개인정보 유출 신고 방법 2026 총정리: 해킹이면 1명만 새도 72시간 이내 KISA 신고, 고객 통지도 72시간, 미신고 시 3천만원 이하 과태료 (롯데 기프티엘 해킹으로 본 사장님 체크리스트)

개인정보 유출 신고는 해킹처럼 외부의 불법 접근으로 고객 정보가 새어 나갔다면 단 1명분이라도, 그 밖의 경우에는 1천명 이상이거나 주민등록번호 같은 고유식별정보·민감정보가 포함됐을 때, 유출 사실을 안 때부터 72시간 이내에 개인정보 유출신고 시스템(brss.pipc.go.kr)으로 한국인터넷진흥원(KISA)에 해야 합니다. 고객에게 알리는 통지는 규모와 상관없이 1명이라도 72시간 이내가 원칙이고, 신고를 하지 않으면 3천만원 이하의 과태료 대상입니다(개인정보보호위원회·개인정보 보호법 시행령 제40조).

이 내용이 갑자기 중요해진 이유는 10월 25일 알려진 롯데 계열 모바일 쿠폰 서비스 '기프티엘' 해킹 사고 때문입니다. 대기업 계열사 이야기처럼 보이지만, 온라인 주문을 받거나 예약 고객 명단, 단골 연락처, 환불 계좌를 엑셀로 관리하는 작은 가게도 똑같이 개인정보처리자입니다. 오늘은 사고 내용을 짧게 정리하고, 사장님 가게에서 같은 일이 생겼을 때 72시간 안에 무엇을 해야 하는지 순서대로 묶어 보겠습니다.

## 개인정보 유출 신고, 롯데 기프티엘 해킹에서 무슨 일이 있었나

연합뉴스와 조선비즈 보도에 따르면 기프티엘을 운영하는 스푼 주식회사는 10월 22일 외부의 비인가 접근으로 일부 고객의 개인정보가 유출된 사실을 확인했습니다. 스푼은 롯데그룹 광고 계열사 대홍기획의 자회사이고, 기프티엘은 롯데리아·엔제리너스 등 롯데 계열 브랜드의 모바일 교환권을 발행·판매하는 서비스입니다.

유출 항목은 이름, 휴대전화 번호, 이메일 주소, 환불 계좌번호 4가지로 알려졌습니다. 조선비즈는 전체 이용자가 아니라 쿠폰 환불을 신청하면서 계좌정보를 직접 입력한 고객이 대상이라고 전했고, 구체적인 규모는 아직 파악 중이라고 보도했습니다.

회사 측이 밝힌 대응은 공격 IP 차단과 시스템 접근 통제 강화, 보안 전문기관과 관계 부처 신고 및 수사 요청, 데이터베이스(DB) 접속 모니터링 강화, 유출 대상 고객에게 문자메시지(MMS)로 개별 통지하는 것입니다. 고객에게는 출처가 불분명한 문자·이메일·전화를 조심하고, 계좌정보를 악용한 금융사기가 의심되면 계좌정보 통합관리서비스 등으로 계좌 상태를 점검하라고 안내했습니다.

여기서 사장님들이 눈여겨볼 부분은 차단, 신고, 통지, 2차 피해 안내라는 대응 순서입니다. 이 순서가 바로 법과 정부 매뉴얼이 요구하는 흐름과 같습니다.

## 신고해야 하는 기준 3가지와 신고하지 않아도 되는 예외

개인정보 보호법 시행령 제40조(2026년 9월 11일 시행본 기준)는 다음 중 하나에 해당하면 72시간 이내에 신고하도록 정하고 있습니다.

첫째, 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우입니다.
둘째, 민감정보 또는 고유식별정보(주민등록번호 등)가 유출된 경우입니다.
셋째, 개인정보처리시스템이나 직원이 개인정보를 다루는 컴퓨터 같은 정보기기에 외부에서 불법적으로 접근해 유출된 경우입니다.

작은 가게가 가장 많이 놓치는 것이 세 번째입니다. 고객이 몇 명이든 해킹으로 샜다면 신고 대상이라는 뜻이기 때문입니다. 쇼핑몰 관리자 계정이 털렸거나, 예약 명단이 든 PC에 악성코드가 깔려 자료가 빠져나갔다면 숫자를 따지기 전에 신고를 먼저 준비해야 합니다.

