쿠팡 KT 롯데카드 개인정보 유출 과징금 정리와 9월 개정법

2025년 하반기부터 2026년 상반기까지 한국에서 벌어진 대규모 개인정보 유출 사고의 제재가 대부분 확정됐다. 개인정보보호위원회는 쿠팡에 과징금 6246억 8100만 원(2026년 6월 10일 의결), KT에 539억 7900만 원(7월 30일), 롯데카드에 96억 2000만 원(3월 12일), SK텔레콤에 1347억 9100만 원(2025년 8월 28일)을 부과했다. 그런데 정부 조사 결과 이 사고들의 원인은 대부분 정교한 외부 공격이 아니라 하드코딩된 암호키, 퇴사자에게 남은 접근 권한, 10년짜리 인증서 같은 기본 관리의 실패였다. 그리고 2026년 9월 11일, 과징금 상한을 전체 매출의 10%로 올린 개정 개인정보보호법이 시행된다.

얼마나 털렸고 얼마를 물었나

개인정보위가 2025년 8월 이후 의결한 주요 제재를 정리하면 다음과 같다. 금액은 과징금 기준이며 과태료는 별도다.

사고	유출 규모	확인된 원인	과징금	의결 시점
쿠팡	약 3755만 명	인증 서명키 관리·접근통제 소홀	6246억 8100만 원	2026.6.10
SK텔레콤	2324만 4649명	서버 악성코드 감염, 유심 인증키 등 25종	1347억 9100만 원	2025.8.28
KT	1만 6647명	불법 펨토셀(소형 기지국) 통한 코어망 접근	539억 7900만 원	2026.7.30
롯데카드	297만 명	간편결제 시스템 해킹, 로그 파일 평문 기록	96억 2000만 원	2026.3.12

비교 기준점으로, 2024년 카카오톡 오픈채팅 유출 건의 151억 4196만 원이 그때까지 국내 기업 대상 역대 최대 과징금이었다. 쿠팡 건은 그 41배다.

유출 인원과 과징금이 비례하지 않는다는 점이 눈에 띈다. KT는 유출 규모가 1만 6647명으로 네 건 중 가장 작은데도 540억 원을 물었다. 개인정보위는 KT가 2024년 3월 서버 악성코드 감염 사실을 신고하지 않고 자체 처리했고, 2025년 4월 전수점검 과정에서 일부 서버 로그를 삭제한 점을 들어 조사 방해로 판단하고 고발까지 결정했다. 과징금은 유출된 사람 수가 아니라 관리 소홀의 정도와 사고 이후의 태도로 결정된다.

왜 "해킹"이라는 말이 오해를 부르는가

대형 유출 사고가 터지면 국가 지원 해커 집단이나 제로데이 취약점 같은 이야기가 먼저 나온다. 그러나 조사 결과는 대체로 그 반대였다.

쿠팡 사건에서 과학기술정보통신부와 민관합동조사단이 밝힌 경위는 이렇다. 사용자 인증 토큰을 검증하는 서명키가 소스 코드에 직접 박혀 있었다(하드코딩). 키를 바꾸려면 소스 코드 자체를 수정해야 해서 절차상 부담이 컸고, 그 결과 담당 직원이 퇴사한 뒤에도 키가 갱신되지 않고 방치됐다. 퇴사 전 정상 서명키를 확보한 인물이 그 키로 유효한 접근 토큰을 직접 만들어냈다. 관문(게이트웨이) 서버는 서명키 값만 맞으면 통과시키는 구조였고, 사용된 키가 진짜였기 때문에 시스템은 이를 의심할 근거가 없었다. 이 상태가 2025년 4월부터 11월까지 약 7개월간 지속됐다.

개인정보위는 처분 브리핑에서 이 사고를 "고도의 해킹이 아니라 기본적인 안전관리 체계 미흡"으로 규정했다.

