KO
무료 상담

개인정보 유출 신고

개인정보 유출 신고 72시간, 해킹 신고 24시간: 뚫리기 전에 셀 화면

홈페이지가 뚫려 손님 정보가 새어 나가면, 알게 된 때부터 72시간 안에 손님에게 알리고 정해진 경우 개인정보보호위원회나 한국인터넷진흥원에 유출을 신고해야 합니다(개인정보 보호법). 정보통신서비스 제공자라면 해킹 같은 침해사고는 그와 따로 24시간 안에 신고해야 하고, 하지 않거나 늦으면 5천만 원 이하의 과태료가 붙습니다(정보통신망법). 2026년 10월 26일 경찰 발표 보도에 따르면 AI 해킹 도구를 붙인 일당이 44일 동안 회사 60곳을 뚫었고, 피해를 본 90여 곳 가운데 경찰에 신고한 곳은 15곳이었습니다. 기한 안에 움직이려면 평소에 우리 회사 이름으로 바깥에 열린 화면을 모두 세고, 화면마다 맡을 사람과 연락할 곳을 적어 두세요.

확인한 날
2026. 11. 02
다시 확인
매달 첫 주

우리 회사 이름으로 바깥에 열린 화면은 어떻게 세나요

손님과 직원이 인터넷으로 여는 화면을 모두 한 장에 적습니다. 홈페이지 첫 화면만이 아니라 예약·신청 화면, 회원이 자기 정보를 보는 화면, 관리 화면, 지난 이벤트 페이지, 예전에 만들고 잊은 주소, 앱이 뒤에서 자료를 주고받는 서버 통로(API, 프로그램끼리 자료를 주고받는 통로)까지 셉니다.

안랩 ASEC이 2026년 10월에 알려진 사고들을 모아 정리한 글을 보면, 국내 금융회사 침해는 예금·이체를 처리하는 본 시스템이 아니라 대출모집인 전용 조회 서비스, 직원용 영업지원시스템, 공제 관련 외부 웹페이지처럼 본 서비스 옆에 붙은 시스템에서 시작됐습니다. 커피 프랜차이즈 사례는 예전 서비스 개편 때 만든 임시 파일이 클라우드에 남아 있다가 새어 나간 경우였습니다.

화면흔한 예잊기 쉬운 까닭찾는 곳
홈페이지회사 소개, 문의 폼처음 만든 뒤 아무도 손보지 않습니다도메인(인터넷 주소) 관리 화면, 호스팅 청구서
예약·신청 화면수업·진료·라운드 예약, 상담 신청다른 업체가 따로 만들어 붙인 경우가 많습니다예약 서비스 계약서, 홈페이지 예약 버튼이 넘어가는 주소
회원 조회 화면마이페이지, 성적·포인트·주문 조회손님 정보가 가장 많이 모이는데 로그인한 뒤에만 보여 잊기 쉽습니다시험용 회원으로 가입한 뒤 보이는 메뉴
관리 화면관리자 로그인, 직원용 조회·통계 화면주소만 알면 누구나 로그인 창까지 열 수 있습니다직원들에게 일할 때 쓰는 주소를 물어 모으기
지난 이벤트·행사 페이지응모, 설문, 사전 신청행사가 끝나도 화면과 응모자 정보가 남습니다지난 문자·메일 광고에 넣은 주소
예전 주소·시험용 주소옛 홈페이지, 개편 전 시험 사이트새 홈페이지를 연 뒤 닫지 않습니다도메인 관리 화면에 등록된 주소 전부
앱의 서버 통로앱이 회원 정보·예약을 주고받는 통로화면이 없어 목록에서 빠집니다앱을 만든 개발자에게 통로 목록 받기
맡긴 서비스문자·메일 발송, 백업, 상담 도구, 결제우리 손님 정보가 다른 회사 서버에 있습니다매달 나가는 서비스 이용료 내역
직원 원격 접속밖에서 회사 시스템에 들어오는 접속, 공유 드라이브계정 하나를 여럿이 같이 쓰기 쉽습니다IT 담당이나 외주 업체에 묻기

표의 예는 흔한 예이고, 특정 회사의 사례가 아닙니다.

