털린 건 2024년, 안 건 2026년…피해자 손에 쥐어진 건 5천원 쿠폰
드라마는 티빙으로 보고, 출퇴근은 따릉이로 하고, 휴가철엔 대한항공을 탄다. 평범한 일상이다. 그런데 이 세 곳은 모두 최근 1년 사이 개인정보 유출 사고를 냈다.
가장 최근은 대한항공이다. 대한항공은 23일 고객들에게 수탁사인 글로벌 항공 IT 시스템 운영사 아마데우스의 시스템에서 개인정보가 유출된 정황이 파악됐다고 알렸다. 아마데우스 시스템 계정의 로그인 인증정보를 이용한 비인가 접근이 원인이었고, 사고는 2023년 8월에서 2026년 9월 사이에 발생한 것으로 추정된다. 길게는 3년 동안 아무도 몰랐다는 얘기다. 현재까지 확인된 유출 항목은 예약번호이며, 나머지는 아마데우스를 통해 확인 중이다.
이제 이런 소식은 놀랍지도 않다. 개인정보보호위원회에 따르면 유출 신고는 2022년 167건에서 2023년 318건, 2025년 447건으로 늘었다. 올해는 상반기에만 432건이 접수돼 지난해 1년 치에 육박했다. 하루 2건꼴이다.
◆ 8개 중 몇 개? 지금 바로 세어보세요
지난 1년 사이 유출 사고가 알려진 곳 가운데 일상에서 많이 쓰는 8곳을 골랐다. 가입했거나 이용한 적이 있다면 체크해보자.
□ 따릉이(2026년 1월 공개) — 피해 시민 약 462만 명. 아이디, 휴대폰 번호, 생년월일, 성별, 체중, 이메일, 주소, 보호자 연락처 등
□ 듀오(2026년 4월) — 43만 건
□ 티빙(2026년 6월) — 중복 포함 3954만 개 계정
□ CU편의점 택배(2026년 6월) — 아이디, 비밀번호, 이름, 생년월일, 주소, 휴대전화 번호, 연계정보(CI) 등. 규모 비공개
□ 은행·저축은행 등 금융사(2026년 9~10월) — 최소 16곳, 약 10만 건. 주민등록번호, 연소득, 대출금액까지
□ 할리스(2026년 10월) — 약 276만 건. 2020년 2월 11일 이전 멤버십 가입자
□ 리멤버(2026년 10월) — 명함 속 이름, 회사, 직급, 휴대전화번호, 이메일 등. 규모 비공개
□ 대한항공(2026년 10월) — 예약번호 등. 규모와 추가 항목 확인 중
하나도 해당되지 않는 사람은 드물 것이다. 그런데 진짜 문제는 개수가 아니다. 사고를 하나씩 뜯어보면 같은 구멍이 반복된다.
◆ 탈퇴 버튼 눌렀는데…내 정보는 떠나지 않았다
티빙 유출 계정을 들여다보면 의외의 사실이 나온다. 과학기술정보통신부 민관합동조사단에 따르면 로그인이 가능한 활성 계정은 2206만 개였다. 나머지는 1년 이상 접속하지 않은 휴면 계정 850만 개, 이미 탈퇴한 계정 887만 개였다. 휴면·탈퇴 계정이 전체의 44%다. 떠났거나 잊어버린 계정이 절반 가까이 털린 셈이다. 한 사람이 최대 13개 계정을 갖고 있던 사례도 확인됐다.
정부는 이 정보를 보관할 근거가 있었는지 따지고 있다. 과기정통부는 전자상거래법상 계약철회 기록은 5년, 소비자 분쟁 기록은 3년간 보관하도록 돼 있다며, 실제 보유 정보가 여기에 해당하는지는 개인정보위 조사에서 가려질 것이라고 밝혔다.
웃지 못할 사례도 있다. 티빙 피해자 중에는 지난해 KT 해킹 피해 보상으로 받은 티빙 쿠폰을 쓰려고 가입한 이용자도 상당수 포함됐다. 해킹 보상으로 가입했다가 또 털린 것이다.
