검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인 정보'통합검색 결과 입니다. (456건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

카카오, '프라이버시 컨퍼런스' 진행

카카오는 기존 그룹사간 정기적으로 개최해오던 개인정보보호 모임을 발전시켜 컨퍼런스 형태로 확대한 '제1회 카카오그룹 프라이버시 컨퍼런스'를 진행했다고 20일 밝혔다. 카카오는 개인정보 보호가 서비스의 본질적인 신뢰와 직결된다는 판단 아래 프라이버시 인식 제고와 실무 노하우 공유를 위해 이번 자리를 마련했다. 이날 행사에는 양청삼 개인정보보호위원회 사무처장이 참석해 카카오그룹의 개인정보 보호 노력을 격려하고, AI 시대 혁신을 위해 철저한 개인정보 보호와 관리가 중요하다고 강조했다. 이후 'AI시대 프라이버시'를 주제로 카카오의 키노트가 진행됐고, 이어 ▲카카오 ▲카카오뱅크 ▲카카오모빌리티 ▲카카오엔터테인먼트 ▲카카오페이 ▲카카오엔터프라이즈 ▲카카오스타일 등의 개인정보보호책임자가 함께 '카카오그룹 프라이버시 공동 선언'을 발표했다. 이번 선언에는 ▲이용자 주권 ▲프라이버시 중심 서비스 ▲프라이버시 문화 등 3대 핵심 가치가 포함됐다. 서비스 기획부터 파기까지 전 과정에 안전 조치를 기본으로 적용하고 모든 임직원이 일상 업무 속에서 자연스럽게 프라이버시를 실천하는 문화를 정착시켜 나갈 방침이다. 이후 각 사의 개인정보보호 정책 및 실행 방안 발표가 진행됐다. 카카오는 AI시대 '카나나 인 카카오톡'의 프라이버시 정책 방향성을 설명했으며, 카카오뱅크는 은행의 개인정보 보호 업무를 소개했다. 카카오엔터테인먼트는 현재 실행 중인 개인정보 처리방침 평가제도에 대한 고찰과 운영 노하우를 공유했다. 최근 산업계 화두인 AI 및 규제 환경 변화에 맞춘 외부 전문가 세션도 함께 마련됐다. 최경진 가천대학교 법과대학 교수는 'AX 시대 바람직한 개인정보보호체계의 방향'을 주제로 강연했으며, 고환경 법무법인 광장 변호사는 '개정 개인정보 보호법 및 정보통신망법에 따른 컴플라이언스 대응 전략'을 설명하며 참석자들과 인사이트를 나눴다. 마지막 순서로 진행된 패널 토크에서는 각 사 실무자 및 보안 담당자들이 참여해 ▲메신저 ▲금융 ▲콘텐츠 ▲모빌리티 등 다양한 서비스 영역에서 발생하는 프라이버시 이슈 대응 경험을 공유했다. 참석자들은 현장 질의응답을 통해 실천 가능한 개인정보보호 문화 정착 방안에 대해 활발한 논의를 이어갔다. 김연지 카카오 개인정보 성과리더는 "카카오라는 하나의 울타리 안에서 우리가 공유하는 프라이버시 철학이 무엇인지 명확히 하고자 이번 컨퍼런스를 준비했다"며 "개인정보 보호를 단순한 법적 규제 준수로 보지 않고, 임직원 인식 강화와 공동체 간 지속적인 협업을 통해 일상에서 함께 실천해 나가겠다"고 말했다.

2026.08.20 11:17박서린 기자

네이버 프라이버시 챌린지 열려...'밥아저씨' 팀 수상

네이버(대표 최수연)가 지난 18일 경기도 성남시에 위치한 네이버 1784 사옥에서 개인정보보호 관련 아이디어 공모전 '네이버 프라이버시 챌린지'를 진행했다. 이 자리에는 이진규 네이버 개인정보보호책임자(CPO), 본선 진출 10개 팀 등이 참석했다. 수상의 영예는 게시글 정보를 종합해 개인 추정할 수 있는 위험을 AI 분석하는 '밥아저씨' 팀이 안았다. 19일 네이버에 따르면, 'AI 시대의 개인정보 보호 강화 방안'을 주제로 전국 대학(원)생의 아이디어를 모집해 총 10개 팀이 본선 경쟁했다. 최우수상을 수상한 밥아저씨 팀은 여러 온라인 게시글에 흩어진 정보를 종합해 개인을 추정할 수 있는 위험을 AI로 분석하고, 불필요한 정보 노출을 줄이기 위한 방안을 제안한 연구를 발표했다. 이 팀은 상장 및 Npay 포인트 150만원을 수상했다. 네이버는 이용자의 의견을 바탕으로 서비스의 개인정보보호와 프라이버시 수준 개선을 위한 PER(Privacy Enhancement Reward) 제도를 2016년부터 진행하고 있다. 이용자의 개인정보보호 강화를 위한 제안이 서비스 개선에 반영되고 우수 제안에 대해서는 보상을 지급하는 프로그램이다. 2026년 상반기에는 총 130건이 접수돼 29건, 353만원의 보상을 지급했고 프로그램이 시작된 2016년 이후 누적 1659건 접수, 648건, 약 7120만원을 지급했다. 네이버는 단순 보상을 넘어 이용자 의견을 경청해 서비스 담당 조직과 개선 필요성 논의, 실제 서비스 개선으로 이어지도록 면밀히 살피고 있다. 또 네이버는 ▲프라이버시센터 개편 ▲대외 개인정보보호 인식 제고 캠페인 ▲수탁자 점검 시스템 구축, ▲파트너사 개인정보 보호 활동 지원 등 투명성 강화 및 수탁사 전반의 보호 수준 향상을 위해 노력 중이다. 이와 함께 네이버는 ▲개인정보 적법처리 연구반 운영 ▲프라이버시센터 리뉴얼 ▲대외 개인정보보호 인식 제고 캠페인 등을 통해 국내 규제에 대응하고 투명성 강화에 노력하는 등 자체적인 개인정보 보호 체계를 고도화했다. 아울러 네이버와 협업 관계에 있는 수탁사 전반의 보호 수준 향상을 위해 ▲수탁자 점검 시스템 구축, ▲파트너사 개인정보 보호 활동 지원 등을 확대했다. 이진규 CPO는 “네이버는 급변하는 AI 시대에 발맞춰 안전하고 혁신적인 온라인 생태계 구축을 위해 다양한 의견을 청취하고 있다”면서 “대학생들의 참신한 아이디어를 경청하고, 앞으로도 임직원, 이용자, 소상공인 등의 개인정보보호 인식 제고 활동을 이어가겠다”고 약속했다.

2026.08.19 09:17백봉삼 기자

[단독] 작년 국내 21곳 해킹 애슐리우드, 성형외과 10만건 개인정보 또 탈취

국내 성형외과, 컴퓨터학원 등 국민 일상생활과 밀접한 소규모 웹사이트 3곳에서 탈취된 회원 개인정보가 다크웹 불법 해킹 포럼에서 판매된 정황이 포착됐다. 이 데이터를 탈취한 해커는 지난해 말에도 총 21곳의 국내 소규모 웹사이트를 연쇄적으로 해킹한 바 있다. 18일 본지 취재를 종합하면 '애슐리우드2022(Ashelywood2022)'라는 닉네임의 해커가 불법 해킹 포럼 '다크포럼스(Darkforums)'에 지난 6월 6일~7일간 3곳의 국내 소규모 웹사이트 내부에 저장된 회원 개인정보를 탈취해 판매 중인 것으로 파악됐다. 해당 웹사이트 3곳은 ▲서울시 청담동에 위치한 성형외과 웹사이트 '청담유성형피부센터' ▲중학생 대상 인터넷 강의 사이트 '쎄다아카데미' ▲컴퓨터 학원 웹사이트 '씨스꿀컴퓨터스쿨' 등이다. 애슐리우드2022 해커는 불법 해킹 포럼에 해당 웹사이트 내 저장된 개인정보로 보이는 소스코드 대시보드를 샘플로 게시, 포럼 내에서 활동하는 다른 해커에게 개인정보를 판매하는 중이다. 다크포럼스에 해커가 업로드한 웹사이트는 총 4곳이었으나, 나머지 한 곳의 웹사이트는 현재 접속이 불가능한 상태이며, 샘플로 업로드한 데이터에도 개인정보는 포함되지 않은 것으로 나타났다. 애슐리우드2022가 업로드한 샘플데이터를 보면 성형외과의 경우 10만 건의 회원정보가 유출됐다. 유출된 항목을 보면 ▲ID ▲비밀번호(암호화) ▲이름 ▲닉네임 ▲이메일 ▲휴대전화번호 ▲생년월일 등이다. 중학생 대상 인터넷 강의 사이트는 15만건의 회원 정보가 유출됐으며 ▲ID ▲비밀번호 ▲이름 ▲닉네임 ▲학교명 ▲학년 ▲성별 ▲학습 단계 ▲로그인 중복 확인 키 ▲로그인 IP ▲휴대전화 번호 등을 샘플 데이터로 업로드했다. 컴퓨터 학원의 경우 7GB에 해당하는 200만건의 고객 정보가 유출됐다. 유출 항목은 ▲ID ▲이메일 ▲휴대전화 번호 ▲은행 및 계좌번호 ▲결제 금액 등이 유출됐다. 애슐리우드2022는 지난해 말에도 총 21곳에 달하는 국내 소규모 웹사이트를 공격해 회원 개인정보를 탈취, 판매한 바 있다. 당시에도 국내 대학, 병원, 학원, 쇼핑몰 등 소규모 웹사이트가 공격을 당했다. 3곳 웹사이트를 분석한 한 보안 전문가는 "3곳 웹사이트 중 일부는 지난해 말에도 이미 동일한 내용으로 다크웹 마켓에서 유통된 바 있는 데이터이며, 최근 애슐리우드2022라는 해커가 재확산하고 있는 것으로 보인다"며 "한국 PHP(웹 서버 범용 프로그래밍 언어) 서버를 대상으로 스캔성 개인정보 탈취를 하는 것으로 보인다"고 말했다.

