개인정보 유출 한눈에

커피전문점 할리스는 2026년 10월 16일 멤버십 정보를 사용하는 ^㉠클라우드 서비스에 인가되지 않은 접근이 발생해 개인정보가 유출된 사실을 확인했다고 10월 19일 밝혔다. 회사는 해킹이 9월 3일부터 10월 7일 사이에 이루어진 것으로 추정하였으며, 유출된 데이터는 현재 운영 중인 DB가 아니라 ^㉡과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일이라고 설명하였다. 한국인터넷진흥원에 신고한 유출 규모는 ^㉢약 276만 건으로, 중복 회원을 포함한 2009년부터 2020년 2월 11일까지의 누적 고객 데이터로 추정되었다. 유출 항목은 ^㉣아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일 등 9가지이며, 회사는 고객에게 멤버십 비밀번호를 즉시 변경할 것을 당부하였다.

금융위원회는 2026년 10월 14일 긴급 상황대응 회의를 열고 9월 말 신한은행 해킹 전후로 침해사고가 확인된 금융회사가 ^㉠16곳이며 유출된 고객 정보는 ^㉡약 10만 건이라고 집계하였다. 대상에는 신한·KB국민·하나·BNK부산은행 등 은행 4곳과 저축은행 4곳, 캐피탈사, 온라인투자연계금융업체, 가상자산사업자, 새마을금고중앙회가 포함되었다. 유출 정보는 ^㉢이름, 연락처, 주민등록번호, 이메일 등이며, 계좌 비밀번호나 카드번호가 유출된 사례는 확인되지 않았다. 당국이 555개 금융회사에 자체 점검을 요청한 결과 ^㉣130곳이 보안패치 미적용 등 미흡 사항을 보고하였다. 10월 하순에는 미래에셋생명, 대신증권, 미래에셋자산운용, 빗썸에서도 침해 사실이 추가로 확인되었다.

대신증권은 2026년 10월 17일 투자일임 ^㉠비대면 증권계좌 개설 연계 서버에서 해커의 비정상적인 접근 징후를 포착하였다. 회사는 공격에 사용된 IP를 차단하고 당국에 신고한 뒤 금융보안원과 함께 정상 서비스로 위장한 신호 6만여 건을 전수조사하였다. 그 결과 10월 26일 ^㉡고객 3만8490명의 개인·신용정보가 유출된 사실을 확인하였다. 유출 항목은 고객명, 이메일, 주소, 통신ID, 은행명, 입출금 계좌번호, 종합계좌번호, 휴대전화번호 등 8개이며, ^㉢계좌번호와 휴대전화번호는 암호화된 상태였다. 회사는 현재까지 2차 피해 정황과 핵심 업무시스템에 대한 불법 접근은 확인되지 않았다고 밝혔고, 금융감독원은 ^㉣현장 점검반을 파견하였다.

금융감독원은 2026년 9월 신용정보가 유출된 전자지급결제대행(PG)사 토스페이먼츠와 코엠페이먼츠에 대한 점검을 ^㉠현장검사로 전환하였다. 토스페이먼츠는 PG 서비스를 이용하는 특정 가맹점에서 ^㉡결제내역 일부가 제3자에게 조회되었으며, 영향받은 결제는 4131건, ^㉢정보주체는 2671명이라고 밝혔다. 회사는 ^㉣카드 비밀번호와 유효기간 등 결제에 필요한 정보는 포함되지 않았고 부정 결제 피해는 확인되지 않았다고 설명하였다. 금감원은 원인이 PG사에 있는지는 현장검사가 끝나야 확정할 수 있다고 밝혔으며, 카드업계에 피해 고객의 카드 재발급 등 후속 조치를 권유하였다.

신한은행은 2026년 9월 29일부터 30일 사이 외부 비인가자가 ^㉠인증을 우회하는 방법으로 일부 서비스에 접근해 고객정보를 유출했다고 10월 1일 밝혔다. 공격은 ^㉡대출모집인이 자신이 접수한 대출의 처리 현황을 조회하는 모바일 홈페이지 서비스에서 시작되었으며, 공격자는 여기서 확보한 고객번호로 다른 서비스에 접근해 연락처 등을 탈취하였다. 유출 피해 고객은 ^㉢약 2만5천 명이며, 고객명, 전화번호, 연소득, 산출 한도 등 대출 신청 관련 정보와 일부 고객의 ^㉣주민등록번호 66건, 연계정보 97건이 포함되었다. 금융감독원은 ^㉤긴급 현장조사에 착수하였고, 은행은 고객 손해 발생 시 전액 보상하겠다고 밝혔다. 이 사고 이후 다른 금융회사에서도 침해 사실이 잇따라 확인되었다.

극동방송은 2026년 9월 23일 오후 5시께 ^㉠후원자 관리 시스템에 외부의 권한 없는 제3자가 접근한 정황을 확인했다고 9월 26일 홈페이지 공지로 밝혔다. 조사 결과 비정상적인 외부 접근은 이보다 앞선 9월 18일 오후 11시께 발생한 것으로 파악되었다. 영향을 받았을 가능성이 있는 정보는 ^㉡성명, 생년월일, 휴대전화번호, 유선전화번호, 주소 등이며, ^㉢고유식별정보와 금융정보의 유출 정황은 확인되지 않았다. 극동방송은 외부 접근과 외부망 접속을 차단하고 관계기관에 신고하였으며, ^㉣실제 유출 여부와 규모를 외부 보안 전문기관과 함께 조사하고 있다.

크리에이터 후원 플랫폼 팬심에서 후기를 작성한 계정의 ^㉠닉네임과 실명이 연결된 상태로 조회될 수 있다는 의혹이 2026년 9월 18일 밤 커뮤니티를 중심으로 제기되었다. 운영사 일리오는 9월 19일 오전 2시께 제보를 접수하였고, 데이터 연결 과정에서 ^㉡개인정보 보호조치가 충분하지 않았던 사실을 확인해 오전 3시께 노출 경로를 차단하였다. 회사는 같은 날 대상 이용자에게 안내 메일을 보내고 한국인터넷진흥원에 신고하였다. 활동명으로 알려진 스트리머의 실제 신원이 특정될 수 있다는 점에서 우려가 제기되었으며, ^㉢비밀번호 유출은 확인되지 않았다. 회사는 ^㉣외부의 대량 조회와 유포 여부를 보안업체와 함께 조사하고 있다고 밝혔다.

한국도심공항은 2026년 8월 26일 홈페이지 공지를 통해 자사 홈페이지에 대한 ^㉠외부 침해 정황이 확인되어 관련 시스템을 정밀 점검하고 있다고 밝혔다. 회사는 현재까지 ^㉡고객 개인정보 유출 여부는 확인되지 않았으며 전문기관과 함께 접근 및 유출 여부를 파악하고 있다고 설명하였다. 보도에 따르면 유출 위험이 있는 항목으로 ^㉢이름, 이메일 주소, 전화번호, 생년월일 등이 거론되었다. 회사는 예방 조치로 ^㉣홈페이지 비밀번호 변경을 권고하였고, 유출이 확인되면 관련 법령에 따라 추가 안내하겠다고 밝혔다. 따라서 이 사건은 유출이 확인된 사고가 아니라 침해 정황이 공지된 단계에 해당한다.

