해킹 다변화·고도화에 따른 개인정보 유출 사고 
2025년 11월 쿠팡은 퇴사자 권한 관리 실패로 인해 고객 계정 약 3천370만개의 이름, 이메일, 전화번호, 주소, 일부 주문정보 등 개인 정보가 유출됐다고 밝혔다. 대한민국 국민 65%에 달하는 개인정보 유출 사고를 일으킨 쿠팡뿐만 아니라 2025년 대기업들의 대규모 사이버 침해 사고가 잇따랐다. 2025년 1월에는 GS리테일(GS25·GS샵)이, 2025년 4월에는 SK텔레콤이, 2025년 9월에는 롯데카드가 해킹으로 인해 고객 개인정보를 유출했다. 2025년 11월에는 넷마블이 PC 게임 포털사이트 해킹으로 약 611만명의 회원 정보를 유출했다. 이외에도 피해 규모를 조사 중인 예스24를 포함해 디올·티파니앤코·루이비통·까르띠에 등 명품 브랜드와 아디다스, 블랙야크, 써브웨이, 파파존스 등 유통·패션 업계에서 개인정보 유출 사고가 잇따랐다. 이들의 유출 건수에 쿠팡 유출 건수 3370만건을 합하면 2025년 개인정보 유출 건수는 7000만에 육박한다.
특히 최근의 해킹 정보유출은 서버 침입을 비롯해 통신망과 인증 절차, 계정 탈취 등으로 다변화·고도화되고 있다. 2025년 동안 발생한 논문투고시스템(JAMS) 침해, SKT 음성통화 인증·식별 서버 (HSS) 해킹, GS 리테일·GS25의 크리덴셜 스터핑 공격 사례 등의 공격 경로가 각기 달랐다. 2024년 7월 모두투어는 웹셸 공격으로 고객 정보 데이터베이스 해킹을 당해 약 306만명의 개인정보(이름, 휴대전화번호 등)을 유출했다. 2025년 6월 한국연구재단은 취약점 공격으로 논문투고시스템(JAMS) 해킹을 당하며 12만건의 개인정보 성명, 연락처 등을 유출했다. 2025년 1월에는 GS리테일(GS25·GS샵)이 *크리덴셜 스터핑(Credential Stuffing) 공격으로 편의점 GS25 홈페이지에서 9만여 명의 개인정보를 GS샵 웹사이트에서 158만여 명의 개인정보(이름, 개인통관고유부호 등)를 유출했다. (*크리덴셜 스터핑은 이전에 탈취된 아이디와 비밀번호 조합을 다른 사이트에 무작위로 대입하는 방식이다.) 2025년 4월 SK텔레콤은 악성코드 감염으로 음성통화인증(HSS) 관리서버를 해킹 당해 가입자 식별번호(IMSI) 기준 약 2696만건의 개인정보(전화번호, IMSI 등)을 유출했다
특히 2025년 9월 발생한 KT 무단 소액결제 사건은 전산망 해킹을 넘어선 정보 유출 공격이 다양화되는 양상을 여실히 보여주었다. KT는 초소형 기지국을 통한 정보유출로 휴대전화 가입자 식별정보인 IMSI(국제이동가입자식별정보), IMEI(국제단말기식별번호), 휴대폰 번호 등 다량의 개인정보를 유출했다. 이로 인해 발생한 KT 무단 소액결제 사건으로 362명의 이용자가 약 2억 4000만원의 피해를 입었다. 범죄 조직이 펨토셀(femtocell)이라는 초소형 기지국 장비를 이용해 피해자의 스마트폰과 통신망 사이에서 피해자의 본인 인증정보를 가로채 소액결제를 진행한 것이다. 해커들이 서버 공격이 아닌 통신망 인증 절차를 중간에서 탈취하는 공격을 한 이번 사건은 전산 해킹이라기보다는 통신망 취약점을 악용한 범죄라고 볼 수 있다. 기존의 통상적인 금전적 피해는 이용자가 부주의로 개인정보를 입력해서 이루어졌지만 KT 무단 소액결제 사건은 이용자 부주의나 과실이 없음에도 피해가 발생한 것이다.  