2026.08.18 18:48김기찬 기자

[기고] 생성형 AI와 개인정보 국외이전

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주] 최근 인기리에 방영된 드라마에서 3분 가량의 액션 시퀀스가 생성형 AI로만 제작됐다는 내용이 알려져 화제가 됐다. 다방면으로 발전하고 있는 기술의 진일보에 새삼 놀랐고 해당 드라마 시청자로서 드라마의 몰입감을 방해하지 않는 자연스러움에 또 한 번 놀랐다. 글로벌 온라인동영상서비스(OTT)를 통해 다양한 국가 시청자를 만나게 될 이 드라마를 보니 생성형 AI에 개인정보가 입력되면 해당 개인정보도 국경을 넘나들 수 있겠다는 생각이 들었다. 이용자가 생성형 AI에 입력한 개인정보가 어느 나라의 서버로 가고 있으며 그곳에서 어떻게 다뤄지고 있을지에 대한 궁금증도 이어졌다. 국내에서 널리 쓰이는 생성형 AI 서비스 중에는 해외에 본사를 둔 글로벌 사업자가 운영하는 경우가 많다. 국내 사업자가 제공하는 서비스의 경우에도 그 기반이 되는 모델과 연산 인프라는 해외 클라우드 위에서 작동하기도 한다. 해외에서 데이터가 처리되면 AI 서비스 이용자가 입력한 질문과 첨부 자료는 국경을 넘어 처리될 수 있으며 그 정보 중에는 이름, 연락처, 거래내역과 같은 개인정보가 포함될 수 있다. 이 같은 개인정보 처리를 개인정보 생애주기로 생각해보면 수집 단계에서부터 시작되는 것으로 볼 수 있다. 이용자가 AI 서비스의 프롬프트 창에 이름, 연락처, 주소와 같은 개인정보를 기재하는 순간 개인정보보호법상 개인정보의 수집·이용에 해당한다. 정보주체 본인이 아니라 제3자의 정보를 별다른 고민 없이 입력하는 이용자가 적지 않다는 점에서 AI 활용은 국외이전 문제 이전에 수집의 적법성 문제부터 안고 출발하는 경우가 많다. 우리 개인정보보호법은 개인정보를 국외로 이전하기 위해 적법 처리 근거를 갖추도록 하고 있다. 개인정보를 국외이전하려는 개인정보처리자는 해당 정보주체의 별도 동의를 받거나, 이전받는 자가 개인정보 보호 인증을 받는 등 일정한 요건을 갖추도록 정하고 있다. 특히 국외이전에 관한 조항은 이전의 목적, 항목, 이전받는 국가, 보유·이용 기간, 이전 거부 방법까지 구체적으로 고지하도록 요구한다. 그러나 생성형 AI 서비스 이용약관과 개인정보 처리방침을 꼼꼼히 읽어본 이용자가 얼마나 될지, 그 약관에 국외이전에 관한 사항이 이용자가 실제로 이해할 수 있는 수준으로 기재됐는지는 의문이다. 올해 초 시행된 AI 기본법은 고위험 AI 안전성과 신뢰성 확보를 명확하게 규정했으나 개인정보의 국외이전이나 처리 위탁에 관한 세부 규율에 대해서는 언급하고 있지 않다. 해당 부분은 개인정보보호법 영역으로 볼 수 있다. 사업자가 AI 도입과 관련된 규율을 준수하려면 개인정보보호법상 규제와 국외이전에 대한 적법 처리 근거를 심도 있게 살펴야 한다. 사내 업무에 생성형 AI를 도입하는 기업들의 경우 재위탁도 잘 살펴봐야 한다. AI 사업자가 다시 하위 클라우드 사업자나 모델 제공사에 데이터를 재이전하는 다단계 구조를 취하고 있다면 개인정보가 재위탁돼 국외로 이전될 여지가 있다. 이런 상황에서 기업이 국외이전에 관한 안전성 확보조치를 제대로 이행했다고 자신 있게 말할 수 있을까. 이용자 개인의 입장에서도 개인정보 흐름에 대해 경각심을 갖기 어려운 환경이다. 생성형 AI에게 계약서를 검토해 달라며 상대방의 개인정보가 담긴 문서를 통째로 업로드하는 일, 상담 챗봇에 가족의 병력을 상세히 입력하는 일은 이제 낯선 풍경이 아니다. 그 정보가 어디로 얼마나 오래 저장되고 이후 모델 학습에 활용될 가능성은 없는지를 확인하는 습관은 아직 우리 사회에 자리 잡지 못했기에 편의성을 우선한 선택을 하는 경우가 많아 보인다. 그렇다면 현행 규제체계 하에서 기업은 무엇부터 점검해야 하는가. 먼저 도입하려는 AI 서비스의 데이터 저장 위치와 재위탁 여부, 모델 학습 활용 여부를 확인해야 한다. 국외이전 표준계약이나 인증 활용 여부도 계약 체결 전 단계에서부터 협상 항목에 포함하고, 임직원이 입력하면 안 되는 정보의 범위를 사내 지침으로 명확히 해야 한다. 도입 이후 역시 하위 처리자의 변경이나 데이터 보관 정책 변화를 주기적으로 재확인하는 절차를 갖춰야 실질적인 보호를 위한 절차가 구비된다. AI는 이미 우리 생활에 깊숙이 들어왔고 AI 기본법 시행과 함께 국내 AI 규제 틀도 갖춰지기 시작했다. 이 시점에서 개인정보의 국외이전이라는 쟁점은 들여다볼 필요가 있다. 개인정보처리자는 안전조치의무 이행을 위해 데이터가 이동하는 경로를 파악하고 적법 처리 근거를 갖춰야 한다. 이용자 역시 '내가 입력한 정보는 지금 어디에 있는가'에 대해 인식할 필요가 있다. 편리한 기술의 이용과 함께 개인정보의 흐름에 대해서도 관심을 놓지 않는 자세가 필요하다.

2026.08.13 17:09이강혜 컬럼니스트

[디엘지 law 인사이트] 글로벌AI에 맡긴 고객 개인정보 유출과 기업 대비책

최근 기업들이 고객 상담, 문서 작성, 데이터 분석 등 다양한 업무에 생성형 AI를 도입하면서, 고객 개인정보 처리를 AI사업자에게 위탁하는 경우도 늘고 있다. 글로벌 AI사업자에게 맡긴 고객 개인정보가 유출될 경우에 대비해 기업은 무엇을 해야 할까? 기업이 고객 개인정보를 AI 사업자에게 적법하게 처리 위탁했더라도 고객 개인정보 보호 책임까지 면하는 것은 아니다. 개인정보처리자는 개인정보 보호법에 따라 수탁자의 개인정보 처리 현황을 관리·감독할 의무를 부담한다. 또한 수탁자가 위탁받은 업무와 관련해 개인정보 보호법을 위반하여 손해배상책임을 부담하는 경우에는 수탁자를 개인정보처리자의 소속 직원으로 보기 때문에, 위탁자는 수탁자가 발생시킨 손해에 대해 민법상 사용자책임을 부담할 수 있다. 위탁자의 손해배상책임은 수탁자의 선임 및 감독에 관한 책임이므로, 위탁자가 수탁자의 선임 및 감독에 상당한 주의를 다하였음에도 정보주체에게 손해가 발생한 경우에는 사용자책임을 부담하지 않는다. 그러나 대법원의 상고 기각으로 확정된 서울고등법원 판결(2016나2049021)은 위탁자가 보안프로그램 설치 상태를 직접 확인하지 않고, 수탁자의 작업공간에서 실질적인 보안점검을 실시하지 않은 점 등을 근거로 관리·감독 의무를 다하지 못했다고 판단했다. 이처럼 실제 분쟁에서 위탁자가 수탁자의 선임 및 감독에 상당한 주의를 다했다는 점을 인정받기는 쉽지 않다. 여기에 더해 ChatGPT, Gemini, Claude와 같은 글로벌 AI 서비스를 이용하는 한국 기업이 글로벌 AI 사업자를 어떻게 관리·감독할 것인지도 문제다. 국내 수탁자와 달리 글로벌 AI 사업자의 사업장을 방문하거나, 구체적인 자체 점검표를 작성하게 하고, 임직원 교육자료를 제출받는 것은 현실적으로 어렵다. 따라서 글로벌 AI 사업자에게 고객 개인정보의 처리를 위탁하는 기업은 법률상 관리·감독 의무를 부담하면서도 이를 직접 수행하기 어려운 상황에 놓일 수 있다. 그렇다면 글로벌 AI 서비스를 이용해야 하는 기업이 이러한 현실적 한계 속에서 적어도 취할 수 있는 조치는 무엇일까? 먼저 AI 사업자를 선정할 때에는 DPA, 개인정보 처리 관련 약관 및 보안정책 등 사업자가 제공하는 자료를 확인해 개인정보 이용 목적, 안전성 확보조치 등에 관한 조건을 검토하고, 국내 개인정보 보호법과 정합성이 높고, 개인정보 보호법 제26조 제1항에 따라 개인정보 처리 위탁 시 서면으로 정해야 할 사항을 약관 및 DPA 등으로 규정하고 있는 서비스를 선정할 필요가 있다. 또한 어떠한 기준과 자료를 바탕으로 해당 사업자를 선정했는지 기록을 남겨두는 것이 바람직하다. 글로벌 사업자의 DPA를 살펴보면 국내 개인정보 보호법이 요구하는 안전성 확보조치를 상당 부분 구체적으로 반영하고 있는 경우와 그렇지 않은 경우가 있으므로, 계약 체결 전에 이를 꼼꼼히 확인할 필요가 있다. 이러한 검토가 글로벌 AI 사업자에 대한 관리·감독을 대신할 수는 없지만, 적어도 개인정보 보호를 고려해 수탁자를 선정했다는 점을 뒷받침하는 자료가 될 수 있다. AI 사업자를 선정한 이후에는 원칙적으로 해당 사업자의 개인정보 처리 현황을 지속적으로 관리·감독해야 한다. 글로벌 AI 사업자에 대한 직접적인 관리·감독에는 현실적인 한계가 있으므로, 기업은 적어도 AI 사업자가 공개하는 개인정보 보호정책과 보안정책 변경 여부를 주기적으로 확인하고, 이용자가 직접 선택하거나 설정할 수 있는 개인정보 보호 및 보안 기능을 최대한 활용할 필요가 있다. 참고로 개인정보보호위원회는 2021년 국내 온라인서비스 제공자가 아마존웹서비스(Amazon Web Services, AWS)의 클라우드 서비스를 이용하면서 개인정보처리시스템에 대한 접근권한을 허용된 IP로 제한하지 않아 외부 인터넷 어디서나 접속할 수 있도록 운영하였고, 제3자가 획득한 DB 접근권한을 이용해 개인정보를 유출한 사안에서 국내 온라인서비스 제공자에게 안전성 확보조치 의무 위반을 인정해 과징금을 부과한 바 있다. 이 사례는 AI 사업자에 대한 위탁자의 관리·감독 의무를 직접 판단한 것은 아니지만, 글로벌 서비스를 이용하는 기업 역시 해당 서비스 내에서 직접 설정할 수 있는 개인정보 보호조치를 적극적으로 확인하고 적용해야 한다는 점을 보여준다. 따라서 기업은 기업용 플랜의 보안 기능, 입력 데이터의 모델 학습 이용 여부에 관한 설정, 접근권한 및 계정 관리 등 이용자가 직접 설정할 수 있는 보호조치를 주기적으로 점검하고, 그 검토 및 조치 내역을 기록으로 남겨두는 것이 바람직하다. 그럼에도 글로벌 AI 사업자 귀책사유로 개인정보 유출사고가 발생해 위탁자가 정보주체에게 손해를 배상하게 된다면, 위탁자는 수탁자를 상대로 구상금을 청구할 수 있다. 다만 위탁자가 정보주체에게 손해배상으로 지급한 금액 전부가 구상금으로 인정되는 것은 아니며, 위탁자와 수탁자 각각의 귀책 정도에 따라 최종적인 책임 비율이 정해질 수 있다. 따라서 글로벌 AI 사업자를 이용하는 기업은 정보주체에 대한 책임뿐만 아니라 사고 발생 이후 AI 사업자와의 책임 분담까지 고려할 필요가 있다. 이를 위해 서비스 도입 단계부터 AI 사업자의 서비스 약관 및 DPA상 손해배상 및 책임제한 조항을 꼼꼼히 확인할 필요가 있다. 지금까지 글로벌 AI 사업자에 대한 관리·감독의 현실적인 한계와 AI 사업자의 선정 및 이용 과정에서 기업이 취할 수 있는 조치, 유출사고 발생 시 책임 분담에 대해 살펴봤다. 결국 기업은 자신이 통제할 수 있는 범위에서 개인정보 보호조치를 충실히 이행해 고객 개인정보 유출 위험을 줄이고, 향후 개인정보보호위원회 가이드라인과 법원 판단에 따라 관리·감독 방식을 보완해 나갈 필요가 있다.