무신사가 운영하는 패션 플랫폼 29CM는 2026년 8월 27일 주문 정보를 조회하는 ^㉠연동 기능(API)에 외부의 비정상적인 접근이 발생해 일부 고객의 개인정보가 유출되었다고 공지하였다. 유출 규모는 이름만 유출된 13만8841건과 ^㉡이름·이메일 주소·휴대전화번호·배송정보가 함께 유출된 2만1011건을 합한 ^㉢15만9852건이다. 회사는 ^㉣결제 정보와 아이디·비밀번호 등 계정 정보는 유출 항목에 포함되지 않았다고 밝혔다. 29CM는 접근 경로를 차단하고 사고 인지 후 24시간 이내에 한국인터넷진흥원과 개인정보보호위원회에 신고하였다.

인터넷 방송 지원 플랫폼 멜로밍은 2026년 7월 27일 밤 해킹으로 ^㉠내부 API 키가 탈취되어 회원정보가 조회·유출되었다고 공지하였다. 회사에 따르면 유출은 오후 10시 42분에 시작된 것으로 추정되며, 약 20분 뒤 전체 회원정보가, 6분 뒤에는 본인인증 회원정보가 ^㉡깃허브(GitHub)에 노출되었다. ^㉢전체 이용자의 이메일, 닉네임, 내부 사용자 ID가 유출되었고, 일부 본인인증 이용자는 ^㉣실명, 생년월일, 전화번호, 통신사 정보도 유출되었다. 회사는 서비스를 긴급 중단하고 이튿날 0시 6분 한국인터넷진흥원에 신고하였다. 멜로밍은 2026년 9월 25일 서비스를 종료하였으며, 유출 대상자에게 사이버 금융범죄 보험료를 1인당 최대 3,500원까지 지원하기로 하였다.

온라인동영상서비스 티빙은 2026년 6월 2일 이용자 개인정보를 저장한 데이터베이스에 비인가 접근이 이루어진 정황을 인지하고 관계기관에 신고하였다. 과학기술정보통신부 민관합동조사단은 공격자가 ^㉠개발자의 내부 시스템 접속키를 탈취해 티빙 시스템에 침입한 것으로 파악하였다. 조사단 발표에 따르면 활성·휴면·탈퇴 계정을 포함해 ^㉡약 3954만 개 계정의 정보와 소스코드가 담긴 개발 프로젝트 361건이 유출되었다. 유출 항목에는 ^㉢이름, 생년월일, 휴대전화번호, 이메일, 연계정보(CI) 등이 포함되었으며, 휴대전화번호와 이메일은 ^㉣암호화키까지 함께 유출되어 사실상 평문 유출과 같은 수준으로 평가되었다. 과기정통부는 신고 의무 위반에 대해 ^㉤과태료 부과를 예고하였고, 개인정보보호위원회는 별도로 법 위반 여부를 조사하고 있다.

공단기·영단기 등 10여 개 교육 브랜드를 운영하는 에스티유니타스는 2026년 6월 5일 ^㉠클라우드 기반 학원 관리시스템을 통해 일부 개인정보가 유출된 사실을 확인했다고 회원들에게 공지하였다. 회사는 침해사고 조사 과정에서 ^㉡비인가 접근으로 회원정보가 조회된 사실을 확인하고 비인가 접속을 차단했으며 사고 관련 접속키를 교체하였다. 유출 항목은 이메일 가입 회원의 경우 이메일, 암호화된 비밀번호, 이름, 생년월일, 성별, 전화번호, 주소이며, 환불을 진행한 회원은 ^㉢승인정보와 환불 계좌번호도 포함되었다. ^㉣유출 인원은 공개되지 않았고, 회사는 관계기관에 신고를 마쳤다고 밝혔다.

패스트캠퍼스 등을 운영하는 데이원컴퍼니는 2026년 6월 8일 시스템 내 보안 사고 가능성을 인지하고 위협을 차단했다고 6월 11일 공지하였다. 회사에 따르면 사용 중이던 깃허브(GitHub) 서비스의 ^㉠마스터 계정 키값이 탈취되었고, 이를 통해 5월 9일 최초 침입이 이루어졌다. 처음 공지된 유출 항목은 이름, 이메일 주소, 전화번호, 암호화된 비밀번호와 일부 고객의 주소, 직무·직책이었다. 회사는 6월 19일 추가 조사 결과 ^㉡카드사명과 카드번호 일부, 환불 계좌 정보 등도 노출되었을 가능성이 있다고 안내하였으며, ^㉢일부 강사의 주민등록번호 포함 여부도 확인하고 있다고 밝혔다. 피해 브랜드는 패스트캠퍼스, 콜로소, 제로베이스 등 8곳이며 ^㉣정확한 유출 규모는 확정되지 않았다.

CU편의점 택배 서비스 CU POST를 운영하는 BGF네트웍스는 2026년 6월 4일 오후 3시 30분께 신원 미상의 해커가 시스템에 비인가 접근해 개인정보를 유출한 정황을 확인하였다. 회사는 ^㉠웹 취약점을 악용한 외부 침입으로 파악하고 공격 IP를 차단하였다. 유출 항목은 아이디, 단방향 암호화된 비밀번호, 이름, 생년월일, 주소, 휴대전화번호, ^㉡연계정보(CI) 등이며, 대상은 온라인 회원으로 한정되고 ^㉢수하인 등 제3자 정보는 포함되지 않았다고 회사는 밝혔다. ^㉣정확한 유출 규모는 공개되지 않았으며, 개인정보보호위원회는 6월 9일부터 유출 경위와 피해 규모에 대한 조사를 진행하고 있다.

개인정보보호위원회에 따르면 2025년 1월 공격자는 결혼정보회사 듀오정보 ^㉠직원의 업무용 PC를 악성코드에 감염시켜 데이터베이스 서버 계정 정보를 확보하였다. 공격자는 이를 이용해 회원 DB 서버에 접속한 뒤 ^㉡정회원 42만7464명의 개인정보를 내려받아 외부로 유출하였다. 유출 정보에는 주민등록번호와 연락처뿐 아니라 ^㉢신장, 체중, 종교, 혼인경력, 학력, 직장명 등 결혼 중개 과정에서 수집된 정보가 포함되었다. 조사 결과 접근 제한 미설정, 안전하지 않은 암호화 알고리즘 적용, 법적 근거 없는 주민등록번호 수집, ^㉣72시간 내 유출 신고 지연 등이 확인되었다. 개인정보위는 2026년 4월 22일 ^㉤과징금 11억9700만 원과 과태료를 부과하고 피해 회원에게 즉시 통지할 것을 명령하였다.

