[사내 시스템이 해킹됐는데, 고객 코인에 이상이 없다는 설명만으로 대응을 마쳐도 될까요?]
사내 업무용 시스템이 침해되면 기술 복구 외에도 개인정보 통지와 신고, 외주업체의 책임 및 증거 확보를 동시에 판단해야 합니다. 빗썸 사고는 이러한 대응을 준비하는 기업이 계약과 실제 운영을 함께 점검할 계기가 됩니다.
개인정보 사고 대응에서는 유출 범위와 법정 의무, 외주계약 책임을 나누어 확인해야 합니다.
🕒 바쁜 분들을 위한 3줄 요약
사실 확인: 업무지원 시스템 침해와 고객 자산 피해를 구분합니다.
법정 대응: 가능성 통지와 확정 통지, 기관 신고를 각각 검토합니다.
계약 검토: 보안 의무와 사고 협조, 비용 및 배상 범위를 확인합니다.
1. 빗썸 사고에서 확인된 사실과 미확인 내용을 나누세요
금융위원회는 2026년 10월 28일 가상자산업권 침해사고 관련 긴급 점검회의를 열었다고 발표했습니다. 발표에 따르면 빗썸은 본사와 자회사, 협력업체 등의 임직원 정보가 유출된 정황을 확인했다고 보고했고, 이용자 정보 유출 여부는 확인 중이라고 밝혔습니다.
업무지원 시스템 침해와 고객 가상자산 탈취는 같은 사실로 취급해서는 안 됩니다.
침해 대상은 가상자산 거래의 핵심 전산시설이 아닌 임직원 업무지원 시스템으로 설명됐습니다. 가상자산 지갑 주소 등 부정결제나 가상자산 이전에 활용될 수 있는 정보의 유출은 당시까지 확인되지 않았다는 것이 발표 내용입니다.
이 글은 10월 28일 발표를 기준으로 일반 기업의 대응과 계약 검토 사항을 설명합니다. 특정 업체의 위법이나 배상책임이 확정됐다고 평가하는 글은 아닙니다. 이후 조사 결과에 따라 사실관계와 법률 판단은 달라질 수 있습니다.
금융위원회 2026년 10월 28일 가상자산업권 침해사고 긴급점검 발표
2. 임직원 정보도 사고 대응의 대상입니다
사내 시스템에는 직원과 협력사 담당자의 이름, 연락처, 계정정보뿐 아니라 첨부파일과 업무 메시지에 개인정보가 포함될 수 있습니다. 고객 거래망과 분리됐다는 설명만으로 개인정보 관련 검토가 끝나는 것은 아닙니다.
고객 자산에 이상이 없다는 설명과 개인정보 유출 대응의 필요성은 구분해야 합니다.
보안 담당자는 접근 경로 차단과 추가 피해 방지를 진행하고, 법무 담당자는 실제 처리 정보와 관련 법인, 위탁관계 및 통지 대상의 범위를 함께 정리해야 합니다. 임직원 자료라는 이유만으로 보호 대상에서 제외하지 않습니다.
최초 이상징후와 불법 접근을 알게 된 시각, 유출 가능성과 실제 유출을 확인한 시각을 각각 기록합니다. 보고서의 최종 결재일만 남기면 법정 기한의 기산점과 대응 경위를 설명하기 어려울 수 있습니다.
3. 유출 확정 전에도 통지가 필요한지 확인하세요
현재 시행 중인 「개인정보 보호법」 제34조와 같은 법 시행령 제39조의2 및 제39조의3은 일정한 유출 가능성에 대한 통지를 정합니다. 불법 접근으로 유출이 의심되지만 정보주체를 특정하기 곤란한 경우 등 법령상 요건을 대조해야 합니다.
최종 조사보고서를 기다릴지 결정하기 전에 가능성 통지와 확정 통지, 기관 신고를 따로 판단해야 합니다.
해당 가능성 통지는 법령이 정한 인지 시점부터 원칙적으로 72시간 이내에 하며, 실제 유출이 확인되면 확정 통지와의 관계도 확인합니다. 단순한 모든 공격 시도가 곧 통지 대상이라는 뜻은 아니며, 객관적 정황과 법정 요건을 검토해야 합니다.
기관에 하는 신고는 정보주체에게 하는 통지와 별개입니다. 시행령 제40조는 1천명 이상, 민감정보 또는 고유식별정보, 외부 불법 접근에 따른 유출 등 각 신고 사유를 규정합니다. 따라서 해킹에 의한 유출을 인원수 하나로만 판단해서는 안 됩니다.
신고와 통지에는 각각 기한과 예외가 있습니다. 확정 유출의 항목이나 경위가 구체적으로 확인되지 않은 경우에는 확인된 내용을 우선 알리고 추가로 확인되는 내용을 보완하는 규정도 검토합니다. 사고 유형별 다른 법령의 신고 의무도 함께 확인합니다.
국가법령정보센터 「개인정보 보호법 시행령」 제39조의2 및 제39조의3
4. 외주업체에 맡겼다는 사실만으로 책임이 정리되지는 않습니다
그룹웨어를 외부 업체가 구축하거나 운영했다면 계약의 명칭보다 실제 개인정보 처리와 접근 권한을 확인합니다. 소프트웨어 판매만 했는지, 저장과 운영을 맡았는지, 유지보수 과정에서 자료에 접근했는지에 따라 검토할 관계가 달라집니다.
정보주체에 대한 책임과 외주업체에 청구할 수 있는 범위는 서로 다른 검토 항목입니다.
개인정보 처리업무의 위탁에 해당하면 「개인정보 보호법」 제26조의 문서화, 보호조치와 위탁자의 관리·감독 등 의무를 대조합니다. 외주계약이 있다는 사정만으로 발주기업의 법정 의무가 사라지지는 않습니다.
