우리 회사 유출은 어느 유형인가 — 개인정보위 결정문 204건의 경위 분류와, 유형마다 갈린 처분

핵심 요약: 개인정보보호위원회가 공개한 제재 의결서 889건 가운데 결정문에 「유출 경위」가 기재된 204건(2022년 3월~2026년 8월 의결)을 경위별로 분류하면 여덟 유형이 나옵니다. 과징금 부과율은 유형마다 크게 갈립니다 — 취약점 공격 57%, 계정 탈취·도용 69%, 설계·설정 오류 30%, 담당자 오게시·오발송 21%. 갈림의 원인은 유출 규모가 아니라 조문 구성입니다. 과징금 근거인 개인정보 보호법 제64조의2 제1항 제9호는 제29조(안전조치 의무) 위반으로 유출된 경우를 사유로 삼는데, 오게시·오발송 사건에서 위원회는 제28조(개인정보취급자에 대한 감독·교육) 위반을 함께 걸었습니다. 오게시·오발송 48건 중 10건에 제28조가 걸린 반면, 취약점 공격과 계정 탈취 75건에서는 한 건도 없었습니다. 이 유형에서 과징금이 나온 10건은 전부 주민등록번호가 함께 새어 나가 제24조 제3항이 걸린 사건입니다.

유출 사고가 나면 회사 안에서 가장 먼저 오가는 질문은 대개 같습니다.

"우리 같은 경우도 과징금이 나옵니까?"

이 질문에 답하려면 우리 사고가 어떤 종류의 사고인지부터 말할 수 있어야 합니다. 그런데 실무에서 통용되는 구분은 대개 「해킹이냐 실수냐」 두 칸뿐입니다. 결정문을 읽어 보면 그 두 칸으로는 담기지 않는 사건이 절반에 가깝습니다.

그래서 결정문에 적힌 경위 문장을 직접 세어 봤습니다.

무엇을 세었나

개인정보보호위원회는 제재 의결서를 위원회 결정문 게시판에 공개합니다. 저희가 수집해 제재 전수 표로 정리해 둔 것이 889건입니다.

이 가운데 결정문 본문의 「Ⅱ. 조사 결과」에 유출 경위가 문장으로 기재된 것이 204건입니다. 의결일 기준 2022년 3월 23일부터 2026년 8월 26일까지입니다. 이 204건의 경위 문장을 한 건씩 읽고 분류했습니다.

키워드로 자동 분류하지 않은 이유가 있습니다. 결정문은 「관계 법령」 절에서 안전성 확보조치 기준을 길게 인용하는데, 거기에 이미 '출력물', '분실', '도난' 같은 말이 들어 있습니다. 본문 전체를 기계로 훑으면 그 인용문이 사고 원인으로 집계됩니다. 실제로 시험 삼아 돌려 보니 '문서·매체’가 263건으로 1위가 나왔는데, 대부분 조문 인용이었습니다.

유출은 어떤 경위로 일어나는가 — 여덟 유형

이 여덟 칸이 실무에서 쓰는 「해킹이냐 실수냐」와 어긋나는 지점이 두 군데 있습니다.

첫째, C는 해킹도 실수도 아닙니다. 공격자가 침입한 것이 아니라 시스템이 처음부터 열려 있었고, 담당자가 실수한 것도 아니라 설계가 그렇게 되어 있었습니다. 그런데 이 유형이 60건으로 가장 많습니다.

둘째, B는 A와 성격이 다릅니다. 공격 기술이 아니라 계정 하나가 문제였고, 결정문의 표현을 그대로 옮기면 회사는 그 계정이 어떻게 샜는지 모릅니다.

해킹이면 과징금, 실수면 과태료인가

부과율만 놓고 보면 그렇게 읽힙니다. 하지만 그 인과를 「위원회가 해킹을 더 무겁게 본다」로 요약하면 틀립니다.

법은 유출 원인을 요건으로 삼지 않습니다. 이 점은 저희가 해킹이 아니라 직원 실수였습니다 — 업무 과실 유출도 개인정보 과징금 대상인가에서 조문 단위로 정리한 바 있습니다. 개인정보 보호법 제64조의2 제1항 제9호는 개인정보가 유출된 경우 자체를 과징금 사유로 정할 뿐, 해킹인지 담당자 실수인지를 묻지 않습니다.

그렇다면 실제 처분은 왜 갈릴까요.