균형 잡힌 사전 대비·사후 대응 정책 필요
해킹 기법이 고도화됨에 따라 개인정보 유출 사고는 앞으로도 증가할 것으로 보인다. 과학 기술정보통신부ㆍ한국인터넷진흥원에 따르면 2025년 상반기 국내 사이버 침해 사고 건수는 1034건으로 15% 늘었으며 서버 해킹도 증가했다. 정부기관, 국방, 금융, 통신, 연구기관 등 민감한 정보를 보유한 특정 조직이나 국가를 목표로 삼는 APT(Advanced Persistent Threat, 고도 지속 위협) 공격 등과 같이 장기적이고 정교한 사이버 공격 기법도 발달하는 추세다. 
이렇듯 해킹 정보 유출의 공격 경로와 기법이 다양해졌으나 사고 원인과 규모를 확정하기까지 어려움을 겪는 구조적 한계는 보안 전문가의 부족을 방증한다. 기업, 전문기관, 정부가 정확한 해킹 경로, 정보 유출 여부 및 규모, 유출 정보 내용 등을 확정하는데 많은 시간이 드는 데다 이 과정에서 추가적 사실이 밝혀지면서 기업이 고의적인 은폐를 했다는 비난을 받는 경우도 발생한다.  
고객 입장에서는 개인정보 유출이 어떤 방식으로 이뤄질지 예측하기 힘들어지면서 정보주체로서의 불안이 가중되고 있다. 반면 기업 입장에서는 개인정보처리자로서 사이버 보안 사고가 초래할 수 있는 막대한 리스크를 인식하고 사전적 대비를 통해 개인정보를 보호 책임을 이행해야 하는 동시에 해킹 등 사이버 공격 행위의 피해자가 될 수 있다. 개인정보 보호법상 목적 외 이용·제공 규제는 개인정보자기결정권 보호 측면의 규제인 반면, 개인정보 유출 규제는 개인정보의 안전한 처리에 관한 보호조치 이행 측면의 규제라는 차이점도 존재한다. 
이러한 이중적 지위 간의 균형을 이루기 위해 사전적 대비 및 사후적 대응을 동시에 지원하는 방식의 정책을 모색해야 한다. 개인정보 보호 체계가 사고 이후의 제재와 수습에 과도하게 치우쳐 있다는 점을 규범 설계 전반에 걸쳐 재점검해야 할 필요가 있다. 현행 체계에는 ‘보호와 활용의 균형’이라는 입법 취지가 유지되어야 하기 때문이다. 처벌 강화만으로는 고도화되는 침해에 대응하기 어렵다. 결과 위주의 제재가 누적될수록 기업의 초기 신고와 사실 공개가 위축되고 재발 방지에 필요한 기술·조직 투자 유인도 약화될 수 있다. 제재의 목적과 수단을 비례원칙에 맞춰 정비하고, 재발 방지를 위한 예방 중심의 정책을 강화해야 한다. 이런 측면에서 과징금 제도는 본질적으로 부당 이득을 환수하기 위한 수단으로 기능해야 한다. 외부 해킹 등에 의한 단순 유출 등 부당이득이 발생하지 않은 사안에도 매출 연동형 제재를 적용하면 비례성과 예측가능성이 훼손되므로 정액(또는 구간형)으로 과징금을 전환할 필요가 있다. 반면 이득이 수반된 위반에 한해서는 매출 연동형 과징금을 적용하는 등 체계적이고 합리적인 분리가 이뤄져야 한다.  
 