초등교사 대다수가 이용하는 에듀테크 기업 아이스크림미디어는 2026년 3월 8일 ^㉠회원정보가 외부로 유출된 정황을 확인하고 한국인터넷진흥원과 개인정보보호위원회에 신고하였다. 유출 항목에는 사용자 ID, 이름, 전화번호, 생년월일, 이메일 등 회원 정보와 ^㉡학교명·주소·연락처 등 학교 정보가 포함되었다. 6월 보도에 따르면 조사 결과 유출 규모는 ^㉢약 20만 건으로 파악되었으나, 회사가 공식 수치를 발표하지는 않았다. 이후 회사는 10월 25일 자체 조사 과정에서 ^㉣추가 유출자를 확인했다며 해당 교사들에게 다시 통지하였다.

사회복지공동모금회 사랑의열매는 2025년 4월 25일 공익법인 결산서류 공시 과정에서 ^㉠개인정보 비식별화 조치를 하지 않은 첨부파일을 홈페이지에 등록하였다. 이 파일에는 2천만 원 이상 고액 기부자의 ^㉡이름, 주민등록번호, 기부 금액이 그대로 담겨 있었다. 단체는 ^㉢약 11개월 뒤인 2026년 3월 4일 저녁에야 이를 인지하고 게시물을 삭제하였다. 노출 인원은 ^㉣647명으로 집계되었으며, 사랑의열매는 3월 6일 개인정보보호위원회에 신고하고 피해자에게 개별 통지하였다.

자연재해 법정 구호단체인 희망브리지 전국재해구호협회는 2026년 2월 5일 기부자의 ^㉠실명과 주민등록번호, 기부 금액을 ^㉡가리지 않은 '2022∼2024년 결산 자료'를 홈페이지에 게시하였다. 노출된 기부자는 ^㉢1천여 명에 이르는 것으로 전해졌다. 단체는 게시 20일 만인 2월 25일 ^㉣내부 감사 과정에서 이를 인지하고 당일 게시물을 삭제하였으며, 이틀 뒤 홈페이지에 사과문을 올렸다. 신고를 접수한 행정안전부와 한국인터넷진흥원은 유출 경위와 피해 규모를 조사할 계획이라고 밝혔다.

서울시설공단은 2026년 1월 27일 서울경찰청으로부터 따릉이 회원정보 유출 의심 정황을 통보받고 1월 30일 이를 공지하였다. 공단에 따르면 2024년 6월 28일부터 29일까지 ^㉠따릉이 서버의 보안 취약점을 이용해 회원정보가 무단으로 수집되었다. 유출 대상은 2024년 6월 30일 이전 가입 회원 ^㉡약 462만 명이며, ^㉢아이디·휴대폰 번호·생년월일·성별·체중·주소 등이 포함되었고 개인별 유출 항목은 서로 다르다. 이 사실은 경찰이 ^㉣디도스 공격과 관련된 다른 사건을 수사하던 중 드러났으며, 경찰은 10대 청소년들을 해킹 피의자로 지목하였다. 공단은 7월 21일 경찰청·개인정보보호위원회와 협의해 개인별 유출 항목을 확정하고 피해자에게 ^㉤30일 정기권을 지급하기로 하였다.

2026년 1월 10일 교원그룹은 사내 일부 시스템에서 ^㉠랜섬웨어 공격으로 추정되는 비정상 징후를 확인하고 내부망을 분리했다. 조사단은 전체 서버 약 800대 가운데 가상 서버 약 600대가 감염 영향권에 들었으며, 영향권 서비스 이용자를 ^㉡약 960만 명(중복 포함)으로 추산하였다. 교원그룹은 1월 12일 데이터가 외부로 유출된 정황을 확인하고 이튿날 개인정보보호위원회에 신고하였고, ^㉢개인정보위는 8개 계열사를 대상으로 조사에 착수했다. 다만 반출된 데이터에 ^㉣고객 개인정보가 포함되었는지는 확인되지 않았다고 회사는 밝혔다. 따라서 이 사건은 유출이 확정된 사고가 아니라 유출 정황이 신고된 사고로 분류된다.

개인정보보호위원회에 접수된 ^㉠공익신고를 계기로 신한카드 영업점 직원들이 신규 가맹점 대표자의 개인정보를 카드모집인에게 넘겨 온 사실이 드러났다. 신한카드 자체 점검 결과 2022년 3월부터 2025년 5월까지 가맹점 대표자 개인정보 ^㉡192,088건이 유출되었으며, 이 중 181,585건은 ^㉢휴대전화번호만, 나머지는 성명·생년월일·성별 등이 함께 포함되었다. 최소 5개 영업소 ^㉣직원 12명이 조회 화면을 촬영하는 등의 방식으로 정보를 빼내 신규 카드 모집 영업에 활용한 것으로 파악되었다. 신한카드는 2025년 12월 23일 개인정보보호위원회에 유출을 신고하고 사과문을 게시하였으며, 금융감독원은 현장검사에 착수하였다. 2026년 8월 기준 제재 수위를 가리기 위한 금융당국의 절차가 진행 중이었다.

넷마블은 2025년 11월 22일 ^㉠외부 해킹으로 고객정보가 유출된 정황을 확인하였다고 밝혔으며, 한국인터넷진흥원에는 11월 25일 침해사고를 신고하였다. 11월 27일 공개한 자체 조사 결과에 따르면 바둑·장기 등 ^㉡PC 게임 포털 사이트에서 휴면계정을 포함한 ^㉢회원 611만 명의 이름, 생년월일, 암호화된 비밀번호 등이 유출되었다. 개인 식별 정보가 이미 삭제된 휴면 ID와 ^㉣암호화된 비밀번호 약 3,100만 개도 함께 유출되었다. 이 밖에 2015년 이전 PC방 가맹점 약 6만 6천 곳의 사업주 이름·ID·이메일과 전현직 임직원 정보 약 1만 7천 건이 유출된 것으로 집계되었다. 넷마블은 주민등록번호 등 고유식별정보와 민감정보는 유출되지 않았다고 밝혔다.

쿠팡은 2025년 11월 고객 민원을 통해 개인정보 유출을 인지하고 약 4,500개 계정의 유출을 최초 신고하였으나, 11월 29일 유출 규모를 3,370만 개 계정으로 확대 발표하였다. 개인정보보호위원회 조사 결과 공격자는 쿠팡에서 대체 인증 기능을 개발했던 ^㉠전직 직원으로, 인증 서명키로 ^㉡인증토큰을 위조하여 2025년 4월부터 11월까지 회원정보 수정, 배송지 관리, 주문목록 페이지를 조회하였다. 이를 통해 ^㉢회원 33,222,472명의 이름과 이메일, 배송지의 이름·전화번호·주소·^㉣공동현관 비밀번호, 일부 주문내역이 유출되었으며 회원이 아닌 정보주체도 최소 4,338,368명이 포함되었다. 개인정보위는 인증 서명키 관리와 접근통제가 소홀했다고 판단하였다. 개인정보위는 2026년 6월 유출 관련 ^㉤과징금 4,235억 7,500만 원을 포함해 총 6,246억 8,100만 원의 과징금을 부과하였고, 쿠팡은 같은 해 10월 이에 불복해 행정소송을 제기하였다.