같은 조는 수탁자의 업무 관련 법 위반으로 발생한 손해배상책임에 관한 규정도 둡니다. 정보주체에 대한 책임과 발주기업·외주업체 사이의 비용 분담 및 구상은 구분해 살펴야 합니다. 외부 업체가 관여했다는 이유만으로 그 업체의 과실과 전액 배상을 단정하지 않습니다.
5. 보안 의무와 사고 협조 조항을 실제 자료에 대조하세요
계약서에서 보안 업데이트와 취약점 보완, 관리자 계정과 접근권한 관리, 재위탁 및 운영 구간을 누가 맡았는지 확인합니다. 구축계약과 유지보수계약의 담당 범위가 다르면 사고 당시 유효한 계약과 변경 합의까지 대조해야 합니다.
배상한도 문구만 읽기보다 실제 의무 위반과 사고 협조 기록을 함께 확인해야 합니다.
사고 통보 시점, 비상 연락망, 로그와 원본 자료 제공, 외부 조사 및 감독기관 대응에 대한 협조를 검토합니다. 발주기업이 통지 여부를 결정해야 하는데 운영업체가 자료를 제공하지 않는 상황을 막을 장치가 필요합니다.
손해배상 조항은 총액 한도, 간접손해 배제, 고의·중과실이나 개인정보 위반의 예외를 봅니다. 조사비와 복구비, 피해자 대응 비용이 어떤 근거로 청구 가능한지 확인하고, 과징금 등 제재 부담이 계약만으로 당연히 상대방에게 이전된다고 전제하지 않습니다.
유출 사실만으로 특정 금액의 손해배상이 자동 확정되는 것은 아닙니다. 위반 내용과 귀책사유, 손해 및 인과관계, 개별 청구의 법적 근거를 구분해 판단해야 합니다.
6. 복구와 별도로 증거 및 대외 설명을 정리하세요
서비스 복구와 추가 피해 차단을 진행하면서 접속기록, 권한 변경 내역, 보안 업데이트 기록과 사고 대응 이력을 보존합니다. 원본이 바뀌거나 삭제되지 않도록 보안 전문가와 증거 수집 범위 및 보관 담당자를 정하는 것이 좋습니다.
초기 대응은 기술 조치와 법정 의무, 계약상 청구를 같은 시간표에서 관리하는 작업입니다.
계약서와 작업지시서, 장애 티켓, 취약점 통보와 개선 요청, 상대방의 회신도 확보합니다. 언제 누구에게 무엇을 요청했고 어떤 조치가 이루어졌는지가 계약상 책임을 검토하는 자료가 됩니다.
감독기관 제출자료와 정보주체 통지, 홈페이지 공지의 사실관계가 어긋나지 않도록 확인된 내용과 조사 중인 내용을 구분합니다. 피해가 없다고 단정하거나 특정 원인을 조기에 확정하기보다 확인 범위와 후속 안내 절차를 설명해야 합니다.
검토 영역 | 확인 자료 | 주요 판단 |
|---|---|---|
초기 인지 | 접근기록과 보고 이력 | 기산점과 긴급 조치 |
통지와 신고 | 정보 항목과 유출 범위 | 대상과 기한 및 보완 |
외주 책임 | 계약서와 운영 기록 | 보안 의무와 배상한도 |
조사 대응 | 원본 로그와 조치 내역 | 증거와 설명의 일치 |
7. 자주 묻는 질문(FAQ)
Q1. 고객 코인이 유출되지 않았으면 통지도 필요 없나요?
그렇게 단정할 수 없습니다.
개인정보의 실제 유출과 유출 가능성에 관한 법정 요건을 별도로 확인해야 합니다. 임직원과 협력사 담당자의 정보도 검토 대상이 될 수 있습니다.
Q2. 외주업체가 전부 책임진다는 조항이면 충분한가요?
계약 문구만으로 법정 의무가 없어지지는 않습니다.
처리위탁 관계와 관리·감독 의무, 사고 원인 및 손해배상 조항의 효력을 함께 검토해야 합니다.
Q3. 유출이 확인되면 보상액도 바로 정해지나요?
유출 확인과 배상책임 및 배상액의 확정은 구분됩니다.
구체적인 위반과 손해, 인과관계 및 적용되는 청구 제도를 살펴야 하며 이번 사고의 배상 결과를 미리 단정해서는 안 됩니다.
사고 대응과 계약 검토를 함께 진행해야 합니다
빗썸 사고를 계기로 기업이 확인할 사항은 확인된 유출 범위, 통지와 신고 판단, 외주계약의 보안 의무 및 증거 확보입니다. 사고 대응의 실익은 원인을 단정하는 데 있지 않고 법정 기한을 관리하면서 실제 책임과 청구 근거를 정리하는 데 있습니다.
[디센트 법률사무소 – 개인정보 침해사고와 외주계약 자문]
개인정보 침해사고의 통지와 신고 판단, 조사자료 및 대외 설명 검토, 시스템 구축과 운영 위탁계약의 보안 의무와 책임 조항을 검토하고 외주업체와의 사고 대응 협의를 지원합니다.
🔸 개인정보 유출 및 가능성 통지와 신고 검토
🔸 보안 의무와 사고 협조 및 배상 조항 검토
🔸 조사자료 정리와 외주업체 책임 협의
디센트 법률사무소 상담 안내 ☎️
[유선 문의] 02-6951-5248
[이메일] admin@decentlaw.io
[주소] 06233 서울특별시 강남구 테헤란로4길 5 (역삼동, 해암빌딩), 7층