오게시·오발송에 과징금이 붙지 않은 이유는 규모가 아니다

먼저 규모가 원인이 아니라는 것부터 확인하겠습니다.

회원에게 정기적으로 보내는 공부자료 메일에 개인정보가 포함된 다른 문서를 첨부해 12,314건이 유출된 사안에서, 위원회는 시정명령만 하고 금전 처분을 하지 않았습니다(제2026-212-241호, 2026년 6월 24일 의결).

같은 유형에서 가장 무거운 처분이 과태료 900만 원이었습니다. 사업 선정자를 공지하면서 신청자와 자녀 2,412명의 이름과 생년월일이 담긴 파일을 함께 첨부한 사안입니다(제2023-002-007호).

반면 회원 약 1만 명의 개인정보가 SQL 인젝션 공격으로 유출되어 게시판에 공개된 사안에서는 과징금 1,800만 원과 과태료 360만 원이 부과됐습니다(제2024-017-240호).

유출 규모는 오히려 오발송 쪽이 컸습니다. 그런데도 처분의 종류가 다릅니다.

차이는 위원회가 거는 조문에 있습니다.

과징금 조항인 제64조의2 제1항은 각 호로 위반 조문을 열거하는데, 유출 사건에 걸리는 것은 제9호입니다. 제9호는 제29조를 위반해 안전성 확보에 필요한 조치를 하지 않아 개인정보가 유출된 경우를 사유로 삼습니다. 저희가 결정문 전문에서 제64조의2 제1항 각 호의 인용 횟수를 세어 보니 제9호가 85회로 압도적이었고, 나머지 호는 제4호 12회·제7호 8회에 그쳤습니다.

그런데 담당자가 파일을 잘못 올린 사건에서는 시스템의 안전조치가 문제되지 않습니다. 접근통제도 암호화도 접속기록도 정상이었고, 사람이 잘못 올렸을 뿐입니다.

그래서 위원회는 다른 조문을 겁니다. 제28조 — 개인정보처리자가 개인정보취급자를 적절히 관리·감독하고 교육해야 한다는 조항입니다.

숫자로 보면 이 구분이 선명합니다.

• 오게시·오발송 48건 중 제28조 계열이 걸린 것: 10건
• 취약점 공격·계정 탈취 75건 중 제28조 계열이 걸린 것: 0건

제28조는 제64조의2 제1항이 열거한 과징금 사유에 들어 있지 않습니다. 과태료 사유일 뿐입니다. 그래서 오게시·오발송 유형에서는 처분이 대체로 과태료와 시정명령에서 멈춥니다.

다만 예외가 있고, 그 예외에 규칙이 있습니다. 이 유형 48건 중 과징금이 나온 10건은 전부 제24조 제3항(고유식별정보의 안전조치) 위반이 함께 걸린 사건, 곧 새어 나간 항목에 주민등록번호가 있던 사건입니다. 이 조문으로 갈라 보면 선이 분명합니다.

• 제24조 계열이 걸린 오게시·오발송 19건 → 과징금 10건(53%)
• 그 밖의 오게시·오발송 29건 → 과징금 0건(0%)

즉 오게시·오발송이라는 사실 자체가 과징금을 막아 주는 것이 아닙니다. 엑셀 숨김 시트나 오첨부로 주민등록번호가 나가면 그때는 과징금 구간으로 넘어갑니다.

정리하면 이렇습니다. 법 문언은 유출 원인을 묻지 않지만, 원인이 어떤 조문 위반으로 구성되느냐를 결정하고, 그 조문이 과징금 대상인지 여부를 결정합니다. 결과적으로 원인이 처분의 종류를 가릅니다.

가장 많은 유형은 해킹이 아니었다

60건으로 최다인 C 유형은 공격자가 없어도 정보가 새는 상태를 말합니다. 결정문에 적힌 모습은 이렇습니다.

접근통제를 걸지 않은 관리자 페이지. 특정 URL을 입력하면 아이디와 비밀번호 없이 회원 데이터베이스에 닿을 수 있었던 사안, 모니터링 시스템을 구축하면서 모든 IP의 접속을 허용하는 기본 설정을 그대로 둔 사안이 있습니다.

순번을 유추할 수 있는 URL. 행사 입장권 링크에 붙은 개인코드가 200001번부터 시작하는 여섯 자리 숫자여서, 숫자를 바꾸면 다른 사람의 정보가 그대로 열렸습니다. 관리자 페이지 주소의 끝이 회원 휴대전화번호로 되어 있던 사안도 있습니다.