소방청은 2025년 10월 2일 오후 7시경 소방공무원 채용 사이트 119고시에서 개인정보 유출 사고가 발생한 사실을 파악하였다. 유출 대상은 2024년 10월 3일까지 사이트에 가입한 ^㉠회원 5만93명으로, ^㉡아이디, 성명, 생년월일, 휴대전화번호, 이메일 등이 유출되었다. 소방청은 같은 날 오후 10시 30분 사이트를 폐쇄하고 개인정보보호위원회에 신고하였으며, 사이트 관리를 맡은 ^㉢위탁업체를 대상으로 관계기관 합동 조사를 진행하였다. 소방청은 해킹을 의심하였고 대전경찰청 사이버수사대가 수사에 착수하였다. 소방청은 향후 채용 업무에 인사혁신처 통합채용시스템을 활용하기로 하였다.

KT 이용자들의 무단 소액결제 피해 사례가 접수되자 개인정보보호위원회는 2025년 9월 10일 조사에 착수하였고, KT는 9월 11일부터 세 차례 유출을 신고하였다. 조사 결과 해커는 ^㉠유실된 KT 펨토셀(소형 기지국)에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속하였다. 해커는 이용자 단말이 불법 펨토셀을 거치도록 유도해 송·수신 정보를 가로챘고, 소액결제 인증에 쓰이는 SMS·ARS를 탈취하였다. 이 과정에서 ^㉡16,647명의 휴대전화번호, ^㉢가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출되었고 368명이 약 2.4억 원의 무단 결제 피해를 입었다. 개인정보위는 2026년 7월 ^㉣과징금 539억 7,900만 원을 부과하고 거짓자료 제출 등 조사 방해에 대해 고발을 의결하였다.

롯데카드는 2025년 8월 14일경 발생한 해킹 침해사고를 9월 1일 금융당국에 신고하였다. 금융감독원과 금융보안원 조사에서 해커가 ^㉠온라인 결제 서버에 웹셸을 설치해 8월 14일부터 27일까지 총 200GB의 정보를 빼낸 것이 확인되었다. 유출 정보에는 ^㉡296.9만 명의 개인신용정보가 포함되었으며, 이 중 약 28.3만 명은 ^㉢카드비밀번호와 CVC까지 유출되었다. 검사 결과 보정(패치) 작업 미실시, 주민등록번호 및 비밀번호 암호화 미이행 등 보안의무 위반이 드러났다. 개인정보보호위원회는 2026년 3월 ^㉣과징금 96억 2,000만 원을, 금융위원회는 2026년 7월 해킹 사고로는 처음으로 ^㉤1.5개월 업무정지와 과징금 50억 원을 부과하였다.

대성학원 관계사인 대성학력개발연구소는 2025년 7월 18일 오후 2시부터 2시 30분경 권한 없는 제3자가 ^㉠사내 시스템에 무단으로 접속해 개인정보 파일에 접근한 것으로 파악하였다고 밝혔다. 연구소는 7월 21일 홈페이지와 문자로 유출 사실을 알렸다. 유출이 의심되는 항목은 성명, 휴대전화번호, 이메일 주소, 아이디, 생년월일, 유선전화, 주소, 카카오ID, 네이버ID 등 ^㉡9개였다. 연구소는 ^㉢외부 접속 포트를 차단하고 시스템 취약점을 점검·보완하였다. 유출 규모와 행정처분 결과는 공개된 자료에서 확인되지 않는다.

인터넷서점 예스24는 2025년 6월 9일 새벽 ^㉠랜섬웨어 공격을 받아 도서 주문과 티켓 예매 등 모든 서비스가 중단되었다. 예스24는 내부 조사 결과 개인정보 유출 정황이 확인되지 않았다고 공지하였으나, 6월 11일 개인정보보호위원회에 ^㉡비정상적인 회원정보 조회 정황을 확인하였다며 유출 신고를 하였다. 개인정보위는 같은 날 유출 경위와 피해 규모, 안전조치 의무 준수 여부에 대한 조사에 착수하였다. 한국인터넷진흥원은 기술지원 결과 자료를 2025년 가을 회사에 전달하였으나, 2026년 7월까지 정부의 종합 조사 결과나 제재는 발표되지 않았다. 따라서 실제 개인정보 유출 여부와 규모는 ^㉢공식적으로 확정되지 않은 상태이다.

2025년 4월 18일 SK텔레콤은 평소보다 많은 데이터가 외부로 전송된 정황을 인지하고 4월 20일 한국인터넷진흥원에 침해사고를 신고하였다. 민관합동조사단은 전체 서버 4만 2,605대를 점검하여 감염 서버 28대와 악성코드 33종을 확인하였으며, 해커는 2021년 8월 내부망에 처음 침투한 뒤 ^㉠홈가입자서버(HSS) 데이터베이스에서 유심 정보를 빼낸 것으로 조사되었다. 유출된 정보는 휴대전화번호, 가입자식별번호(IMSI), ^㉡유심 인증키 등 25종으로, 조사단은 ^㉢IMSI 기준 약 2,696만 건을 확인하였고 개인정보보호위원회는 중복을 제거한 피해자를 ^㉣23,244,649명으로 산정하였다. 조사 과정에서 서버 계정정보 관리 부실과 유심 인증키 암호화 미실시 등 안전조치 의무 위반이 확인되었다. 개인정보위는 2025년 8월 ^㉤과징금 1,347억 9,100만 원과 과태료 960만 원을 부과하였다.

콜센터 용역업체 KS한국고용정보는 2025년 4월 인사관리시스템이 해킹되어 직원 정보가 유출되었다고 공지하고 4월 22일 개인정보보호위원회에 신고하였다. 개인정보위 조사 결과 해커는 개인정보처리시스템의 ^㉠관리자 계정정보를 획득해 4월 15일 관리자 페이지에 접속하였고, 상담사·본사 직원·입사지원자 ^㉡40,875명의 이름, 주민등록번호, 휴대전화번호, 주소, 계좌번호 등을 내려받았다. 해커는 웹페이지 취약점을 이용해 주민등록등본, 신분증 사본, 가족관계증명서 등 ^㉢인사서류 파일 약 5만 건도 유출하였고, 이를 다크웹에 게시해 거래를 시도하였다. 회사는 시스템 접속을 IP 등으로 제한하지 않았고 인사서류 속 ^㉣주민등록번호를 암호화하지 않은 것으로 확인되었다. 개인정보위는 2026년 4월 ^㉤과징금 35억 3,700만 원과 과태료 420만 원을 부과하였다.

