개인 정보가 새면
되돌릴 수 없습니다

한계

유출은 근본적으로 막지 못합니다

방화벽, 점검, 전담 인력, 주의를 다해도 시스템은 사람이 만듭니다. 한 경로를 막아도 다른 경로가 열리기도 합니다. 구멍은 남고, 유출을 0으로 만드는 일은 없습니다. 그래서 이 캠페인은 “절대 나가지 않게”만 말하지 않고, 나가더라도 바로 읽히지 않게 하는 암호화를 권고합니다.

보안 예산과 조직이 있는 대기업·통신사·플랫폼도 예외가 아니었습니다. 아래는 공개된 사고·조사 사례를 들어 설명하는 것이며, 특정 시스템의 현재 결함을 적시하는 것이 아닙니다.

• 카카오톡 오픈채팅 개인정보 유출 사고

  국내 대표 플랫폼 역시 개인정보 유출로 당국의 제재를 받은 바 있습니다. 이용 규모가 크다고 해서 유출이 원천 차단되지는 않았습니다.

• SK텔레콤 유심정보 유출 사고

  가입자 식별정보 등이 대규모로 유출된 사고가 있었습니다. 전담 보안 조직이 있는 통신사도 침해를 피하지 못했습니다.

• KT 펨토셀 유출 사고 · LGU+ 개인정보 유출 사고

  통신 3사 모두 유출·침해와 관련한 조사·제재의 대상이 된 바 있습니다. 망과 인증을 다루는 사업장에서도 구멍이 확인되었습니다.

• 강남언니 고객정보 유출 사고

  최근 미용의료 플랫폼에서 예약·상담을 포함한 고객 개인정보가 대규모로 유출되었습니다. 일반 웹사이트의 예약·문의 정보와 같은 유형입니다.

규모가 작은 사이트라고 안전하지 않습니다. 공격은 자동화되어 있고, 목표가 된 뒤에야 구멍을 알게 되는 경우가 많습니다.

유출을 알게 되는 경로

개인정보 유출은 어떻게 알게 되는가

실제 현업에서 유출은 시스템 로그로 즉시 알기보다, 아래와 같은 경로로 뒤늦게 통보받아 확인되는 경우가 많습니다.

1. 1단계 · 암시장 매물 등록

   해커가 탈취한 데이터베이스를 다크웹, 텔레그램 등 음성 채널에 판매 매물로 올립니다.

2. 2단계 · 샘플 데이터 공개

   구매자를 끌기 위해 진위 증명용 샘플(고객명, 예약 일자, 연락처, 회사명 등)을 일부 공개합니다.

3. 3단계 · 피해 사이트 특정

   한국인터넷진흥원(KISA) 등 모니터링 기관이나 보안 연구원이 예약 패턴, 상호명, 도메인으로 원래 웹사이트를 찾습니다.

4. 4단계 · 기관 통보 및 조사

   관계기관이 운영자에게 유출·거래 사실을 알리고, 침해사고 조사가 이어질 수 있습니다. 그다음 과정은 아래와 같습니다.

통보받은 뒤

알게 된 뒤가 더 길고,
더 힘듭니다

과징금, 벌금, 보상금. 더 가면 형사 입건입니다.

유출 사실을 아는 순간, 일은 끝나지 않습니다. 그날부터 몇 달, 때로는 해를 넘깁니다. 전화는 멈추지 않고, 자료 요청은 반복되며, 과징금이 나오기 전까지는 언제 끝나는지 알 수 없습니다. 아래는 개인정보 보호법과 공개된 처분·보도를 바탕으로 한 설명이며, 법률 자문을 대체하지 않습니다.

1. 1 · 잠 못 드는 첫날

   경로를 끊고, 비밀번호를 바꾸고, 로그를 모읍니다. 지우면 조사 방해가 됩니다. 그 밤에도 범위가 더 넓어질까 봐 화면을 닫지 못합니다.

2. 2 · 고객에게 알리는 일

   유출된 사람 모두에게 문자·이메일로 개별 통지합니다. 연락처가 있으면 홈페이지 공지만으로는 부족합니다. 통지 직후부터 항의와 문의가 밀려듭니다.

3. 3 · 72시간의 신고

   1천 명 이상, 민감정보, 해킹이면 개인정보위 또는 KISA에 72시간 안에 신고하는 경우가 많습니다. 항목·시점·경위를 아직 다 모르는데도 시계는 돌아갑니다. 2026년 9월 11일부터는 가능성만 알아도 통지가 붙을 수 있습니다.

4. 4 · 끝나지 않는 조사

   현장조사, 추가 자료, 재설명. 수개월이 흔합니다. 시정명령·과태료·과징금·공표가 나온 뒤에도 손해배상과 분쟁조정이 남을 수 있습니다. 암호화돼 있어도 통지·신고는 면제되지 않습니다.

그동안의 사례

공개된 개인정보위 의결과 보도를 기준으로 합니다. 처분이 나오기까지 기다린 시간이 짧지 않았습니다.

• 카카오톡 오픈채팅 개인정보 유출 사고

  언론 보도로 조사가 시작됐고, 인지 후에도 신고·통지를 하지 않았다는 지적이 과징금 약 151억 원과 시정명령으로 이어졌습니다. 처분이 나와도 통지를 다시 해야 하고, 행정소송까지 검토하는 단계가 남았습니다.

• SK텔레콤 유심정보 유출 사고

  신고 당일 집중조사단이 꾸려졌고, 수개월 조사 끝에 약 2,324만 명 유출과 과징금 약 1,348억 원이 확정됐습니다. 유심 인증키 미암호화가 문제로 남았고, 처분 취소 소송으로 분쟁은 이어졌습니다.

• 쿠팡 개인정보 유출 사고

  고객 민원으로 알게 된 뒤에도 조사가 반년 가까이 이어졌습니다. 통지·파기 의무 위반이 추가로 확인됐고, 유출 관련 약 4,236억 원을 포함한 총 약 6,247억 원 처분과 시정명령이 남았습니다. 전체회의만 열세 시간이었습니다.

• 강남언니 고객정보 유출 사고

  차단, KISA 신고, 경찰 의뢰, 약 22만 명 개별 통지가 한꺼번에 열렸습니다. 보상안을 내놔도 항의와 2차 피해 우려는 남고, 조사와 처분은 이제부터입니다.

통지·신고를 빼면 유출과 별개의 위반이 더해집니다. 암호화는 그 긴 과정에서 노출 범위와 제재 수위를 낮추는 데 도움이 될 수 있으나, 절차 자체를 없애 주지는 않습니다.

개인정보보호 캠페인

캠페인 기간, 표준의 절반은 다빈치웹이 부담합니다

유출을 원천 차단할 수는 없어도, 나가더라도 바로 읽히지 않게 하자는 취지의 캠페인입니다. 문의·예약·회원 등 개인정보를 쌓는 사이트에 공통으로 적용합니다. 금액 단위는 원, 부가세 10% 별도. 캠페인 유효기간 2026년 10월 9일까지입니다. 실제 항목은 사이트마다 확인한 뒤 맞춥니다.