"성형사진부터 결제정보까지"…'매출 10%' 과징금 시행 앞두고 개인정보 줄줄 샜다

강남언니 22만명 시술 내역·사진 노출… 위버스도 42만건 털려 올해만 두 번째

'고의·중과실 반복 땐 전체 매출액 10%까지 과징금' 개정법 11일부터 시행

소급 적용 안되지만 플랫폼 보안관리 도마…당국, 중과실 여부 조사

[서울=뉴시스] 최근 개인정보 유출 사고가 발생한 강남언니와 하이브 위버스 CI. (사진=각사 제공) 2026.09.08. [email protected] *재판매 및 DB 금지

[서울=뉴시스]윤정민 박은비 기자 = 개인정보보호법 개정안 시행을 코앞에 두고 민감한 사생활 정보가 담긴 개인정보 유출사고가 잇따르고 있다. 국내 최대 미용의료 플랫폼 '강남언니'에서 22만명에 달하는 개인정보가 빠져나가는 사고가 발생했다. 앞서 하이브의 글로벌 팬덤 플랫폼 '위버스'가 42만 건의 개인정보 유출을 공지한 지 불과 이틀 만이다.

두 사고가 공교롭게도 고의·중과실에 따른 반복 위반이나 대규모 피해 발생 시 사업자에게 징벌적 성격의 과징금을 부과할 수 있도록 한 개정 개인정보보호법 시행(11일)을 코앞에 두고 연쇄적으로 발생했다. 법 시행 이전 사고여서 최악의 법적 철퇴는 피하게 됐지만, 플랫폼 기업들의 총체적 보안 불감증에 대한 당국의 엄정한 조사가 불가피할 전망이다.

8일 IT 및 의료 플랫폼 업계에 따르면 강남언니 운영사인 힐링페이퍼는 지난 4일 이용자의 상담 내역을 조회하는 연동 기능(API)에 외부 침입이 발생해 개인정보가 유출된 사실을 확인했다. 이번 사고로 정보가 털린 이용자는 총 21만9665명이다. 한국 이용자 약 16만명을 비롯해 일본 약 4만8000명, 대만 4218명, 태국 1591명, 중국 481명 등 글로벌 이용자 데이터도 포함됐다.

특히 유출 정보에는 이름과 연락처, 생년월일, IP주소 등 기본 개인정보뿐 아니라 상담 병원과 시술 부위, 이용자가 상담 과정에서 직접 올린 신체·얼굴 사진, 실제 시술 내역 및 결제 정보 등이 담겨 있어 2차 피해 우려가 제기되고 있는 상황이다.

힐링페이퍼는 지난 6일 경찰서에 수사 의뢰하고, 한국인터넷진흥원(KISA)에 자진 신고했다.

[서울=뉴시스] 강남언니 개인정보 유출 안내 및 사과문. (사진= 강남언니  홈페이지 캡처)

이에 앞서 위버스 운영사인 위버스컴퍼니도 지난 6일 서비스 내 보안 취약점으로 회원 내부식별정보와 결제수단, 결제대행사(PG)명, 통화, 결제·환불 금액 등 42만2584건의 개인정보가 유출됐다고 밝혔다. 위버스컴퍼니는 지난 3일 KISA를 통해 서비스 보안 취약점에 대한 외부 제보를 전달받은 뒤에야 사태를 파악했다.

올해 들어 위버스에서 개인정보 관련 사고가 발생한 것은 이번이 두 번째다. 지난 1월에는 직원이 팬 사인회 응모자 개인정보를 단체 카카오톡방에 공유하는 사고가 발생했다. 당시 위버스컴퍼니는 이를 직원 개인의 일탈을 넘어 회사의 구성원 관리 부실 문제라고 인정했다.

11일 시행 개정법… '3년 내 반복 위반' 땐 매출 10% 폭탄

[서울=뉴시스] 개인정보보호위원회. (사진=개인정보보호위원회 제공) *재판매 및 DB 금지

플랫폼 업계가 이번 사고에 촉각을 곤두세우는 건 오는 11일부터 강화된 개인정보보호법이 시행되기 때문이다.

개정법은 고의 또는 중대한 과실로 개인정보 유출 등 위반행위를 반복하거나 대규모 피해를 발생시킨 사업자에 대해 과징금 상한을 크게 높였다.