아르바이트 구인·구직 플랫폼 알바몬은 2025년 4월 30일 ^㉠이력서 미리보기 기능에서 비정상적인 접근과 해킹 시도를 감지하였다고 밝혔다. 이 과정에서 회원들이 임시 저장한 이력서 정보 ^㉡22,473건이 유출되었으며, 유출 항목에는 ^㉢이름, 휴대전화번호, 이메일 주소 등이 포함되었다. 회사는 아이디와 비밀번호는 유출되지 않았다고 설명하였다. 운영사 잡코리아는 5월 1일 개인정보보호위원회에 유출을 신고하고 공격 계정과 IP를 차단하였으며, 개인정보위는 5월 2일 조사에 착수하였다. 개인정보위의 처분 결과는 공개된 자료에서 확인되지 않는다.

신원 미상의 해커는 다른 곳에서 확보한 아이디와 비밀번호를 대입하는 ^㉠크리덴셜 스터핑 공격으로 GS리테일이 운영하는 GS25 홈페이지(2024년 12월 26일~2025년 1월 4일)와 GS SHOP 홈페이지(2024년 6월 21일~2025년 2월 13일)에 로그인하였다. 해커는 로그인 뒤 ^㉡회원정보 수정 페이지에 접속해 ^㉢GS SHOP 회원 1,581,025명과 ^㉣GS25 회원 79,128명의 이름, 성별, 생년월일, 연락처, 주소, 이메일 등을 빼냈다. GS리테일은 2025년 1월 4일 GS25 유출을 처음 인지하였으나 GS SHOP에 대한 동일 공격은 2월에야 파악하여 그 사이에도 유출이 이어졌다. 개인정보보호위원회는 동일 IP에서 발생하는 대규모 로그인 시도를 탐지·차단하는 대책이 없었다고 판단하였다. 개인정보위는 2026년 8월 ^㉤과징금 128억 3,600만 원과 과태료 300만 원을 부과하였다.

이화여자대학교 통합행정시스템은 2024년 9월 2일부터 3일까지 해킹 공격을 받았다. 학교는 9월 3일 실시간 모니터링 중 해외 IP의 비정상적인 접근을 감지했으며, 조사를 거쳐 9월 6일 홈페이지에 유출 사실을 공지하고 교육부와 개인정보보호위원회에 신고하였다. 유출 대상은 1982학년도부터 2002학년도 사이 입학한 졸업생 일부로, 성명, ^㉠주민등록번호, 연락처, 이메일주소, 주소, 학적 정보 등이 포함되었다. 개인정보위 조사 결과 해커는 데이터베이스 조회 기능의 취약점을 악용한 ^㉡파라미터 변조 공격으로 ^㉢8만3천여 명의 주민등록번호를 포함한 개인정보를 탈취하였다. 개인정보위는 2025년 6월 이화여자대학교에 ^㉣과징금 3억4,300만 원을 부과하였다.

전북대학교 통합정보시스템 '오아시스'는 2024년 7월 28일부터 29일까지 세 차례에 걸쳐 해킹 공격을 받았다. 개인정보보호위원회 조사 결과 해커는 비밀번호 찾기 페이지의 취약점으로 학번을 입수한 뒤 약 90만 회의 ^㉠파라미터 변조와 무작위 대입, SQL 인젝션 공격으로 개인정보에 접근하였다. 재학생, 졸업생, 평생교육원 회원 ^㉡32만2,425명의 정보가 유출되었고, 재학생과 졸업생은 이름, ^㉢주민등록번호, 전화번호, 학사정보 등 최대 74개 항목이 포함되었다. 학교는 마지막 공격 후 약 13시간이 지난 7월 29일 오후에야 이를 인지하였고, 개인정보위는 야간·주말 모니터링이 제대로 이루어지지 않은 점을 지적하였다. 개인정보위는 2025년 6월 전북대학교에 ^㉣과징금 6억2,300만 원을 부과하고 책임자 징계를 권고하였다.

인터넷 강의 '대성마이맥'을 운영하는 디지털대성은 2024년 1월 16일 외부 해킹으로 회원 개인정보 ^㉠95,170건이 유출된 사실을 인지했다고 1월 19일 공지하였다. 유출 항목은 ID와 일부가 가려진 이름, 이메일, 휴대전화번호 등 4개였다. 개인정보보호위원회 조사 결과 해커는 1월 12일부터 16일 사이 ^㉡크리덴셜 스터핑으로 한 회원의 계정을 탈취한 뒤, 이 계정으로 신고 게시판에 악성 스크립트를 넣은 글을 올렸고 이를 직원이 열람하면서 ^㉢크로스사이트 스크립팅(XSS) 공격으로 내부 보안 정보가 빠져나갔다. 회사는 침입탐지·차단시스템을 갖추고 있었으나 보안정책 관리 소홀로 단시간에 급증한 로그인 시도를 탐지하지 못했고, 유출 통지·신고 의무도 위반한 것으로 확인되었다. 개인정보위는 2024년 3월 ^㉣과징금 6억1,300만 원과 과태료 330만 원을 부과하였다.

골프존은 2023년 11월 해커의 ^㉠랜섬웨어 공격을 받았다. 해커는 경위가 확인되지 않은 방법으로 직원들의 ^㉡가상사설망(VPN) 계정 정보를 탈취해 업무망 내 파일서버에 원격 접속하였고, 11월 22일부터 23일까지 파일을 빼낸 뒤 다크웹에 공개하였다. 이로 인해 파일서버에 보관된 ^㉢약 221만 명 이상의 서비스 이용자와 임직원의 이름, 전화번호, 이메일, 생년월일, 아이디 등이 유출되었고, 일부는 ^㉣주민등록번호(5,831명)와 계좌번호(1,647명)도 유출되었다. 개인정보보호위원회는 골프존이 전 직원이 공유하는 파일서버에 주민등록번호를 포함한 대량의 개인정보가 저장된 사실을 인지하지 못했고, 주민등록번호를 암호화하지 않았으며, 불필요해진 최소 38만여 명의 정보를 파기하지 않은 사실을 확인하였다. 개인정보위는 2024년 5월 ^㉤과징금 75억400만 원과 과태료 540만 원을 부과하였다.