설문 도구의 기본 설정. 구글 설문지의 '결과 요약 보기' 옵션을 끄지 않아 응답자가 '이전 응답 참조’를 누르면 앞선 신청자들의 답변이 보였습니다. 같은 원인의 의결이 2025년에만 두 차례 있습니다(제2025-221-433호 등).

그 밖의 운영 상태들. 이벤트 직후 접속이 몰리자 같은 세션키가 여러 사람에게 매칭되어 다른 사람 계정으로 로그인된 사안(두 건), 학생 계정의 아이디와 비밀번호가 모두 학번·생년월일이어서 다른 학생 계정으로 접속된 사안(제2026-206-088호·제2026-214-290호), 데이터베이스 이관·전환에서 설정을 누락해 다른 사람의 정보가 표시된 사안들이 같은 칸에 쌓입니다.

이 목록이 중요한 이유는 여기 실린 것들이 대부분 보안 담당자가 아니라 개발·운영 과정에서 만들어진다는 데 있습니다. 침입 탐지나 방화벽으로 걸러지지 않고, 모의해킹 점검 항목에도 잘 잡히지 않습니다.

이 유형의 과징금 부과율은 30%로 A·B의 절반 수준이지만, 금액 상위권에는 올라 있습니다. 윈도우 공유폴더 파일서버를 통해 유출된 사안에 75억 400만 원(제2024-008-182호), 비밀번호 찾기 페이지의 소스코드 취약점이 원인이 된 사안에 5억 300만 원(제2025-002-005호), 지원자 계정으로도 다른 지원자 정보에 접근할 수 있는 API를 권한 검증 없이 배포한 사안에 8,200만 원(제2025-014-047호)이 부과됐습니다.

"알 수 없는 방법으로 획득한 관리자 계정"

B 유형 26건을 읽다 보면 같은 문장이 반복됩니다.

「해커가 알 수 없는 방법으로 획득한 피심인의 관리자 계정으로 접속하여」

이 문장은 공격 기법을 설명하지 않습니다. 회사가 계정이 어떻게 샜는지 규명하지 못했다는 사실을 적은 것입니다. 그런데도 이 유형의 과징금 부과율은 69%로 여덟 유형 중 가장 높습니다.

결정문을 보면 위원회가 무엇을 문제 삼았는지 드러납니다. 유출 경로를 못 밝힌 것이 아니라, 관리자 페이지가 외부에서 아이디·비밀번호만으로 접속 가능한 상태였다는 점을 안전조치 위반으로 봅니다. 인사관리시스템 관리자 계정으로 외부에서 로그인해 임직원과 교육생 정보를 내려받은 사안에서 위원회는 웹 서비스 포트에 모든 IP의 접속이 허용되어 있었고 VPN이나 OTP가 적용되지 않았다는 점을 적시하며 과징금 35억 3,700만 원을 부과했습니다(제2026-006-050호).

같은 유형의 다른 얼굴이 크리덴셜 스터핑입니다. 다른 곳에서 유출된 계정 정보를 대입해 로그인을 시도하는 공격인데, 회사 시스템에 취약점이 없어도 성립합니다. 로그인 페이지에 이 공격을 받아 이용자 정보가 열람된 사안에 14억 3,200만 원이 부과됐습니다(제2024-011-187호). 다른 사안에서는 4,305개 IP에서 541만여 회 로그인이 시도되어 12만 8,641회가 성공했는데도 차단되지 않았습니다.

기술적 취약점이 전혀 없는 사건도 있습니다. 공격자가 최고운영책임자의 이메일 주소를 확보한 뒤 그를 사칭해 헬프데스크에 비밀번호 초기화와 2차 인증 전화번호 변경을 요청한 사안입니다(제2026-006-051호, 과징금 2억 8,000만 원). 뚫린 것은 시스템이 아니라 사람을 거치는 절차였습니다.

수탁사에서 난 사고, 누가 무는가

204건을 읽으면서 가장 눈에 띈 의결이 2026년 5월 27일 자입니다.

한 업체의 네트워크 저장장치(NAS)가 외부 IP에서 접근 가능한 상태로 운영되다 저장된 개인정보가 탈취되어 다크웹에 게시됐습니다. 공격자는 그 장치의 로그를 전부 삭제해, 세부 경위는 확인되지 않았습니다.

