법률정보

출근길에 뉴스를 보다가 자주 쓰는 중고 거래 앱이 해킹을 당했다는 기사를 발견했습니다. 앱을 열어 봐도 공지는 없고, 문자나 메일도 오지 않았습니다. 같은 날 저녁 모르는 번호로 거래 대금을 확인하라는 문자가 오자 불안이 커집니다. 내 정보가 새어 나간 건지, 회사는 언제 알려 줄 생각인지 알 수가 없습니다. 10월 1일부터 정보통신망법이 바뀌면서 해킹 사고를 낸 사업자의 신고 기한이 구체적으로 정해졌고, 이용자에게 알릴 의무와 피해 구제 의무도 새로 들어왔습니다.

사고가 나면 회사는 누구에게 먼저 알려야 하나

정보통신서비스 제공자는 침해사고가 발생하면 그 사실을 알게 된 때부터 만 하루 안에 과학기술정보통신부장관이나 한국인터넷진흥원에 신고해야 합니다. 개정 전에는 즉시 신고하라고만 되어 있었는데, 이제 기한이 시간 단위로 못 박혔습니다.

신고에는 사고가 언제 일어났는지와 지금까지 어떻게 대응했는지 같은, 시행령이 정한 사항이 담겨야 합니다. 다른 법률에 따라 이미 통지나 신고를 했다면 이 신고를 한 것으로 간주되어 이중으로 할 필요는 없습니다.

침해사고란
해킹, 컴퓨터 바이러스, 서비스 거부 공격 같은 방법이나, 정상적인 보호와 인증 절차를 우회해 접근하게 하는 프로그램을 심는 방법으로 정보통신망이나 관련 정보시스템을 공격해 생긴 사태를 말합니다. 직원 실수로 파일이 외부에 보내진 경우처럼 공격이 없는 사고는 이 정의에 바로 들어가지 않을 수 있습니다.

가입자에게도 반드시 알려야 하나

개정법은 새 조항을 하나 더 두었습니다. 시행령이 정하는 침해사고가 발생하면 정보통신서비스 제공자는 지체 없이 그 사실을 해당 이용자에게 통지해야 합니다.

모든 사고가 대상은 아닙니다. 통지할 사고의 범위와 시기, 방법은 대통령령에 맡겨져 있습니다. 그래도 방향은 분명합니다. 정부에 신고하는 것으로 끝나지 않고, 피해를 입을 수 있는 가입자 본인에게도 알리라는 것입니다.

개인정보가 새어 나간 사고라면 개인정보 보호법에 따른 유출 통지가 따로 이루어질 수 있습니다. 다른 법률에 따라 이미 침해사고 통지를 했다면 정보통신망법상 통지를 한 것으로 봅니다. 가입자 입장에서는 어느 법에 따른 것이든 통지 문자와 메일을 지우지 말고 보관하는 것이 먼저입니다.

알리지 않으면 회사는 어떤 제재를 받나

신고와 통지 의무를 어기면 과태료가 부과됩니다. 금액은 의무마다 다릅니다.

늦게 신고한 것도 제재 대상입니다. 개정 전에는 신고를 하지 않은 경우만 적혀 있었지만, 지금은 지연 신고가 명시되어 있습니다. 회사가 사고를 안 시점과 신고 시점이 나중에 비교될 수 있다는 뜻입니다.

통지 뒤에 회사는 무엇을 더 해야 하나

알리는 것으로 끝나지 않습니다. 새로 생긴 제48조의10은 정보통신망을 운영하는 자에게 침해사고로 인한 피해 확산 방지와 신속한 피해구제를 위해 필요한 조치를 하도록 정했습니다.

정보통신서비스 제공자는 그 조치의 내용과 결과를 과학기술정보통신부장관에게 제출해야 합니다. 장관은 이용자 보호기준 같은 필요한 사항을 고시할 수 있습니다. 회사가 무엇을 했는지가 정부에 보고되는 구조입니다.

사고 원인 조사도 따로 진행될 수 있습니다. 조사가 필요하다고 인정되면 사업자는 원인을 분석하고 복구와 재발 방지 조치를 해야 하고, 장관은 접속기록 같은 자료의 보전이나 제출을 명할 수 있습니다. 중대한 사고라면 민관합동조사단이 꾸려지기도 합니다.

가입자는 지금 무엇을 해야 하나

통지가 오기를 기다리는 동안에도 할 일이 있습니다.

1. 회사 공지와 통지 문자, 메일을 캡처해 날짜별로 보관합니다
2. 해당 서비스의 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 서비스도 함께 바꿉니다
3. 2단계 인증을 켜고, 저장된 카드와 간편결제 연결을 점검합니다
4. 사고 뒤 받은 수상한 문자와 전화는 링크를 누르지 말고 번호와 내용을 기록합니다
5. 회사 고객센터에 어떤 정보가 영향을 받았는지, 어떤 피해구제 조치를 하는지 서면으로 묻습니다
6. 피해가 의심되면 한국인터넷진흥원 118 상담센터에 문의합니다

다섯 번째 질문은 답을 받기 전이라도 보내 두는 편이 낫습니다. 회사가 피해구제 조치를 정부에 보고해야 하므로, 이용자가 무엇을 물었고 어떤 답을 받았는지가 기록으로 남습니다.