2026.08.12 14:14황혜진 컬럼니스트

"쿠팡, 10만원씩 배상하라"…개인정보 유출 3755만명 보상길 열릴까

지난해 쿠팡 대규모 개인정보 유출 사태로 피해를 입은 소비자에게 1인당 10만 원을 배상하라는 결정이 나오면서 쿠팡의 셈법이 복잡해질 전망이다. 소송전으로 비화하면 인당 배상 청구 가능 금액이 수백만 원대로 늘어날 수 있고, 그렇다고 조정안을 받아들이기에는 대상자 수가 많아 재정적 부담으로 다가올 수 있어서다. 11일 한국소비자원에 따르면, 소비자분쟁조정위원회는 지난달 31일 쿠팡의 개인정보 유출로 인한 집단분쟁조정사건을 두고 회사가 신청인들에게 현금 10만원 혹은 쿠팡캐시 10만원을 배상하라고 결정했다. 쿠팡 회원의 성명과 이메일, 주소 등 일반적인 개인정보뿐만 아니라 공동현관 비밀번호와 주문내역 등 사생활과 밀접한 정보까지 유출된 점이 핵심 근거로 작용했다. 이번 집단분쟁조정을 신청한 소비자들은 50명으로, 이들은 지난해 12월 쿠팡의 개인정보 유출 사고에 따른 손해배상을 요구하면서 집단분쟁조정을 신청한 바 있다. 3조 넘는 배상액...조정안 거부할 수도 이번 사건에 눈길이 쏠리는 이유는 지난해 11월 발생한 쿠팡 개인정보 유출 사고에 따른 피해자 손해배상 책임을 인정한 첫 사례여서다. 나아가 쿠팡이 조정안을 수락할 경우 다른 피해자들도 배상받을 수 있는 길이 열리기 때문이다. 위원회는 쿠팡의 조정결정 수락 시 조정절차에 참여하지 않은 피해자들에게도 동일한 보상이 이뤄질 수 있도록 보상계획서 제출 등 관련 절차를 진행할 방침이다. 절차가 현실화되면 쿠팡이 지급해야 하는 총 배상액은 개인정보가 유출된 3755만명에 대해 10만원씩 총 3조8000억원 수준이다. 다만, 현행법상 소비자원의 조정은 강제력이 없다는 점이 한계다. 이로 인해 SK텔레콤 등도 위원회의 결정에 자발적인 피해 구제 노력이 반영되지 않았다며 조정안을 거부했다. SK텔레콤과 같이 조정안을 거부하면 민사소송 밖에 구제 방법이 남지 않게 된다. 쿠팡 집단분쟁조정 대리인을 맡은 이철우 IT 전문 변호사는 회사가 조정안을 받아들이지 않으면 회사에 대한 공동 소송에 나선다는 계획이다. 이 과정에서 추가로 소송 참여자를 모집하는 등의 방안도 검토한다. 이 변호사는 “최종적으로 조정 불성립 시 '소비자 소송지원 신청'을 할 수 있다. 해당 방안이 받아들여지면 소비자원의 지원을 받아 단체 소송에 나설 것”이라며 “추가로 원고를 모집하거나 소장을 직접 공개해 나홀로 소송을 유도하는 방향으로 나아갈 것”이라고 말했다. 법률 전문가들 “대상자 많아 부담” VS “배상액 더 커질수도” 쿠팡이 이번 조정안을 받아들일지는 법률 전문가들 사이에서도 의견이 분분하다. 익명을 요청한 한 변호사는 “1인당 배상액 자체가 적다고 하더라도 대상이 되는 정보 주체의 수가 많으면 기업 입장에서는 분쟁 조정에 응하는 것이 상당히 부담스럽다”며 “그 파급효과가 엄청나기 때문”이라고 말했다. 익명을 요청한 또 다른 법조계 관계자는 “쿠팡이 영업이익에서 대규모 적자를 기록한 상황에서 보상안까지 지급하기에는 만만치 않다”면서 “이미 쿠폰으로 일정 금액을 배상했고, 소비자원의 결정이 구속력이 있지 않다보니 과징금에 대한 행정소송결과까지 보고 결론을 내리지 않겠냐”고 했다. 김성진 K&L 파트너스 대표변호사는 “쿠팡 캐시로 보상할 수 있다면 회사 입장에서는 비용은 지출하되 매출로 다시 가져갈 수 있다”며 “현금성 지급을 하면서도 손해를 최소화할 수 있는 법적 근거까지 얻는다는 점에서 보면 쿠팡에 유리한 내용”이라고 풀이했다. 그러면서 “(현행법에서는) 개인정보 처리자의 고의 또는 과실로 인해 개인정보가 유출 됐을 경우 300만원 이하 범위에서 손해액을 배상 청구할 수 있다고 규정하고 있다”면서 “법원 판결로 10만원이 아닌 그 이상이 나오면 지출 비용은 기하급수적으로 늘어날 수 있다”고 짚었다. 소비자원, 결정서 송달 아직…이르면 내달 중순 결론 쿠팡은 이번 결정서 송달 후 15일 안에 수락 여부를 결정해야 한다. 그러나 소비자원이 아직 결정서를 보내지 않아, 실질적인 수용 여부는 내달 중순에 나올 것으로 예상된다. 한국소비자원 관계자는 “통상적으로 결정일부터 결정서 송달까지 최소 1개월가량이 걸린다”며 “아직 결정서를 보내지 않아 향후 보상 계획서 제출 등의 일정을 짐작해서 말하긴 어렵다”고 답했다. 쿠팡은 위원회의 결정 수용 여부에 대해 “조정안을 받아본 후 면밀히 검토하겠다”는 입장이다.

2026.08.11 17:46박서린 기자

'삼프로TV' 앱 개인정보 유출…계좌정보 등 46만여건

경제·증권 콘텐츠 플랫폼 '삼프로TV' 앱에서 46만여건에 달하는 개인정보 유출 사고가 발생했다. 10일 삼프로TV 운영사 이브로드캐스팅에 따르면 삼프로TV 홈페이지에는 지난 9일 개인정보 유출 사실 통지가 올라왔다. 공지사항에 따르면 삼프로TV는 "8월초경 외부 행위자가 타 회원 정보에 무단으로 접근한 사실을 확인했고, 접속 경로 차단, 보안 설정 및 외부 보안 진단, 관계 기관 신고 등 조치를 완료했다"고 밝혔다. 이브로드캐스팅은 유출 개인정보 규모를 현재 46만여건에 달하는 것으로 추산했다. 유출 항목을 보면 휴대전화 번호, 주소 등 개인정보를 비롯, 계좌정보, 암호화된 카드번호 등 금융 정보도 유출된 것으로 나타났다. 현재까지 확인된 유출 항목은 ▲이름 ▲휴대전화번호 ▲이메일 ▲주소 ▲계좌정보(은행명·계좌번호·예금주명) ▲서비스 이용 시 생성기록 ▲기기정보 ▲카드명 ▲마스킹된 카드번호 ▲서비스 이용기록 등이다. 유출된 정보 중 금융정보는 계좌정보 2972건, 신용카드 정보 317건이다. 2차 금융 피해 우려를 부른 카드 정보 유출은 유출된 카드 번호는 전체 16자리 중 절반인 8자리가 암호화(마스킹) 된 상태다. 이에 유출된 일부 카드 번호만으로는 외부에서 무단 결제나 도용 등 2차 피해를 일으킬 수 없다는 것이 사측의 설명이다. 주민등록번호 등 민감정보는 수집하지 않아 유출되지 않았다. 회원님들께서 가장 우려하시는 카드 정보 유출은 전체 317명이며, 유출된 카드 번호는 전체 16자리 중 절반인 8자리가 암호화(마스킹) 된 상태입니다. 비밀번호나 CVC 정보 없이, 이브로드캐스팅은 이번 사건을 인지한 직후 개인정보보호위원회 및 한국인터넷진흥원에 신고 절차를 마쳤다. 또한 회원들의 피해 구제 및 고객 지원 방안을 준비하고 있다. 오는 31일까지 별도 공지를 통해 구체적인 내용을 공개하겠다는 계획이다. 한편 이번 유출 사고는 삼프로TV 앱에서 발생한 사고로, 삼프로TV 유튜브 채널 구독자의 개인정보는 무관하다. 이브로드캐스팅은 "유출된 개인정보를 악용한 2차 피해를 예방하기 위해 개인정보 악용으로 의심되는 삼프로TV 사칭 전화, 문자 메시지 등 연락에 각별히 유의해야 한다"며 "출처가 불분명하거나 의심스러운 전화, 문자메시지, 이메일 등을 받으실 경우 인터넷 주소(URL)나 첨부파일을 클릭하지 말고 삭제 및 신고하길 당부드린다"고 밝혔다. 이어 "예상치 못한 사건으로 이용자분들께 심려를 끼쳐 사과드린다"며 "당사는 이와 같은 사건이 다시 발생하지 않도록 시스템 보안을 점검하고 개인정보 관리체계 또한 더욱 강화할 계획"이라고 공지했다.

