해킹 당한 소상공인에게도 개인정보 유출 과징금
중소기업으로 확인된 개인정보 유출 처분 66건 중 33건이 해킹 피해 사례였으며, 정보 98건이 유출된 소상공인에게는 총 4,082만 3,000원의 과징금과 과태료가 부과됐다.
임상용 기자
중소기업이 개인정보 유출로 받은 행정처분 66건의 금액을 모두 더하면 약 43억 5,433만원에 이른다. 10월 23일 국회 자료에서 확인된 내용이다.
이 66건은 2021년부터 2026년 6월까지 민간기업이 받은 개인정보 유출 행정처분 472건 가운데 사업자등록번호를 대조해 중소기업으로 가려낸 것이다. 이 범위에서 처분금액은 2024년 8,080만원에서 2025년 21억 8,002만원으로 불어났다. 올해는 1월부터 6월까지 3건에 과징금·과태료 12억 1,270만원이 매겨졌다. 개인정보보호위원회와 중소벤처기업부 자료를 토대로 사업자 규모를 다시 분류해 낸 수치다.
해킹을 당한 소상공인도 처분을 피하지 못했다. 중소기업 처분 66건 가운데 33건이 해킹 피해 사례다. 한 소상공인은 지난해 6월 외부 해킹으로 정보 98건이 빠져나간 뒤 과징금 3,242만 3,000원과 과태료 840만원을 물게 됐다. 이 사업자가 떠안은 처분금액은 모두 4,082만 3,000원이다.
신고 통계를 봐도 외부 해킹의 몫이 컸다. 개인정보보호위원회와 한국인터넷진흥원이 낸 ‘2025 개인정보 유출 신고 동향’을 보면 지난해 민간기업 유출 신고 319건 가운데 중소기업이 149건, 중견기업이 54건이었다. 민간기업 유출 원인으로는 해킹이 232건으로 73%에 달했다. 해킹 때문에 들어온 신고는 전년 135건보다 72% 늘었다.
외부 서비스를 빌려 사이트를 꾸려 온 영세 업체들이 한꺼번에 당한 사고도 있었다. 9월 19일 클라우드 학습관리시스템 공급업체의 내부 시스템에 해커가 백도어를 심고 회원 데이터베이스에 들어갔다. 이렇게 빠져나간 정보가 약 237만 건이다. 아이디와 암호화된 비밀번호·휴대전화번호, 생년월일, 연계정보(CI)에 미성년 수강생 등의 보호자 정보까지 들어 있었다.
피해는 이 시스템으로 온라인 교육 사이트를 운영하던 최소 22개 영세 고객사로 번졌다. 이들 업체에는 정보기술·보안을 맡을 내부 전문가가 없어 사고가 난 뒤 수습하는 데도 애를 먹었다. 보안 인력을 두고 서버를 직접 돌릴 여력이 없어 외부 클라우드 솔루션을 빌려 쓰던 곳들이, 공급업체 시스템이 뚫리자 피해까지 함께 떠안은 셈이다.
보안 지원사업의 문을 두드리는 기업은 늘었다. ‘기술유출방지시스템 구축’ 신청 기업은 지난해 112개사에서 올해 8월 307개사로 불었다. 실제로 지원을 받은 곳은 139개사였고, 168개사는 탈락했다. 무상 보안관제를 해 주는 ‘기술지킴서비스’ 지원 기업은 지난해 641개사에서 올해 8월 188개사로 줄었다. 중소벤처기업부는 공식 답변서에서 두 사업 모두 올해 예산을 8월 기준으로 전액 집행했다고 설명했다.