보안 사고 및 개인정보보호 뉴스레터 — 2026-08-03

1. 개인정보 유출 사고 및 시사점

롯데카드 297만명 정보 유출, 금융사 첫 영업정지 처분

롯데카드가 고객 297만명의 개인정보를 유출시킨 사건으로 금융위원회로부터 사상 초유의 '영업정지'라는 초강력 처분을 받았습니다. 금융위원회는 지난 7월 31일 제14차 정례회의를 통해 롯데카드에 대해 50억원의 과징금과 함께 영업정지 조처를 내렸으며, 조좌진 대표에게 문책경고를 부과했습니다.

1 sources

newsspace.kr

newsspace.kr

중소벤처기업부 '모두의 창업' 플랫폼, 5000명 정보 유출 및 암호키 함께 노출

중소벤처기업부의 창업 프로젝트 합격자 5000명의 개인정보가 '모두의 창업' 플랫폼에서 유출되었으며, 암호화된 정보를 복호화할 수 있는 암호키까지 함께 노출되었습니다. 대규모 일반 국민을 대상으로 하는 정부 플랫폼에서의 중대한 보안 결함이 적발되었습니다.

1 sources

donga.com

개인정보 유출 중기부 ‘모두의 창업’, 암호키까지 털려

BASE Inc.(일본), 부정 접근으로 개인정보 유출

일본의 BASE Inc.에서 부정 접근(不正アクセス)으로 인한 개인정보 유출 사고가 발생했습니다. 회사는 공식 공지를 통해 사건을 인지하고 사과했습니다.

기업 사이버보험 수요 급증, 1년 새 47% 증가

최근 대규모 개인정보 유출 및 사이버 공격 사고가 잇따르면서 기업들의 사이버 리스크 관리 수요가 급증하고 있습니다. 해킹 피해와 정보 유출에 따른 배상책임 등을 보장하는 기업 사이버보험이 지난 1년간 47% 증가했습니다.

1 sources

ajunews.com

해킹 공포에 기업 사이버보험

2. 정보유출 사고 및 판례 시사점

개인정보 유출과 안전조치의무 위반에 대한 행정 처분 강화

개인정보보호위원회의 대규모 과징금 및 시정명령 처분에 불복한 기업들이 잇달아 행정소송을 제기하면서 개인정보보호위원회와 기업 간 법적 공방이 확대되고 있습니다. 최근 KT에는 1만 6000여명의 개인정보 유출에 대해 539억원의 과징금이 부과되었으며, 무단 소액결제 피해 2억 4000만원을 고려한 징계가 이루어졌습니다.

사전대입공격(Pre-credential attack)의 불법적 접근 인정

판례는 사전대입공격이 개인정보보호법 제4조 제5항의 '불법적인 접근'으로 적용될 수 있다고 판시했습니다. 이는 기업의 보안 의무 범위를 기술적 침해뿐 아니라 사용자 인증 정보를 악용한 접근도 포함하도록 확대했습니다.

3. 개인정보보호법 최근 현황 (CISO/CPO 필수)

CPO 전문자격 요건 의무화 및 9월 11일 시행 예정

2026년 9월 11일부터 시행되는 개정안에 따라 일정 규모 이상의 개인정보처리자는 개인정보 보호책임자(CPO)로 경력 등 전문자격 요건을 갖춘 사람만을 지정해야 합니다. 특히 정보주체의 규모가 크거나 민감한 정보를 다루는 기업·기관은 법령이 정한 기준에 따라 '전문 CPO'로 지정해야 할 의무가 있습니다.

ISMS-P 인증의 의무화 및 핵심 기관 확대

대규모 데이터를 취급하는 핵심 기관 및 기업의 'ISMS-P' 인증이 필수 요건으로 격상되었습니다. 정보보호관리체계 인증의 의무 대상 및 시한이 확정되면서 금융권을 비롯한 주요 산업의 보안 인증 요건이 강화되었습니다.

CEO 책임 명확화 및 CPO 신고 의무 강화

2026년 2월 12일 국회 본회의를 통과한 개인정보보호법 개정안에서 CEO의 책임이 명확화되고 개인정보보호책임자(CPO)의 역할이 강화되었습니다. CPO 신고 의무가 신설되면서 기업의 최고경영진과 개인정보 담당자의 책임이 더욱 강화되고 있습니다.

권고사항: CISO 및 CPO는 9월 11일 개정법 시행을 대비하여 전문자격 기준을 확인하고, ISMS-P 인증 취득 계획을 수립해야 합니다. 또한 개인정보 유출 시 행정 처분 사례들을 검토하여 안전조치 의무를 재점검하시기 바랍니다.