2026.08.10 16:06김기찬 기자

AI시대에 맞는 개인정보 제도는?...개보위, 정책 제안 모집

개인정보보호위원회가 인공지능 환경 심화에 대응, 본격적인 개인정보 제도 혁신 절차에 착수했다. 지난 7월 30일 '개인정보 제도 혁신 TF'를 구성한데 이어 6일부터 31일까지 개인정보 포털 정책제안 창구 및 소통혁신24를 통해 현행 개인정보 제도의 한계와 개선 방향에 대한 국민 정책 제안 접수를 실시한다. 우수 제안자에는 개인정보보호위원장 표창을 수여할 계획이다. 왜 지금 개인정보 제도 혁신이 필요? 개보위의 이번 제도 혁신은 급변하는 데이터 처리 환경과 실질적 권리 보호 관점에서 현행 보호체계의 유효성과 실효성을 재검토, 형식화된 규제는 덜어내 혁신 역량을 강화하고 실제 필요한 보호 강화에 집중한다는 취지다. 우리나라의 개인정보 보호 법체계는 1990년대 중반 공공분야와 정보통신 및 금융 분야에 각각 도입됐다. 이후 2011년 개인정보 보호법 제정과 2020년 각 개별 법률에 분산된 개인정보 보호 체계 통합 등을 거쳐 현재의 법령 구조가 완성됐다. 30여 년 전 디지털 환경을 기준으로 설계된 개별적 동의 중심의 규율, 수집-이용-제공 등 단계별로 근거를 갖추도록 한 규율 체계가 현행법의 핵심적 구조로 유지돼 왔다. 과거 개인정보는 개별 기관·기업이 수집 및 이용하고 일정 기간 후 파기하는 단순한 처리 구조에서 관리됐다. 그러나 데이터 사회가 심화하면서 이용자 본인에 관한 정형데이터 중심에서, 제3자 정보까지 포함된 비정형데이터까지로 범위가 확대됐다. 인공지능 환경에서는 다양한 데이터를 학습하고 여러 기관이 데이터를 연계 및 활용하며, 인공지능 에이전트(AI agent)가 이용자를 대신해업무를 수행하는 형태로 빠르게 전환하고 있다. 이에 따라, 동의 중심의 개인정보 규율이 실질적 보호를 담보하기 어렵고 인공지능 서비스 이용이나 데이터 처리 과정에서 국민 불편을 초래한다는 의견 등 현행 법·제도의 한계점이 지속적으로 제기되고 있다는 게 개보위 판단이다. 개보위가 뽑은 대표적인 사례는 아래와 같다. ▲사례①/반복돼 형식화하는 개인정보 동의: 보호법상 동의 외에 적법처리 근거가 지속적으로 확대돼 왔지만 형식적 동의 관행이 이어지고 있다. 국민은 긴 동의서를 충분히 이해하기보다 형식적으로 동의 버튼을 누르게 되면서, 오히려 동의 기반의 처리가 실질적인 보호 수준이나 통제권을 약화시킬 수도 있다는 지적이 제기됐다. ▲사례②/가명정보 기반 국제 공동연구 한계: 현행법은 의료 등 과학적 연구 목적의 가명정보 활용을 허용한다. 그러나 해외 연구기관과 공동연구 진행 시 국외이전에 대해서 정보주체의 동의를 받아야 하는데, 이미 개인을 식별할 수 없는 상황에서 재동의를 받는 것이 현실적으로 어려우므로 국제 공동연구에 제한이 발생한다. ▲사례③/ 인공지능 에이전트 서비스 제공 어려움: 인공지능 에이전트는 이용자 요청에 따라 스스로 판단하고 다양한 정보를 조회·활용하며 업무를 수행하는 서비스로 발전하고 있다. 여러 에이전트가 협업하거나 외부 서비스·도구와 연계될 때 매번 새로운 동의가 필요한 경우가 있을 수 있어 동의 기반 처리의 한계, 새로운 책임 구조 설정 등의 과제가 논의되고 있다. ▲사례④ /신규 프라이버시 이슈 부상: 실물 인공지능(피지컬 AI) 환경에서 로봇, 드론, 지능형 안경(스마트 글라스) 등 새로운 형태의 데이터 수집·처리 기기가 보급됨에 따라, 기존 법제로 포섭하기 어려운 프라이버시 이슈가 등장하고 있다. 새로운 기술 환경을 반영한 개인정보 보호 원칙, 안전조치, 정보주체 권리 확보 방안 설계 등의 필요성이 제기됐다. 개인정보 제도 혁신 추진계획 개인정보위는 이달 6일부터 31일까지 국민 누구나 참여할 수 있는 '개인정보 제도 혁신 정책제안' 접수를 실시한다. 국민, 기업, 연구기관, 학계, 시민사회 등에 공개 의견수렴을 실시해 실제 현장에서 겪는 불편과 개선 과제를 적극적으로 발굴한다. 국민 누구나 아래 내용을 포함해 다양하고 폭넓은 의견과 제안을 자유롭게 제출할 수 있다.우수 제안자에 대해서는 개인정보보호위원장 표창을 수여할 계획이다. ▲ 인공지능 시대 개인정보 보호 체계 개선이 필요한 분야 및 과제 ▲ 현행 법·제도 운영 과정에서 국민 및 산업계에서 겪는 애로사항 ▲ 개인정보의 안전한 활용을 실현하기 위한 제도 개선방안 ▲ 인공지능 환경을 고려하여 개선·수정이 필요한 개인정보 보호 원칙 ▲ 국민이 제안하는 혁신 아이디어 개인정보위는 접수된 의견 중 국민 공감대와 효과성이 높은 우수 제안을 포함해 정책 과제를 선정하고 공개 토론회, 세미나 등을 개최할 예정이다. 국민·기업·전문가가 함께 참여하는 공론화 과정으로 사회적 공감대를 형성한 후 이를 종합해 인공지능 시대 개인정보 제도 혁신 방향을 연내 발표할 계획이다. 이러한 절차는 정부가 이해관계자 또는 전문가 중심으로 정책을 설계하고 공개하는 것이 아니라, 국민과 현장을 정책 형성의 출발점으로 삼는 '일하는 방식 혁신'이라는 점에서 의미가 있다고 개보위는 설명했다. 송경희 개인정보보호위원장은 “인공지능 시대 개인정보가 안전하게 보호되면서도 국민과 사회에 도움이 되는 방향으로 데이터가 책임 있게 활용될 수 있도록 새로운 균형을 만들어 가는 것이 개인정보위의 역할”이라며 “국민이 함께 참여하는 현장 중심의 정책형성을 통해 국민이 체감하는 제도 혁신을 추진해 나가겠다”고 밝혔다.

2026.08.07 15:17방은주 기자

국내 대리인 신고 '앤트로픽'뿐…정부, 해외 AI 기업과 연내 회동

정부가 '인공지능 발전과 신뢰 기반 조성 등에 관한 기본법(AI 기본법)'상 국내 대리인 지정 의무를 이행하지 않은 해외 AI 사업자들을 대상으로 신고 독려에 나선다. 실무 협의 채널은 이미 운영되고 있지만 국내 대리인 지정∙신고 등 제도의 공식 이행은 더 이상 미룰 수 없다는 판단에서다. 7일 업계에 따르면 과학기술정보통신부는 연내 주요 해외 AI 사업자들과 회합 자리를 마련할 예정이다. AI 기본법에 따른 국내 대리인 지정·신고 절차가 지연되는 이유를 듣고 제도 취지를 설명하는 한편, 대상 사업자들의 조속한 신고를 독려하기 위해서다. 올해 1월부터 시행된 AI 기본법 제36조는 일정 규모 이상의 해외 AI 사업자에게 국내 대리인 지정 의무를 부과한다. 전년도 총매출 1조원 이상이거나 AI 서비스 부문 매출 100억원 이상, 또는 국내 일평균 이용자 100만명 이상인 경우가 대상이다. 이들은 국내 대리인을 지정해 과기정통부에 신고해야 한다. 하지만 국내 대리인 지정과 신고를 모두 마친 사업자는 현재까지 앤트로픽이 유일하다. 구글은 과기정통부에 신청서를 제출한 뒤 보완 절차를 진행 중이며 오픈AI 등은 아직 신고를 완료하지 않은 상태다. 과기정통부 관계자는 "국내 법인 보유 여부보다 실제 서비스 운영 주체가 중요하다"며 "국내 법인이 있더라도 해외 본사가 서비스를 운영하는 경우에는 국내 대리인 지정 필요성이 있다"고 말했다. 이어 "국내 대리인 제도는 해외 본사와 정부를 연결하기 위한 취지"라고 부연했다. 업계에서는 해외 사업자들이 정부와 이미 AI 기본법 관련 협의 채널을 운영해 온 점이 신고 지연에 영향을 미친 것으로 보고 있다. 주요 기업들이 법 시행 이전부터 정부와 AI 기본법 관련 논의를 이어왔고 법제도 개선 논의에도 참여한 만큼 국내 대리인 지정을 시급한 과제로 인식하지 않았다는 분석이다. 다만 과기정통부는 실무 협의와 별개로 공식 지정 절차는 조속히 마무리돼야 한다는 입장이다. 국내 대리인 지정은 규제 당국과 이용자가 국내 연락망을 공식적으로 확인할 수 있는 최소한의 장치라는 점에서 의미가 있어서다. 제도 운영기준도 구체화한다. 한국지능정보사회진흥원(NIA)은 최근 '인공지능 분야 국내 대리인 제도 운영 방안 마련' 연구용역을 발주했다. 국내외 입법례를 비교·분석해 국내 대리인 지정 기준과 업무 범위, 처리 절차 등을 구체화하고 시행령·고시 정비 방향을 마련하는 것이 핵심이다. 개인정보보호법·정보통신망법·전자상거래법 등 국내 유사 제도와 유럽연합(EU)·미국·중국 등 주요국 입법례를 비교해 시사점도 도출할 계획이다. 국회에서도 제도 보완 논의가 이어지고 있다. 조인철 더불어민주당 의원 등이 지난 5월 발의한 개정안에는 국내 대리인 변경 신고 의무화, 국내 법인 우선 지정, 담당자 지정 및 상시 연락체계 확보 등의 내용이 담겼다. 이에 따라 업계에서는 일부 해외 사업자들이 향후 제도 변경 가능성을 고려해 신고 시점을 조율하고 있다는 의견도 나온다. 2025년 10월 시행된 개정 개인정보보호법도 해외 사업자의 국내 대리인 제도를 강화했다. 보호법상 국내 대리인 제도는 AI 기본법과는 별개의 제도지만 해외 사업자의 국내 연락 창구를 확보한다는 점에서 유사한 구조를 갖고 있다. 개정 보호법 경우 국내 대리인 지정 대상인 해외 사업자는 6개월 이내에 해당 사업자가 설립한 국내 법인 등이 있으면 그 법인을 국내 대리인으로 지정해야 한다. 개인정보위가 보호법 개정 시행에 앞서 국내 법인이 있는 해외 사업자를 점검한 결과, 알리익스프레스와 테무, 에어비엔비, 비와이디(BYD), 오라클 등은 국내 법인을 국내 대리인으로 지정하고 있었다. 반면 구글, 메타, 마이크로소프트, 오픈AI, 로보락, 쉬인 등 16개 해외 사업자는 국내 법인을 두고도 법무법인 또는 별도 법인을 국내 대리인으로 지정해 해당 국내 법인으로 변경을 권고받았다. 과기정통부 관계자는 "이미 해외 사업자들과 실무적인 소통은 지속적으로 이뤄지고 있다"며 "국내 대리인 지정과 신고 절차도 가능한 한 조속히 마무리될 수 있도록 사업자들과 계속 협의해 나갈 예정"이라고 말했다.

2026.08.07 14:41이나연 기자

김범석 쿠팡 "개인정보유출 충격 대부분 회복...내년 성장·수익성 정상화"