KT도 구조가 비슷하다. 개인정보위 조사에 따르면 KT는 펨토셀 인증서 유효기간을 10년으로 설정했고, 접속 IP를 제한하지 않았으며, 펨토셀 관리서버를 우회하는 경로가 존재했고, 셀 아이디 관리도 부실했다. 롯데카드는 법적 근거 없이 주민등록번호를 처리하고 암호화를 충분히 하지 않아 로그 파일에 남아 있던 297만 명분(주민번호 45만 명분 포함)이 빠져나갔다.

세 사고 모두 침입을 막는 기술이 없어서 뚫린 것이 아니라, 이미 있는 기술을 운영하는 절차가 없어서 뚫렸다.

쿠팡 건의 유력 용의자로는 중국 국적의 전 직원이 지목됐으나 이미 출국한 상태로 알려져 있다. 수사는 2026년 8월 현재 진행 중이며, 형사 책임 소재는 아직 확정되지 않았다.

피해자는 실제로 보상을 받는가

2026년 7월 31일, 소비자분쟁조정위원회는 쿠팡 개인정보 유출 집단분쟁조정 사건에서 신청인 1인당 현금 또는 쿠팡캐시 10만 원 배상을 결정했다. 유출 사고 공개 약 8개월 만에 나온 국내 첫 배상 인정이다. 위원회는 이름·이메일·주소뿐 아니라 공동현관 비밀번호와 주문내역까지 유출된 점, 7개월에 걸쳐 지속됐고 일부 고객에게 유출 사실을 알리는 이메일이 직접 발송되는 등 악용 가능성이 확인된 점을 판단 근거로 들었다.

다만 이 결정에는 두 가지 한계가 있다.

• 결정의 직접 대상은 조정 신청인 50명이다. 유출 인원 전체에 자동 적용되지 않는다. 3755만 명에 그대로 적용하면 3조 8000억 원 규모가 되지만, 그것은 계산일 뿐 확정된 금액이 아니다.
• 강제력이 없다. 양측이 결정서를 받은 날부터 15일 이내에 수락해야 재판상 화해와 같은 효력이 생긴다. 신청인 측은 수용 의사를 밝혔고, 쿠팡은 "조정안을 받아본 뒤 면밀히 검토하겠다"는 입장을 냈다. 2026년 8월 31일 현재 쿠팡의 최종 수용 여부는 확인되지 않았다.

쿠팡이 거부하면 남는 길은 민사소송이다. 2025년 12월 27일 첫 소장이 접수된 이후 서울중앙지방법원에 다수의 손해배상 청구가 제기됐으며, 한 법무법인 집계만으로도 2026년 4월까지 11건에 원고 4만 7311명이 모였다. 별도로 미국에서는 모회사 쿠팡Inc를 상대로 징벌적 손해배상을 청구하는 집단소송이 제기됐다.

과징금은 국고로 들어가지 회원에게 지급되지 않는다는 점도 짚어둘 만하다. 6246억 원이 부과됐다는 사실과 개인이 보상을 받는다는 사실은 서로 다른 트랙이다. 다만 개인정보위는 2026년 하반기 업무계획에서 징수 과징금을 국민 피해 복구에 쓸 수 있도록 통합기금을 마련하겠다고 밝혔다.

9월 11일부터 무엇이 달라지나

2026년 3월 10일 공포된 개정 개인정보보호법이 2026년 9월 11일 시행된다. 이 글을 쓰는 시점 기준 열흘 남짓 남았다.

항목	현행	9월 11일 이후
과징금 상한	전체 매출액의 3%	중대·반복 위반 시 10%
'유출등' 정의	외부 유출	위조·변조·훼손 포함
통지 시점	유출 확인 후	유출 가능성 단계에도 통지
보호책임자(CPO)	지정 의무	이사회 의결·신고, 자격 요건 강화

매출 10% 상한이 모든 위반에 적용되는 것은 아니다. 재위반, 1000만 명 이상 대규모 피해, 시정조치 불이행의 세 경우에 한정된다. 쿠팡 건은 개정 전 기준인 3% 상한을 적용받았고 그래서 6246억 원이었다. 같은 사고가 9월 11일 이후 발생했다면 산술적 상한은 세 배 이상으로 올라간다.

