반면 대형 해킹 사고의 공격자를 검거하는 일은 여전히 쉽지 않다. 1000만건 이상 개인정보가 유출된 국내 대형 사고 8건 가운데 외부 해커 검거가 확인된 사례는 2014년 KT 홈페이지 해킹 사건뿐이다. 당시 해커 2명이 구속됐다. 옥션과 네이트·싸이월드, 인터파크 등 다른 대형 유출 사고에서는 외부 공격자를 검거하지 못했다. 카드 3사 유출 사건의 범인은 검거됐지만 정보를 빼돌린 내부자였다.
최근 사고도 다르지 않다. 2025년 SK텔레콤 유심 정보 유출 사건은 공격 주체가 특정되지 않았다. 쿠팡 사건은 퇴직 개발자가 행위자로 지목됐지만, 2026년 2월 기준 해외 체류로 신병 확보와 조사가 마무리되지 않았다. 기업에 대한 책임은 강화되는 반면 외부 공격자를 추적·검거하는 데는 여전히 한계가 있다는 지적이 나온다.
23일 법조계와 정보보호업계에 따르면 개인정보 유출 사고를 둘러싼 기업 책임이 행정제재에서 민사상 배상으로 확대되고 있다. 일정 요건을 충족하면 전체 매출액의 최대 10%에 이르는 과징금을 부과할 수 있는 제도는 이미 시행 중이다. 여기에 집단소송을 증권 분야에서 개인정보 유출 등 전 분야로 확대하고, 개인정보보호법상 법정손해배상 적용 범위를 넓히는 법안도 추진되고 있다.
오기형 더불어민주당 의원이 대표 발의한 집단소송법 개정안은 증권 분야에 한정된 집단소송을 전 분야로 확대하는 내용을 담았다. 같은 당 김남근 의원이 대표 발의한 관련 법안에는 자료 제출을 요구할 수 있는 디스커버리 제도와 징벌적 손해배상 도입도 포함됐다. 법안이 통과되면 개인정보 유출 피해자들이 집단으로 손해배상을 청구할 수 있는 길이 넓어진다.
개인정보보호법 개정도 쟁점이다. 지난 2월 당정 협의 이후 더불어민주당 김용만·박범계·한정애 의원이 법정손해배상 제도 확대와 관련한 개정안을 각각 대표 발의했다.
현행법상 법정손해배상은 개인정보처리자의 고의나 과실로 개인정보가 유출된 경우 피해자가 구체적인 손해액을 입증하지 않아도 법원이 300만원 이내에서 배상액을 인정할 수 있도록 한 제도다. 그런데 개정안은 ‘고의나 과실’ 요건을 삭제해 기업이 책임을 면하려면 과실이 없다는 점을 입증하도록 하는 내용을 담았다. 법안이 통과되면 기업의 입증 부담과 배상 책임이 커질 수 있다.
일부 개정안에는 법 시행 전 발생한 개인정보 유출 사고라도 시행 이후 소송이 제기되면 새 규정을 적용할 수 있도록 하는 내용도 담겼다. 과거 사고에 대한 책임 판단에 새 규정이 영향을 미칠 수 있다는 점에서 논란이 예상된다.
최경진 가천대 교수(한국인공지능법학회장)는 집단소송 적용 범위를 전 분야로 넓히는 데 더해 과거 사고에도 새 규정을 적용할 수 있는 방안이 논의되는 점을 우려했다. 그는 “집단소송이 피해자 구제 수단을 넘어 소송 남발과 오남용으로 이어지지 않도록 견제 장치도 함께 마련해야 한다”고 말했다.
◇공격자는 못 잡는데 책임만 강화하나
기업의 책임을 아예 면제하자는 뜻은 아니다. 장기간 알려진 취약점을 방치하거나 인증키를 제대로 관리하지 않았다면 엄정하게 책임을 물어야 한다.
하지만 인공지능(AI) 발전으로 공격 방식과 속도가 달라진 상황에서 유출 결과만을 근거로 책임을 강화하면, 기업이 보안 체계를 개선하기보다 소송과 제재에 대응하는 데 자원을 쏟을 수 있다.
구태언 법무법인 린 대표변호사는 “해킹 공격이 자동화되면서 취약점 공개부터 실제 공격까지 걸리는 시간이 일주일에서 24~48시간으로 짧아진 반면, 악용이 확인된 취약점을 완전히 조치하는 데 걸리는 시간은 32일에서 43일로 늘었다”고 말했다. 이어 “공격은 빨라지고 방어에는 더 많은 시간이 걸리는 만큼 사후 제재 강화만으로 보안 수준이 저절로 높아지지는 않는다”고 지적했다.
대형 개인정보 유출 사고에서 외부 공격자를 검거하기 어려운 현실은 기업 제재만으로 피해를 줄이는 데 한계가 있음을 보여준다. 공격자를 추적·검거할 역량을 높이고 기업이 보안을 개선할 유인을 마련하지 않은 채 처벌만 강화하면, 국민 피해는 줄이지 못하고 기업 부담만 커질 수 있다.