쿠팡이 지난해 발생한 개인정보 유출 사고 영향에서 대부분 벗어났다고 평가하며 내년에는 프로덕트 커머스 사업의 성장률과 수익성이 사고 이전 수준으로 점진적으로 회복될 것이라고 전망했다. 김범석 쿠팡 Inc 의장은 4일(현지시간) 열린 2분기 실적발표 콘퍼런스콜에서 "매출은 환율 영향을 제외한 기준으로 전년 동기 대비 8% 성장했다"며 "개인정보 유출 사고로 영향을 받았던 소비 대부분은 이미 회복됐고 다시 성장하고 있다"고 밝혔다. 그는 "대부분의 고객은 소비 패턴에 변화가 없었고, 쿠팡 역사상 가장 높은 수준의 소비를 이어가고 있다"며 "지난해 개인정보 유출 사고 이전과 비슷한 속도로 소비를 늘리고 있다"고 설명했다. 이어 "소비가 줄었던 고객은 전체의 소수였으며, 이들 대부분은 이미 돌아왔다"며 "일부는 몇 달간 다른 서비스를 이용했지만 복귀 후에는 이전 수준을 회복했을 뿐 아니라 그 이상으로 소비를 늘리고 있으며, 소비 증가 속도도 사고 이전과 비슷하다"고 말했다. 특히 그는 복귀한 고객들의 구매력이 더 높았다고 설명했다. 김 의장은 "돌아온 고객들은 아직 복귀하지 않은 고객들보다 평균적으로 더 많은 금액을 쓰는 고객이었다"며 "고객 수보다 소비액 기준에서 회복세가 더욱 뚜렷하게 나타나고 있다"고 봤다. 그러면서 "와우 멤버십 가입자는 이미 사고 이전 수준을 넘어섰다"면서도 "신규 회원은 초기에는 소비가 적기 때문에 가입 증가 효과가 매출에 반영되기까지는 일정한 시간이 필요하다"고 진단했다. 또한 "개인정보 유출 사고 당시 이탈한 뒤 아직 돌아오지 않은 고객을 제외하면 전체 고객 소비는 전년 동기 대비 약 16% 증가했다"며 "이는 사고 발생 이전인 지난해 2분기 프로덕트 커머스 사업의 소비 증가율과 비슷한 수준"이라고 덧붙였다. "내년부터 성장률·수익성 정상화" 김 의장은 수익성이 아직 개인정보 유출 사고의 영향을 받고 있지만 내년부터는 정상화될 것으로 전망했다. 김 의장은 "회사는 예상 수요를 기준으로 물류 인프라와 고정비를 미리 계획하는데 현재는 매출이 당초 계획보다 일시적으로 낮아지면서 고정비 비중이 커졌다"며 "비용을 크게 줄일 수도 있었지만 장기 성장과 고객 경험 유지를 위해 그렇게 하지 않았다"며 "고객 경험은 언제나 우리의 최우선 원칙"이라고 강조했다. 그는 "공급망에서도 물동량 증가에 따른 규모의 경제 효과를 올해는 충분히 누리지 못하고 있지만 내년에는 회복될 것으로 기대한다"며 "고객 재확보를 위해 늘린 마케팅 비용도 개인정보 유출 사고 영향이 비교 대상에서 제외되는 내년에는 줄일 계획"이라고 전망했다. 아울러 "개인정보 유출 사고의 영향이 있었던 기간이 비교 대상에서 제외되는 내년에는 프로덕트 커머스 사업이 사고 이전의 성장률과 수익성 구조를 점진적으로 회복할 것으로 기대한다"고 밝혔다. "AI는 15년간 쌓은 자산의 배수 효과" 김 의장은 장기 성장 동력으로 AI를 강조했다. 그는 "쿠팡 고객군은 지난 한 해를 포함해 매년 소비를 꾸준히 늘려왔다"며 "약 15년 전에 확보한 가장 오래된 고객들도 현재 소비 규모가 첫해 대비 거의 10배까지 증가했고 지금도 계속 성장하고 있다"고 설명했다. 이어 "오래된 고객의 지속적인 소비 증가, 기존 고객군의 소비 확대, 신규 고객 유입이라는 세 가지 흐름이 쿠팡 성장을 이끌고 있으며 지난 1년 동안에도 이 성장 동력은 모두 유지됐다"고 말했다. 김 의장은 고객들의 소비가 늘어나는 이유로 '지갑 점유율' 확대를 꼽았다. 그는 "상품 구색이 확대될수록 고객들은 가격과 선택, 배송 속도 사이의 기존 상충 관계를 해결한 더 많은 상품을 구매하게 된다"며 "로켓배송 상품이 늘어날수록 고객은 더 많은 시간과 비용을 절약할 수 있다"고 설명했다. 또 "한국 전체 소매시장 가운데 쿠팡이 차지하는 비중은 글로벌 선도 기업들과 비교하면 아직 낮은 수준"이라며 "서비스 경쟁력이 높아질수록 온라인 시장 자체도 함께 확대될 것"이라고 기대했다. 그러면서 김 의장은 AI가 이러한 성장세를 가속화할 것으로 전망했다. 김 의장은 "우리는 AI를 '배수 효과'를 내는 기술로 보고 있다"며 "AI가 증폭시키는 것은 지난 15년 동안 구축한 물류 인프라와 수십억 건의 주문 처리 과정에서 축적한 운영 데이터, 수천만 명 고객과의 직접적인 관계"라고 말했다. 이어 "AI를 고객 경험에 적용하면 상품 탐색과 개인화 추천, 고객 서비스를 개선할 수 있고 운영에서는 생산성을 높이며 비용을 낮출 수 있다"며 "광고와 FLC(풀필먼트) 같은 고수익 사업에도 AI를 적용해 판매자와 브랜드의 투자 효율을 높이고 시장 기회도 더욱 확대할 수 있을 것"이라고 자신했다.

2026.08.05 07:08안희정 기자

쿠팡Inc, 2분기 매출 13.3조원…과징금 반영에 8350억원 적자

쿠팡 미국 모회사인 쿠팡Inc가 올해 2분기 13조원이 넘는 매출을 기록했지만 개인정보보호위원회의 과징금이 실적에 반영되면서 8000억원이 넘는 영업손실을 냈다. 쿠팡Inc가 4일(현지시간) 미국 증권거래위원회(SEC)에 제출한 2분기 연결실적 보고서에 따르면 2분기 매출은 88억5600만 달러(약 13조3007억원)로 전년 동기(85억2400만 달러)보다 4% 증가했다. 환율 영향을 제외한 고정환율 기준으로는 10% 성장했다. 올해 1분기 매출은 85억400만 달러(약 12조4597억원)로 고정환율 기준 8% 성장한 바 있다. 반면 영업손실은 5억5600만 달러(약 8350억원)로 지난해 같은 기간 영업이익 1억4900만 달러(약 2093억원)에서 적자 전환했다. 1분기 2억4200만 달러(약 3545억원)의 영업손실에 이어 2개 분기 연속 적자다. 2분기 당기순손실은 5억7000만 달러(약 8560억원)로 전년 동기 당기순이익 3100만 달러(약 435억원)에서 적자로 돌아섰다. 1분기 당기순손실 3897억원에 이어 2분기 연속 순손실을 기록했으며, 주당순손실(EPS)은 0.32달러였다. 이번 실적에는 약 4억1000만 달러 규모의 개인정보보호위원회 과징금이 반영됐다. 쿠팡Inc는 과징금을 제외할 경우 2분기 영업손실은 1억4600만 달러(약 2192억원), 당기순손실은 1억6000만 달러(약 2403억원) 수준이라고 설명했다. 앞서 개인정보보호위원회는 지난 6월 쿠팡 개인정보 유출 사고와 관련해 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 쿠팡Inc는 당시 미국 증권거래위원회 공시를 통해 추산된 과징금 약 4억1000만 달러를 2분기 판매관리비(SG&A)에 반영할 예정이라고 밝힌 바 있다. 과징금 영향으로 비용도 늘었다. 2분기 판매관리비는 30억5000만 달러로 전년 동기보다 26% 증가했고, 총 영업비용은 매출을 웃도는 94억1200만 달러를 기록했다. 조정 EBITDA(상각 전 영업이익)는 1억6300만 달러로 지난해 4억2800만 달러보다 62% 감소했다. 주력 사업인 프로덕트 커머스(로켓배송·로켓프레시·로켓그로스·마켓플레이스) 부문 매출은 74억2500만 달러로 전년 동기보다 1% 증가했다. 원화 기준 매출은 11조1515억원으로 고정환율 기준 8% 성장했다. 조정 EBITDA는 3억8200만 달러(약 5737억원)로 지난해보다 42% 감소했다. 프로덕트 커머스 활성 고객 수는 2470만명으로 전년 동기 2390만명보다 3% 증가했다. 고객 1인당 매출은 원화 기준 45만2060원으로 고정환율 기준 5% 늘었다. 대만 로켓배송과 파페치, 쿠팡이츠 등이 포함된 성장사업 부문은 성장세를 이어갔다. 해당 부문 매출은 14억3100만 달러(약 2조1492억원)로 전년 동기보다 20% 증가했고, 고정환율 기준으로는 24% 성장했다. 성장사업 조정 EBITDA 손실은 2억1900만 달러(약 3289억원)로 지난해보다 7% 개선됐다. 최근 12개월 누적 영업활동현금흐름은 14억 달러로 전년보다 4억8400만 달러 감소했고, 잉여현금흐름은 1억500만 달러로 같은 기간 6억7900만 달러 줄었다. 2분기 잉여현금흐름은 5100만 달러로 전년 동기(2억4700만 달러)보다 79% 감소했다. 쿠팡Inc는 2분기 동안 클래스A 보통주 2320만주를 총 4억5900만 달러 규모로 매입했다. 회사는 앞서 1분기 실적 발표 당시 자본 배분 전략의 일환으로 10억 달러 규모의 자사주 매입 프로그램을 승인한 바 있다.

2026.08.05 05:53안희정 기자

"레이밴 메타보다 낫네?"...9만원 AI 안경, 호주서 완판

인공지능(AI) 스마트 안경이 10만원 이하 가격대로 등장하며 대중화에 속도를 내고 있다. 호주에서는 8만원대 AI 스마트 안경이 출시 직후 전국에서 품절될 정도로 인기를 끌고 있지만, 누구나 쉽게 착용할 수 있는 카메라 기기가 되면서 개인정보 침해 우려도 함께 커지고 있다. 3일(현지 시간) IT 전문매체 디지털 트렌드 등에 따르면, 호주 K마트가 선보인 '안코(Anko) AI 카메라 글래스'가 89호주 달러(약 9만 원)에 출시된 직후 전국 매장에서 완판됐다. 이 제품은 메타의 '레이밴 메타' 스마트 안경(69만원부터)보다 훨씬 저렴한 가격이지만 사진 촬영과 1080p HD 영상 녹화, AI 어시스턴트, 음악 재생, 핸즈프리 통화 등 유사한 기능을 제공한다. 안경에는 중국 AI 플랫폼 '헤이시안(HeyCyan)' 소프트웨어가 탑재됐다. 일부 이용자들은 메타 제품보다 반응 속도가 다소 느리다는 평가를 내놓고 있지만, 핵심 기능은 큰 차이가 없다는 반응도 나온다. 업계에서는 이번 완판 사례가 AI 스마트 안경이 얼리어답터용 기기를 넘어 일반 소비자 시장으로 빠르게 확산하고 있음을 보여주는 사례라고 평가한다. 반면 가격이 크게 낮아지면서 개인정보 보호 논란도 다시 불붙고 있다. 스마트 안경에는 촬영 중임을 알리는 LED 표시등이 장착돼 있지만, 전문가들은 주변 사람이 이를 쉽게 알아차리기 어렵다는 점을 문제로 지적한다. 일반 안경과 외형이 비슷해 촬영 여부를 확인하기 쉽지 않기 때문이다. 호주 시민단체 디지털 라이츠 워치 정책 책임자 톰 설스턴은 카메라가 장착된 스마트 안경을 '프라이버시의 악몽'이라고 표현하며 개인정보 보호 관련 법과 제도가 웨어러블 기술 발전 속도를 따라가지 못하고 있다고 비판했다. 그는 일부 사회관계망서비스(SNS) 크리에이터들이 유사한 기기를 이용해 공공장소에서 타인을 촬영하거나 괴롭힌 사례도 있었다며 동의 없는 촬영과 사생활 침해 문제가 더욱 커질 수 있다고 우려했다. 호주 개인정보보호위원회(OAIC)도 스마트 안경 확산에 따른 국민 우려를 인지하고 관련 기술 동향을 예의주시하고 있다고 밝혔다. 메타의 성공은 AI 스마트 안경 시장 확대에도 영향을 미쳤다. 메타는 레이밴 메타를 비롯한 스마트 안경 누적 판매량이 전 세계 700만대를 넘어섰으며, AI 기능 강화와 지속적인 소프트웨어 업데이트를 통해 시장 성장을 주도하고 있다. 메타 역시 개인정보 보호 논란에 대응하고 있다. 최근에는 촬영 표시 LED가 가려질 경우 녹화 기능이 작동하지 않도록 소프트웨어를 개선했으며, 스마트 안경을 착용한 채 타인을 괴롭히는 콘텐츠에 대해서도 제재를 강화했다. 미국 공군과 뉴욕 법원, 세계적인 해커 행사인 'DEF CON' 등 일부 기관과 행사에서는 보안과 사생활 보호를 이유로 스마트 안경 착용을 제한하거나 금지하고 있다. K마트는 "안코 AI 카메라 글래스는 점차 보편화되는 웨어러블 기기의 하나"라며 "이용자들이 현지 법률을 준수하고 책임감 있게 사용할 것으로 기대한다"고 밝혔다.