위원회는 같은 날 네 건을 함께 의결했습니다.

사고가 난 곳은 수탁사인데, 발주기관이 더 큰 과징금을 물었습니다. 위탁자의 관리·감독 책임이 어떻게 구성되는지는 수탁사 직원의 실수로 개인정보가 유출됐다 — 위탁사는 어디까지 책임지나에서 조문 단위로 다뤘습니다.

같은 구조가 다른 방향으로 나타난 사례도 있습니다. 행사 사전등록자에게 발송한 입장권 URL의 개인코드를 유추할 수 있었던 사안에서, 위원회는 알림톡을 실제로 발송한 수탁자와 행사를 주최한 위탁자를 각각 의결했습니다. 수탁자에게는 과태료 420만 원, 위탁자에게는 시정 처분이 내려졌습니다.

한 건의 사고가 여러 건의 의결이 된다는 점은 실무에서 놓치기 쉽습니다. 계약 상대가 처분을 받았다는 사실이 우리 회사의 면책을 뜻하지 않습니다.

경위를 밝히지 못하면 어떻게 되나

204건 중 5건은 유출 경위가 확인되지 않은 채로 의결됐습니다. 결정문의 문장은 대체로 이런 식입니다.

「접속기록을 보관하지 않아 유출 여부 및 정확한 유출 항목과 규모는 알 수 없다」 「쇼핑몰 운영 종료로 시스템 운영 현황을 보관하고 있지 않아 유출 추정 시점을 파악할 수 없다」 「구시스템이 폐기되어 정확한 유출 시점과 유출 경위를 알 수 없고, 안전조치 의무 위반 여부도 확인할 수 없었다」

경위를 밝히지 못한 것이 회사에 유리하게 작용하지는 않았습니다. 접속기록을 남기지 않은 것 자체가 제29조의 안전조치 의무 위반이기 때문입니다. 실제로 이 유형 5건 전부에 과태료가 부과됐습니다.

조사 국면에서 이 점은 두 방향으로 작동합니다. 로그가 있으면 유출 범위를 좁혀 소명할 수 있고, 로그가 없으면 범위를 좁힐 근거도 없는 데다 로그 부재 자체가 별도의 위반이 됩니다.

우리 사고는 어느 칸에 들어가는가

사고 직후 사실관계를 정리할 때, 아래 세 가지를 먼저 확정하면 이후 판단이 달라집니다.

1. 시스템의 안전조치가 문제되는 사안인가, 사람의 처리 과정이 문제되는 사안인가. 전자면 제29조 국면이고 과징금 가능성이 열립니다. 후자면 제28조 국면일 수 있습니다. 다만 이 구분은 회사가 선언한다고 정해지지 않습니다 — 담당자가 잘못 올린 파일이라도 그 파일이 애초에 접근권한 없이 열람 가능한 위치에 있었다면 제29조가 함께 걸립니다.

2. 접속기록이 남아 있는가. 유출 규모와 범위를 스스로 특정할 수 있는지가 여기서 갈립니다.

3. 사고가 난 시스템의 운영 주체가 누구인가. 위탁 관계가 있으면 우리 회사와 상대방이 각각 별개의 의결 대상이 될 수 있습니다.

경위 판단과 별개로 인지 후 72시간의 통지·신고 절차는 유형과 무관하게 진행됩니다. 그 절차는 개인정보 유출을 인지했습니다 — 72시간 안에 해야 할 일과 하면 안 되는 일에 정리해 두었습니다. 처분 단계에서 금액이 어떻게 조정되는지는 과징금이 '전체 매출액 기준’으로 바뀐 뒤, 실제로 감경이 인정된 사유들을 참고하시기 바랍니다.

이 글이 세지 않은 것

이 분류는 결정문이 공개되고 그 본문에 유출 경위가 기재된 사건만을 대상으로 합니다. 다음은 빠져 있습니다.

• 결정문이 공개되지 않은 제재. 위원회가 보도자료로는 알렸으나 의결서를 공개하지 않은 사건이 별도로 있습니다. 금액이 큰 사건이 여기에 여럿 포함되어 있어, 이 글의 유형별 과징금 총액을 시장 전체의 분포로 읽으면 안 됩니다. 해당 목록은 결정문이 공개되지 않은 제재에 따로 정리해 두었습니다.

• 결정문은 공개됐으나 경위 서술이 없는 사건. 실태점검으로 적발된 안전조치 위반처럼 유출 사고가 전제되지 않은 의결이 여기 해당합니다.

