⚖️7천만 원에서 6천억 원으로, 개인정보 유출 제재는 정말 세졌는가

7천만 원에서 6천억 원으로, 개인정보 유출 제재는 정말 세졌는가

국내 주요 채용정보 사이트인 인크루트에서 대규모 개인정보 유출 사고가 발생했다. 해커가 크리덴셜 스터핑(credential stuffing) 공격을 통해 사이트에 접속, 총 35,076명의 이력서에 포함된 개인정보를 열람한 것이다. 크리덴셜 스터핑은 다른 사이트에서 유출된 아이디와 비밀번호를 무작위로 대입해 로그인하는 수법으로, 이용자가 동일한 비밀번호를 여러 사이트에서 사용하는 취약점을 노린다. 이 사고로 이름, 연락처, 학력, 경력 등 민감한 정보가 외부로 노출될 위험에 처했다.

개인정보보호위원회(이하 개보위)는 인크루트 운영사가 개인정보보호법상 안전조치의무를 위반했다고 판단하고, 과징금 70,609,000원을 부과했다. 그러나 인크루트 측은 "침입탐지·방지시스템을 비롯한 보안 조치를 충실히 이행했다"며 이에 불복, 서울행정법원에 과징금 취소소송을 제기했다. 사건은 2023구합81091로 접수됐다.

2025년 3월 28일, 서울행정법원 제4부(재판장 김영민 부장판사)는 원고 패소 판결을 내렸다. 법원은 "인크루트가 운영한 침입탐지·방지시스템이 크리덴셜 스터핑 공격을 효과적으로 탐지하거나 차단하지 못했으며, 동일 IP에서 수백 건의 로그인 시도가 있었음에도 이를 이상 징후로 인식하지 못한 점 등 사회통념상 합리적으로 기대 가능한 정도의 안전조치를 취했다고 보기 어렵다"고 밝혔다. 특히 법원은 "과거 넥슨 판결에서 인정된 보호조치 기준을 충족했다는 인크루트의 항변을 받아들이지 않았다"며, 단순히 시스템을 도입하는 것만으로 충분하지 않고 실제 운영에서 공격을 탐지·차단할 수 있는 실효성이 요구된다는 점을 강조했다.

이 판결이 던진 메시지는 분명했다. 기술적 조치를 도입했다는 사실만으로 책임을 면할 수 없으며, 실제 공격을 막을 수 있는 효과적 운영이 핵심이라는 것이다. 그러나 이 사건을 지금 다시 꺼내는 이유는 따로 있다. 판결이 나온 2025년을 기점으로, 한국의 개인정보 유출 사고와 그에 대한 제재는 규모와 강도 모두에서 전혀 다른 국면으로 진입했기 때문이다.

인크루트 판결의 잉크가 채 마르기도 전인 2025년 4월 30일, 또 다른 채용 플랫폼에서 유사한 사고가 터졌다. 잡코리아가 운영하는 아르바이트 구인구직 플랫폼 알바몬의 이력서 미리보기 기능에서 비정상적인 접근 시도가 감지됐고, 이 과정에서 임시저장된 이력서 정보가 대량으로 빠져나갔다. 유출 항목은 이름, 휴대폰번호, 이메일 주소 등으로, 인크루트 사건과 마찬가지로 이력서라는 가장 민감한 구직자 정보였다. 알바몬 측은 즉시 공격 IP와 계정을 차단하고 보안 취약점을 긴급 조치했으며 아이디·비밀번호는 암호화돼 유출되지 않았다고 밝혔다. 최초 인지 건수는 22,473건이었으나 방화벽 차단으로 실제 유출되지 않은 분량을 제외하고 추가 확인분을 반영해 최종 유출 규모를 20,440건으로 수정 신고했고, 개보위는 신고 접수 다음 날 조사에 착수했다.

주목할 점은 인크루트와 알바몬이 사실상 같은 유형의 사건이라는 것이다. 채용 플랫폼, 자동화된 비정상 로그인·접근 시도, 이력서 대량 열람이라는 구조가 동일하다. 인크루트가 즉각 대응을 강조했음에도 과징금을 피하지 못했고 소송에서도 패소했다는 사실은 알바몬을 포함한 후속 사건들의 결과를 가늠하는 선례가 됐다. 채용 플랫폼처럼 개인정보 민감도가 높은 서비스일수록 빠른 대응만으로는 책임을 덜어내기 어렵다는 기류가 확인된 것이다. 다만 여기까지는 여전히 수천만 원에서 수억 원 단위의 세계다. 2025년 하반기부터는 제재의 자릿수 자체가 바뀌기 시작했다.