관리 및 책임 경영 결여에는 강경 제재 
한편 2025년 11월 쿠팡이 밝힌 고객정보 유출 사고 원인이 보안의 기본이라고 할 수 있는 퇴사자 권한 관리인 것으로 밝혀지면서 최대 1조원대 과징금이 부과될 것으로 전망된다. 쿠팡은 2024년 6월부터 2025년 11월까지 총 3370만건 이상의 계정에서 고객명, 이메일 주소, 배송지 전화번호와 주소 등 고객정보가 유출되었다고 파악했으며 중국 국적 전직 직원을 사실상 피의자로 지목했다. 전자상거래 업체인 쿠팡에서 결제 시 할인·적립 혜택을 제공하는 신용카드 가입자가 최소 수백만 명으로 추정되면서, 탈취된 개인정보를 활용한 보이스피싱·스미싱 등 2차 피해 우려도 커지고 있다.
그러나 창업주이며 미국 이민자인 김범석 쿠팡Inc 이사회 의장은 2025년 말 50조원 매출 달성을 눈앞에 두고 있었던 쿠팡 모기업(쿠팡Inc) 의결권의 70% 이상을 보유 중이지만, 국회 출석 요구 때마다 해외 체류 등을 이유로 참석을 피했다. 또한 쿠팡이 개인정보 침해 사고 사고를 인지했다고 밝힌 시점 이전의 거래였으나 쿠팡 핵심 임원의 주식 처분은 향후 내부자 거래 논란으로 이어질 가능성도 있다. 쿠팡 주식을 처분해 김범석 의장은 2024년 11월 4846억원을, 거랍 아난드 쿠팡 최고재무책임자(CFO)는 2025년 11월 약 32억원을, 프라남 콜라리 전 부사장은 2025년 11월 약 11억원을 현금화했다.  
이에 쿠팡은 국내 소비자를 기반으로 매출 대부분을 한국에서 거두고 있으나, 미국 법인이자 미 증시 상장사라는 이유로 이번 개인유출 사고를 비롯해 물류센터·배송 노동 환경 악화와 과로사 문제, 입점 업체 수수료 과다 등의 책임을 외면해 왔다는 비판을 받고 있다. 대규모 개인 정보 유출 사태를 일으킨 위험 관리와 책임 경영 능력 부족으로 거센 반발을 일으킨 쿠팡은 최대 1조원대로 예상되는 과징금뿐만 아니라 집단소송에 따른 손해배상, 조사 당국과 정부의 고강도 제재 등의 후폭풍을 맞고 있다. 

실효성 논란 극복하도록 인증 제도 재설계 시급
현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 최대 3%에 달하는 과징금이 부과될 수 있다. 유출 규모가 방대한데다 5개월간 피해 사실을 인지하지 못했다는 점을 고려해 2024년 기준 쿠팡의 매출액이 41조원이 넘는 만큼 쿠팡은 최대 1조원대 과징금을 물어야 할 수도 있다. 그러나 과징금 산정 과정에서 기준금액을 정한 이후 밟게 되는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다는 점에서 논란이 일어나고 있다. 현행법에 따라 쿠팡은 유효한 정보보호·개인정보보호 관리체계인 ISMS-P 인증을 취득한 기업이므로 과징금을 최대 50% 감경받을 수 있기 때문이다.
문제는 쿠팡이 국가 인증제도인 ISMS-P를 2021년 3월과 2024년 3월 두 차례 인증받았지만 네 번의 개인정보 유출 사고가 발생했다는 점이다. 또한 2025년 쿠팡뿐만 아니라 SK텔레콤, KT, 롯데카드 등 ISMS-P 인증을 보유한 대형 기업들이 연이어 해킹 피해를 입게 되자 ISMS-P 인증의 실효성에 대한 의문이 제기되었다. 
ISMS-P 인증은 국내 유일의 정보보호 및 개인정보보호 관리체계 인증제도로 과학기술정보통신부(과기부)와 개인정보보호위원회(개보위)가 공동으로 운영한다. 2018년 과기부의 ‘정보보호 관리체계 인증(ISMS)’과 개보위의 ‘개인정보보호 관리체계 인증(PIMS)’을 통합해 만든 것이 ISMS-P 인증이다. 일정 규모 이상의 개인정보를 처리하는 기업 및 기관 등은 관련 법에 따라 ISMS 또는 ISMS-P 인증을 의무적으로 받아야 한다. 2025년 12월 기준으로 ISMS 인증을 받은 기업은 500여개, ISMS-P 인증까지 받은 기업은 총 263개이지만, ISMS-P 인증 기업 263곳 중 27개 기업에서 33건의 개인정보 유출 사고가 발생한 것으로 밝혀졌다. 
ISMS-P 인증을 보유한 조직에서 발생한 사고로 인해 신뢰성 논쟁을 겪고 있으나, 해당 인증을 계기로 많은 조직이 비용과 인력을 투입해 보안관리 체계 구축 및 개선 노력을 기울여 왔다는 점 또한 간과할 수 없다. 따라서 인증 제도가 실제로 위험을 얼마나 줄이고 있는지 어디서 한계를 보이고 있는지 점검해 실제로 해킹을 탐지하고 차단할 수 있는 수단으로 재설계하는 방안 마련 및 실행이 시급하다. 