2026.08.04 17:08안희정 기자

KT 540억·SKT 1348억…개인정보 유출 과징금, 왜 차이났나

정부가 KT의 개인정보 유출 건에 대해 540억원의 과징금을 부과했다. 이는 앞서 SK텔레콤(1347억원)이나 쿠팡(6247억원)에 부과된 금액보다 적은 규모다. 규제 당국은 동일한 법 위반 행위임에도 업체별 과징금 액수가 달라진 배경으로 개인정보 유출 규모와 항목의 차이를 꼽았다. 아울러 과징금 산정 기준이 되는 관련 매출액 규모의 차이도 주요 요인으로 작용했다고 설명했다. 개인정보보호위원회는 30일 제15회 전체회의 결과 브리핑을 통해 KT의 개인정보 유출사고에 대한 과징금 539억 7900만원을 부과했다고 밝혔다. 개인정보 유출 과징금, 어떻게 따지나 KT에 대한 과징금 규모는 개인정보위의 심결 이전부터 세간의 이목을 집중시켰다. SK텔레콤과 쿠팡을 거치면서 역대 최대 과징금 처분이 잇따라 나왔기 때문이다. 개인정보위는 앞서 SK텔레콤에 1347억 9100만원의 과징금을, 쿠팡에는 유출사고에 따른 과징금으로 4235억 7500만원을 부과했다. 이와 비교할 때 KT의 과징금 규모는 상대적으로 적은 편에 속한다고 볼 수도 있다. SK텔레콤과 비교했을 때 가장 큰 차이를 보이는 부분은 실제 개인정보 유출 규모와 유출 정보의 중대성을 따진 것으로 보인다. 개인정보보호법에 따른 유출사고 과징금 부과 시, 해당 유출 사건과 관련 없는 매출은 제외하고 직접 관련된 매출의 최대 3%까지 범위 내에서 결정한다. KT의 지난해 이동통신사업 매출액은 약 6조 8000억원으로, 실제 부과된 과징금은 약 0.8% 수준이다. 과징금 대상 매출을 산정한 뒤 유출사고의 중대성 판단을 따지게 된다. 유출된 정보의 규모와 성격, 실제 피해 발생 여부, 기업의 중과실 등을 따져 ▲매우 중대한 위반 ▲중대한 위반 ▲보통 위반 ▲약간 위반 등의 4단계로 나눠 판단한다. 이어 과징금 가감요소를 반영한다. 예컨대 개인정보보호 및 정보보호 관리체계 인증(ISMS-P)을 획득했거나 이용자 피해 구제 방안 마련, 조사 협조 등 유출사고에 긍정적으로 참작할 요소가 있으면 과징금이 감경되는 식이다. KT의 경우처럼 2차 피해가 발생하거나 고의 또는 중대한 과실이 확인되면 과징금 처분을 가중하게 된다. “KT 유출 규모는 작지만, 2차 피해 발생은 심각” KT 과징금 산정을 SK텔레콤과 비교하면 2차 피해 발생과 개인정보 유출 규모, 유출된 개인정보의 중대성 등이 크게 차이를 보인다. 개인정보위는 “KT 과징금 산정에서는 소액결제 등 2차 피해가 발생한 부분을 심각하게 받아들였다”면서도 “다만 다른 사례와 비교해 유출 규모가 상대적으로 작고, 유출된 정보 자체가 가입자식별번호(IMSI), 단말기식별번호(IMEI), 휴대전화번호 등 3종에 불과했다는 점과 유출사고 관련 피해 보상이나 시정조치가 신속하게 협조됐다는 점 등이 감안됐다”고 설명했다. 즉 KT는 개인정보 유출 규모가 1만 6647명으로, 약 2300만명에 이르는 SK텔레콤과 큰 차이가 있다. 유출된 정보도 전화번호, IMSI, IMEI 정도에 그쳤는데 SK텔레콤은 유심(USIM) 인증키와 같이 민감한 정보가 유출됐다. 3322만명의 개인정보가 우출된 쿠팡과 비교해도 KT의 유출 규모는 적은 편에 속한다. 반면 KT는 가입자 368명이 약 2억 4000만원 규모의 무단 소액결제 피해를 입은 것으로 조사됐다. 개인정보 유출로 추가 피해 사고까지 이어진 점이 과징금을 높였다는 뜻이다. 민간합동조사단의 침해조사 결과 발표와 개인정보보호법 위반에 따른 처분을 받게 될 OTT 티빙도 유사한 잣대로 가늠해볼 수 있다. 최종 조사 결과가 아직 나오지 않았으나, 현재까지 파악된 티빙의 정보 유출 규모는 1953만 명에 달한다. 유출된 정보의 민감도에 따라 과징금이 가중 부과될 수 있지만, 쿠팡이나 이동통신사의 무선 사업 매출과 비교하면 과징금 산정의 기준이 되는 관련 매출 규모는 상대적으로 크지 않은 편이다. 아울러 아직 2차 피해가 확인되지 않은 데다, 티빙 측이 정부 조사에 적극적으로 임한 점 등을 감안하면 과징금 규모가 대폭 늘어나지는 않을 것이라는 관측도 나온다. 증거 은닉, 폐기...수사 의뢰 이후 재조사 KT는 과징금과 시정명령 외에 조사를 방해한 행위에 따라 고발이 결정됐다. 이와 달리 LG유플러스에 대해서는 서버 운영체제 재설치, 서버 폐기 행위로 수사 의뢰가 이뤄졌다. KT에 대한 고발은 개인정보보호법에 근거한 반면, LG유플러스에 대한 수사 의뢰는 형법에 따른 공무집행 방해를 적용했다. 개인정보위는 “(LG유플러스는) 조사 과정에서 확인된 사실관계를 경찰청에 제공해 수사가 효과적으로 진행되도록 하겠다”며 “수사를 통해 새로운 실체라든지 사실이 발견되면 이를 통해 조사와 제재로 이어질 수 있다”고 밝혔다. 즉, 조사 종료가 아니라 수사 결과가 나오면 다시 조사 단계로 접어드는 조사 중단 상황이란 설명이다. 수사 결과가 확인될 경우 위법 사항을 다시 따지게 된다. 조사를 회피하기 위한 증거 은닉과 폐기에 대한 제재도 강화한다는 방침이다. 국회에 발의된 법안을 중심으로 증거 은닉과 폐기에 대한 제재 규정, 이행강제금과 증거보전명령 제도 도입을 추진한다. 과징금 산정도 관련 매출액이 아니라 회사 전체 매출액이 검토되고 있다.

2026.07.30 15:00김기찬 기자

KT 개인정보 유출 과징금 540억원…LGU+ 증거인멸 수사의뢰

개인정보보호위원회가 펨토셀 관리 부실로 개인정보 유출 사고를 일으킨 KT에 539억 7900만원의 과징금을 부과했다. 악성코드 감염 사고를 은폐하고 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 혐의로 KT를 고발하기로 했다. 아울러 LG유플러스는 개인정보 유출 의혹과 관련해 조사 착수 전 서버를 재설치 및 폐기 행위가 확인돼 경찰에 수사를 의뢰했다. 개인정보위는 29일 제15회 전체회의를 열어 개인정보보호법을 위반한 KT에 과징금 539억 7900만원과 시정명령, 처분사실 공표 명령을 의결했다. KT 조사 과정에서 거짓 자료를 제출하고 자료를 뒤늦게 제출하는 등 위원회 조사를 실질적으로 방해한 행위에 대해서는 고발하기로 결정했다. 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 이후 이용자의 스마트폰이 해커가 만든 펨토셀을 경유하도록 유도해 단말과 KT 내부망 간 송수신 정보를 가로챘다. 해커는 이를 통해 확보한 개인정보와 추가 정보를 결합해 휴대전화 소액결제를 시도했고, 결제 인증번호가 포함된 문자메시지와 자동응답시스템 인증을 탈취하는 방식으로 부정 결제를 진행했다. 이 과정에서 KT 이용자와 알뜰폰 가입자를 포함한 1만 6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다. 실제로 368명이 약 2억 4000만원 규모의 무단 소액결제 피해를 입은 것으로 조사됐다. 개인정보위는 사고 원인을 KT의 부실한 펨토셀 관리 체계에서 찾았다. 펨토셀은 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 소형 기지국으로, KT 설치기사가 직접 설치하는 KT 자산이다. 이용자는 설치 장소를 제공할 뿐이며, 망 접속 승인과 인증, 내부망 접속 허용, 보안 통제 등은 모두 KT가 관리한다. 하지만 KT는 펨토셀 인증서 유효기간을 10년으로 장기간 설정했고, 내부망에 접속하는 펨토셀의 접속 IP를 제한하지 않아 해외나 타사 인터넷망에서도 접속이 가능하도록 운영했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 갖추지 않았다. 그 결과 해커는 별도의 추가 인증 없이 약 11개월 동안 KT 내부망에 접속해 개인정보를 탈취했지만 KT는 이를 인지하지 못했다. 개인정보위는 다수의 이용자가 소액결제 피해를 신고한 이후에야 KT가 비정상 접속을 식별한 것으로 확인됐다고 설명했다. 개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자임에도 정보통신망에 대한 기본적인 접근 통제와 침해 방지 의무를 소홀히 해 개인정보 보호법상 안전조치 의무를 위반했다고 판단했다. 별도의 악성코드 감염 사건도 드러났다. 개인정보위는 펨토셀 사고를 조사하는 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 리눅스 백도어 악성코드인 'BPFDoor' 등에 감염된 사실을 확인하고 조사를 확대했다. 조사 결과 해커는 KT 로밍렌탈서비스 홈페이지 취약점을 이용해 내부망에 침투한 뒤 악성코드를 설치했고, 관리자 페이지에 대한 SQL 삽입 공격을 통해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 확인됐다. 다만 사고 발생 당시의 로그가 상당수 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인하지 못했다. 개인정보위는 KT가 2024년 악성코드 감염 사실을 인지했음에도 정부에 침해 사실을 신고하지 않았고, 자체 조치만 진행했다고 밝혔다. 또 2025년 다른 통신사의 개인정보 유출 사고 이후 자체 점검 과정에서 일부 감염 서버의 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인됐다고 설명했다. 조사 착수 전 로그 삭제 정황이 드러나자 별도로 보관 중이던 로그를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 이를 조사 방해 행위로 판단해 고발하기로 했다. 개인정보위는 LG유플러스에 대해서도 강경 대응에 나섰다. 지난해 8월 미국 보안 전문지 '프랙'을 통해 LG유플러스 개인정보 유출 의혹을 인지하고 조사에 착수했다. 조사 결과 유출된 임직원과 협력사 직원의 이름과 계정 정보는 LG유플러스의 통합 비밀번호 관리 시스템(APPM)에 저장된 실제 정보로 확인됐다. 그러나 LG유플러스는 개인정보위 조사 착수 전에 APPM 서버 등의 운영체제를 재설치하거나 관련 서버를 폐기한 것으로 나타났다. 개인정보위는 이로 인해 정확한 침해 경위와 추가 유출 여부를 확인하기 어려워졌다고 보고, 공무집행방해 혐의가 있다고 판단해 수사기관에 수사를 의뢰하기로 했다. 개인정보위는 이번 사건을 계기로 증거 은닉이나 서버 폐기를 통한 조사 회피를 막기 위한 제도 개선도 추진한다. 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정을 신설하고, 증거를 은닉하거나 폐기한 사업자에게는 전체 매출액의 3%까지 과징금을 부과하는 방안을 추진할 계획이다. 조사 비협조나 시정명령 불이행 시 이행강제금을 부과하고, 침해사고 발생 시 자료보전명령을 내릴 수 있도록 법 개정도 추진한다. 송경희 개인정보위 위원장은 “이번 처분이 통신업계 전반의 보안 역량을 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 것이 아니라 투명하게 공개하는 것이 기업에 가장 합리적인 선택이라는 인식이 업계 전반에 자리 잡도록 제도를 지속적으로 개선하겠다”고 말했다.