구글 검색창에 site:와 우리 회사 주소를 붙여 치면(예: site:example.co.kr) 검색엔진에 잡힌 우리 주소의 페이지가 나옵니다. 잊고 있던 페이지를 찾을 때 쓸 수 있습니다.

직접 세기 어렵다면 한국인터넷진흥원(KISA)이 2026년 12월 11일까지 신청을 받는 무료 점검이 있습니다. 회사 도메인을 기준으로 웹사이트·서버·이메일 주소처럼 인터넷에 드러난 자산, 로그인 페이지와 관리용 접속 창구, 업데이트가 안 된 오래된 시스템, 다크웹(범죄자들이 정보를 사고파는 숨은 사이트)에 나온 회사 계정을 찾아 신청 뒤 약 2주 안에 리포트를 메일로 보내 줍니다. 1회뿐이고 고쳐 주지는 않습니다.

화면마다 누가 맡아야 하나요

화면마다 고칠 사람과 결정할 사람을 한 명씩 적습니다. 고칠 사람은 만든 곳이나 지금 손보는 개발자이고, 결정할 사람은 그 화면을 쓰는 부서의 책임자입니다. 두 칸 가운데 하나라도 비어 있는 화면이 먼저 볼 곳입니다.

ASEC도 인터넷에 드러난 웹, 서버 통로, 관리 페이지, 원격 접속 지점을 빠짐없이 목록으로 만들고 담당자를 정하는 것을 예방의 첫 항목으로 듭니다. 같은 글에 따르면 금융당국이 2026년 10월 초 금융회사 555곳을 긴급 점검했을 때 130곳이 모자란 점을 보고했고, 주로 최신 보안 업데이트를 하지 않은 것, 제조사 지원이 끝난 시스템을 그대로 둔 것, 24시간 감시 체계가 없는 것이었습니다.

칸적을 것비어 있으면
주소손님이나 직원이 여는 주소 그대로목록에 없는 화면은 아무도 점검하지 않습니다
고칠 사람만든 곳이나 지금 손보는 개발자, 연락처, 유지보수 계약이 아직 살아 있는지문제가 생겨도 연락할 곳이 없습니다
결정할 사람그 화면을 쓰는 부서의 책임자닫을지, 고칠지, 돈을 쓸지 아무도 정하지 않습니다
손님 정보이름·연락처·생년월일·주민등록번호·진료나 상담 기록 가운데 무엇이 있는지새어 나갔을 때 신고 대상인지 바로 가리기 어렵습니다
마지막으로 손본 날마지막으로 업데이트하거나 고친 날오래 손보지 않은 화면에는 이미 알려진 약점이 남아 있을 수 있습니다
계속 쓸지지금 쓰는지, 언제까지 쓸지안 쓰는 화면이 열린 채 남습니다

안 쓰는 화면은 고치기보다 닫는 편이 빠릅니다. ASEC은 쓰지 않는 서비스와 시험용 서버는 밖에서 들어오지 못하게 막고, 관리 화면은 밖에서 바로 열리지 않게 하되 꼭 열어야 하면 들어올 수 있는 곳을 정하고 비밀번호 말고 한 번 더 확인하는 로그인을 쓰라고 권합니다.

안 쓰는 손님 정보는 언제 지워야 하나요

쓸 일이 끝난 손님 정보는 지체 없이 지웁니다. 개인정보 보호법 제21조는 보유기간이 지났거나 처리 목적을 이뤘을 때처럼 그 정보가 필요 없어지면 지체 없이 파기하고, 되살릴 수 없게 지우라고 합니다. 다른 법이 보존하라고 정한 기록만 남기되, 다른 손님 정보와 나눠 따로 보관해야 합니다.

남아 있지 않은 정보는 새어 나가지 않습니다. ASEC은 보존 기간이 지난 회원 정보, 퇴직자 정보, 개발용 임시 파일, 손님 정보가 남은 기록 파일을 정리하라고 권합니다. 같은 글은 회원 정보 저장소를 지켰더라도 기록 파일에 같은 정보가 남아 있으면 새어 나갈 수 있다는 것을 일본 전자책 서비스 사례로 보여 줍니다.