중소기업 보안 역량 강화로 정보보호 사각지대 해소
최근 대기업을 대상으로 한 대규모 사이버 침해사고가 연이어 발생하면서 대기업과 국가 핵심 인프라 보안 강화에 대해 관심이 집중되었다. 그러나 실상 사이버 공격의 주요 표적은 중소기업이며 대기업과 하청·협력 관계로 연결된 산업 생태계에 속한 중소기업의 보안 취약성은 국가 전체의 사이버 안전을 위협한다. 이렇듯 정보보호 사각지대에 놓인 중소기업의 보안 역량 강화를 위해 매년 축소되었던 중소기업 정보보호 지원 예산을 확대해야 한다. 정보보호 투자에 대한 세제혜택 등의 유인책을 통한 자율적 투자 촉진도 요구된다. 또한 정보시스템 등에 대한 접속 요구 시 네트워크가 이미 침해된 것으로 간주해 지속 검증하는 보안 개념인 제로트러스트 보안체계 확산을 위한 법적기반을 정보통신망법 개정으로 마련할 필요가 있다. 

정부조직 효율화·국제공조 강화로 신속한 피해 복구
한국에서는 국정원과 행정안전부가 공공부분 사이버보안을, 과학기술정보통신부가 민간 부분 사이버 보안을, 금융위원회가 금융 부분을, 개인정보보호위원회가 공공·민간 해킹으로 인한 개인정보 유출 시 조사·제재를, 경찰이 사이버 범죄 수사 등을 담당해 왔다. 이렇듯 복잡하고 다층적인 시스템으로 인해 비효율적인 중복 조사·수사, 인력의 전문성 부족, 상시적인 보안·안전 정책 부족 등의 문제가 발생하고 있다. 
사이버 보안 기술·정책 개발, 사이버 침해 및 개인정보 유출 조사·제재를 총괄하는 정부 조직 차원의 전문기관 설립이 요구된다. 실제로 미국의 국토안보부 산하 사이버보안 및 기반시설 안보국(CISA, Cybersecurityand Infrastructure Security Agency)은 연방정부·주정부·민간 핵심 인프라의 사이버보안 및 물리적 보안을 지원하는 사이버 콘트롤 타워로 기능한다. 영국에서는 2016년 설립된 정보통신본부(GCHQ, Government Communications Headquarters) 산하 국가사이버보안센터(NCSC, NationalCyber Security Centre)가 사이버 보안을 총괄한다. 
인터넷 강국인 한국은 초연결 네트워크 사회를 이루고 있어 사이버 침해 노출 위협도 매우 크다. 특히, 북한과 중국의 해킹 공격 대응은 국가 안보 차원에서도 중요한 실정이다. 해커가 외국에 있는 경우가 많은 만큼 인터폴(Interpol), 유로폴(Europol) 등 국제기구에 사이버 수사관 파견을 확대하는 등 사이버공격 수사에 대한 국제협력을 강화해야 한다. 

