카카오게임즈 개인정보 유출 243명…구조적 허점 드러났다

카카오게임즈의 개인정보 유출 사고가 예상보다 훨씬 광범위한 것으로 드러났다. 2026년 9월 22일 머니투데이 단독 보도에 따르면, 기존에 확인된 피해자 외에 103명이 추가로 확인되면서 총 피해자 수는 243명으로 늘어났다. 단순한 수치로는 대형 사고처럼 보이지 않을 수 있지만, 추가 피해자가 계속해서 발견되고 있다는 사실 자체가 내부 개인정보 관리 체계의 근본적인 결함을 시사한다는 점에서 업계의 주목을 받고 있다.

유출 경위와 추가 확인의 의미

이번 사건에서 특히 주목할 부분은 초기 신고 시점과 추가 피해자 확인 사이의 시차다. 개인정보 유출 사고에서 피해 규모가 사후에 단계적으로 늘어나는 패턴은 기업 내부의 로그 관리와 접근 통제 시스템이 제대로 작동하지 않았음을 방증한다. 개인정보보호위원회 고시에 따르면 개인정보 처리자는 유출 사실을 인지한 즉시 피해 규모를 파악하고 72시간 이내에 관계 당국에 신고해야 하지만, 피해자 수가 수차례에 걸쳐 수정되는 상황은 이 원칙이 현장에서 충분히 이행되지 못하고 있음을 보여준다.

개인정보 보호 전문가들은 "유출 피해자 수가 단계적으로 증가한다는 것은 최초 조사 단계에서 전수 점검이 이뤄지지 않았다는 의미"라며 "이는 로그 분석 역량의 부재 혹은 내부 보고 체계의 미비를 의미할 수 있다"고 지적한다.

게임 업계의 개인정보 관리 현주소

국내 게임 업계는 막대한 이용자 데이터를 보유하고 있다는 점에서 오래전부터 개인정보 보호의 핵심 위험군으로 분류돼 왔다. 게임사들은 이용자의 실명, 생년월일, 결제 정보, IP 주소, 게임 행동 데이터 등 민감한 정보를 광범위하게 수집·보관한다. 한국인터넷진흥원(KISA)이 발표한 자료에 따르면, 최근 수년간 게임·엔터테인먼트 분야는 개인정보 유출 신고 건수에서 상위권을 지속적으로 차지해 왔다.

카카오게임즈는 배틀그라운드 PC방 서비스, 오딘, 가디언 테일즈 등 다수의 인기 타이틀을 서비스하며 수백만 명의 이용자 데이터를 관리하고 있다. 방대한 데이터 규모에 비해 보안 투자와 내부 통제 수준이 충분했는가에 대한 의문이 제기된다.

법적 책임과 제재 수위

개인정보 보호법에 따르면 개인정보 유출로 인해 이용자에게 피해가 발생할 경우, 기업은 최대 전년도 매출액의 3%까지 과징금을 부과받을 수 있다. 또한 피해 이용자들은 손해배상 청구 소송을 제기할 수 있으며, 법원은 유출 기업의 고의·과실 여부와 피해 정도를 종합적으로 판단해 배상액을 결정한다.

2014년 카드 3사 개인정보 유출 사태(약 2000만 건)나 2023년 LG유플러스 해킹 사건(약 29만 건) 등 국내 주요 개인정보 유출 사례와 비교하면 이번 카카오게임즈 사건의 피해자 수는 상대적으로 적다. 그러나 피해 규모의 크고 작음과 무관하게 기업의 관리 소홀로 인한 유출 자체가 법적·도덕적 책임을 수반한다는 것이 법조계의 일관된 시각이다.

해외 유사 사례와 비교

해외에서는 개인정보 유출에 대한 제재가 훨씬 강력하게 이뤄지고 있다. 유럽연합의 일반개인정보보호규정(GDPR)은 위반 기업에 전 세계 연간 매출액의 최대 4%까지 과징금을 부과할 수 있으며, 실제로 아마존(7억 4600만 유로), 메타(12억 유로) 등이 대규모 제재를 받은 바 있다. 미국의 경우에도 연방거래위원회(FTC)가 데이터 유출 기업에 대한 동의명령과 함께 수십억 달러 규모의 합의금을 이끌어내는 사례가 늘고 있다.

반면 국내에서는 과징금 상한선이 상대적으로 낮고, 실제 부과액이 기업의 보안 투자 유인으로 작용하기에는 부족하다는 비판이 지속적으로 제기되어 왔다. 개인정보보호위원회가 2023년 과징금 산정 기준을 강화했지만, 실효성에 대한 논쟁은 여전히 진행 중이다.

이용자 피해와 2차 피해 우려

개인정보 유출의 진짜 위험은 유출 시점이 아니라 사후에 발생하는 2차 피해에 있다. 유출된 정보는 보이스피싱, 스미싱, 명의 도용, 불법 대출 등에 악용될 수 있으며, 피해자가 이를 인지하는 데는 수개월에서 수년이 걸리기도 한다. 게임 계정 정보가 유출된 경우 아이템 탈취나 계정 도용으로 이어질 수 있다는 점도 게임 이용자들에게는 직접적인 위협이다.

피해 이용자들은 카카오게임즈의 공식 공지를 통해 피해 여부를 확인하고, 비밀번호 변경과 2단계 인증 설정 등 즉각적인 보안 조치를 취해야 한다. 또한 금융결제원의 계좌정보통합관리서비스나 명의도용방지서비스를 통해 2차 피해를 예방할 것을 전문가들은 권고하고 있다.

구조적 개선 없이는 반복된다

이번 카카오게임즈 사태가 갖는 가장 큰 시사점은 '단발성 사고'가 아닐 수 있다는 점이다. 게임 업계 전반에 걸쳐 이용자 데이터 처리 규모에 비해 보안 인프라와 전담 인력이 부족한 현실, 외주 개발사와의 데이터 공유 과정에서 발생하는 관리 공백, 그리고 사고 발생 이후에도 피해 전수 조사에 시일이 걸리는 구조적 문제가 복합적으로 작용하고 있다.

전문가들은 "기업이 개인정보 보호를 비용으로 인식하는 한 유사 사고는 반복될 수밖에 없다"며 "개인정보보호위원회의 사전 감독 기능 강화와 함께 기업 내 최고개인정보보호책임자(CPO)의 권한과 책임을 실질적으로 높이는 제도적 개선이 시급하다"고 강조한다.

카카오게임즈가 이번 사태를 단순 수습에 그치지 않고 내부 보안 체계를 근본적으로 재정비하는 계기로 삼을 수 있을지, 그리고 규제 당국이 어떤 수위의 제재를 내릴지가 향후 국내 게임 업계 전체의 개인정보 관리 수준을 가늠하는 시험대가 될 것이다.