강남언니 개인정보유출 21만명 — 시술 사진까지 새어나갔습니다

최종 업데이트 2026년 9월 8일 · 개인정보보호위원회 조사 경과에 따라 계속 갱신합니다.

무슨 일이 있었나 — 날짜별 정리

상담내역을 조회하는 API에 비정상 접근이 발생해 개인정보가 유출됐습니다. 운영사가 접근 경로를 차단했으나 다음 날 동일 공격자가 다른 경로로 재차 접근을 시도한 사실도 확인됐습니다.

유출 규모는 총 21만 9,665명입니다. 국가별로는 다음과 같습니다.

주목할 지점은 하루 사이에 같은 공격자가 다른 경로로 다시 들어오려 했다는 사실입니다. 이는 침해 경로가 하나가 아니었을 가능성을 시사하고, 인증·권한 검증 체계 전반이 조사 대상이 될 수 있음을 뜻합니다.

강남언니에서 유출된 개인정보 항목

기본 신원정보에 더해 상담 등록 사진, 관심·신청·실제 시술 정보, 병원명·의사명, 상담 동기, 예약 희망시간, 결제 금액·수단·시각, 접속 IP와 단말 정보까지 포함됐습니다.

이 조합이 문제입니다. 개별 항목보다 한 사람 단위로 묶였을 때의 파괴력이 큽니다. 이름과 전화번호에 "어느 병원에서 어떤 의사에게 어떤 시술을 언제 받았고 얼마를 냈는지"가 붙고, 여기에 얼굴이 담긴 상담 사진까지 더해지면 그 사람의 외모 고민과 신체 이미지가 통째로 드러납니다.

특히 상담 동기는 일반적인 회원정보 유출에서 거의 등장하지 않는 항목입니다. 어떤 부분이 고민이어서 상담을 신청했는지를 본인이 직접 적은 내용이기 때문에, 단순 식별정보와 달리 주관적인 심경이 담긴 기록에 해당합니다. 예약 희망 시간과 상담 생성·수정 시각까지 남아 있어 생활 패턴을 추정할 여지도 있습니다.

미용의료 정보는 본인이 공개를 원하지 않는 대표적인 영역입니다. 유출 자체의 불쾌함을 넘어 사생활 침해와 정신적 고통이 일반적인 회원정보 유출보다 크게 평가될 수 있는 이유가 여기 있습니다.

다만 유출 항목 전부가 법적으로 의료정보나 진료기록이 되는 것은 아닙니다. 개인정보보호법 제23조는 건강에 관한 정보를 민감정보로 명시하고 있으므로, 실제 시술 내역처럼 건강 상태와 직접 연결되는 항목은 구체적 내용에 따라 민감정보로 평가될 여지가 있습니다. 반면 관심 시술이나 예약 희망시간 같은 항목까지 당연히 민감정보가 되는 것은 아니어서, 항목별로 나누어 볼 문제입니다.

유출 확인 방법 — 지금 당장 해야 할 것

유출 항목 확인은 30일간만 가능합니다. 손해배상을 준비하든 아니든, 내 정보가 어디까지 나갔는지부터 확인해 캡처로 남겨두시기 바랍니다.

운영사는 강남언니 홈페이지에서 공지 게시일로부터 30일간 본인의 유출 항목을 조회할 수 있도록 했습니다. 기간이 정해져 있으므로 미루지 마시고, 조회 화면을 날짜가 보이도록 캡처해 보관하시는 것이 좋습니다. 나중에 어떤 정보가 유출됐는지를 입증할 때 본인이 가진 가장 직접적인 자료가 됩니다.

강남언니 개인정보유출, 손해배상 받을 수 있나

개인정보보호법 제39조는 개인정보처리자에게 '고의·과실이 없었다'는 점에 대한 입증책임을 지웁니다. 다만 이 조항이 전환하는 것은 고의·과실 부분이며, 법 위반행위와 손해 발생, 그 사이의 인과관계 등 나머지 청구요건까지 사업자가 증명하는 구조는 아닙니다.

개인정보 보호법 제39조(손해배상책임) 제1항

정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.
출처: 국가법령정보센터

일반 손해배상 사건이라면 피해자가 상대방의 과실까지 모두 증명해야 하지만, 이 조항 덕분에 고의·과실 부분은 사업자가 '없었다'는 점을 증명해야 합니다. 다만 그것이 곧 배상이 확정된다는 뜻은 아닙니다. 사업자가 안전조치 의무를 다했다고 인정되면 책임을 면할 수 있으므로, 결국 기술적·관리적 보호조치가 충분했는지가 관건이 됩니다.

청구 근거는 하나가 아닙니다

실무에서는 아래 갈래를 함께 검토합니다. 특히 법정손해배상은 구체적인 손해액 입증이 어려운 개인정보 유출 사건에서 피해자의 입증 부담을 줄여주는 중요한 제도입니다.