할리스도 마찬가지다. 유출된 자료는 현재 쓰는 고객 DB가 아니라, 과거 멤버십 개편 때 넘긴 임시 데이터 파일이었다. 2009년부터 2020년 2월까지 쌓인 고객 데이터로 추정된다. 십수 년 전 커피 한 잔 사려고 가입한 기록이 지금 털린 것이다.
대한항공은 작년 말에도 비슷한 일을 겪었다. 기내식 협력업체 서버가 해킹돼 임직원 정보 3만 건이 새나갔는데, 2020년 분리 매각 때 서버에 남아 있던 과거 데이터가 원인으로 지목됐다. 협력사는 요청한 적도 없는 정보라고 했고, 대한항공은 협력업체 관리 영역의 문제라고 선을 그었다. 아무도 챙기지 않은 데이터가 가장 먼저 털렸다.
◆ 해커는 정문을 부수지 않았다, '훔친 열쇠'로 열었다
대한항공 고객 가운데 '아마데우스'라는 이름을 들어본 사람은 많지 않다. 하지만 내 예약 정보는 그곳에 있었다. 대한항공은 자체 시스템에 대한 침해 정황은 없다고 밝혔지만, 고객 입장에서는 위안이 되지 않는다. 내가 고르지도, 알지도 못한 회사의 보안 수준이 내 정보의 운명을 결정했다.
최근 사고에는 또 하나의 공통점이 있다. 해커가 문을 부수지 않고 열쇠를 훔쳤다는 점이다. 대한항공 건은 아마데우스 계정의 로그인 인증정보가 악용됐다. 티빙은 개발자가 쓰던 '개발환경 접속키'가 탈취되면서 시작됐다. 할리스도 멤버십 정보를 쓰는 클라우드 서비스에 외부인이 비인가 접근하면서 뚫렸다. 아무리 담장을 높여도 열쇠를 잃어버리면 소용없다.
개인정보위도 이 부분을 짚었다. 2025년 유출 사례를 분석하면서 민간기업에 관리체계 점검과 수탁사 관리·감독 의무를 제대로 이행하라고 요구했다.
◆ 털린 건 2024년, 안 건 2026년
따릉이 이용자들은 자기 정보가 언제 털렸는지 한참 뒤에야 알았다. 경찰 수사 결과 해킹은 2024년 6월 28~29일에 일어났다. 이 사실이 드러난 건 2026년 2월 경찰 수사 과정에서였다. 원인은 따릉이 서버가 인증 절차 없이도 가입자 정보를 내려받을 수 있는 취약점이었다. 내부 보고도 막혀 있었다. 서울시는 서울시설공단이 과거 유출 사실을 확인하고도 시에 보고하지 않았다고 밝혔다.
티빙은 정부 조사에서 법정 신고 시한을 15시간 넘긴 것으로 드러났다. 새마을금고는 해킹 공격을 받고 이틀이 지나서야 피해 사실을 알았다.
알리는 방식도 문제다. 리멤버는 피해 공지를 이용자들이 쓰는 앱이 아니라, 기업 소개와 채용 안내가 담긴 별도 회사 홈페이지에 올렸다. CU 택배와 리멤버는 아직 피해 규모조차 공개하지 않았다. 피해자가 자기 피해를 확인하기도 어려운 구조다.
◆ 이번엔 해커 대신 AI가 은행 문을 두드렸다
9월 말부터 이어진 금융권 연쇄 해킹은 양상이 또 다르다. 시중은행에서 시작해 지방은행, 저축은행, 상호금융까지 번졌다. 이억원 금융위원장은 긴급 점검회의에서 "AI를 활용한 해킹 가능성도 배제할 수 없다"고 말했다. 하나은행은 사고 원인을 '외부 해킹 에이전트'의 비정상 접근이라고 설명했다.