정보언제 지우나먼저 볼 곳
탈퇴한 회원탈퇴해 쓸 목적이 끝났을 때탈퇴한 회원이 관리 화면에 그대로 남는지
끝난 수강생, 지난 예약 손님, 끝난 상담 신청개인정보 처리방침에 적은 보유기간이 지났을 때처리방침의 기간과 실제로 지우는 날이 같은지
이벤트 응모자, 설문 응답당첨 안내와 경품 발송이 끝났을 때지난 이벤트 페이지와 응모자 명단 파일
개편이나 시험 때 복사한 손님 명단그 일이 끝났을 때클라우드 저장소, 공유 드라이브, 개발자 컴퓨터
손님 정보가 찍힌 기록 파일(로그)정해 둔 보관 기간이 지났을 때기록에 이름·연락처가 그대로 찍히는지 개발자에게 묻기
퇴직자 정보다른 법이 남기라는 것 말고는 쓸 일이 끝났을 때퇴직자 계정이 아직 로그인되는지

언제 지우나 칸은 개인정보 보호법 제21조의 기준(보유기간이 지나거나 목적을 이루는 등 필요 없어졌을 때)을 흔한 정보에 맞춰 풀어 쓴 것입니다. 우리 회사가 정한 보유기간은 개인정보 처리방침에서 확인하세요.

  • 인터넷으로 팔고 결제를 받는 회사(전자상거래법 시행령 제6조): 계약이나 청약철회 기록 5년, 대금결제와 공급 기록 5년, 소비자 불만과 분쟁 처리 기록 3년, 표시·광고 기록 6개월은 지우지 말고 따로 보관합니다.
  • 병원·의원(의료법 시행규칙 제15조): 진료기록부와 수술기록 10년, 환자 명부·검사 기록·방사선 사진·간호기록부 5년, 진단서 등의 부본 3년, 처방전 2년은 보존해야 합니다.
  • 지우는 방법(개인정보 보호법 시행령 제16조): 전자 파일은 되살릴 수 없게 영구 삭제하고, 종이 서류는 파쇄하거나 태웁니다.

남겨야 하는 기록도 홈페이지나 회원 조회 화면에서 바로 꺼낼 수 있는 곳에 둘 까닭은 없습니다. 법 제21조 제3항대로 다른 손님 정보와 나눠, 그 일을 하는 사람만 열 수 있는 곳에 두세요.

해킹 협박 메일을 받은 날, 무엇부터 하나요

돈을 보내거나 깎아 달라고 협상하지 말고, 메일을 지우지 않은 채 경찰에 신고합니다. 한국경제 보도에 따르면 서울경찰청은 이번 사건을 발표하며, 개인정보 유출 협박을 받은 기업은 범인과 협상하지 말고 즉시 경찰에 신고해야 한다고 당부했습니다.

보도에 따르면 일당은 빼낸 손님 정보 일부를 붙인 협박 메일을 보내고, 피해 업체 임직원에게 전화와 문자로도 협박했습니다. 38곳에 모두 3억 6천만 원어치를 요구했고, 실제로 받은 돈은 한 곳이 낸 30만 원이었습니다. 한국경제 보도에 따르면 금액을 깎아 달라고 한 업체에는 그 대화 내용까지 같이 퍼뜨리겠다고 했습니다.

  • 돈과 협상: 보내지도, 깎아 달라고 하지도 않습니다. 답장을 할지도 경찰과 상의해 정합니다.
  • 메일 그대로 두기: 협박 메일과 첨부 파일을 지우거나 여기저기 전달하지 않습니다. 붙어 온 손님 정보가 우리 것인지는 맡은 한 사람만 확인합니다.
  • 경찰 신고: 경찰청 사이버범죄 신고시스템(ECRM)이나 가까운 경찰서에 신고합니다.
  • 직원에게 알리기: 모르는 번호로 협박 전화나 문자가 오면 대꾸하지 말고 시각과 번호를 적어 맡은 사람에게 넘기게 합니다.
  • 들어온 길 막고 기록 지키기: 개발자나 외주 업체에 알려 들어온 길을 막되, 서버를 바로 지우고 새로 깔지 않습니다. ASEC은 증거를 지키려면 서버를 바로 초기화하지 말고 기록부터 확보하라고 권합니다.
  • 비밀번호와 접속 열쇠 바꾸기: 관리 화면 계정의 비밀번호와, 프로그램끼리 접속할 때 쓰는 열쇠(API 키)를 새로 발급합니다.
  • 알게 된 시각 적기: 협박 메일을 받은 시각을 적어 둡니다. 아래 신고·통지 기한은 알게 된 때부터 셉니다.

