“유심 바꾸러 대리점에 줄 섰다”, “카드 재발급 문자를 받았다”, “쿠팡에서 유출 안내 메일이 왔다”. 지난 1년 사이 이 중 하나도 겪지 않은 사람을 찾기가 더 어려울 정도입니다.

뉴스가 쏟아지다 보니 어느 회사에서 무슨 일이 있었는지 헷갈리기 쉽습니다. 이 글에서는 네 사고를 표 하나로 정리하고, 정부 조사 결과를 바탕으로 왜 뚫렸는지를 쉬운 말로 풀었습니다. 마지막에는 개인과 작은 회사가 할 일을 정리했습니다.

한눈에 보는 4대 사고

사고	알려진 시점	피해 규모	핵심 원인	주요 제재
SKT 유심 해킹	2025년 4월	유심 정보 약 2,324만 명	내부 서버에 수년간 숨어 있던 악성코드, 암호화하지 않은 유심 인증키	개인정보위 과징금 약 1,348억 원 (2025.8)
KT 무단 소액결제	2025년 9월	소액결제 피해 368명, 개인정보 1만 6,647명	분실 장비에서 빼낸 인증서로 만든 가짜 초소형 기지국 접속	개인정보위 과징금 약 540억 원·고발 (2026.7)
롯데카드 해킹	2025년 9월	약 297만 명 (28만 명은 카드번호·CVC 포함)	보안 업데이트를 하지 않은 결제 시스템, 로그에 주민번호 평문 저장	개인정보위 과징금 96억 2천만 원 (2026.3), 금융위 영업정지 1.5개월·과징금 50억 원 (2026.7)
쿠팡 정보 유출	2025년 11월	약 3,750만 명 (개인정보위 판단)	퇴사한 개발자가 바뀌지 않은 서명키로 위조 ‘출입증’을 만들어 접속	개인정보위 과징금 약 6,247억 원 (2026.6, 역대 최대)

쿠팡 과징금에는 유출 사고분(약 4,236억 원) 외에 회원 약 1,117만 명의 타사 웹·앱 활동기록을 무단으로 수집한 행위에 대한 과징금(약 2,011억 원)이 함께 포함돼 있습니다. 쿠팡은 결정에 유감을 밝히고 법적 대응을 예고했습니다.

사고별로 쉽게 정리하기

① SKT: 휴대폰 ‘신분증 원본’이 털렸다

무슨 일이? 2025년 4월, SKT 가입자를 인증하는 핵심 서버(홈가입자서버, HSS)가 해킹돼 약 2,324만 명의 유심 관련 정보가 빠져나갔습니다.

쉽게 말하면 유심 인증키는 통신망이 “이 휴대폰이 진짜 그 사람 것”이라고 확인하는 신분증 원본과 같습니다. 이게 새면 남이 내 번호로 행세하는 복제 유심을 만들 위험이 생깁니다. 그래서 전 고객 유심 무상 교체와 유심보호서비스 가입 안내가 이어졌습니다.

왜 뚫렸나? 조사 결과 해킹은 최소 2021년 8월부터 시작됐지만 SKT는 4년 가까이 알아채지 못했습니다. 약 2,610만 개의 유심 인증키가 암호화되지 않은 채 저장돼 있었고, 인터넷과 연결된 망과 내부망이 제대로 분리되지 않은 점도 지적됐습니다.

② KT: 가짜 기지국이 진짜인 척 접속했다

무슨 일이? 2025년 8월 말부터 경기 광명, 서울 금천 등에서 KT 이용자들이 “나도 모르게 모바일 상품권이 결제됐다”고 신고했습니다. 368명이 소액결제 피해를 입었고, 개인정보위는 1만 6,647명의 개인정보가 유출됐다고 판단했습니다.