보안업계가 주목하는 건 피해 규모보다 방식이다. AI가 해킹을 자동화하면서 여러 금융사를 동시에 공격할 수 있게 됐다는 분석이다. 한 곳을 오래 노리던 해킹이 여러 곳을 한꺼번에 훑는 방식으로 바뀌고 있다.
◆ 과징금은 수천억, 내 손엔 5천원 쿠폰
정부는 칼을 갈고 있다. 2025년 유출 신고의 62%가 해킹이었고, 개인정보위가 부과한 과징금은 1677억 원으로 전년보다 172% 늘었다. 지난달 11일부터는 고의·중과실로 대규모 유출을 내면 매출액의 최대 10%까지 과징금을 물릴 수 있게 됐다. 사고를 숨겼다 적발되면 과징금을 30% 이상 더 매기는 방안도 추진 중이다.
하지만 피해자가 받는 보상은 초라하다. 462만 명의 정보가 털린 따릉이 피해 시민이 받은 건 5000원 상당의 30일 정기권, 그것도 하루 1시간 이용 쿠폰이었다. 과징금을 피해 회복에 쓰자는 통합기금 논의는 이제야 관계부처 협의 단계다. 결국 피해자들은 소송으로 향한다. 티빙의 경우 손해배상 소송 참여 의사를 밝힌 이용자가 9만 명을 넘었다.
기업의 투자 의지도 도마에 올랐다. 티빙은 정보보호 투자액이 최근 2년 사이 20%가량 줄었고, 최고정보보호책임자와 개인정보보호책임자를 모두 비임원급이 맡고 있었던 것으로 지적됐다. 감시하는 쪽도 넉넉하지 않다. 개인정보위 조사 인력은 지난해 31명에서 37명으로 늘었을 뿐이다. 신고는 반년 만에 1년 치가 쌓였는데, 조사관은 6명 늘었다.
◆ 오늘 밤 10분, 이것만은 하자
첫째, 비밀번호부터 바꾸자. 여러 사이트에서 같은 비밀번호를 쓰고 있다면 한 곳만 털려도 줄줄이 뚫린다. CU 택배 운영사도 같은 비밀번호를 쓰는 다른 서비스가 있다면 즉시 바꾸라고 권고했다.
둘째, 금융감독원 금융소비자포털 '파인'의 개인정보노출자 사고예방시스템에 등록하자. 등록하면 정보가 금융권 전체에 실시간 공유돼 명의 도용을 막는 데 도움이 된다.
셋째, 나를 너무 잘 아는 문자를 의심하자. 금융위원회는 유출 정보를 노린 '맞춤형 대출 빙자 사기'를 경고했다. 내 이름과 소득, 대출 사정까지 정확히 아는 문자일수록 더 조심해야 한다.
넷째, 물어볼 권리를 쓰자. 개정 개인정보보호법으로 유출 가능성 통지제가 도입되고, 정보주체의 유출 통지청구권이 새로 생겼다. 내 정보가 새나갔는지 기업에 직접 물어볼 수 있다. 쓰지 않는 서비스는 탈퇴하고, 탈퇴한 곳에는 내 정보가 파기됐는지 확인하는 습관도 필요하다.
보안업계는 개인의 노력만으로는 한계가 있다고 입을 모은다. 기업이 보안의 범위를 다시 그려야 한다는 것이다.
한 보안업체 관계자는 "최근 사고를 보면 해커가 핵심 서버를 정면으로 뚫은 경우보다, 협력사 계정이나 개발자 접속키처럼 관리가 느슨한 곳을 노린 경우가 훨씬 많다"며 "기업들이 자기 서버만 지키면 된다고 생각하는 사이, 정작 고객 정보는 위탁사와 클라우드, 오래된 백업 파일에 흩어져 있다"고 말했다. 이어 "쓰지 않는 데이터는 지우고, 협력사까지 하나의 보안 체계로 묶어 관리하지 않으면 같은 사고는 계속 반복될 것"이라며 "AI로 공격 속도가 빨라진 만큼, 사고를 몇 년 뒤에야 아는 지금의 탐지 체계로는 버티기 어렵다"고 덧붙였다.