2026.07.30 10:37김기찬 기자

쿠콘-코스콤, 공공 데이터 API 전환 맞손…개인정보 전송체계 고도화

쿠콘이 공공부문 데이터 전송 체계의 표준 애플리케이션 프로그래밍 인터페이스(API) 전환 지원에 나선다. 개인정보 전송요구권이 전 분야로 확대되는 제도 변화에 맞춰 금융회사의 시스템 변경 부담을 줄이고 공공 데이터 활용 환경을 안정적으로 지원한다는 목표다. 쿠콘은 코스콤과 안전한 데이터 활용 환경 조성을 위한 전략적 사업 제휴 협약을 체결했다고 30일 밝혔다. 이번 협약은 다음 달 20일 시행되는 개인정보 보호법 시행령 개정에 선제 대응하기 위해 마련됐다. 지난 29일 쿠콘 본사에서 열린 협약식에는 김종현 쿠콘 대표와 김도연 코스콤 상무가 참석해 협력 방향과 공동 비전을 공유했다. 시행령 개정으로 개인정보 전송요구권 적용 범위가 전 분야로 확대되면서 공공기관을 비롯한 정보전송자는 표준 API 기반 정보 전송 체계를 단계적으로 구축할 것으로 전망된다. 이에 양사는 공공기관 API 전환 과정에서 금융회사의 개발 부담을 최소화하고 중계전문기관인 코스콤을 통해 데이터를 안전하게 유통할 수 있도록 지원할 계획이다. 이를 위해 쿠콘은 표준 API 방식과 기존 스크래핑 방식을 병행하는 하이브리드 운영 체계를 구축한다는 방침이다. 금융회사가 기존 시스템을 크게 변경하지 않고도 공공 데이터를 API 방식으로 전환할 수 있도록 API 장애나 점검 상황에서도 서비스 중단 없이 데이터를 활용할 수 있도록 지원한다는 목표다. 쿠콘은 5만여 종의 데이터를 제공해 온 비즈니스 데이터 플랫폼 운영 경험을 바탕으로 고객사의 API 전환을 지원한다. 코스콤은 전 분야 마이데이터 중계전문기관으로서 정보전송자와 정보수신자 간 데이터 전송 중계와 전송시스템 표준화, 전송요구 검증 등 전송 인프라를 제공한다. 양사는 이번 협약을 통해 공공부문 표준 API 전환 협력과 정보전송자의 내부 API 시스템 구축 기술 지원, 공공부문 가명정보 결합·활용 지원 등 다양한 분야에서 협력한다. 이를 바탕으로 공공기관 정보 전송 체계 고도화와 공공 데이터 활용 생태계 조성에 나서는 한편, 표준 API 전환을 위한 실행 로드맵을 마련하고 대상 기관에 대한 공동 안내와 기술 지원도 추진할 계획이다. 김종현 쿠콘 대표는 "국민 개인정보가 보다 안전하게 전송·활용될 수 있도록 공공분야 전송 체계가 고도화되는 흐름에 맞춰 이 전환을 기술적으로 뒷받침하는 역할을 충실히 하겠다"고 말했다. 이어 "코스콤의 중계 인프라와 우리 API 플랫폼 기술력을 결합해 고객사가 전환 과정에서 서비스 중단 없이 공공부문 데이터를 안정적으로 이용할 수 있도록 적극 지원하겠다"고 덧붙였다.

2026.07.30 09:56한정호 기자

[법과 상식 사이] 왜 요즘 보안사고가 끊이지 않을까

요즘은 한 기업의 보안사고가 채 잊히기도 전에 또 다른 사고가 이어진다. 개인정보가 유출되고, 서비스가 멈추며, 내부 자료가 외부로 빠져나간다. 기업들도 보안 조직을 만들고 시스템을 점검하며 적지 않은 비용을 쓴다. 그런데도 사고는 좀처럼 줄지 않는다. 왜일까. 공격은 더 빠르고 정교해졌다 먼저 공격자의 의도와 방법이 달라졌다. 과거의 해킹이 일부 개인의 호기심이나 실력 과시에서 시작됐다면 지금은 금전을 목적으로 움직이는 범죄조직과 국가의 지원을 받는 공격집단까지 기업을 노린다. 해킹이 수익성 높은 범죄가 되면서 공격은 개인의 일회적 행위에서 벗어나 역할과 기술을 나눈 조직적 산업으로 변했다. 생성형 AI는 공격의 속도와 정교함을 더욱 높이고 있다. 자연스러운 피싱 메일을 만들거나 특정인의 말투를 흉내 내는 데 그치지 않고, 소프트웨어의 취약점을 찾아 공격 가능성을 검증하는 데까지 활용될 수 있다. 앤트로픽이 발표한 '클로드 미토스 프리뷰'는 과거 숙련된 전문가가 많은 시간과 노력을 들여야 했던 취약점 발견과 검증 작업을 AI가 빠르게 수행할 수 있음을 보여주었다. 공격에 필요한 시간과 전문성의 문턱이 낮아지고 있는 것이다. 공격할 곳이 더 많아졌다 기업의 업무 구조도 달라졌다. 과거에는 회사 내부의 전산망과 업무용 컴퓨터를 주로 보호하면 됐지만, 지금은 클라우드와 외부 프로그램을 이용하고 여러 협력업체와 업무를 나눈다. 임직원이 회사 밖에서 시스템에 접속하고, 판매자와 물류업체, 결제업체가 하나의 서비스 안에서 정보를 주고받는 일도 일상화됐다. 2021년 국내 한 연구기관에서는 외부 접속에 사용하던 가상사설망(VPN)의 취약점을 통해 신원불명의 외부인이 내부 서버에 접속한 사실이 확인됐다. 업무 편의를 위해 만든 외부 접속 통로가 공격자의 침입 경로가 된 것이다. 이처럼 기업 밖으로 연결되는 시스템과 계정이 늘어나면서 공격자가 노릴 수 있는 지점도 많아졌다. 기업 내부의 보안이 비교적 철저하더라도 협력업체의 계정이 탈취되거나 외부 프로그램에 취약점이 생기면 사고로 이어질 수 있다. 공격자는 기업의 모든 보안을 뚫을 필요가 없다. 수많은 연결 지점 가운데 가장 약한 한 곳만 찾으면 된다. 보안 관리는 변화의 속도를 따라가지 못했다 공격은 빠르게 발전하고 공격할 지점은 늘어났지만 기업의 보안 관리는 그 변화를 충분히 따라가지 못했다. 사용하지 않는 계정이나 퇴직자의 접근 권한이 남아 있고 오래된 시스템의 교체나 협력업체 점검이 미뤄지기도 한다. 새로운 공격 기술이 주목받지만, 실제 사고는 오래 방치된 기본적인 빈틈에서 시작되는 경우가 많다. 지난해 국내 한 통신사에서는 수년 전 내부망에 침투한 악성 프로그램이 뒤늦게 발견되면서 대규모 개인정보 유출로 이어졌다. 침투 사실이 장기간 발견되지 않은 관리 공백이 피해를 키운 것이다. 이러한 문제를 보안 담당자의 역량 부족으로만 돌릴 수는 없다. 시스템을 교체하고 보안 인력을 늘리려면 비용과 시간이 필요한데 이를 결정하는 것은 결국 경영진이기 때문이다. 사업 확장의 성과는 곧바로 나타나지만, 보안 투자의 성과는 '아무 일도 일어나지 않은 것'이니 눈에 잘 띄지 않는다. 당장 문제가 없다는 이유로 보안이 뒤로 밀리기 쉬운 이유다. 법은 처벌뿐 아니라 예방도 묻기 시작했다 이러한 현실을 반영해 법도 보안을 기술 부서만의 업무가 아니라 경영진이 책임져야 할 기업 관리의 문제로 보기 시작했다. 오는 9월 시행을 앞둔 개정 개인정보보호법은 일정한 반복적·대규모 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 동시에 개인정보 보호를 위한 예산과 인력, 설비 등에 미리 투자한 경우에는 이를 과징금 감경 사유로 인정하도록 했다. 처벌을 강화하는 데 그치지 않고 기업이 사고 전에 투자하도록 유도하려는 것이다. 개정법은 사업주나 대표자를 개인정보 처리와 보호에 관한 최종 책임자로 명확히 하고 개인정보 보호책임자의 역할과 권한도 강화했다. 법이 묻는 것은 사고가 발생한 직접적인 원인만이 아니다. 필요한 인력과 예산을 배정했는지, 낡은 시스템을 방치하지 않았는지, 외부 업체의 위험을 평소에 제대로 관리했는지도 기업의 책임을 판단하는 기준이 된다. 왜 보안사고는 줄지 않을까. 공격은 더 정교해졌고 공격할 곳은 더 많아졌지만 보안 관리는 그 속도를 따라가지 못했기 때문이다. 보안사고는 IT 시스템에서 발생하지만, 그 위험을 사전에 줄일 것인지는 경영이 선택하고 책임져야 할 때다.

2026.07.29 16:20안정민 컬럼니스트

개인정보위, 29일 KT 침해사고 제재 논의

KT 사이버 침해사고에 대한 개인정보보호위원회의 제재 수위 심의가 오는 29일 시작된다. 27일 개인정보위에 따르면 이번 주 전체회의를 열어 KT 개인정보보호법 위반에 따른 시정명령과 제재 수위를 논의한다. 위원회 심의가 당일 마치게 되면 업계의 관심이 쏠리는 제재 수위는 30일에 공개될 예정이다. 개인정보위는 지난달 쿠팡에 약 6400억원의 역대 최대 과징금 처분을 내린 터라 더욱 관심이 집중되는 분위기다. 심의가 길어지면 29일 결론을 내리지 몫하고 차기 회의에서 계속 논의될 수도 있다. KT의 경우 약 2만 2000명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등의 정보가 유출됐다. 상대적으로 앞서 시정명령을 받은 침해사고와 비교하면 실제 피해 가입자 규모는 적은 편이지만 무단 소액결제 피해가 일부 확인되면서 과징금 부과 기준에서 매출 산정 범위와 감경 사유 등을 예단하기 어려운 편이다.