돈을 냈다고 끝나지 않습니다. 한국일보는 돈을 주고도 경찰에 신고하지 않은 업체가 상당수 있을 것으로 추정된다고 보도했고, 한국경제 보도에 따르면 경찰은 개인정보보호위원회·한국인터넷진흥원과 함께 피해 업체가 유출 신고 의무를 지켰는지도 확인할 방침입니다.

개인정보 유출 신고와 침해사고 신고, 기한은 언제까지인가요

침해사고 신고는 알게 된 때부터 24시간 안, 손님에게 하는 유출 통지와 개인정보보호위원회 유출 신고는 72시간 안입니다. 정보통신망법 제48조의3 제1항은 해킹 같은 침해사고가 일어난 사실을 알게 된 때부터 24시간 안에 과학기술정보통신부나 한국인터넷진흥원에 신고하라고 하고, 신고하지 않거나 늦게 하면 5천만 원 이하의 과태료를 매깁니다(제76조 제1항). 개인정보 보호법 시행령 제39조·제40조는 손님 정보가 새어 나간 것을 알게 되면 72시간 안에 손님에게 알리고, 정해진 경우에는 같은 72시간 안에 신고하라고 합니다.

2026년 10월부터는 정보통신망법에도 손님에게 알릴 의무가 생겼습니다. 서비스가 2시간 넘게 멈췄거나, 손님 정보가 새거나 바뀌었거나 그럴 가능성이 있는 침해사고라면 지체 없이 손님에게 알려야 합니다(제48조의3 제4항, 시행령 제58조의9).

언제까지무엇을누구에게근거
알게 된 즉시돈을 보내지 않고 신고, 들어온 길 막기, 기록 지키기경찰, 맡은 개발자경찰 당부(한국경제 보도), ASEC 대응 절차
알게 된 때부터 24시간 안침해사고 신고: 일어난 때·원인·피해, 지금까지 한 조치, 대응 부서와 연락처과학기술정보통신부 또는 한국인터넷진흥원(보호나라 침해사고 신고, 국번 없이 118)정보통신망법 제48조의3 제1항, 시행령 제58조의8 제1항
새 사실을 확인한 때부터 24시간 안더 알게 된 것을 추가 신고같은 곳정보통신망법 시행령 제58조의8 제2항
지체 없이침해사고 통지: 일어난 때·원인·피해, 조치, 손님이 피해를 줄이려고 할 일, 피해구제, 담당 부서와 연락처손님정보통신망법 제48조의3 제4항, 시행령 제58조의9
알게 된 때부터 72시간 안유출 통지: 샌 항목, 언제 어떻게 샜는지, 손님이 할 일, 회사의 조치와 구제 절차, 신고받을 부서, 손해배상·분쟁조정 같은 권리손님개인정보 보호법 제34조 제1항, 시행령 제39조
알게 된 때부터 72시간 안유출 신고: 1천 명 이상이거나, 주민등록번호 같은 고유식별정보나 건강 정보 같은 민감정보이거나, 밖에서 불법으로 들어와 샌 경우개인정보보호위원회 또는 한국인터넷진흥원(개인정보 포털 유출신고)개인정보 보호법 제34조 제4항, 시행령 제40조
침해사고를 신고한 날부터 14일 안손님 피해구제 조치의 내용, 대상과 범위, 결과과학기술정보통신부정보통신망법 제48조의10 제2항, 시행령 제60조의16

정보통신망법의 신고·통지 의무는 정보통신서비스 제공자에게 있습니다. 법은 이를 영리를 목적으로 통신망을 이용해 정보를 제공하거나 그 제공을 매개하는 자 등으로 정합니다(제2조 제1항 제3호). 홈페이지나 앱으로 영업하는 우리 회사가 여기에 드는지 헷갈리면 118에 물어보세요.