주의
사고 소식이 퍼지면 회사를 사칭한 보상 안내 문자가 함께 돕니다. 보상금 신청이나 본인 확인을 이유로 링크 접속이나 앱 설치를 요구하면 의심하십시오. 공식 공지는 앱과 홈페이지에서 직접 확인하는 것이 안전합니다.

실제 피해가 생겼다면 배상은

도용된 계정으로 결제가 되었거나 유출된 정보로 사기를 당했다면 손해배상을 검토할 수 있습니다. 고의나 과실로 위법하게 손해를 끼친 자는 배상 책임을 지고, 개인정보가 유출된 경우에는 개인정보 보호법의 배상 규정도 함께 따져 봅니다.

관건은 인과관계를 보여 주는 일입니다. 이번 사고로 새어 나간 정보가 내 피해로 이어졌다는 연결이 드러나야 합니다. 통지문에 적힌 유출 항목과 피해 시점, 사기범이 알고 있던 정보를 나란히 정리해 두십시오.

불법행위 손해배상 청구권은 손해와 가해자를 안 날부터 3년이 지나면 소멸합니다. 여러 피해자가 함께 대응하는 경우라도 각자 자기 피해 자료는 따로 챙겨야 합니다.

정리

10월 1일부터 해킹 사고를 낸 정보통신서비스 제공자는 사고를 안 때부터 만 하루 안에 정부나 한국인터넷진흥원에 신고해야 하고, 시행령이 정한 사고라면 가입자에게도 지체 없이 알려야 합니다. 신고를 늦추거나 통지하지 않으면 과태료가 붙고, 피해 확산 방지와 구제 조치도 새로 의무가 되었습니다.

가입자는 통지 기록을 보관하고 비밀번호와 결제 수단부터 정리하십시오. 돈이 빠져나가는 피해까지 입었다면, 통지문의 유출 항목과 피해 경위를 한 장에 정리한 뒤 변호사와 함께 청구 가능성을 따져 보십시오.

참조 조문

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조, 제5조의2, 제32조의5, 제48조의3, 제48조의4, 제48조의10, 제76조 · 민법 제750조, 제766조

관련 안내: 부산 변호사 · 업무분야

본 글이 사건의 큰 그림을 그리시는 데 도움이 되었기를 바랍니다. 구체적인 상담이 필요하시다면 언제든 연락 주십시오.

법무법인 대한중앙 한병철 변호사

대한변호사협회 인증 형사전문·부동산전문변호사 (13년차)

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

부산 해운대 사무소 · 영남권/제주 중심, 서울·경기·충청·호남·강원 의뢰 대응

상담 신청하시면 담당자가 연락드려 상담료를 안내합니다.

자주 묻는 질문

회사가 사고를 한참 뒤에야 알렸습니다. 문제가 되나요?

이용자 통지는 지체 없이 하도록 되어 있고, 정부 신고는 사고를 안 때부터 만 하루 안에 해야 합니다. 신고를 늦게 한 경우도 과태료 대상이므로, 회사가 언제 사고를 알았는지가 나중에 확인될 수 있습니다.

통지가 오지 않았으면 제 정보는 안전한 건가요?

반드시 그렇지는 않습니다. 통지 대상 사고의 범위는 시행령이 정하고, 조사가 진행되면서 영향 범위가 넓어지기도 합니다. 고객센터에 내 계정이 영향을 받았는지 서면으로 확인을 요청하십시오.

해외에 본사가 있는 서비스도 같은 의무를 지나요?

서비스가 해외에서 운영되더라도 국내 이용자에게 영향을 준다면 이 법의 적용을 받습니다. 일정 규모 이상의 해외 사업자는 국내대리인을 지정해 연락처를 공개해야 하므로 그 창구로 문의할 수 있습니다.

회사가 제공한 보상 쿠폰을 받으면 배상 청구를 못 하나요?

쿠폰 약관에 추가 청구를 포기한다는 조건이 있는지 먼저 확인하십시오. 그런 조건이 없다면 쿠폰은 회사의 자체 조치에 불과할 수 있으나, 실제 손해가 크다면 수령 전에 조건을 따져 보는 것이 좋습니다.

법무법인 대한중앙 | 해운대 사무소

대한변호사협회 인증 형사전문·부동산전문변호사

작성·검토: 한병철 변호사 · 2026-10-04

대표 변호사 한병철

전화: 1533-7377 | 이메일: hanbyungchul@naver.com

본 글은 일반적인 법률 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 사건은 정식 상담을 통해 확인이 필요합니다.

초안은 AI 도구의 도움을 받아 작성하고, 담당 변호사가 검토·수정한 뒤 게시합니다.