게임 계정 해킹당했을 때 대응 순서
어제까지 멀쩡하던 계정에 로그인이 안 됩니다. 비밀번호가 틀렸다고 하고, 가입할 때 쓴 메일함에는 낯선 기기에서 접속했다는 알림이 며칠 전 날짜로 와 있습니다. 게임을 켜 보니 캐릭터는 남아 있는데 창고가 비어 있는 경우도 있습니다. 이 상황에서 무엇을 먼저 하느냐에 따라 나중에 되찾을 수 있는 것의 범위가 달라집니다.
계정 도용은 절차가 여러 갈래로 나뉩니다. 게임사에 하는 요청, 경찰에 하는 신고, 개인정보 담당 기관에 하는 신고가 각각 다른 것을 처리합니다. 어느 하나가 나머지를 대신해 주지 않습니다.
초반비밀번호 변경보다 먼저 해야 하는 것
대부분의 안내가 비밀번호 변경을 1번으로 적습니다. 틀린 말은 아니지만, 그것만 하면 침입자가 이미 걸어 둔 장치가 그대로 남습니다. 순서는 아래가 맞습니다.
| 1. 계정 정보 확인 | 등록된 이메일 주소와 휴대전화 번호가 내 것이 맞는지 봅니다. 이게 바뀌어 있으면 비밀번호를 아무리 바꿔도 재설정 메일이 상대에게 갑니다 |
| 2. 연결 기기 해제 | 계정 설정의 로그인 기기 목록에서 전체 로그아웃을 실행합니다. 세션이 살아 있으면 비밀번호와 무관하게 접속이 유지됩니다 |
| 3. 비밀번호 변경 | 같은 비밀번호를 쓰던 다른 서비스도 함께 바꿉니다. 도용은 대개 한 곳에서 새어 나간 조합을 여러 사이트에 넣어 보는 방식입니다 |
| 4. 2단계 인증 설정 | 이미 켜져 있었다면 등록된 인증 수단이 내 기기인지 확인합니다. 상대가 자기 기기를 등록해 두는 경우가 있습니다 |
| 5. 고객센터 접수 | 도용 사실을 알린 시각이 기록으로 남습니다. 이후 배상 논의에서 이 시각이 기준점이 됩니다 |
기록로그인 기록은 법으로 보관이 강제된 자료가 아닙니다
계정 도용 관련 글에 자주 인용되는 조항이 「개인정보의 안전성 확보조치 기준」 제8조입니다. 접속기록을 1년 이상, 일정 규모 이상이면 2년 이상 보관해야 한다는 내용입니다. 그런데 이 조항의 대상은 개인정보취급자, 즉 회사 내부에서 개인정보를 다루는 직원의 접속기록입니다. 이용자 본인의 로그인 기록은 여기에 해당하지 않습니다.
즉 내 계정에 누가 언제 어느 IP로 들어왔는지에 대한 기록을 게임사가 몇 년씩 갖고 있어야 할 법적 의무는 없습니다. 회사 내부 정책과 서버 용량에 따라 짧으면 몇 주 만에 지워지기도 합니다. 도용을 알아챈 그날 요청해야 하는 이유가 여기에 있습니다.
본인 계정에 관한 자료를 달라고 요구할 근거는 별도로 있습니다. 「개인정보 보호법」 제35조제1항은 정보주체가 자신의 개인정보에 대한 열람을 개인정보처리자에게 요구할 수 있다고 정하고 있습니다. 접속 일시와 IP가 본인 식별과 연결되는 정보라면 열람 요구의 대상이 됩니다. 고객센터에 문의할 때 로그인 기록을 알려 달라는 문장 대신 개인정보 열람 요구라고 적으면 처리 경로 자체가 달라집니다.
계정이 아니라 저장 데이터가 통째로 날아간 것처럼 보인다면, 도용이 아닌 다른 원인일 수도 있습니다. 브라우저에 저장되는 방식의 게임은 설정 하나로 기록이 지워지기도 합니다. 이 경우는 게임 저장 기록이 사라지는 이유를 먼저 확인하는 편이 빠릅니다.
