2026년 8월, 한 배달 플랫폼(FLY)에서 개인정보 유출이 발생했다. 다크웹에는 "4,790만 건을 탈취해 판다"는 공격자의 글이 올라왔고, 샘플에는 계좌·연락처·신분 정보까지 포함돼 있었다. 회사는 이후 실제 유출 규모를 약 33만 건으로 추정한다고 공식 확인했다. 공격자 주장(4,790만)과 회사 추정(33만)은 크게 엇갈리지만, 분명한 사실은 하나다. 평범한 국내 서비스 한 곳이 실제로 뚫렸고, 일부 개인정보가 밖으로 나갔다.
그리고 이건 남의 일이 아니다. 하필 지금, 중대한 유출의 대가를 크게 높인 법이 시행됐기 때문이다.
왜 지금인가 — 9월 11일, 과징금 규제가 바뀌었다
2026년 3월 10일 공포된 개정 개인정보보호법(법률 제21445호)이 2026년 9월 11일부터 시행되고 있다. 핵심은 중대·반복 위반에 대한 과징금 상한 상향이다. 개정 내용 전체는 개인정보보호법 개정 2026 정리를 참고하라.
- 일반 위반: 종전과 같이 전체 매출액의 3% 이내(매출이 없거나 산정이 곤란하면 20억 원 이내)
- 9월 11일부터: 중대·반복 위반에 한해 전체 매출액의 10% 이내(매출이 없거나 산정이 곤란하면 50억 원 이내)
3%와 10%는 부과할 수 있는 상한이지 정해진 부과율이 아니다. 실제 과징금은 전체 매출액에서 위반행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정한다(제64조의2제3항).
여기서 오해하면 안 된다. 모든 위반이 곧바로 10%가 되는 게 아니다. 상한이 10%로 올라가는 건 아래 세 경우로 한정된다.
- 과징금 부과처분을 받은 날부터 3년 안에 같은 유형(제64조의2제1항의 같은 호)의 위반을 반복한 경우(두 위반 모두 고의·중과실일 때로 한정하며, 2026년 9월 11일 이후 발생한 위반으로 받은 처분부터 계산)
- 고의·중과실로 1천만 명 이상의 정보주체에게 피해를 준 경우
- 시정명령을 따르지 않아 유출이 발생한 경우
즉 "무조건 10%"가 아니라 가장 나쁜 경우의 상한이 3배 이상 뛰는 것이다. 하지만 규제가 향하는 방향은 분명하다. 개인정보 유출은 더 이상 '벌금 몇 푼'이 아니라, 매출에 비례해 회사의 존폐를 흔드는 비용이 됐다.
대형 유출도 첫 단추는 '밖에서 보이는 것'이다
FLY 사례처럼 규모가 큰 유출도, 시작은 의외로 단순한 노출인 경우가 많다. 공격자가 특정 회사를 노릴 때 가장 먼저 하는 일은 대단한 해킹이 아니라 외부에서 보이는 약점을 스캔하는 것이다. 대표적으로 이런 것들이다.
- 관리자 페이지(
/admin등)가 검색엔진에 노출되고, 기본 계정이 그대로 살아 있음 - 데이터베이스 백업 파일(
.sql,.zip)이나 환경설정 파일(.env)이 URL로 열림 - 비밀번호·주민번호 같은 민감정보를 평문 또는 약한 방식으로 저장
- 사용 중인 프레임워크·플러그인의 알려진 취약점(CVE)을 패치하지 않고 방치
- HTTPS나 기본 보안 헤더가 적용돼 있지 않음
이 항목들의 공통점은, 외부에서 스캔만 해도 상당수가 드러난다는 것이다. 방어하는 쪽이 먼저 확인할 수 있다는 뜻이기도 하다.
30초 자가점검 체크리스트
지금 우리 서비스에 대해, 아래 질문에 바로 "그렇다/아니다"로 답할 수 있는지 확인해 보자.
- 우리 사이트의 관리자 경로가 검색엔진이나 외부에서 접근 가능한가?
.env·백업 파일(.sql/.zip)·.git같은 파일이 URL로 열리지는 않는가?- 고객 비밀번호를 평문이나 약한 해시로 저장하고 있지는 않은가?
- 쓰고 있는 프레임워크·플러그인에 최근 알려진 취약점이 있는가? 패치했는가?
- HTTPS와 기본 보안 헤더(HSTS 등)가 적용돼 있는가?
- 유출이 실제로 발생했을 때의 통지·신고 절차와 담당자가 정해져 있는가?
하나라도 "모르겠다"가 나온다면, 그게 바로 지금 점검해야 할 지점이다.
지금 할 수 있는 두 가지
1) 외부 노출부터 30초 무료 점검. 위 체크리스트의 상당수는 자동 스캔으로 바로 확인된다. CodeScan은 관리자 페이지 노출, 백업·DB 파일 노출, 알려진 CVE, 암호화·보안 헤더 설정을 자동으로 훑어 결과를 정리해 준다. 회원가입 없이 점검할 사이트 주소만 넣으면 된다.
2) 공시·감경에 대비한 전문 점검. 정보보호공시 대상이거나 민감정보를 다루는 서비스라면, 자동 스캔만으로는 부족하다. 보안 전문 기업 SENTRIX의 보안 감사·모의해킹으로 실제 유출 경로를 공격자 관점에서 검증하고, 취한 조치를 문서로 남길 수 있다. 개정법은 개인정보 보호에 예산·인력·설비 등을 투자하고 운영해 고시 기준을 충족하면 과징금을 감경하도록 했다(제64조의2제6항, 기준금액의 40% 범위, 고의·중과실 위반은 제외). 개인정보보호위원회의 과징금 부과기준 고시도 신속한 피해 회복·개선 조치를 감경 사유로 둔다. 사고가 나기 전에 쌓아 둔 증거가, 나중에 회사를 지킨다.
정리
- 9월 11일 시행된 개정법으로, 중대·반복 위반(3가지 요건)의 과징금 상한이 전체 매출액의 10%로 높아졌다. 일반 위반의 상한은 3% 그대로다.
- FLY 사례가 보여주듯, 대형 유출도 밖에서 보이는 노출에서 시작된다.
- 대응 순서는 간단하다. 먼저 외부 노출을 점검하고, 필요하면 전문 감사로 확장한다.
규제는 이미 바뀌었다. 공격자보다 먼저, 지금 무료 점검으로 우리 서비스의 외부 노출부터 확인하자.