국내에서 지난해 이후 발생한 대형 개인정보 유출 사고의 피해 규모를 단순 합산하면 8500만명분을 넘어서는 것으로 나타났다.

15일 녹색경제신문이 개인정보보호위원회와 국회 자료를 종합한 결과, 지난해부터 올해 8월까지 개인정보 유출 신고는 1026건에 달했고 이 가운데 공개된 대형 사고 9건의 피해 규모만 합쳐도 8500만명분·건을 웃돌았다.

개인정보 유출 신고는 지난해 447건, 올해 1~8월에는 579건으로 집계됐다. 올해는 8개월 만에 지난해 연간 신고 건수를 132건, 29.5% 넘어섰다.

신고 건수가 늘어나는 것과 함께, 사고 한 번에 빠져나가는 개인정보 규모도 커지고 있다. 지난해 SK텔레콤에서는 알뜰폰 이용자를 포함해 2324만4649명의 개인정보가 유출된 것으로 개인정보위 조사에서 확인됐다. 휴대전화번호와 가입자식별번호, 유심 인증키 등 25종의 정보가 포함됐다. 롯데카드에서는 약 297만명의 회원 정보가 유출됐고, 이 가운데 일부 고객은 카드번호와 유효기간, CVC번호 등 부정사용 가능성이 있는 정보까지 노출됐다. GS리테일에서도 홈쇼핑 웹사이트에서 약 158만건, 앞서 편의점 홈페이지에서 약 9만명의 개인정보 유출 정황이 확인됐다. 신한카드에서는 가맹점 대표자의 휴대전화번호 등을 중심으로 총 19만2088건의 개인정보가 유출됐는데, 이는 사람 수가 아니라 정보 건수 기준이다.

올해 들어서는 사고 규모가 더 커졌다. 개인정보위는 쿠팡 사고로 3756만명이 넘는 개인정보가 유출된 것으로 결론 내렸다. 회원 계정 약 3322만명뿐 아니라 비회원 정보주체 최소 433만명의 정보도 포함됐다. 티빙 사고에서는 피해 규모가 1953만명으로 파악돼, 초기 잠정치였던 1300만명보다 650만명 이상 늘었다. 위버스에서도 계정ID 기준 42만2584건의 개인정보 유출 사실이 확인됐고, 유출 정보는 내부 식별값과 결제 관련 메타정보 등이었다. KT는 지난해 발생한 펨토셀 해킹 사고와 관련해 1만6647명의 개인정보가 유출된 것으로 개인정보위가 판단했다.

이들 공개된 주요 사고만 단순 합산해도 8500만명분·건을 넘어선다. 물론 동일인이 여러 사고에 중복 포함됐을 가능성이 크다. 신한카드와 위버스처럼 일부 사고는 피해자 수가 아니라 유출 건수나 계정ID 기준으로 공개된 경우도 있다. 그럼에도 한국 주민등록인구 약 5000만명보다 훨씬 큰 숫자가 나오는 것은, 같은 사람의 개인정보가 한 번이 아니라 여러 기업에서 반복적으로 유출될 수 있다는 점을 보여준다.

전체 신고 증가 속도도 가파르다. 개인정보 유출 신고는 2022년 167건에서 2023년 318건으로 늘었다가 2024년 307건으로 줄었고, 지난해 447건으로 다시 늘었다. 지난해 신고 447건 가운데 해킹에 따른 신고는 276건으로 61.7%를 차지했다. 민간기업의 해킹 신고 역시 2024년 135건에서 지난해 232건으로 늘었고, 올해 상반기에만 199건이 접수됐다.

반면 올해 신고 579건 가운데 9월 말까지 개인정보위가 현장조사를 실시한 사건은 33건, 5.7%에 그쳤다. 개인정보위는 우선 서면조사로 사고 규모와 경위를 확인한 뒤, 사건의 시급성과 중대성 등을 고려해 현장조사를 진행하고 있다는 입장이다.

문제는 개인정보 유출이 단순히 자주 발생하는 데 그치지 않고, 한 번의 사고가 수백만에서 수천만명 규모로 커지고 있다는 점이다. 개인정보 유출을 몇 건이나 발생했는지의 문제를 넘어, 한 사람이 몇 번이나 털렸는지를 따져야 하는 단계에 들어섰다는 지적이 나온다.

전문가들은 이런 흐름을 '상시 유출' 구조의 문제로 본다.

황석진 동국대 정보보호대학원 교수는 "디지털 신기술과 인공지능(AI) 기술의 발달이 긍정적 효과와 함께 해킹 기술도 끌어올리는 부작용을 낳고 있다"며 현재 상황을 "개인정보 상시 유출, 영구 유통의 시대"로 규정했다.

김승주 고려대 정보보호대학원 교수 역시 앞서 국회 쿠팡 개인정보침해 청문회에서 "민간합동조사단 조사를 마치면 피해 규모가 번번이 확대됐다"고 지적한 바 있는데, 티빙 사고에서 초기 추산보다 650만명이 늘어난 것도 비슷한 패턴으로 풀이된다.