먼저 스크린골프 업체 골프존은 2023년 11월 랜섬웨어 공격으로 이용자 약 221만 명의 정보를 탈취당했고, 이듬해 5월 개보위로부터 과징금 75억 400만 원을 부과받았다. 개보위는 골프존이 서버에 개인정보가 저장돼 있다는 사실조차 제대로 파악하지 못했고 관리체계 운영이 미흡했다고 판단했다. 인크루트의 약 100배에 해당하는 규모였다.

이어 2025년 4월 SK텔레콤 유심 해킹 사고가 터졌다. BPFDoor 계열 백도어를 이용한 공격으로 가입자 약 2,324만 명의 휴대전화번호와 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출됐다. 개보위는 그해 8월 안전조치 의무 위반과 유출 통지 위반을 이유로 과징금 1,347억 9,100만 원과 과태료 960만 원을 부과했다. 위원회 출범 이후 역대 최대 규모였다. 개보위는 SK텔레콤이 세계이동통신사업자협회(GSMA) 권고 및 타 통신사 관행과 달리 유심 인증키를 암호화하지 않고 저장한 점, 침해사고를 24시간 안에 신고하지 않은 점 등을 매우 중대한 위반으로 봤다. SK텔레콤은 이 처분에 불복해 서울행정법원에 취소소송을 제기했다.

같은 해 6월에는 회원 약 2,000만 명의 온라인 서점 예스24가 랜섬웨어 공격으로 닷새간 전 서비스가 마비됐다. 예스24는 초기에 개인정보 유출은 없다고 단정했으나 개보위 조사에서 비정상적인 회원정보 조회 정황이 확인됐고, 이후 백업망 감염 은폐 의혹과 해커에 대한 대가 지급 정황까지 불거졌다. 두 달 만에 유사 사고가 재발하면서 기술적 취약성뿐 아니라 위기 대응과 정보 공개의 투명성이 새로운 책임 영역으로 떠올랐다.

그리고 2026년, 모든 기록이 다시 경신됐다. 쿠팡에서는 퇴사한 전직 직원이 재직 당시 취득한 인증서명키를 회수당하지 않은 채 위조 인증토큰을 만들어, 2025년 4월부터 11월까지 회원정보 페이지에 장기간 접근했다. 유출 규모는 회원과 비회원을 합쳐 약 3,755만 명에 달했다. 개보위는 2026년 6월 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과했는데, 이 가운데 유출 관련 안전조치 위반이 4,235억 7,500만 원, 타사 온라인 활동기록 무단 수집이 2,011억 600만 원, 계열사 위반이 2억 4,800만 원이었다. 개보위는 이 사건을 고도의 해킹이 아니라 기본적인 안전관리 체계 미비에서 비롯된 사고로 규정했다. 업무상 불필요한 직원도 인증서명키를 평문으로 열람할 수 있었고, 퇴사자의 키를 즉시 폐기·교체하지 않았으며, 해커가 6개월간 1억 4,800만 회에 달하는 접근을 시도하는 동안 고객 민원이 접수될 때까지 이를 탐지하지 못했다는 것이다. 조사 방해 정황까지 확인되면서 고발 조치가 병행됐다.

이 흐름을 나란히 세워 보면 궤적이 뚜렷하다. 2020년 인크루트의 약 7,060만 원에서, 2023년 골프존의 75억 400만 원, 2025년 SK텔레콤의 1,347억 9,100만 원을 거쳐, 쿠팡에서는 6,246억 8,100만 원까지 치솟았다. 불과 몇 년 사이에 과징금의 자릿수는 천만 원 단위에서 조 원을 넘보는 단위로 이동했고, 인크루트 대비 쿠팡의 과징금은 약 9천 배에 이른다.

이 급격한 상향은 개별 사건의 특수성만으로 설명되지 않는다. 그 배경에는 두 차례의 구조적 법 변화가 있다. 우선 2024년 개정으로 과징금 산정 기준이 유출된 정보 관련 매출에서 개인정보 최종 책임 관계사의 사고 직전 3년 평균 매출로 바뀌었다. 과징금 상한이 사실상 회사 전체 매출에 연동되면서 대기업일수록 노출 금액이 폭증하는 구조가 만들어졌고, SK텔레콤과 쿠팡의 천문학적 과징금은 이 변화의 직접적 산물이다. 다음으로 2025년의 연쇄 유출 사고에 대한 반작용으로, 개정 개인정보보호법이 2026년 2월 12일 국회를 통과해 3월 10일 공포됐고 9월 11일 시행을 앞두게 됐다. 개정법은 반복적이거나 중대한 위반에 대해 과징금 상한을 전체 매출액의 3퍼센트에서 10퍼센트로 끌어올렸고, 사업주 또는 대표자를 개인정보 처리와 보호의 최종 책임자로 명시했으며, 유출 사실을 안 때가 아니라 유출 가능성을 알게 된 때부터 통지하도록 의무를 앞당겼다. 여기에 이행강제금과 신고포상금이 도입되고 조사 과정의 자료 은닉과 증거 인멸에 대한 제재도 강화됐다. 기존의 민사적 장치도 여전히 유효해서, 고의나 중과실에 의한 유출에는 실손해의 최대 5배까지 물리는 징벌적 손해배상이, 피해 입증이 어려운 경우에는 최대 300만 원의 법정손해배상이 적용될 수 있고, 유출 사고에서는 기업이 스스로 과실이 없음을 입증해야 하는 입증책임 전환도 유지된다.