통지게임사가 먼저 알려야 하는 경우가 있습니다
내 계정 하나가 뚫린 것이 아니라 회사 쪽에서 정보가 새어 나간 사고라면, 게임사에게는 통지 의무가 생깁니다. 「개인정보 보호법」 제34조제1항과 같은 법 시행령 제39조제1항에 따라, 개인정보가 분실·도난·유출된 사실을 알게 된 때부터 72시간 이내에 유출 항목과 경위, 피해를 줄이기 위해 이용자가 할 수 있는 조치, 피해 구제 절차를 알려야 합니다.
| 개인 통지 | 법 제34조제1항·시행령 제39조제1항 — 사고를 안 때부터 72시간 이내 |
| 기관 신고 | 법 제34조제3항·시행령 제40조제1항 — 1천 명 이상 유출, 민감정보·고유식별정보 유출, 외부의 불법적인 접근으로 인한 유출 중 하나라도 해당하면 72시간 이내 |
| 미이행 시 | 법 제75조제2항에 따른 과태료 대상입니다 |
공지 하나 없이 조용히 넘어가는 것 같다면 개인정보 침해신고센터에 신고할 수 있습니다. 국번 없이 118로도 접수됩니다. 회사가 통지 의무를 지켰는지는 개인이 판단할 문제가 아니라 감독기관이 확인할 문제입니다.
신고창구 네 곳이 각각 다루는 것
한 곳에 넣으면 알아서 다 처리해 주는 창구는 없습니다. 무엇을 원하는지에 따라 갈라집니다.
| 경찰청 사이버범죄 신고시스템 | 침입과 재산 피해에 대한 형사 절차입니다. 상대를 찾아내는 유일한 경로이기도 합니다. 다만 환불, 개인 간 다툼, 약관 관련 불만은 접수 대상이 아니라고 안내하고 있습니다 |
| 개인정보 침해신고센터 | 게임사가 개인정보를 제대로 지키지 않았는지를 봅니다. 내 아이템을 돌려주는 절차는 아닙니다 |
| 콘텐츠분쟁조정위원회 | 게임사와 이용자 사이의 보상 다툼을 조정합니다. 대표번호 1588-2954 |
| e프라이버시 클린서비스 | 내 명의로 어디에서 본인확인이 이뤄졌는지 조회합니다. 게임 계정 하나가 아니라 명의 전체가 도용된 것인지 가릅니다 |
신고 순서는 경찰 접수를 가장 먼저 두는 것이 실무적으로 유리합니다. 접수증이 있어야 게임사 쪽 조사도 빨라지고, 통신 기록이 남아 있는 동안 수사가 시작됩니다. 다만 사이버범죄 신고는 원칙적으로 피해자 본인만 온라인 접수가 가능하고, 가족이 대신 하려면 경찰서를 방문하거나 국민신문고를 이용해야 합니다.
처벌계정 도용은 어떤 법을 어긴 것인가
신고서에 죄명을 적어야 할 때 막히는 분이 많습니다. 계정 도용은 보통 두세 가지가 함께 적용됩니다.
| 정보통신망법 제48조제1항 | 정당한 접근권한 없이 정보통신망에 침입하는 행위입니다. 남의 아이디와 비밀번호로 로그인한 것 자체가 여기에 해당합니다. 제71조제1항제11호에 따라 5년 이하 징역 또는 5천만원 이하 벌금이고, 같은 조 제2항에 따라 미수도 처벌됩니다 |
| 정보통신망법 제49조 | 정보통신망으로 처리·보관되는 타인의 정보를 훼손하거나 비밀을 침해·도용·누설하는 행위입니다. 제71조제1항제14호가 벌칙 조항입니다 |
| 형법 제347조의2 | 컴퓨터등사용사기입니다. 침입에서 그치지 않고 아이템이나 게임머니를 옮겨 재산상 이익을 얻었다면 이쪽이 붙습니다 |
주의할 점은 내가 아이디를 빌려준 경우입니다. 계정 공유나 대리 육성을 맡겼다가 문제가 생긴 상황이라면 접근권한이 없었다고 보기 어려워지고, 게임사 약관 위반이 겹쳐 보상에서 불리해집니다. 이 부분은 사실관계에 따라 판단이 갈리므로, 금액이 크다면 신고서를 쓰기 전에 상담을 받는 편이 낫습니다.
회수아이템이 이미 넘어갔을 때
가장 답답한 부분입니다. 빼앗긴 아이템이 제3자에게 거래된 뒤라면, 게임사가 무조건 회수해 주지는 않습니다. 게임 안의 아이템은 소유권이 이용자에게 있는 물건이 아니라 이용할 권한에 가깝게 약관이 짜여 있고, 그 권한이 어떻게 이동했는지에 따라 회사의 처리 기준이 달라지기 때문입니다.