2026.07.27 17:27박수형 기자

정부, 美 하원 '쿠팡 차별' 보고서 반박…"사실관계 바로잡아 달라"

우리 정부가 한국이 쿠팡 등 미국 기업을 차별했다는 내용을 담은 미국 하원 법사위원회 보고서에 공식 반박했다. 주미한국대사관은 보고서의 사실관계 오류를 바로잡고 우리 정부의 입장을 담은 상세 입장문을 전달하며 보고서 수정을 요청했다. 외교부에 따르면 24일 주미한국대사관은 법사위가 지난 1일(현지시간) 공개한 쿠팡 관련 임시 실무보고서를 두고 보고서상 사실관계 오류 정정 및 정부의 반박 입장 설명을 위한 상세 입장문을 전달했다. 입장문에는 ▲한국의 규제 입법 및 집행 원칙 ▲한국 디지털 규제의 비차별성 ▲쿠팡 개인정보 유출 사건에 대한 사실관계 및 개인정보보호위원회 처분의 타당성 ▲쿠팡에 대한 다부처 조사·국회 청문회 등 우리 정부의 조사 적법성 내용이 담겼다. 또 정부는 입장문을 통해 법사위 보고서가 확인되지 않은 주장에 기반해 작성된 데 대해 깊은 유감을 표명하고, 보고서상 사실과 다른 부분을 수정하고 누락된 중요 사실을 보고서에 추가해줄 것을 요청했다. 앞서 미국 법사위는 '경쟁 차단: 미국 소유 기업에 대한 한국의 차별적 공격'이라는 이름의 중간보고서를 발표했다. 보고서에는 대규모 개인정보 유출 사건과 관련해 우리 정부가 쿠팡의 중국 내 회수 작전을 강요했다는 취지의 내용이 포함됐다. 외교부는 “앞으로도 우리 정부는 쿠팡 사태가 한미 관계에 부담으로 작용하지 않도록 관리해 나가는 동시에 법사위를 포함한 미 조야를 지속 접촉해 쿠팡 측의 사실 관계 왜곡에 적극적으로 대응할 예정”이라고 말했다.

2026.07.24 18:43박서린 기자

개인정보위, 틱톡에 103억원 철퇴…"타사 행태정보 수집 위법"

개인정보보호위원회가 맞춤형 광고를 위해 이용자의 타사 행태정보를 사실상 필수 동의 방식으로 수집·활용한 틱톡에 100억원대 과징금을 부과했다. 이용자가 개인정보 처리 내용을 충분히 인지하고 자유롭게 선택할 수 있도록 해야 한다는 개인정보 자기결정권 원칙을 위반했다는 판단이다. 개인정보보호위원회는 22일 제14회 전체회의를 열고 개인정보 보호법을 위반한 틱톡(TikTok Pte. Ltd.)에 과징금 103억600만원을 부과하고 시정명령과 공표명령을 의결했다고 23일 밝혔다. 개인정보위는 틱톡과 틱톡 라이트가 적법한 근거 없이 타사 행태정보를 수집·이용하고 개인정보를 국외 이전했다는 언론 보도를 계기로 조사에 착수했다. 조사 결과 틱톡은 광고와 콘텐츠 성과 분석 서비스를 제공하기 위해 '틱톡 픽셀(TikTok Pixel)', '이벤트 SDK(Events SDK)', '이벤트 API(Events API)' 등 행태정보 수집 도구를 다른 웹·앱 사업자에게 배포하고, 해당 도구가 설치된 서비스 이용자의 클릭, 구매, 장바구니 담기, 검색, 콘텐츠 조회 등 활동 정보를 수집해 왔다. 개인정보위에 따르면 국내 약 7만1000개 기업이 이 같은 행태정보 수집 도구를 이용하고 있으며, 틱톡은 이를 통해 국내 활성 이용자 945만명의 타사 행태정보를 수집하고 있는 것으로 확인됐다. 틱톡은 이렇게 수집한 타사 행태정보를 모바일 광고식별자(GAID·IDFA)와 브라우저 쿠키 등 기기 식별정보와 결합해 회원 계정과 연결하고, 이용자의 관심사와 특성을 분석해 맞춤형 광고에 활용했다. 그러나 개인정보위는 틱톡이 이러한 개인정보 처리 사실을 이용자가 명확히 인지할 수 있도록 알리지 않았고, 맞춤형 광고를 위한 개인정보 수집을 서비스 이용에 필요한 필수 동의 항목과 함께 묶어 동의를 받았다고 판단했다. 이용자가 서비스를 이용하려면 사실상 해당 개인정보 처리에도 동의할 수밖에 없어 실질적인 선택권이 보장되지 않았다는 것이다. 개인정보위는 이를 개인정보 보호법상 적법한 개인정보 수집·이용 동의를 받지 않은 것으로 보고 과징금을 부과했다. 개인정보 국외 이전 과정에서도 위반 사항이 확인됐다. 개인정보위는 틱톡 라이트의 포인트 현금 인출 서비스 제공 과정에서 이용자 개인정보를 해외 계열사로 이전하면서 이전하는 개인정보 항목과 이전받는 자의 이용 목적, 보유·이용 기간 등 법에서 정한 사항을 공개하거나 이용자에게 알리지 않았다고 밝혔다. 이에 개인정보위는 적법한 근거 없는 개인정보 수집·이용과 국외 이전이 각각 개인정보 보호법 위반에 해당한다고 판단해 과징금과 함께 시정명령 및 공표명령을 내렸다. 개인정보위는 "정보주체의 동의는 개인정보 처리 내용을 명확히 인지한 상태에서 자유로운 의사에 따라 이뤄져야만 유효하다"며 "이용자의 개인정보 자기결정권이 사실상 보장되지 않는 방식의 동의는 적법한 동의로 인정될 수 없다"고 설명했다. 이어 "앞으로도 해외 사업자의 개인정보 처리 실태를 지속적으로 점검하고 국내외 기업을 가리지 않고 위법 행위에 엄정 대응하겠다"고 밝혔다.

2026.07.23 10:01안희정 기자

[법과 상식 사이] 마지막으로 내가 직접 찾은 콘텐츠는 언제였을까

요즘은 드라마를 보기 위해 검색창부터 열지 않는다. OTT를 켜면 첫 화면에 작품이 기다리고 있고, 한 편이 끝나면 다음 작품이 자연스럽게 이어진다. 음악도 비슷하다. 한 곡만 들으려 했는데 플랫폼이 이어주는 노래를 듣다 보면 어느새 한 시간이 지나 있다. 유튜브에서도 영상 하나를 선택했을 뿐인데 그다음부터는 내가 고른다기보다 '계속 보기'에 가까워진다. 이런 생활이 익숙해지면서 콘텐츠를 직접 찾는 과정은 점점 줄어들었다. 예전에는 재미있는 영화나 들을 만한 음악을 찾기 위해 친구에게 묻고, 인터넷이나 잡지를 뒤지곤 했다. 무엇을 볼지 고르는 과정 자체가 콘텐츠를 즐기는 경험의 일부였다. 그러나 이제는 직접 찾기보다 플랫폼이 먼저 보여주는 것을 보는 일이 많아졌다. 그 결과 무엇을 먼저 만나고 무엇을 끝내 알지 못하는지가 플랫폼의 배열에 따라 달라진다. 우리는 이를 '추천'이라고 부른다. 추천이라는 말은 내 선택을 돕는 기능처럼 들리지만 실제로는 무엇을 먼저 보여주고 무엇을 계속 보게 할지를 정한다. 아무리 많은 콘텐츠가 있어도 첫 화면에 나타나지 않으면 이용자가 발견하기 어렵다. 추천은 이용자의 선택을 돕는 동시에, 무엇을 선택지로 보게 할지 결정한다 플랫폼은 추천을 개인의 취향에 맞추기 위해 어떤 영상을 끝까지 봤는지, 어디에서 멈췄는지, 무엇을 반복해서 들었는지 등을 분석한다. 이용자가 직접 밝히지 않은 취향도 행동을 통해 추론한다. 내가 찾기 전에 알아서 보여주는 편리함은 결국 나를 계속 관찰하는 데서 나온다. 시청 기록이 쌓이고 다른 정보와 결합되면 관심사와 생활방식은 물론 정치적 성향이나 건강 상태, 종교처럼 민감한 영역까지 드러날 수 있다. 추천의 문제는 이처럼 개인정보 보호와 연결된다. 플랫폼은 추천에 필요한 정보가 무엇인지 먼저 따져 보고 수집하는 정보의 범위와 보관 기간을 최소화해야 한다. 또한 어떤 개인정보를 어떤 목적으로 수집하고 이용하는지 이용자가 알 수 있도록 해야 한다. 이용자는 자신의 정보에 대해 열람이나 삭제, 처리정지 등을 요구할 수 있다. 이용자도 플랫폼이 제공하는 기능을 적극적으로 활용할 필요가 있다. 시청 기록을 지우거나 맞춤형 추천을 조정하고, 때로는 자동재생을 끄거나 직접 검색해 볼 수 있다. 추천이 마음에 들지 않을 때는 무심코 계속 보는 대신 '관심 없음'이나 '추천하지 않음' 같은 기능을 통해 자신의 의사를 표시할 수도 있다. 첫 화면에 나타난 콘텐츠가 나에게 가장 좋은 선택이라고 단정하지 않는 태도도 필요하다. 추천은 누구를 위한 것인가 그러나 이용자가 기록을 지우고 추천을 조정하는 것만으로 과도한 정보 수집이나 한쪽으로 치우친 추천을 막을 수는 없다. 어떤 정보를 수집하고 무엇을 어떤 순서로 보여줄지는 결국 플랫폼이 정하기 때문이다. 플랫폼은 추천이 이용자에게 좋은 콘텐츠를 찾아주기 위한 것인지, 이용자를 더 오래 머물게 하기 위한 것인지 분명히 해야 한다. 시청시간과 클릭 수를 늘리는 데만 초점을 맞추면 비슷하거나 자극적인 콘텐츠가 반복해서 노출된다. 그 결과 이용자는 새로운 콘텐츠를 발견하기보다 이미 본 것과 비슷한 콘텐츠만 계속 접하게 되고, 취향의 폭도 좁아질 수 있다. 추천이 사라질 필요는 없다. 추천 덕분에 평소라면 알지 못했을 작품을 발견하고, 수많은 콘텐츠 가운데 선택의 부담을 덜기도 한다. 다만 추천이 우리의 선택을 대신하면서도 단지 선택을 돕고 있을 뿐인 것처럼 보이는 상황은 경계해야 한다. 우리는 수많은 콘텐츠 가운데 자유롭게 고른다고 생각하지만 실제로는 플랫폼이 먼저 보여준 것 가운데 하나를 선택하는 경우가 많아지고 있다. 마지막으로 내가 직접 찾은 콘텐츠는 언제였을까. 이 질문에 쉽게 답할 수 없다면 편리함과 맞바꾸어 우리가 내어준 것이 개인정보만은 아닌지도 생각해 볼 필요가 있다. 무엇을 찾고 무엇을 만날지 스스로 결정하는 힘도 조금씩 플랫폼에 넘겨주고 있기 때문이다.

2026.07.22 14:51안정민 컬럼니스트

Prev 1 2 3 4 5 6 7 8 9 10 Next