기업 실무에서 놓치기 쉬운 대목은 과징금이 아니라 '유출등' 정의 확대다. 데이터가 밖으로 나가지 않아도 파일이 훼손되기만 하면 통지·신고 의무가 생길 수 있다. 랜섬웨어로 파일이 암호화된 경우가 대표적이다. 신고 근거 조문도 제34조 제3항에서 제4항으로 이동하므로 사내 매뉴얼과 개인정보처리방침의 조문 인용을 수정해야 한다. 시행령은 2026년 8월 24일 기준 아직 공포되지 않아, 세부 기준은 시행 직전에 확인할 필요가 있다.

개인이 지금 할 수 있는 일

유출된 정보는 회수되지 않는다. 이미 나간 이름·이메일·주소·전화번호를 되돌릴 방법은 없고, 현실적인 대응은 그 정보가 2차 피해로 이어지는 경로를 끊는 것뿐이다.

• 비밀번호 재사용을 끊는다. 쿠팡 건에서 비밀번호는 암호화돼 유출 대상에 포함되지 않은 것으로 발표됐으나, 이메일 주소가 확보된 이상 다른 사이트에서의 크리덴셜 스터핑 시도는 가능하다.
• SMS·ARS 인증에만 의존하지 않는다. KT 사례에서 유출된 가입자식별번호(IMSI)는 문자·ARS 인증 탈취를 거쳐 368명에게 약 2억 4000만 원의 무단 소액결제 피해로 이어졌다. 통신사에서 소액결제 차단 또는 한도 축소를 신청할 수 있다.
• 사칭 연락을 전제하고 움직인다. 이름·주문내역·주소를 아는 상대의 전화나 문자는 신뢰도가 높아 보인다. 발신 내용에 링크나 계좌·인증번호 요구가 있으면 무조건 공식 앱·공식 대표번호로 되짚어 확인한다.
• 집단분쟁조정과 소송 참여는 마감이 있다. 참여를 고려한다면 신청 창구와 기한을 직접 확인해야 한다. 조정 결과가 자동으로 전체 유출자에게 적용되지는 않는다.

정리

2025~2026년 한국의 대형 개인정보 유출 사고는 보안 기술의 한계를 보여준 사건이 아니라, 키를 바꾸는 절차·퇴사자 권한을 회수하는 절차·인증서를 갱신하는 절차가 조직에 없었던 사건에 가깝다. 개인정보위가 쿠팡 처분에서 "고도 해킹이 아닌 기본 관리 소홀"이라고 못 박은 이유이자, 제재 수위가 유출 규모보다 관리 태도에 더 크게 좌우된 이유다. 9월 11일 시행되는 개정법은 그 판단 기조를 상한 10%라는 숫자로 못 박는다. 남은 변수는 쿠팡이 1인당 10만 원 조정안을 수용하는지, 그리고 진행 중인 민사소송에서 법원이 어떤 금액을 인정하는지다.

이 글은 공개된 정부 발표와 언론 보도를 정리한 일반 정보이며 법률 자문이 아니다. 개별 사건의 배상 청구나 소송 참여 여부는 변호사와 상담해 결정해야 한다. 수사·소송이 진행 중인 사안의 사실관계와 금액은 이후 변경될 수 있으며, 본문의 수치는 2026년 8월 31일 확인 기준이다.

출처 — 개인정보보호위원회 보도자료(대한민국 정책브리핑, 2026.6.11), 과학기술정보통신부 민관합동조사단 브리핑, 보안뉴스, 파이낸셜뉴스, 경향신문, 뉴시스, ZDNet Korea, 한국경제.