한국고용정보원은 2023년 7월 6일 중국 등 해외 IP에서 구인·구직 사이트 워크넷에 대한 무단 접속이 확인되었다고 밝히고 개인정보보호위원회에 신고하였다. 개인정보위 조사 결과 신원 미상의 공격자는 다른 곳에서 얻은 계정 정보를 대입하는 ^㉠크리덴셜 스터핑 방식으로 2023년 6월 29일부터 7월 5일까지 침입하였다. 국내외 26개 IP에서 총 ^㉡4,500만 번 이상의 로그인 시도가 있었고, 이 가운데 56만 번이 성공하였다. 그 결과 ^㉢개인 회원 236,527명의 ^㉣이력서 정보가 유출되었으며, 성명, 주소, 휴대전화 번호, 학력, 경력 사항, 증명사진 등이 포함되었다. 개인정보위는 로그인 실패 시 계정 잠금이나 추가 인증 같은 대응책이 미흡했고 주민등록번호를 평문으로 저장한 사실을 확인해 2024년 1월 ^㉤과태료 840만 원을 부과하였다.

개인정보보호위원회는 2023년 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론 보도에 따라 조사에 착수하였다. 조사 결과 해커는 오픈채팅방의 취약점으로 참여자의 임시ID를 얻고, 친구 추가 기능과 불법 프로그램 등으로 일반채팅 이용자 정보를 확보한 뒤, 이를 ^㉠회원일련번호를 기준으로 결합한 파일을 만들어 판매한 것으로 확인되었다. 2020년 8월 이전 생성된 오픈채팅방은 임시ID를 암호화하지 않아 회원일련번호를 쉽게 확인할 수 있었고, 이후 생성된 방도 암호화된 임시ID를 평문으로 노출하는 취약점이 있었다. 개인정보위는 해커가 ^㉡최소 6만5,719건을 조회했다고 밝혔으며, 카카오는 유출을 인지하고도 ^㉢신고와 이용자 통지를 하지 않았다. 개인정보위는 2024년 5월 ^㉣과징금 151억4,196만 원과 과태료 780만 원을 부과했고, 카카오는 이에 불복해 행정소송을 제기하였다.

2023년 1월 25일 ^㉠다크웹 해킹포럼에 'ㅇㅇlogistic DB 468000 lines'라는 제목으로 쿠팡 구매 고객의 정보로 보이는 데이터 판매 글이 게시되었다. 한겨레는 같은 해 3월 20일 판매자에게서 받은 약 1만 건의 샘플에 ^㉡이름, 전화번호, 주소, 구매 상품명 등이 들어 있고 각 항목에 쿠팡 링크가 붙어 있었다고 보도하였다. 판매자는 무차별 대입 공격으로 ^㉢46만 건을 얻었다고 주장했으나, 쿠팡은 자사 서버를 확인한 결과 유출이나 부정 접근이 없었다고 밝혔다. 한겨레는 이후 쿠팡이 판매 글을 인지하고도 약 두 달간 당국에 신고하지 않았으며 판매자와 이메일로 접촉했다고 추가 보도하였다. 유출 경로와 쿠팡이 실제 출처인지는 ^㉣공식적으로 확인되지 않았으며, 개인정보보호위원회가 2024년 11월 쿠팡에 과징금을 부과한 2023년 판매자 시스템 유출(2만2,440명)은 로그인 오류로 발생한 별건이다.

LG유플러스는 2023년 1월 불법 판매자로부터 약 29만 명의 개인정보가 담긴 데이터를 입수했다고 밝히고 고객에게 유출 여부 조회를 안내하였다. 개인정보보호위원회와 한국인터넷진흥원의 분석 결과 유출이 확인된 개인정보는 중복 제거 시 ^㉠29만7,117건이었으며, 휴대전화번호, 성명, 주소, 생년월일, 이메일 주소, 아이디, ^㉡USIM 고유번호 등 26개 항목이었다. 유출 데이터와 가장 일치하는 시스템은 부가서비스 가입·해지를 처리하는 ^㉢고객인증시스템(CAS)이었고, 유출 시점은 2018년 6월경으로 분석되었다. 과학기술정보통신부는 이 시스템의 웹 관리자 계정 암호가 초기 암호로 설정되어 있었고 대용량 데이터 이동에 대한 실시간 탐지 체계가 없었던 점을 원인으로 추정하였다. 개인정보위는 2023년 7월 ^㉣과징금 68억 원과 과태료 2,700만 원을 부과하였으며, 이는 당시 국내 기업에 부과된 과징금 가운데 최대 금액이었다.

패션 쇼핑앱 브랜디는 2021년 10월 22일 회원 정보 유출 가능성을 인지하고 한국인터넷진흥원에 신고하였으며, 같은 시기 해외 해킹포럼에는 브랜디 회원 정보를 판매한다는 글이 게시되었다. 회사는 2021년 8월 29일과 30일 해외 IP에서 회원 정보에 접근한 흔적을 확인했다고 밝혔다. 개인정보보호위원회 조사 결과 해커는 경위가 확인되지 않은 방법으로 확보한 ^㉠AWS 클라우드 관리자 접근키를 이용해 개인정보처리시스템에 접근하였고, ^㉡약 639만여 건의 ^㉢ID, 암호화된 비밀번호, 이메일을 유출하였다. 브랜디는 개인정보처리시스템 접속 권한을 IP 등으로 제한하지 않았고 탈퇴 회원의 개인정보를 파기하지 않은 것으로 확인되었다. 개인정보위는 2022년 7월 ^㉣과징금 3억8,900만 원과 과태료 780만 원을 부과하였다.

메가스터디교육은 2019년 6월 12일 ^㉠외부 해킹으로 회원 개인정보 일부가 유출된 사실을 인지하고 한국인터넷진흥원과 수사기관에 신고하였다. 회사 공지에 따르면 유출 항목은 ^㉡ID, 이름, 연락처, 생년월일, 이메일, 성별, 암호화된 비밀번호 등 7개였으며, 회사는 중국발 IP의 해킹으로 추정하였다. 방송통신위원회 조사 결과 고등교육 사이트 ^㉢회원 570만 명 대부분의 개인정보가 빠져나간 것으로 확인되었다. 이 회사는 2017년 7월에도 초중등 사이트에서 회원 정보가 유출되어 2018년 과징금 2억1,900만 원을 부과받은 바 있다. 방통위는 2020년 6월 감경 없이 가중한 ^㉣과징금 9억5,400만 원을 부과하고 검찰 고발을 결정하였다.

가상통화 거래소 빗썸을 운영하는 비티씨코리아닷컴은 2017년 개인정보 유출을 신고하였고, 방송통신위원회와 한국인터넷진흥원이 7월부터 현장조사를 실시하였다. 조사 결과 해커는 2017년 4월 회사와 자문계약 관계에 있던 직원의 개인용 컴퓨터에 악성코드를 담은 ^㉠스피어피싱 메일을 보내 감염시킨 뒤, 그 컴퓨터에 암호화되지 않은 채 저장된 회원 관리 엑셀 파일을 빼낸 것으로 확인되었다. 해커는 별도로 약 3,434개 IP에서 약 200만 번의 ^㉡사전대입공격을 수행해 4,981개 계정에 로그인했고, 이 가운데 266개 계정에서 가상통화 출금이 이루어졌다. 두 경로로 유출·탈취된 개인정보는 이용자 정보 31,506건과 계정정보 4,981건 등 ^㉢총 36,487건이었다. 방통위는 2017년 12월 ^㉣과징금 4,350만 원과 과태료 1,500만 원, 책임자 징계권고와 시정명령을 의결하였다.