사전 예방을 우선하는 사이버 보안 패러다임
사전 동의 중심의 기존 규율은 대규모·실시간 데이터 처리와 AI 확산 속에서 실효성이 낮아지고 있다. 또한 AI 등 신기술에 의한 프라이버시 침해는 회복 불가능한 영상정보 침해, 대규모 감시, 경제적 피해 확대 등을 심화할 수 있다. 이에 관한 대응책으로 데이터 보호에 관한 국가책임제를 고려해야 한다. 개인정보처리방침의 적법성과 적정성을 심사와 개인정보처리실태 점검을 통해 국가가 기업의 개인정보처리의 안전성과 신뢰성을 보장하는 방안이다. 실제로 EU의 GDPR(일반 데이터 보호 규정) 제25조는 ‘기본 설정에 의한 데이터 보호(Privacy by default)’를 명시하고 있으며 개인정보보호위원회도 이에 관한 법정 인증화를 추진 중이다. 이러한 국가의 적극적 개입을 통한 실질적 보호뿐만 아니라 프라이버시 보호의 패러다임을 기술적으로 구현하는 사전 예방도 필요하다. 설계 단계에서부터 데이터 최소화, 목적 제한, 보안 내장을 구현하는 프라이버시 중심 설계(Privacy by Design)와, 데이터 활용과 프라이버시 보호를 동시에 가능하게 만드는 동형암호·차등프라이버시·연합학습 등 프라이버시 강화기술(PETs, Privacy-Enhancing Technologies)을 구축해야 한다. 이는 보호와 활용을 동시에 달성하는 접근 방식이자 사고 후 수습이 아닌 사전 예방을 제도화하는 경로로써 관련 인증과 가이드라인을 통해 단계적으로 확산될 수 있다.
이렇듯 ‘더 강한 처벌’이 아니라 ‘비례원칙에 부합하는 제재와 실질적 재발방지’에 초점을 맞춘 해킹·정보유출 대응책을 통해 초기 신고, 신속 복구 촉진과 이용자 신뢰 및 데이터 기반 혁신이 동시에 강화되는 효과를 기대할 수 있다. 개인정보 보호와 데이터 활용의 균형 회복과 사회 전체의 보안 수준 및 경제적 효율을 동시에 제고하는 정책적 전환이 필요한 시점이다. 

나를 지키는 필수 조건, 개인 정보 보호 

보안 업계는 유출된 개인 정보의 중복을 고려하더라도 국민 1인당 평균 6~7회 정도의 개인 정보가 외부에 노출된 것으로 예측하고 있다. 유출되는 개인 정보가 이름, 주민등록번호 같은 고정된 기록 이외에도 전자상거래 기록, 배달 이용 패턴 등 생활 밀착형 데이터로 확대되었다는 점도 주목해야 한다. 개인 유출 정보가 악용될 경우, 단기적으로는 계정 탈취와 피싱 사기, 중기적으로는 신분 도용이나 스토킹 등의 2차 피해, 장기적으로는 곳곳에서 새어 나간 한 사람의 정보 조각을 하나의 데이터로 집약해 그 사람 자체를 재연하는 도용 등이 우려된다. 각종 서비스 탈퇴 후에도 결제 기록 등 개인 정보는 남은 법적 보관 기간까지 지워지지 않을 수 있다는 사실도 인지해야 한다. 개인 정보 유출 사고 방지를 위해 비밀번호의 주기적 변경 및 서비스별 분리 사용을 습관화해야 한다. OTP 등 2단계 인증 활성화, 명의도용 방지 서비스 등을 통해 본인 명의 가입 현황을 살펴보며 신규 개설 차단을 설정해 두는 것이 좋다. 한국인터넷진흥원(KISA)의 보호나라 등을 통해 개인정보 침해 여부를 확인할 필요도 있다. 

Editor 윤혜경  Cooperation 자유기업원