법정손해배상은 피해자가 손해액을 일일이 증명해야 하는 부담을 크게 덜어줍니다. 개인정보가 유출됐다는 사실을 주장·증명하면 청구할 수 있습니다. 다만 유출 사실만으로 배상이 자동으로 인정되는 것은 아닙니다. 대법원은 정보주체가 손해 발생을 구체적으로 증명할 필요는 없다고 보면서도, 개인정보처리자가 위자료로 배상할 만한 정신적 손해가 발생하지 않았다는 점을 증명하면 책임을 면할 수 있다고 판단했습니다.

대법원 2025. 12. 4. 선고 2023다311184 판결

정보주체는 법정손해배상을 청구하기 위해 개인정보가 분실·도난·유출·위조·변조 또는 훼손됐다는 사실만 주장·증명하면 되고 손해의 발생 사실을 구체적으로 주장·증명할 필요는 없다. 다만 손해가 발생하지 않은 것이 분명한 경우까지 배상의무를 인정하려는 취지는 아니므로, 개인정보처리자는 위자료로 배상할 만한 정신적 손해가 발생하지 않았음을 주장·증명해 책임을 면할 수 있다.
위 내용은 판결 요지를 정리한 것입니다. 원문은 대법원 종합법률정보에서 확인하실 수 있습니다.

따라서 사건의 피해 내용과 확보 가능한 자료에 따라 제39조의 일반 손해배상과 제39조의2의 법정손해배상 중 어떤 청구 구조를 택할지 검토하는 것이 중요합니다. 두 청구로 같은 손해를 이중으로 배상받는다는 뜻은 아닙니다. 제39조의2 제3항은 제39조에 따라 손해배상을 청구한 정보주체가 사실심 변론종결 전까지 법정손해배상청구로 변경할 수 있도록 정하고 있습니다.

개인정보보호위원회 조사에서 무엇을 볼까

이번 사고는 데이터베이스가 직접 탈취된 것이 아니라 API를 통한 비정상 접근으로 알려져 있습니다. 그렇다면 조사의 초점도 그에 맞춰질 가능성이 큽니다.

구체적으로는 API의 인증·인가 체계가 적절했는지, 이상 접근을 탐지하는 시스템이 제때 작동했는지, 하루 만에 다른 경로로 재침입이 시도된 점에 비추어 취약점 점검이 충분했는지가 검토될 수 있습니다. 여기에 얼굴 사진과 시술 이력 같은 민감도 높은 정보를 어떻게 저장·관리했는지, 접근 제한과 암호화가 이뤄졌는지도 함께 확인될 것으로 보입니다.

개인정보 유출 보상금은 얼마나 되나

사건에 따라 갈립니다. 1인당 10만원 안팎의 위자료가 인정된 사례가 있는 반면 (저희가 현재 진행 중인 듀오 개인정보 유출 집단소송 같은 경우에는 100만원 청구하였습니다), 구체적 사정에 비추어 위자료 자체가 인정되지 않은 사례도 있습니다. 유출된 정보의 성격, 제3자의 열람·확산 가능성, 2차 피해 위험, 사업자의 관리 실태와 사고 이후 조치를 개별적으로 살펴야 합니다.

대법원은 개인정보가 정보주체의 의사에 반해 유출된 경우 위자료로 배상할 만한 정신적 손해가 발생했는지를 판단할 때, 유출된 정보의 종류와 성격, 정보주체를 식별할 가능성이 생겼는지, 제3자가 실제로 열람했거나 앞으로 열람할 가능성이 있는지, 어느 범위까지 확산됐는지, 추가적인 법익침해 가능성이 생겼는지, 사업자의 관리 실태와 유출 경위는 어떠한지, 피해 발생과 확산을 막기 위해 어떤 조치가 취해졌는지를 종합적으로 고려해 개별 사건마다 판단하라고 밝혀 왔습니다(대법원 2012. 12. 26. 선고 2011다59834 판결 등).

실제로 카드 고객정보가 대량 유출된 사건들에서는 1인당 10만원의 위자료가 인정된 판결이 있었던 반면, 위 2011다59834 판결처럼 유출은 있었으나 위자료로 배상할 만한 정신적 손해가 발생했다고 보기 어렵다고 판단한 사례도 있습니다. "유출이 있었으니 얼마를 받는다"는 식으로 정해지지 않는다는 뜻입니다.

이번 사건에서는 얼굴·신체가 담긴 상담 사진과 실제 시술 내역이 포함됐다는 점을, 기존 사건과 구별되는 사정으로 주장해 볼 수 있습니다. 연락처 중심의 유출과 같은 기준으로 평가되어서는 안 된다는 취지입니다.