숙박 예약 앱 '여기어때'를 운영하는 위드이노베이션은 2017년 3월 개인정보 유출 사고를 방송통신위원회에 신고하였다. 방통위와 과학기술정보통신부, 경찰청, 한국인터넷진흥원의 합동 조사 결과 해커는 웹페이지 취약점을 노린 ^㉠SQL 인젝션 공격으로 개인정보를 탈취한 것으로 확인되었다. 유출된 정보는 숙박예약정보 323만9,210건과 회원정보 17만8,625건으로, 중복을 제거한 이용자 수는 ^㉡97만1,877명이었다. 예약정보에는 제휴점명, 객실명, 예약일시, 예약자 휴대전화번호, 결제금액 등이 포함되었고, 유출된 숙박 이용 내역을 악용한 ^㉢협박·음란 문자 4,817건이 발송되었다. 방통위는 접근통제, 접속기록 보존, 암호화 등 보호조치 위반을 근거로 ^㉣과징금 3억100만 원과 과태료 2,500만 원을 부과하고, 개인정보 유출 사고로는 처음으로 책임자 징계를 권고하였다.

2016년 5월 인터넷 쇼핑몰 인터파크의 전산망이 해킹되어 고객정보가 유출되었다. 해커는 특정 직원의 동생을 사칭한 이메일로 사내 PC를 악성코드에 감염시키는 ^㉠스피어피싱 수법으로 내부망에 침입한 뒤, 데이터베이스 서버를 관리하는 개인정보 취급자 PC의 제어권을 빼앗아 정보를 빼냈다. 유출 규모는 ^㉡약 1,030만 명으로 발표되었으며, 아이디, ^㉢암호화된 비밀번호, 이름, 휴대전화 번호, 주소 등이 포함되었다. 인터파크는 2016년 7월 초 해킹 사실을 확인했으나 방송통신위원회 신고와 이용자 고지는 10여 일 뒤에 이루어졌고, 경찰은 북한 정찰총국 소속 해커의 소행으로 강하게 의심된다고 발표했다. 방송통신위원회는 2016년 12월 망분리와 접속시간 제한 등 보호조치를 소홀히 한 인터파크에 ^㉣과징금 44억 8,000만 원과 과태료 2,500만 원을 부과했으며, 이는 당시 개인정보 유출 사고 과징금 중 최대 액수였다.

2015년 2월 개인정보범죄 정부합동수사단은 홈플러스가 고객 개인정보를 보험사에 불법으로 판매한 혐의로 도성환 사장 등 전·현직 임직원 6명과 홈플러스 법인을 기소했다. 홈플러스는 2011년 말부터 2014년 7월까지 11차례 경품행사를 열어 응모자의 이름, 연락처, ^㉠생년월일, 자녀 수, 부모 동거 여부 등을 수집했고, 이렇게 모은 712만 건을 ^㉡보험사 7곳에 1건당 1,980원에 팔았다. 응모권에는 보험사에 정보가 제공된다는 내용이 ^㉢1㎜ 크기의 글씨로 적혀 있었다. 기존 회원정보 1,694만 건도 동의 없이 보험사에 넘겨, 판매된 개인정보는 모두 ^㉣2,400만여 건, 수익은 231억 7,000만 원에 이르렀다. 공정거래위원회는 2015년 4월 과징금 4억 3,500만 원을 부과했고, 대법원은 2019년 홈플러스에 대한 ^㉤벌금 7,500만 원을 확정했다.

2014년 3월 인천지방경찰청은 KT 홈페이지를 해킹해 가입자 정보를 빼낸 해커 등을 검거했다고 발표했다. 해커는 홈페이지의 본인 확인 절차가 미흡한 점을 이용해 이미 널리 알려진 ^㉠파라미터 변조 수법을 사용했으며, 특정 IP가 하루 최대 34만 1,279건의 개인정보를 조회하기도 했다. 방송통신위원회 조사 결과 2013년 8월부터 2014년 2월까지 1,170만 8,875건이 유출되었고, 중복을 제외한 피해 이용자는 ^㉡981만 8,074명이었다. 유출 항목은 이름, 주소, 주민등록번호, 전화번호, 이메일, ^㉢신용카드번호, 카드유효기간, 은행계좌번호 등 12개였다. 방송통신위원회는 2014년 6월 접근통제와 암호화 등 보호조치를 이행하지 않은 KT에 ^㉣과징금 7,000만 원과 과태료 1,500만 원을 부과했다.

2014년 1월 창원지방검찰청은 신용평가업체 코리아크레딧뷰로(KCB) 직원이 KB국민카드, NH농협카드, 롯데카드의 고객정보를 빼돌린 사실을 발표했다. 이 직원은 카드사의 부정사용방지시스템(FDS) ^㉠개발 용역을 수행하면서, 카드사가 변환 없이 제공한 실제 고객 데이터를 보안 프로그램이 설치되지 않은 PC를 통해 ^㉡USB에 저장해 빼냈다. 유출 규모는 KB국민카드 5,300만 명, 롯데카드 2,600만 명, NH농협카드 2,500만 명 등 ^㉢1억 400만 건에 달했다. 유출된 정보는 ^㉣성명, 휴대전화 번호, 직장명, 주소 등이었으며 신용카드 사용과 관련된 신용정보 일부도 포함되었다. 금융위원회는 2014년 2월 3개 카드사에 각각 ^㉤3개월 일부 영업정지와 과태료 600만 원을 부과했다.

2012년 7월 경찰청 사이버테러대응센터는 KT 휴대전화 가입자 정보를 빼내 텔레마케팅에 활용한 일당을 검거했다고 발표했다. 프로그래머 출신인 주범은 ^㉠영업대리점이 KT 고객정보 조회 시스템에 접속하는 것처럼 가장하는 해킹 프로그램을 만들어, 2012년 2월부터 약 5개월 동안 정보를 한 건씩 소량으로 빼냈다. 유출된 정보는 이름, ^㉡주민등록번호, 휴대전화 번호, 단말기 모델, 요금제, 기기변경일 등이었으며, 텔레마케팅 업자들은 약정 만료가 다가온 고객을 골라 기기변경을 권유했다. 방송통신위원회 조사에서 확인된 피해자는 ^㉢873만 435명이었다. 방송통신위원회는 2012년 12월 KT가 개인정보를 제3자에 제공하면서 동의를 제대로 받지 않은 점 등을 들어 ^㉣과징금 7억 5,300만 원을 부과하고, 일부 보호조치 위반에는 시정명령을 내렸다.