• 분류의 성격. 한 사건에 두 가지 경위가 겹치는 경우(예: 취약점으로 관리자 계정을 얻은 뒤 로그인) 결정문이 주된 원인으로 서술한 쪽에 넣었습니다. 기계적 기준이 아니라 읽고 판단한 결과입니다.

• 과징금 법제의 변경. 표본 기간이 2023년 9월 15일 시행된 개정 — 과징금 근거를 전체 개인정보처리자로 넓히고 산정 기준을 전체 매출액으로 바꾼 제64조의2 — 의 전후에 걸쳐 있습니다. 유형별 부과율과 금액은 이 전후를 구분하지 않고 센 것이므로, 유형 사이의 차이에는 의결 시기의 차이가 일부 섞여 있을 수 있습니다.

• 🔴 2026년 9월 11일 전면 재분류. 이 표는 수집 범위를 넓힌 뒤(의결 640건 → 889건, 경위 기재 180건 → 204건) 204건을 처음부터 다시 읽어 분류한 결과입니다. 새로 들어온 24건 때문만이 아니라 판정 자체를 다시 했기 때문에 종전 표와 유형별 건수가 어긋납니다 — 특히 「경위 불명」을 로그 부재로 경위를 아예 특정하지 못한 사건으로 좁혔고(18건 → 5건), 종전 여섯 유형이 담지 못하던 물리 분실·유기와 사회공학·사칭을 별도 유형으로 뺐습니다. 2026년 8월 판 수치와 직접 빼서 추세로 읽지 마십시오.

의결 건수와 조문별 분포는 개인정보위 제재 전수 표에서 확인하실 수 있습니다.

자주 묻는 질문

Q. 해킹으로 유출된 경우와 담당자 실수로 유출된 경우, 처분이 실제로 다른가요?

결정문상으로는 다르게 나타났습니다. 유출 경위가 기재된 의결 204건을 분류한 결과, 외부 공격자가 취약점을 이용한 49건 중 28건(57%)과 계정을 탈취·도용한 26건 중 18건(69%)에 과징금이 부과된 반면, 담당자가 파일을 잘못 게시하거나 메일을 잘못 보낸 48건에서는 10건(21%)에 그쳤고 그 10건은 전부 주민등록번호가 함께 새어 나간 사건이었습니다. 다만 이것은 법이 원인을 요건으로 삼기 때문이 아니라, 경위에 따라 위원회가 어느 조문 위반으로 구성하는지가 달라지기 때문입니다.

Q. 메일을 잘못 보내 1만 건이 유출됐는데도 과징금이 없을 수 있나요?

실제로 그런 의결이 있었습니다. 회원에게 보내는 정기 메일에 다른 문서를 첨부해 12,314건이 유출된 사안에서 위원회는 시정명령만 하고 금전 처분을 하지 않았습니다(제2026-212-241호). 반대로 회원 약 1만 명이 SQL 인젝션 공격으로 유출된 사안에서는 과징금 1,800만 원과 과태료 360만 원이 부과됐습니다(제2024-017-240호). 유출 규모는 오히려 앞의 사건이 컸습니다.

Q. 수탁사에서 사고가 났는데 우리 기관이 수탁사보다 큰 과징금을 받을 수도 있나요?

그런 사례가 있습니다. 한 업체의 네트워크 저장장치가 외부에서 접근 가능한 상태로 운영되다 유출된 사안에서 위원회는 같은 날 네 곳을 함께 의결했는데, 해당 업체에는 과징금 8,250만 원, 발주기관인 농촌진흥청에는 1억 6,800만 원이 부과됐습니다(제2026-010-068호·제2026-010-071호). 같은 사고에서 국립농업과학원은 2,310만 원, 국립축산과학원은 시정명령을 받았습니다.

이 글은 일반적인 정보 제공을 목적으로 하며, 구체적인 사안에 대한 법률자문이 아닙니다. 개별 사안은 사실관계에 따라 결론이 달라질 수 있으므로 별도의 검토가 필요합니다.

참고 자료

• 개인정보 보호법 제28조, 제29조, 제34조, 제64조의2 제1항 제9호, 제75조
• 개인정보보호위원회 위원회 결정문 (2022년 3월 ~ 2026년 8월 의결분)
• 개인정보위 제재 전수 표 · 결정문이 공개되지 않은 제재