카카오게임즈 개인정보 140명 유출…"비중요"의 함정

카카오게임즈에서 이용자 140명의 개인정보가 유출되는 사고가 발생했다. 회사 측은 "식별코드 등 비중요 정보"라는 입장을 내세웠지만, 개인정보 보호 전문가들 사이에서는 이 같은 해명이 오히려 문제의 본질을 희석시킬 수 있다는 우려가 나온다.

"비중요 정보" 해명, 얼마나 유효한가

카카오게임즈는 유출된 정보가 이름·주민등록번호·금융정보 같은 민감 정보가 아닌 식별코드 수준에 그친다고 밝혔다. 실제로 개인정보보호법은 개인정보를 민감정보와 일반 개인정보로 구분하며, 식별코드만으로 직접적인 금전 피해가 발생하기는 어렵다.

그러나 전문가들은 이른바 '모자이크 효과(Mosaic Effect)'를 경고한다. 개별적으로는 무해해 보이는 식별코드라도 다른 유출 데이터베이스와 결합하면 특정 개인을 정밀하게 추적하거나 피싱 공격의 표적으로 삼는 데 활용될 수 있다는 것이다. 미국 연방거래위원회(FTC)도 2014년 빅데이터 보고서를 통해 "단편적 데이터 조각의 결합이 예상치 못한 개인정보 침해로 이어질 수 있다"고 경고한 바 있다.

반복되는 게임업계 개인정보 사고

국내 게임업계의 개인정보 유출은 이번이 처음이 아니다. 2023년에는 복수의 온라인 게임사에서 이용자 계정 정보가 무단 접근된 정황이 드러났고, 2022년에는 한 대형 게임사의 내부 시스템 취약점이 악용되어 수천 명 규모의 정보가 노출됐다. 게임 이용자는 결제 정보와 계정 정보를 동시에 플랫폼에 위탁하는 경우가 많아, 여타 서비스 대비 복합적 피해 가능성이 높다.

개인정보보호위원회에 따르면 2023년 한 해 동안 접수된 개인정보 침해 신고 건수는 총 5만 8,000여 건으로, 전년 대비 약 12% 증가했다. 게임·엔터테인먼트 플랫폼 관련 신고 비율도 꾸준히 상승세를 보이고 있다.

규모 작다고 책임이 줄지 않는다

140명이라는 피해 규모는 수백만 명이 연루된 대형 유출 사고에 비하면 작아 보인다. 하지만 법적 책임의 무게는 피해 규모보다 관리·감독 의무 위반 여부에 달려 있다. 개인정보보호법 제29조는 개인정보처리자에게 안전성 확보에 필요한 기술적·관리적 보호조치를 취할 의무를 부과하며, 이를 소홀히 한 경우 매출액의 3% 이내 과징금이 부과될 수 있다.

유럽의 GDPR(일반 개인정보보호규정)은 더 엄격하다. 유출 규모와 무관하게 72시간 이내 감독 당국 신고를 의무화하고, 위반 시 전 세계 연간 매출의 최대 4%를 제재할 수 있도록 규정하고 있다. 국내 제도가 글로벌 기준에 비해 여전히 느슨하다는 지적이 제기되는 배경이다.

이용자 통보와 투명성이 핵심

이번 사안에서 또 하나의 쟁점은 피해 당사자에 대한 통보 시점과 방식이다. 개인정보보호법 제34조는 유출 사실을 인지한 즉시, 늦어도 72시간 이내에 정보 주체에게 알리도록 규정하고 있다. 실제 통보가 적시에 이루어졌는지, 어떤 채널로 이뤄졌는지에 따라 카카오게임즈의 법적·도의적 책임 평가는 달라질 수 있다.

개인정보보호 전문가들은 "유출된 정보의 종류보다 기업이 사고를 얼마나 신속하게 인지하고 투명하게 공개했느냐가 이용자 신뢰를 결정짓는 핵심 변수"라고 강조한다. 기업이 자체적으로 '비중요'라고 규정짓는 방식은 이용자의 정보 자기결정권을 침해할 소지가 있다는 비판도 있다.

플랫폼 기업의 보안 투자, 아직도 부족

카카오게임즈는 카카오 계열사 중에서도 상당한 이용자 기반을 보유한 플랫폼이다. 그럼에도 이번 사고는 내부 보안 체계의 허점을 드러냈다는 평가다. 국내 IT 기업들의 정보보호 투자 현황을 보면, 과학기술정보통신부의 2023년 정보보호 실태조사에서 매출 대비 정보보호 예산 비율이 5% 미만인 기업이 전체의 70%를 넘는 것으로 나타났다. 보안 투자 확대가 선택이 아닌 필수라는 목소리가 높아지는 이유다.

향후 전망과 시사점

개인정보보호위원회는 이번 사고에 대한 조사 여부를 검토 중인 것으로 알려졌다. 조사 결과에 따라 과징금 부과와 개선 명령이 내려질 수 있으며, 이는 업계 전반의 보안 관행을 재점검하는 계기가 될 수 있다.

장기적으로는 게임 플랫폼 특성에 맞는 개인정보 보호 가이드라인 강화와 함께, 기업 스스로 유출 사고 발생 시 '비중요 정보'라는 자의적 기준을 앞세우기보다 이용자 중심의 투명한 공시 문화를 정착시켜야 한다는 지적이 나온다. 140명이라는 숫자 뒤에는 각자의 디지털 생활을 플랫폼에 맡긴 실제 사람들이 있다는 사실을 기업과 규제 당국 모두 잊어서는 안 된다.