실무에서 결과를 가르는 것은 대체로 세 가지입니다.
| 알린 시각 | 도용을 알고도 며칠 지나 접수하면 그 사이 거래분은 되돌리기 어려워집니다 |
| 거래 단계 | 아직 상대 창고에 있는지, 여러 사람을 거쳐 흩어졌는지에 따라 다릅니다 |
| 본인 과실 | 비밀번호를 타인에게 알려 준 정황이 있으면 회사가 책임 범위를 좁게 봅니다 |
결제까지 이뤄진 경우라면 아이템 회수와 별개로 결제 취소 절차를 함께 밟아야 합니다. 절차는 게임 아이템 결제 환불 신청, 전체 절차 정리에 정리해 두었습니다. 자녀 명의나 가족 카드가 얽혀 있다면 미성년 자녀가 결제한 게임 요금, 취소되는 경우와 안 되는 경우도 함께 보시는 것이 좋습니다.
게임사와 이야기가 평행선을 그리면 다음 단계가 조정입니다. 「콘텐츠산업 진흥법」 제29조에 근거를 둔 기구가 게임 분야 분쟁을 다루고, 양쪽이 합의에 이르도록 중재합니다. 소송보다 문턱이 낮고 비용이 들지 않습니다. 자세한 신청 방법은 콘텐츠분쟁조정위원회, 어떻게 이용하나에서 따로 다룹니다.
예방같은 일을 두 번 겪지 않으려면
기술적인 대비는 몇 가지로 압축됩니다. 복잡한 설정보다 이 네 가지가 실제 차단율이 높습니다.
| 2단계 인증 | 비밀번호가 새어 나가도 한 단계가 더 남습니다. 문자보다 인증 앱 방식이 안전합니다 |
| 비밀번호 재사용 금지 | 게임 계정과 메일 계정의 비밀번호가 같으면 한 번에 둘 다 넘어갑니다 |
| 가입 메일 보호 | 메일함이 뚫리면 모든 재설정 링크가 상대에게 갑니다. 여기부터 2단계 인증을 겁니다 |
| 비공식 프로그램 | 자동 사냥, 시세 조회, 계정 관리 도구를 표방한 프로그램이 정보 탈취 경로로 쓰입니다 |
계정 거래나 대리 육성은 별개로 위험합니다. 「게임산업진흥에 관한 법률」은 게임물의 이용을 통해 얻은 결과물의 환전·알선을 금지하고 있고, 이 과정에서 넘긴 계정 정보가 다시 도용에 쓰이는 사례가 반복됩니다.
정리하면
계정 도용을 알아챘다면 등록 정보 확인과 기기 로그아웃이 비밀번호 변경보다 앞섭니다. 낯선 접속 알림과 피해 화면은 지우지 말고 캡처해 둡니다.
내 로그인 기록은 법으로 보관 기간이 정해진 자료가 아니므로 당일에 요청해야 하고, 요청할 때는 「개인정보 보호법」 제35조제1항의 열람 요구라고 밝힙니다. 회사 쪽 유출 사고라면 게임사는 제34조에 따라 72시간 안에 알려야 합니다.
경찰 신고는 상대를 특정할 수 있는 유일한 경로이므로 가장 먼저 접수합니다. 보상 다툼은 분쟁조정으로, 개인정보 관리 문제는 침해신고센터로 나뉘어 갑니다. 금액이 크거나 다툼이 길어질 것 같으면 전문 상담을 함께 받으시기 바랍니다.
출처
- 국가법령정보센터, 「개인정보 보호법」 제34조제1항·제3항, 제35조제1항, 제75조제2항 — law.go.kr
- 국가법령정보센터, 「개인정보 보호법 시행령」 제39조제1항, 제40조제1항
- 국가법령정보센터, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조제1항, 제49조, 제71조제1항제11호·제14호, 제71조제2항
- 국가법령정보센터, 「형법」 제347조의2
- 개인정보보호위원회, 「개인정보의 안전성 확보조치 기준」 제8조 — pipc.go.kr
- 경찰청, 사이버범죄 신고시스템 사건처리 절차 안내 — ecrm.police.go.kr
- 한국콘텐츠진흥원 콘텐츠분쟁조정위원회, 분쟁조정 안내 — kcdrc.kr
댓글
댓글 쓰기