복지몰 해킹 피해, 회사 아닌 운영사에 청구한다

현대이지웰 사고가 던진 질문

현대이지웰은 회사가 직원에게 주는 복지포인트를 쓰는 선택적 복지몰을 운영한다. 그런데 10월 29일 밤 9시쯤 회원정보 조회용 API에 외부의 비정상 접근이 확인됐고, 이름·생년월일·성별·휴대폰번호·아이디·이메일·주소 등 7개 항목이 유출됐다. 회사는 피해가 확인되면 전액 보상하겠다고 밝혔지만, 유출 규모는 아직 조사 중이다.

이용자 입장에서 먼저 정리할 것은 '누구에게, 무엇을 근거로' 요구할 수 있느냐다. 복지포인트는 회사가 줬지만 몰을 돌리고 개인정보를 다루는 주체는 현대이지웰이다. 이 구분이 책임 소재의 출발점이다.

정보가 샜을 때 청구 상대는 운영사다

Photo by Jonas Leupe on Unsplash

개인정보 유출의 손해배상 책임은 '개인정보처리자'에게 있다. 이번 사고에서는 복지몰을 운영하는 현대이지웰이다. 복지 제도를 제공한 회사가 아니라, 개인정보를 보관·처리하던 운영사가 1차 상대라는 뜻이다.

개인정보보호법에는 피해자가 실제 손해액을 입증하지 못해도 300만 원 이하 범위에서 법원이 배상액을 정해 주는 법정손해배상 제도가 있다. 입증 부담을 덜어 주는 장치다. 다만 '300만 원 자동 지급'으로 오해하면 안 된다. 2026년 1월 대법원은 기업이 손해가 없었음을 입증하면 이 청구도 배척될 수 있다고 봤다.

고의나 중대한 과실이 드러나면 손해액의 최대 5배까지 물리는 징벌적 손해배상도 가능하다. 단 이건 실제 손해를 입증하는 일반 배상에서 쓰는 규정이고, 경과실만으로는 적용되지 않는다. 실제 적용된 사례도 많지 않다.

기억할 점은 하나 더 있다. 기업에 부과되는 과징금은 국고로 들어가지, 피해자에게 돌아오지 않는다. 내 피해 회복은 내가 따로 챙겨야 한다.

포인트가 도용됐다면 결이 다르다

정보 유출과 포인트 도용은 성격이 다르다. 유출은 개인정보 침해, 도용은 재산 피해다.

복지포인트가 실제로 빠져나갔다면, 그 원인이 몰의 보안 허점인지 결제 과정의 문제인지에 따라 책임지는 쪽이 갈린다. 몰 시스템이 뚫려 생긴 피해라면 운영사에, 결제·인증 단계의 문제라면 그 경로를 맡은 사업자에 책임을 물을 여지가 생긴다. 이때는 '내 포인트가 언제, 어디서, 얼마나 쓰였는가'를 구체적으로 보여 줄 수 있어야 한다. 막연히 손해를 봤다는 주장만으로는 배상으로 이어지기 어렵다.

지금 해야 할 순서

대응은 증거를 남기는 일부터다.

먼저 복지몰에 로그인해 포인트 사용 내역과 접속 기록을 확인하고, 낯선 사용이 있으면 화면을 캡처해 둔다. 날짜와 금액이 찍힌 기록은 나중에 피해를 입증하는 핵심 자료가 된다.

다음은 신고와 상담이다. 금전 피해가 생겼다면 경찰에 신고하고, 개인정보 침해 자체는 개인정보보호위원회에 신고할 수 있다. 현대이지웰이 운영하는 24시간 상담센터에 유출 여부와 개별 안내 대상인지 확인하는 것도 필요하다.

배상으로 가는 길은 두 갈래다. 소송 전에 무료로 쓸 수 있는 개인정보분쟁조정위원회 조정을 신청하거나, 피해가 크면 민사소송을 택한다. 같은 피해자가 많을 때는 집단분쟁조정도 가능하다.

회사가 '전액 보상'을 약속했더라도, 보상 금액과 기준은 아직 정해지지 않았다. 안내문의 보상 범위가 내 피해를 실제로 덮는지, 조정이나 소송이 더 유리한지는 기록을 갖춰 둔 뒤에 판단하는 편이 낫다.

출처

1. 생년월일·전화번호 털렸다…현대이지웰, 회원정보 유출
2. 현대이지웰, 회원정보 유출 사과…이름·연락처 등 7개 항목 공지
3. 개인정보 유출 손해배상 청구 — 위자료 기준과 법정손해배상 300만원
4. 개인정보 유출 손해배상, 고의·중과실이면 손해액 5배까지 징벌적 배상