정보통신망법은 이미 다른 법률에 따라 침해사고를 통지하거나 신고했으면 신고한 것으로 봅니다(제48조의3 제1항 후단). 개인정보 유출 신고가 여기에 드는지는 신고할 때 한국인터넷진흥원에 확인하세요.

원인이나 샌 항목을 아직 모르면 기다리지 말고 그때까지 확인한 것을 먼저 알리고, 새로 확인되는 대로 더 알립니다(개인정보 보호법 시행령 제39조 제2항·제40조 제2항, 정보통신망법 시행령 제58조의9 제3항). 손님 연락처를 모르면 홈페이지에 30일 이상 게시하는 것으로 알림을 갈음할 수 있습니다.

조문은 2026년 11월 1일 국가법령정보센터의 현행 법령 기준입니다. 우리 회사에 어떻게 적용되는지는 법률 전문가나 한국인터넷진흥원에 확인하세요.

웹사이트 취약점 점검은 누구에게 맡기나요

무엇이 바깥에 드러나 있는지 찾는 일은 무료 점검으로 시작할 수 있고, 화면마다 손님 정보가 새는지 보고 고치는 일은 만든 곳이나 따로 맡긴 곳이 합니다. 어느 쪽이든 점검은 그 홈페이지 주인이 허락한 범위에서만 합니다. 허락 없이 남의 홈페이지에 들어가 보는 것은 정보통신망법 제48조가 금지하는 침입이 될 수 있습니다.

맡길 곳보는 것받는 것알아 둘 것
한국인터넷진흥원 무료 점검(공격표면관리, 인터넷에 드러난 자산을 찾아보는 점검)웹사이트, 서버, 이메일 주소 같은 드러난 자산, 로그인 페이지·관리용 접속 창구·오래된 시스템, 다크웹에 나온 회사 계정위험한 순서로 나눈 리포트(신청 뒤 약 2주, 메일)2026년 12월 11일까지 신청, 1회 한정, 뒤의 감시·유지보수는 없음, 특정 업종과 보안 기업은 신청할 수 없음
보호나라 보안취약점 점검비대면 서비스를 하는 기업의 홈페이지, 모바일 앱, 서버찾은 약점보호나라 자주 묻는 질문에 무료라고 적혀 있음. 대상과 일정은 보호나라의 정보보호 서비스, 서비스 신청하기, 보안취약점 점검에서 확인
홈페이지를 만든 곳만든 화면과 설정고친 결과유지보수 계약이 끝났으면 아무도 보지 않는 상태일 수 있어 계약부터 확인
따로 맡기는 점검정한 범위의 화면, 손님 정보 저장소, 설정지금 상태 요약, 먼저 고칠 것, 맡기면 고친 뒤 다시 확인한 결과시작 전에 서면 동의와 범위를 정하고, 운영 중인 손님 정보를 넘겨받지 않는 곳인지 확인

두 무료 점검의 내용은 2026년 11월 1일 보호나라 공지와 자주 묻는 질문에서 확인했습니다. 신청 기간과 대상은 바뀔 수 있습니다.

무료 점검은 무엇이 드러나 있는지 알려 주고, 고치는 일은 회사 몫으로 남깁니다. 리포트를 받으면 첫째 절의 화면 목록에 맞춰 고칠 사람 칸에 적힌 곳으로 넘기세요.

자주 묻는 질문

우리처럼 작은 회사도 노리나요?

노립니다. ZDNet Korea 보도에 따르면 이번 사건에서 경찰이 파악한 유출에는 골프장 21곳 120만 건, 학원 12곳 99만 건이 들어 있습니다. ASEC은 AI 공격 도구가 드는 비용이 거의 없어, 사람이라면 뒤로 미뤘을 작은 부가 서비스도 빠짐없이 시도해 볼 대상이 된다고 정리했습니다. 회사 크기보다 바깥에 열린 화면이 있는지가 기준입니다.