구체적으로 개인정보처리자가 과징금 처분을 받은 날부터 3년 이내에 동일 유형의 위반행위를 다시 저지르고 두 건 모두 고의 또는 중대한 과실이 인정되는 경우, 고의·중과실로 1000만명 이상의 정보주체에게 피해를 입힌 경우, 정부의 시정명령을 이행하지 않은 상태에서 개인정보 유출 등이 발생한 경우에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.  종전 과징금 상한(위반행위 관련 매출액의 3%)을 뛰어넘는 강력한 제재다.

강남언니와 위버스 정보유출사고의 경우 사고 시점이 조금만 늦었으면 어땠을까. 엄밀히 말해 두 회사 모두 이번 사고가 개정법 발효 이후 발생했더라도 곧바로 '매출 10% 과징금' 대상에 직행하는 것은 아니다.

우선 두 사고 모두 피해 규모가 1000만명에 미치지 않는다. 또 '3년 내 반복 위반' 규정은 개정법 시행 이후 과징금 처분을 받은 사업자가 다시 같은 유형의 위반행위를 하는 경우에 적용되기 때문에 이번 사고 자체가 곧바로 해당 요건을 충족하는 것은 아니다.

결국 이번 사고의 법적 제재는 기존 법령을 기준으로 이뤄진다. 다만 개정법 시행 이후 개인정보 보호 의무를 소홀히 해 과징금 처분을 받은 기업은 향후 3년간 동일 유형의 위반이 반복될 경우 훨씬 무거운 제재를 받을 수 있어 기업들의 보안 관리 부담은 한층 커질 전망이다.

API 뚫리고 재침투까지 허용… '중과실 여부' 쟁점될 듯

개인정보보호위원회는 양사의 기술적·관리적 보호조치가 적절하게 이행됐는지 등을 조사할 것으로 보인다. 특히 사고 발생 과정에서 사업자가 위험을 얼마나 사전에 파악하고 차단했는지, 개인정보 보호를 위한 안전조치를 충분히 취했는지 등이 중대한 과실 여부를 가르는 핵심 쟁점이 될 전망이다.

강남언니의 경우 데이터베이스(DB) 자체가 직접 탈취된 것이 아니라 애플리케이션 간 통신 창구인 API를 통해 개인정보에 접근한 것으로 알려졌다. 특히 비정상 접근을 감지해 1차적으로 차단한 이후에도 다른 경로를 통한 추가 침입을 허용한 것으로 확인될 경우 API 인증·인가 체계와 이상징후 탐지 등 보안 시스템이 적절하게 작동했는지가 조사 대상이 될 수 있다.

또 성형·시술 상담 내용과 신체·얼굴 사진 등 민감한 정보가 어떤 방식으로 저장·관리됐는지, 접근통제와 암호화 등 안전조치가 제대로 적용됐는지도 확인이 필요하다.

위버스의 경우 외부 화이트해커의 제보가 KISA를 통해 전달된 뒤에야 취약점을 파악했다는 점에서 자체적인 취약점 점검과 보안관제가 제대로 이뤄졌는지가 주요 쟁점으로 떠오를 전망이다.

개인정보위가 최근 마련한 '과징금 투자 감경제도 안내서'에 따르면 사고 전 3개 사업연도의 개인정보 보호 투자 규모와 지속성, 최고경영자(CEO)·개인정보보호책임자(CPO)의 역할, 추가 안전조치 등을 종합해 기준금액의 최대 40%까지 감경할 수 있다.  하지만 침해 사고에 고의나 중대한 과실이 인정될 경우 이 같은 투자 감경 혜택은 원천 배제된다.

보안 업계 관계자는 "강남언니 사태는 성형 상담과 사진 등 프라이버시의 극단에 있는 의료 데이터가 뚫렸다는 점에서 이용자 체감 피해가 클 수밖에 없다"며 "개정법 시행 직전에 발생해 강화된 과징금 규정의 직접적인 적용은 피하게 됐지만, API 보안과 개인정보 접근통제 등 기본적인 보호조치가 적절했는지는 면밀한 조사가 필요하다"고 짚었다.


◎공감언론 뉴시스 [email protected], [email protected]