참고로 개인정보보호위원회는 최근 대규모 유출 사건에 상당한 규모의 제재를 부과해 왔습니다. 2026년 8월 26일 전체회의에서는 약 166만 명의 정보가 유출된 지에스리테일 사건에 과징금 128억 3,600만원과 과태료 300만원을 부과하고 시정·공표 명령을 내렸습니다. 이때 동일 IP의 대규모 로그인 시도를 탐지·차단하지 못한 점, 최초 인지 이후에도 같은 공격이 다른 서비스에서 이어지는 것을 뒤늦게 파악한 점, 추가 유출 대상자에 대한 통지가 정당한 사유 없이 72시간을 넘긴 점이 문제로 지적됐습니다.

다만 과징금은 국가가 부과하는 행정적 제재로, 개인이 받는 배상액과는 별개입니다. 개인정보위 조사에서 안전조치 의무 위반 등이 확인될 경우 그 조사 결과와 처분 내용은 이후 민사소송에서 사업자의 법 위반이나 과실을 판단하는 중요한 자료로 활용될 수 있습니다. 민사법원이 처분 내용을 그대로 따라야 하는 것은 아니고, 위법성·손해·인과관계는 별도로 판단합니다.

청구금액은 높을수록 유리한가

그렇지 않습니다. 청구금액을 지나치게 높게 정했다가 일부만 인정되면 원고에게도 소송비용 일부가 부담될 수 있습니다. 반대로 무조건 낮게 잡는 것이 유리한 것도 아닙니다. 확인된 피해와 확보된 자료를 기준으로 범위를 정하는 것이 출발점입니다.

집단소송을 준비하다 보면 "얼마까지 받아준다"는 말에 마음이 흔들리기 쉽습니다. 그러나 일부패소 사건의 소송비용은 청구액과 인용액의 차이를 산술적으로 계산해서 정해지는 것이 아닙니다. 민사소송법 제101조는 일부패소의 경우 각 당사자가 부담할 소송비용을 법원이 정하도록 하고 있고, 사정에 따라 어느 한쪽에 전부 부담하게 하는 것도 가능합니다.

실무에서는 이런 접근을 함께 검토합니다. 현재 확인된 피해와 확보된 자료를 기준으로 청구 범위를 정하되, 소송 과정에서 개인정보보호법 제39조의3에 따른 자료제출명령 등을 통해 추가 자료가 확보되면 그때 청구취지를 확장하는 방법입니다. 이 조항은 손해의 증명이나 손해액 산정에 필요한 자료를 법원이 상대방에게 제출하도록 명할 수 있게 하고, 정당한 이유 없이 명령에 따르지 않으면 자료의 기재에 관한 신청인의 주장을 진실한 것으로 인정할 수 있도록 정하고 있습니다.

개인정보 보호법 제39조의3(자료의 제출) 제1항

법원은 이 법을 위반한 행위로 인한 손해배상청구소송에서 당사자의 신청에 따라 상대방 당사자에게 해당 손해의 증명 또는 손해액의 산정에 필요한 자료의 제출을 명할 수 있다. 다만, 제출명령을 받은 자가 그 자료의 제출을 거부할 정당한 이유가 있으면 그러하지 아니하다.
출처: 국가법령정보센터

다만 일부만 청구했다가 나중에 확장하는 방식에도 고려할 점이 있습니다. 일부청구라는 사실을 소장에 어떻게 표시할지, 청구하지 않은 나머지 부분의 소멸시효를 어떻게 관리할지가 함께 검토되어야 합니다. 대법원은 일부청구의 경우 실제로 청구하지 않은 나머지 부분까지 재판상 청구에 따른 시효중단 효과가 당연히 미치는 것은 아니라고 보고 있기 때문입니다. 결국 청구 범위는 사건마다 따져야 할 문제이고, 처음부터 무조건 높게 또는 낮게 부르는 것이 정답인 경우는 드뭅니다.

강남언니 집단소송, 어떻게 준비하나

개인정보 유출 손해배상은 개인이 혼자 진행하기에는 비용 대비 실익이 낮습니다. 같은 피해를 입은 사람들이 모여 진행하면 비용을 나누고 자료를 공유할 수 있습니다.

준비의 출발점은 내 유출 항목 확인과 보관입니다. 30일 조회 기간 안에 캡처해 두시고, 유출 이후 받은 사칭 문자나 이상한 연락이 있다면 그것도 함께 남겨두시기 바랍니다. 2차 피해가 실제로 발생한 정황은 배상액 산정에서 의미 있는 자료가 됩니다.

담당 변호사

김민지파트너변호사

한의사 출신으로 고려대학교 법학전문대학원을 최우등 졸업하고 국내 대형로펌에서 근무했습니다. 양·한방 협진 병원 근무 경험을 바탕으로 의료·헬스케어와 개인정보 분야를 함께 다루며, 라임·옵티머스·디스커버리 투자자 집단소송과 제조물책임 집단소송을 수행해 왔습니다. 이번 강남언니 사고에서는 본인도 피해 당사자입니다.

#의료·상해 #개인정보·정통망법 #투자사기 집단소송 #명예훼손·모욕

김민지 파트너변호사 프로필 보기

개인정보 유출 관련 법령 한눈에

강남언니 개인정보유출 관련 많이 묻는 질문