홈페이지 보안 점검 비용은 얼마나 드나요?

무엇이 드러나 있는지 찾는 한국인터넷진흥원 점검은 무료이고 2026년 12월 11일까지 신청을 받습니다. 고치는 일은 들어 있지 않습니다. 따로 맡기는 점검과 고치는 비용은 화면 수, 손님 정보가 담긴 저장소 수, 결제나 다른 서비스와 이어져 있는지에 따라 달라지니 범위부터 정하세요.

해킹 협박범에게 돈을 주면 조용히 끝나지 않나요?

끝나지 않습니다. 돈을 줘도 손님 정보가 새어 나간 사실은 그대로라, 알게 된 때부터 세는 신고·통지 기한도 그대로입니다. 한국경제 보도에 따르면 이번 사건의 일당은 금액을 깎아 달라고 한 업체에 대화 내용까지 퍼뜨리겠다고 했고, 경찰은 피해 업체가 유출 신고 의무를 지켰는지도 확인할 방침입니다.

외주로 만든 홈페이지가 뚫리면 신고는 누가 하나요?

손님에게 서비스를 내놓고 손님 정보를 다루는 우리 회사가 한다고 보고 준비하세요. 정보통신망법은 침해사고 신고를 정보통신서비스 제공자에게, 개인정보 보호법은 유출 통지와 신고를 개인정보처리자(업무로 손님 정보를 다루는 회사)에게 맡깁니다. 만든 곳과는 사고가 나면 누가 몇 시간 안에 무엇을 넘겨줄지(접속 기록, 고친 내용)를 계약에 적어 두세요. ASEC도 맡긴 업체의 침해 통보 절차를 계약에 적으라고 권합니다. 우리 회사의 경우는 법률 전문가와 확인하세요.

점검을 받으면 해킹을 막았다고 볼 수 있나요?

아닙니다. 점검은 그날 찾은 약점을 고치는 일이고, 새 약점은 계속 나옵니다. ASEC은 2026년 10월 셋째 주에만 웹과 서버의 바탕 프로그램에서 심각한 약점이 며칠 사이 잇달아 공개됐다고 정리했습니다. byte-creo의 성능·보안 점검은 손님 정보가 새는 곳을 찾아 고치고 같은 방법으로 다시 확인한 전후를 드리는 일이며, 안전을 보장하거나 법을 지켰다고 확인해 드리지는 않습니다. byte-creo도 2026년 10월 25일 우리 홈페이지를 같은 방법으로 점검해, 문의 폼에 적은 이름·연락처가 보호 없이 오갈 수 있던 길을 그날 막고 다시 확인했습니다.

출처

모두 2026년 11월 1일 국가법령정보센터의 정보통신망법·시행령, 개인정보 보호법·시행령, 전자상거래법 시행령, 의료법 시행규칙 원문, 한국인터넷진흥원 보호나라 안내, 안랩 ASEC 정리 글, 경찰 발표를 다룬 한국경제·ZDNet Korea·한국일보 보도에서 확인했습니다. 사건 숫자는 여러 보도가 같게 적은 것을 쓰고 한 보도에만 있는 것은 그 보도를 밝혔으며, 어떤 약점으로 뚫렸는지는 보도에 없어 적지 않았습니다. 경찰 보도자료 원문은 보지 못했습니다. 법 조문과 무료 점검 신청 기간은 바뀔 수 있어 매달 다시 확인합니다.

바깥에 열린 화면부터
​함께 세고 고칩니다.

화면 목록을 함께 만들고, 손님 정보가 있는 화면부터 누가 무엇을 볼 수 있는지 확인합니다. 맡기시면 직접 고친 뒤 같은 방법으로 다시 확인해 전후를 보여 드립니다. 첫 30분 상담은 무료입니다.

첫 30분 상담 신청 성능·보안 점검 자세히 보기

첫 통화 무료기획서 없이 가능영업일 1일 이내 회신

접수 후 메일·문자로 상담 일정을 조율합니다.

첫 30분 통화 무료기획서 없이도 괜찮습니다

상담 신청