쉽게 말하면 펨토셀은 지하나 건물 안처럼 신호가 약한 곳에 설치하는 작은 기지국입니다. 해커는 분실된 KT 펨토셀에서 ‘출입 인증서’를 빼내 직접 만든 가짜 기지국에 꽂았습니다. KT 통신망은 이 가짜 장비를 진짜로 믿었고, 해커는 근처 휴대폰의 결제 인증 문자와 ARS를 가로챘습니다.

왜 뚫렸나? 펨토셀 인증서 유효기간이 10년이었고, 접속 IP를 제한하지 않아 다른 통신사나 해외 IP에서도 접속할 수 있었습니다. 불법 장비가 약 11개월 동안 내부망에 접속했지만 KT는 알아채지 못했습니다. 별도로 서버 악성코드 감염 사실을 알고도 신고하지 않고 로그를 지운 정황이 드러나 조사 방해로 고발됐습니다.

③ 롯데카드: 미룬 업데이트 하나가 297만 명을 흔들었다

무슨 일이? 2025년 8월 롯데카드 온라인 간편결제 시스템이 해킹돼 약 297만 명의 신용정보가 빠져나갔습니다. 이 중 약 28만 명은 카드번호·유효기간·CVC까지 노출돼 카드를 재발급해야 했습니다.

쉽게 말하면 결제 서버라는 건물에 오래전부터 알려진 ‘고장 난 창문’이 있었는데 수리를 미뤘고, 그 창문으로 도둑이 들어왔습니다. 게다가 결제 기록(로그) 파일에 주민등록번호 같은 정보가 암호 없이 그대로 적혀 있어 피해가 커졌습니다.

왜 뚫렸나? 금융당국은 보안 패치를 하지 않은 점을 핵심 위반으로 봤습니다. 금융감독원 제재 내용에 따르면 사고 두 달 전 정보보호최고책임자가 “SKT처럼 우리도 서버 보안이 취약하다”고 경영진에 보고했지만 조치로 이어지지 않았습니다. 해킹 정보유출로 카드사가 영업정지를 받은 것은 처음입니다.

④ 쿠팡: 퇴사자가 ‘출입증 도장’을 그대로 갖고 있었다

무슨 일이? 2025년 11월 쿠팡은 약 3,370만 개 계정 정보가 무단 노출됐다고 발표했습니다. 이후 개인정보위는 회원·비회원을 합쳐 약 3,750만 명의 이름, 이메일, 배송지 등이 유출됐다고 결론 내렸습니다.

쉽게 말하면 쿠팡 시스템은 ‘서명키’라는 도장이 찍힌 전자 출입증만 있으면 로그인한 사람으로 믿고 통과시켰습니다. 그런데 이 도장을 다루던 개발자가 퇴사한 뒤에도 회사는 도장을 바꾸지 않았고, 그는 위조 출입증을 만들어 고객 계정에 들어갔습니다.

왜 뚫렸나? 정부 조사단은 출입증이 정상 발급된 것인지 확인하는 장치가 없었고, 서명키가 소스코드에 박혀 있어 바꾸기 어려웠으며, 개발자가 실제 운영 중인 키 관리 시스템에 접근할 수 있었다고 밝혔습니다. 조사단은 “남이 개인정보를 조회한 순간 통제권을 벗어난 유출”이라고 판단해, 파일로 저장한 건수만 유출로 봐야 한다는 쿠팡 주장을 받아들이지 않았습니다.

네 사고의 공통점 3가지

1. 오래된 열쇠를 바꾸지 않았다: 쿠팡은 퇴사자가 알던 서명키를, KT는 10년짜리 인증서를 그대로 뒀습니다. 사람이 바뀌고 장비가 사라져도 열쇠는 그대로였습니다.
2. 업데이트와 암호화 같은 기본을 건너뛰었다: 롯데카드는 패치를 미뤘고, SKT와 롯데카드는 민감한 정보를 암호화하지 않았습니다.
3. 늦게 알았고, 기록이 없었다: SKT는 약 4년, KT는 약 11개월 동안 침입을 몰랐습니다. 로그가 없거나 지워져서 정확한 피해 범위를 끝내 밝히지 못한 경우도 있었고, 신고 지연과 조사 방해는 더 무거운 제재로 돌아왔습니다.

