어보세요.
지역화폐 착 이용자가 지금 확인할 것
- 안내 받았는지: 조폐공사 안내부터 보세요. 조폐공사가 정보가 조회된 이용자에게 조회된 항목과 예방 수칙을 안내하고 있다고 했어요. 앱 공지·문자·이메일을 확인하세요.
- 이용 내역: 앱에서 최근 충전·결제 내역에 모르는 거래가 없는지 보세요.
- 비밀번호: 같은 비밀번호를 다른 서비스에도 쓰고 있다면 이번 기회에 바꿔 두는 게 안전해요.
- 링크 문자: 보상·환불을 내세운 문자의 링크는 누르지 말고, 공식 경로로 다시 확인하세요.
외부인이 어떤 방법으로 들어왔는지, 접근이 언제부터 언제까지 이어졌는지, 상품권 잔액이나 결제 피해가 있었는지는 이번에 연 기사에 나오지 않아 넣지 않았어요.
기준일: 2026년 11월 15일, 한국경제·헤럴드경제 2026년 11월 14일 기사 기준. 이 글은 일반 정보이며, 피해가 의심되면 조폐공사 고객센터나 관계 기관에 문의하세요.
출처
- 한국경제 ‘조폐공사 지역화폐 앱 뚫렸다…3083명 개인정보 유출’(2026년 11월 14일): https://www.hankyung.com/article/2026111465887
- 헤럴드경제 ‘조폐공사 “모바일 지역사랑상품권 플랫폼서 3083명 개인정보 유출”’(2026년 11월 14일): https://biz.heraldcorp.com/article/10937112