예외도 있습니다. 천재지변 등 부득이한 사유로 72시간 안에 신고하기 어려우면 그 사유가 해소된 뒤 즉시 신고할 수 있고, 유출 경로를 확인해 해당 정보를 회수·삭제하는 등으로 권익 침해 가능성이 현저히 낮아졌다면 신고하지 않을 수 있다고 시행령에 적혀 있습니다. 다만 이 예외는 사장님이 혼자 판단하기보다 개인정보침해신고센터(118)에 먼저 물어보는 편이 안전합니다.

한 가지 더, 상거래기업이 1만명 이상의 개인신용정보를 유출한 경우에는 신용정보법 제39조의4도 함께 적용되고, 은행·증권·보험 같은 금융기관은 금융감독원(1332)으로 문의하라고 개인정보 포털이 안내하고 있습니다.

## 72시간 안에 할 일: 신고 방법과 신고서에 들어갈 6가지

신고는 인터넷으로 개인정보 유출신고 시스템(https://brss.pipc.go.kr)에서 하는 것이 원칙입니다. 개인정보보호위원회가 신고 접수 전문기관으로 한국인터넷진흥원(KISA)을 지정했기 때문에 실제 접수는 KISA가 받습니다. 해외사업자라 국내 휴대폰 인증이 안 되거나 시스템 장애가 있을 때만 이메일(brss@korea.kr)을 쓰고, 우편 주소는 전라남도 나주시 진흥길 9 한국인터넷진흥원입니다.

신고서에는 다음 6가지를 적습니다(개인정보보호위원회 안내).
1. 정보주체(고객)에게 통지했는지 여부
2. 유출된 개인정보의 항목과 규모
3. 유출된 시점과 그 경위
4. 피해를 줄이기 위한 대책·조치와 그 결과
5. 고객이 스스로 피해를 줄이는 방법과 구제 절차
6. 담당 부서·담당자와 연락처

규모나 항목이 아직 확실하지 않아도 기다리면 안 됩니다. 시행령 제40조 제2항은 구체적인 내용을 확인하지 못했다면 유출 사실과 그때까지 확인된 내용을 우선 신고하고, 추가로 확인되는 내용은 확인되는 즉시 신고하라고 정하고 있습니다. 기프티엘처럼 규모를 파악 중인 상태에서도 신고와 통지를 먼저 진행하는 이유가 여기에 있습니다.

해킹이 원인이라면 신고가 하나 더 있습니다. 개인정보 포털은 해킹에 의한 유출 사고의 경우 정보통신망법 제48조의3에 따라 과학기술정보통신부 또는 한국인터넷진흥원 보호나라(https://boho.or.kr)에 별도로 침해사고를 신고해야 한다고 안내합니다. 개인정보 유출신고와 침해사고 신고는 서로 다른 신고라는 점을 꼭 기억해 두세요.

## 고객 통지 방법: 1명이라도 72시간 이내, 문자·이메일·홈페이지 게시

신고와 별개로 고객에게 알리는 통지는 규모 기준이 없습니다. 개인정보보호위원회의 유출 사고 대응 매뉴얼(2024년 3월 발간)은 통지 규모를 1명 이상으로 정리하고 있고, 시행령 제39조는 유출 사실을 안 때부터 72시간 이내에 서면 등의 방법으로 알리도록 정하고 있습니다.

통지에 들어갈 내용은 유출된 개인정보 항목, 유출 시점과 경위, 고객이 피해를 줄이기 위해 할 수 있는 방법, 가게의 대응 조치와 피해 구제 절차, 피해 신고를 받을 담당 부서와 연락처입니다. 접속 경로 차단이나 취약점 보완처럼 긴급 조치가 먼저 필요한 경우에는 그 사유가 해소된 뒤 지체 없이 통지할 수 있습니다.