2011년 11월 넥슨코리아는 온라인 게임 메이플스토리의 ^㉠백업 서버가 해킹되어 회원정보가 유출된 사실을 확인했다. 방송통신위원회 발표에 따르면 메이플스토리 이용자 ^㉡약 1,320만 명의 이름, 아이디, ^㉢주민등록번호, 비밀번호가 유출되었으며, 이 가운데 비밀번호와 주민등록번호는 암호화되어 있었다. 넥슨은 11월 24일 유출 사실을 확인하고 이튿날 방송통신위원회에 알린 뒤 경찰에 수사를 의뢰했다. 회사는 결제가 결제대행사를 거치기 때문에 계좌번호와 신용카드 정보는 유출되지 않았다고 설명했다. 이 사건은 같은 해 네이트·싸이월드 사건에 이어 당시 역대 두 번째 규모의 개인정보 유출이었다. 넥슨은 이후 이 사건과 관련해 검찰에서 ^㉣무혐의 처분을 받았다.

2011년 7월 26일부터 27일 사이 SK커뮤니케이션즈가 운영하는 네이트와 싸이월드의 회원 데이터베이스가 해킹되었다. 경찰 조사 결과, 해커는 이스트소프트의 ^㉠공개용 알집 업데이트 서버를 해킹해 정상 업데이트 파일을 악성 파일로 바꿔치기하는 수법으로 SK커뮤니케이션즈 사내 PC 62대를 감염시켰다. 이후 감염된 PC에서 DB 관리자 접속정보를 수집해 데이터베이스 서버에 접속했고, ^㉡약 3,500만 명의 회원정보를 중국에 할당된 IP로 빼돌렸다. 유출 항목은 이름, 아이디, 전화번호, 이메일 주소와 ^㉢암호화된 비밀번호·주민등록번호 등이었다. 회사는 7월 28일 시스템 모니터링 중 해킹 사실을 확인해 방송통신위원회에 신고하고 경찰에 수사를 의뢰했다. 피해자들이 낸 손해배상 소송에서 대법원은 2018년 회사에 ^㉣배상 책임이 없다고 판단했다.

2011년 4월 현대캐피탈은 해커로부터 금전을 요구하는 협박 이메일을 받고 고객정보 해킹 사실을 인지했다. 해커는 퇴직 직원 등 ^㉠업무관리자의 계정을 이용해 정비내역조회 서버와 광고메일 발송 서버에 침입하는 방식으로 정보를 빼냈다. 회사는 처음에 42만 명의 이름, ^㉡주민등록번호, 휴대전화 번호, 이메일 주소 등이 유출되었다고 밝혔다. 그러나 금융감독원 검사 결과 유출 규모는 ^㉢약 175만 명으로 확인되었고, 일부 고객의 프라임론패스 번호와 비밀번호도 포함되었다. 금융감독원은 2011년 10월 전산 안전대책 소홀을 이유로 현대캐피탈에 ^㉣기관경고를 내리고 관련 임직원을 징계했다.

2010년 3월 인천지방경찰청 사이버수사대는 국내 25개 인터넷 사이트의 ^㉠회원정보 약 2,000만 건을 빼내 판매한 일당 3명을 검거했다. 이들은 ^㉡중국 해커로부터 개인정보를 사들이거나 사이트 관리자에게 악성 실행파일을 보내 직접 해킹하는 방식으로 정보를 확보했다. 유출된 정보에는 이름, 아이디, ^㉢비밀번호, 주민등록번호 등이 포함되었고, 신세계몰 회원 정보 약 330만 건도 들어 있었다. 일당은 이 정보를 판매해 1억 5,000만 원의 부당이득을 얻은 것으로 조사되었다. 경찰은 유출 기업 대부분이 ^㉣개인정보를 암호화하지 않은 것으로 파악했으며, 행정안전부는 방송통신위원회 등과 함께 25개 업체에 대한 ^㉤특별 단속에 나섰다.

2008년 9월 GS칼텍스 보너스카드 회원 정보가 담긴 CD와 DVD가 서울 강남에서 발견되었다는 보도가 나왔다. 경찰이 확보한 DVD에는 ^㉠1,119만 2,297명의 이름, ^㉡주민등록번호, 주소, 전화번호, 이메일 주소 등이 엑셀 파일 76개로 정리되어 있었다. 검찰 수사 결과, GS칼텍스 콜센터 운영을 맡은 자회사 GS넥스테이션 직원이 ^㉢고객정보 데이터베이스 접근 권한을 이용해 2008년 7월 정보를 빼낸 것으로 드러났다. 이들은 집단소송에 활용할 목적으로 정보를 언론에 넘겼으며, 검찰은 직원 등 ^㉣3명을 구속 기소하고 법무법인 사무장 등 2명을 불구속 기소했다. 피해자들이 낸 손해배상 소송에서 법원은 정보가 제3자에게 유통되지 않았다는 이유로 손해를 인정하지 않았다.

2008년 4월 서울지방경찰청 사이버범죄수사대는 하나로텔레콤이 ^㉠고객 동의 없이 개인정보를 텔레마케팅 업체에 제공한 사실을 적발했다. 경찰에 따르면 하나로텔레콤은 2006년 1월부터 2007년 말까지 ^㉡약 600만 명의 개인정보 8,500만여 건을 전국 1,000여 개 텔레마케팅 업체에 넘겨 상품 판매에 이용하게 했다. 제공된 정보는 성명, ^㉢주민등록번호, 주소, 전화번호 등이었으며, 계약을 해지한 고객의 정보도 삭제되지 않고 활용되었다. 경찰은 박병무 전 대표 등 22명을 정보통신망법 위반 혐의로 불구속 입건했다. 방송통신위원회는 2008년 6월 초고속인터넷 ^㉣신규가입자 모집정지 40일과 ^㉤과징금 1억 4,800만 원, 과태료 3,000만 원을 부과했다.

2008년 2월 초 국내 최대 인터넷 상거래 사이트 옥션이 ^㉠해외 IP를 이용한 해킹 공격을 받았다. 해커는 기존 백신으로 확인되지 않는 악성 변종 프로그램을 사용했으며, 회원의 이름, 아이디, ^㉡주민등록번호, 주소, 전화번호 등이 유출되었다. 2008년 4월 경찰 조사를 바탕으로 발표된 유출 규모는 1,081만 명이었다. 그러나 경찰이 중국 공안과의 공조로 해커의 데이터를 추가 확보한 결과, 2010년 3월 유출 규모는 ^㉢전체 회원인 1,863만 명으로 정정되었다. 회사는 비밀번호와 신용카드 정보는 유출되지 않았다고 밝혔다. 피해 회원들이 낸 손해배상 소송에서 법원은 옥션이 주의의무를 위반했다고 보기 어렵다며 ^㉣청구를 기각했다.