개인정보 유출 신고 45.6% '급증'…과징금 총 1677억원 부과

[이데일리 안유리 기자] 2025년 개인정보보호위원회에 접수된 개인정보 유출 신고 건수가 전년 도 대비 45.6% 증가한 것으로 집계됐다. 전체 유출 원인 중에서는 해킹이 62%(276건)로 가장 높은 비중을 차지했다.

(사진=개인정보보호위원회)

개인정보보호위원회와 한국인터넷진흥원은 15일 2025년 동안 접수된 개인정보 유출 신고 및 처분 사례를 분석해 원인별 예방책 및 주요 사례를 담은 ‘2025년 개인정보 유출 신고 동향 및 조사·처분 사례’를 발간하였다.

발간집에 따르면 2025년 접수된 유출 신고 건은 총 447건으로 전년도 307건 대비 약 45.6% 증가했다. 전체 유출 원인 중에서는 △해킹이 62%(276건)로 가장 높은 비중을 차지하였으며 △업무 과실 25%(110건) △시스템 오류 5%(24건) 순으로 나타났다.

해킹 사고의 유형으로는 △랜섬웨어, 웹셸등 악성코드 35%(96건) △SQL 인젝션, 파라미터 변조 등 웹 취약점 악용 12%(32건) △관리자 페이지 비정상 접속 8%(23건) 순으로 나타났다.

웹셸 공격이란 특정 웹페이지의 파일 업로드 취약점(파일 업로드 기능을 이용해 비정상적인 스크립트 파일 등을 실행)을 통해 시스템에서 실행 가능한 악성코드를 삽입 및 실행하여 관리자 권한 획득, 개인정보 탈취 등을 행하는 공격 기법이다.

SQL 인젝션 공격은 악의적인 SQL문을 삽입해 데이터베이스가 비정상적인 동작을 하도록 조작하는 공격 기법을 말한다.

전 세계적으로 급증하고 있는 랜섬웨어 유포와 대형 수탁사를 노린 공급망 공격 확대 등 외부 위협이 고도화됨에 따라 전년도에 비해 해킹(171건 → 276건)으로 인한 유출이 증가하였다.

◇2025년 개인정보위가 부과한 과징금 총 1677억원

2025년 개인정보위 조사·처분 건수는 총 227건이며, 과징금은 40건으로 총 1677억원, 과태료는 125건으로 5억 8,720만원을 부과하였다. 전년도 비교 시 과징금·과태료 부과가 172%(1083억원) 증가하였다.

기관별로 살펴보면, 공공 부문은 77건으로 공공기관 53%(41건), 중앙행정기관·헌법기관 등 29%(22건), 지방자치단체/학교 각 9%(각 7건) 순으로 확인되었다. 민간 부문은 150건으로 중소기업 50%(75건), 대기업·중견기업 20%(30건), 비영리 단체 등 기타 17%(25건) 순이었다.

총 227건 중 115건(과징금 1583억원)이 개인정보 유출 관련 조사·처분으로 확인되며, 세부 유출 원인은 업무 과실 46%(53건), 해킹 45%(52건), 시스템 오류 7%(8건) 순이며, 유출 원인별 과징금 부과액은 해킹이 1,440억원(91%)으로 가장 큰 비중을 차지하였다.

개인정보위는 2025년 이후 증가 추세인 랜섬웨어를 통한 개인정보 유출 방지를 위해 운영체제, 보안 장비 등의 보안 업데이트 적용 및 정기적인 악성 이메일 모의 해킹 훈련, 랜섬웨어 감염 시 즉시 복원할 수 있도록 안전한 백업 체계 운영, 접근통제 강화 및 데이터베이스(DB) 개인정보 암호화 등의 방법을 강조했다.

특히 올해 9월 11일부터는 고의·중과실로 인한 대규모 유출 시 전체 매출액의 최대 10%에 달하는 과징금을 부과하는 등 제재가 대폭 강화된 만큼 경영진 차원의 선제적인 보안 예산 확보와 인력 투자가 필수적이라고 덧붙였다.

앞으로 개인정보위와 한국인터넷진흥원은 “반복되는 대규모 유출 사고 등에 대해서는 엄정히 제재하는 한편, 자발적 보호투자 확대 유도와 민간·공공 기관에 대한 위험기반 관리체계 구축 등 사고 예방 조치를 강화하여 실질적인 보호 수준을 높일 수 있도록 지원해 나갈 방침”이라고 밝혔다.