고객 연락처를 모르는 등 정당한 사유가 있으면 홈페이지에 30일 이상 게시하는 것으로 통지를 대신할 수 있고, 홈페이지가 없는 가게는 사업장의 보기 쉬운 곳에 30일 이상 게시하면 됩니다. 매뉴얼은 게시할 때 '개인정보 유출 등 안내'나 '사과문' 같은 제목을 쓰고 법에서 정한 내용을 빠짐없이 넣으라고 권합니다. 휴대전화 번호를 갖고 있다면 전화나 문자처럼 고객이 실제로 확인할 수 있는 방법을 우선 쓰는 것이 바람직하다고도 적혀 있습니다. 기프티엘이 MMS로 개별 통지한 것도 같은 맥락입니다.

## 해킹당했을 때 사장님이 먼저 할 긴급 조치 체크리스트

신고서의 4번 항목을 채우려면 실제로 조치를 해야 합니다. 개인정보보호위원회 매뉴얼이 해킹 사고에 권하는 긴급 조치를 가게 상황에 맞게 정리하면 다음과 같습니다.

1. 유출된 시스템을 분리·차단합니다. 쇼핑몰 관리자 접속을 막거나, 감염이 의심되는 PC를 인터넷에서 떼어 냅니다.
2. 접속 기록(로그) 같은 증거자료를 확보합니다. 지우거나 포맷하기 전에 먼저 남겨 둬야 원인 분석과 수사가 가능합니다.
3. 유출 원인을 분석하고 취약점을 제거합니다.
4. 고객과 직원의 비밀번호를 바꿉니다. 매뉴얼은 암호화되지 않은 비밀번호가 샜거나 해커가 비밀번호를 알고 있다고 판단되면 비밀번호를 바꾸지 않으면 이용할 수 없게 하라고 권합니다.
5. 내부 인력만으로 대응이 어렵다면 한국인터넷진흥원에 기술지원을 요청할 수 있습니다.

해킹이 아니라 직원 실수로 고객 명단 메일을 잘못 보냈다면 발송 메일을 즉시 회수하고 수신자에게 삭제를 요청하며, 홈페이지 게시판에 개인정보가 노출됐다면 게시글을 지우거나 첨부파일을 마스킹하는 것이 매뉴얼이 제시하는 조치입니다.

## 내 정보가 유출된 고객이라면: 2차 피해 막는 법과 문의처

이번 기프티엘 사고처럼 이름·휴대전화·환불 계좌번호가 함께 샜다면 가장 걱정되는 것은 이 정보를 이용한 스미싱과 금융사기입니다. 회사 측 안내대로 출처가 불분명한 문자·이메일·전화와 그 안의 링크는 누르지 말고, 금융사기가 의심되면 계좌정보 통합관리서비스 등으로 계좌 상태를 점검하는 것이 우선입니다.

내 개인정보에 관한 권리가 침해됐다고 생각되면 개인정보침해신고센터(국번 없이 118, privacy.kisa.or.kr)에 상담·신고할 수 있고, 손해배상 등 분쟁은 개인정보분쟁조정위원회(1833-6972)에 조정을 신청할 수 있습니다. 법령 해석이 궁금하면 개인정보보호위원회 법령해석지원센터(02-2100-3043)도 있습니다. 운영 시간은 평일 오전 9시부터 오후 6시까지입니다.

사장님 입장에서 정리하면 이렇습니다. 사고를 안 순간부터 시계가 돌아가고, 72시간 안에 차단·증거 확보, 고객 통지, KISA 신고(해킹이면 보호나라 침해사고 신고까지)를 끝내야 합니다. 평소에 고객 명단을 꼭 필요한 만큼만 모으고, 관리자 비밀번호를 자주 바꾸고, 담당자 연락처를 정해 두는 것만으로도 그 72시간이 훨씬 덜 막막해집니다.

👉 신이말했다 카페 가입하고 새 글 알림 받기: https://cafe.naver.com/910401
https://sinimalhaetda.com
http://pf.kakao.com/_XrLFX

출처: https://www.pipc.go.kr/np/default/page.do?mCode=D030040000, https://www.law.go.kr/lsLinkCommonInfo.do?lsJoLnkSeq=1033216007, https://www.privacy.go.kr/front/wcp/spl/splRptInfo.do, https://www.privacy.go.kr/cmm/fms/FileDown.do?atchFileId=ATCH_000000000900663&fileSn=1, https://www.yna.co.kr/view/AKR20261025039500030, https://biz.chosun.com/distribution/channel/2026/10/25/PWJUVLENRVFKJNZ67Q62G34CZY/