개인이 지금 할 일

• 통신사 유심보호서비스와 명의도용 방지 서비스를 켜 두세요. 내 명의로 새 휴대폰이 개통되는 것을 막아 줍니다.
• 카드 유출 안내를 받았다면 카드를 재발급하고, 쓰지 않는 해외결제·온라인 결제는 카드사 앱에서 꺼 두세요.
• 사고 직후 오는 ‘보상 안내’ 문자를 의심하세요. 큰 유출 뒤에는 그 회사를 사칭한 피싱 문자가 꼭 늘어납니다. 구별법은 택배·부고·청첩장 스미싱 문자 구별법과 대처 방법에 정리해 두었습니다.
• 같은 비밀번호를 여러 사이트에 쓰고 있다면 주요 계정부터 바꾸고 2단계 인증을 켜세요.

작은 회사가 배울 점: 오늘 점검할 5가지

대기업 이야기 같지만, 원인을 뜯어 보면 직원 10명 회사에도 그대로 있는 문제입니다.

1. 퇴사자가 알던 비밀번호는 당일 바꾸기: 쇼핑몰 관리자, 공유기, 회사 메일, 클라우드 공유 계정까지 포함합니다. 직원 퇴사 때 회사 구글 계정·드라이브 넘겨받는 방법도 참고하세요.
2. 업데이트 미루지 않기: 홈페이지·쇼핑몰 플러그인, 공유기, NAS, 윈도우 업데이트 알림을 “나중에”로 넘기지 마세요.
3. 고객 정보는 암호 걸고, 필요 없는 정보는 지우기: 고객 명단 엑셀에 파일 암호를 걸고, 주민등록번호처럼 꼭 필요하지 않은 정보는 받지도 남기지도 마세요.
4. 접속기록 남기기: 쓰는 서비스에서 관리자 로그인 기록을 볼 수 있는지 확인하세요. 기록이 있어야 사고가 났을 때 “무엇이 새 나갔는지” 답할 수 있습니다.
5. 사고가 나면 숨기지 말고 72시간 안에 알리기: 개정 개인정보보호법은 유출 ‘가능성’ 단계부터 72시간 안에 알리도록 했습니다. 자세한 내용은 2026년 9월 시행 개인정보보호법 개정, 작은 회사가 바꿔야 할 것에 정리했습니다.

보안 장비를 들일 예산이 부담된다면 정부가 비용의 80%를 지원하는 중소기업 정보보호 지원사업 신청 방법도 확인해 보세요.

결론: 큰 회사도 기본에서 무너졌다

수천억 원대 과징금이 나온 사고들이지만, 시작은 바꾸지 않은 열쇠와 미룬 업데이트였습니다. 보안 담당자가 없는 작은 회사도 할 수 있는 일이라는 뜻입니다.

이번 주에 하나만 고른다면 퇴사자와 외부 업체가 알던 비밀번호부터 바꾸세요. 네 사고 중 두 건이 바로 이 ‘오래된 열쇠’에서 시작됐습니다.

참고 자료 · 이코노미스트 – 대규모 해킹에 국정자원 화재까지 · 시장경제 – 기본 보안 무시한 대가 · 데일리안 – 개인정보위 KT 제재 · 경향신문 – KT 과징금 539억 원 · 뉴시스 – 롯데카드 과징금 96억 원 · MTN – 금감원 롯데카드 제재 내용 · 머니투데이 – 쿠팡 민관합동조사단 결과 · 한경비즈니스 – 쿠팡 과징금 6,246억 원
이 글은 2026년 11월 6일 기준 정부 조사 결과와 언론 보도를 바탕으로 작성했습니다. 일부 제재는 행정소송 등으로 달라질 수 있습니다.