그렇다면 양형은 정말 세진 것일까. 표면적으로 답은 명확하다. 행정제재의 무게는 비교가 무의미할 정도로 무거워졌다. 인크루트 시절의 수천만 원은 이제 수천억 원이 됐고, 대표자 개인의 책임과 반복 위반에 대한 가중까지 제도화됐다. 인크루트 판결이 세운 실효성 있는 운영이라는 원칙은 쿠팡 사건에서 개보위가 고도의 해킹이 아니라 기본 관리 소홀이라고 못 박는 논리로 그대로 확장됐다. 시스템을 갖췄다는 항변은 더 이상 통하지 않는다는 기조가 행정과 사법 양쪽에서 굳어진 셈이다.

그러나 여전히 관대하다는 평가도 만만치 않다. 첫째, 실제 부과액은 상한에 크게 못 미친다. SK텔레콤의 경우 3년 평균 매출의 3퍼센트를 적용하면 이론상 최대 약 3,778억 원까지 가능했으나 실제 부과액은 1,348억 원이었다. 개별 통지가 이뤄졌고 실질적 금융 피해가 확인되지 않았다는 점 등이 감경 요소로 반영된 결과인데, 일각에서 솜방망이라는 지적이 나온 이유이기도 하다. 둘째, 정작 피해자 개인에게 돌아가는 배상은 여전히 미미하다. SK텔레콤 사건에서 소비자분쟁조정위원회가 권고한 배상은 1인당 10만 원 수준이었고, 쿠팡 집단소송에서 원고들이 청구한 위자료도 1인당 30만 원 안팎이다. 수천억 원의 과징금은 국고로 귀속될 뿐, 미국식 징벌적 손해배상처럼 피해자에게 직접 대규모로 돌아가는 구조와는 거리가 멀다. 실제로 쿠팡 사건에서는 미국 주주들이 별도의 집단소송에 나서면서 그 대비가 선명하게 드러났다. 셋째, 형사 책임과 신법의 사각지대가 남아 있다. 유출을 실행한 개인에 대한 형사처벌은 쿠팡 사건처럼 용의자가 해외로 출국한 경우 신병 확보 자체가 사실상 불가능해 기소중지로 장기화될 우려가 크고, 기업 경영진에 대한 형사책임이 실제 처벌로 이어진 사례도 드물다. 게다가 상한을 10퍼센트로 끌어올린 개정법은 시행 이후 발생한 사건부터 적용되기 때문에, 정작 역대 최대 규모였던 쿠팡 사건에는 강화된 징벌적 과징금이 적용되지 않는다. 가장 큰 사고가 가장 강한 신법의 바깥에 놓이는 역설이다.

인크루트 판결은 작은 사건이었지만 그 안에 담긴 원칙, 곧 도입이 아니라 실효성이라는 잣대는 이후 한국에서 벌어진 모든 대형 유출 사고를 관통하게 됐다. 그 잣대는 골프존과 SK텔레콤, 쿠팡을 거치며 과징금의 자릿수를 바꿔 놓았고, 2026년 개정법으로 대표이사의 책상 위에까지 올라갔다. 디지털 시대의 개인정보 보호가 어려운 이유는 크리덴셜 스터핑이나 인증키 미회수처럼 비교적 단순한 허점이 대규모 유출로 직결되기 때문이다. 이용자의 비밀번호 재사용 습관, 기업의 미흡한 탐지 체계, 퇴사자 계정 관리의 공백 가운데 어느 하나만 무너져도 수천만 명의 정보가 빠져나간다. 이번 판결과 후속 사건들이 확인시킨 것은, 이제 기업이 보안 시스템의 실효성을 정기적으로 검증하고 이상 징후에 신속히 대응하는 프로세스를 갖추지 않으면 그 대가가 조 원 단위로 청구되는 시대가 됐다는 사실이다. 다만 그 무거워진 제재가 억지력으로 온전히 작동하는지는 아직 열린 질문이다. 과징금은 국고로 향하고, 피해자의 지갑으로 돌아오는 배상은 여전히 얇으며, 실제 유출을 저지른 손끝은 국경 밖에서 처벌을 비켜간다. 제재는 세졌다. 그러나 누구를 위해 무엇을 위해 세졌는가는 여전히 절반의 답만 나와 있다.