SM 전자결재망 해킹, 피해자가 확인할 4가지

공지를 보고 불안하다면 아래 네 가지부터 확인해 두세요. 아직 유출 규모가 확정되지 않은 단계일수록 지금의 기록이 나중에 권리를 주장하는 근거가 됩니다.

1. 대상 여부: 해당 회사나 계열사의 전·현직 임직원, 협력사, 계약 당사자인가
2. 통지 내용: 이메일이나 문자로 받은 통지에 어떤 항목이 적혀 있는가
3. 고위험 정보: 바꾸기 어려운 식별번호나 금융·계약 정보가 들어 있는가
4. 이상 연락: 회사나 관계자를 사칭해 돈이나 금융정보를 요구하는 연락을 받았는가

무엇이 공지됐나요?

공지와 보도를 정리하면, SM엔터테인먼트는 2026년 11월 8일 홈페이지에서 11월 4일경 업무 시스템(전자결재시스템 등)에 외부 공격자가 무단으로 접근해 일부 문서를 외부로 유출했다고 공지했습니다. 회사는 상세 유출 내용과 규모를 파악 중이라고 밝혔고, 현재까지 2차 피해 사례는 확인되지 않았다는 입장입니다.

이번 사고의 구체적인 침입 경로가 외부 프로그램이나 위탁업체에 있었다는 사실까지 확인된 것은 아닙니다. 이번 사안의 구체적인 침입 경로와 회사의 과실 여부는 관계기관 조사로 확인될 부분이고, 이 글은 특정 회사의 책임을 판단하려는 것이 아니라 업무 시스템 해킹이 생겼을 때 피해자와 기업이 알아야 할 법적 대응을 정리한 것입니다.

전자결재·업무 시스템 해킹은 왜 더 위험한가요?

회원 데이터베이스가 정리된 표라면, 전자결재 시스템은 회사의 결정 과정 전체가 담긴 문서 창고입니다. 개인정보가 계약 조건, 정산 내역, 내부 판단과 함께 묶여 있어 유출의 의미가 훨씬 넓습니다.

특히 결재 문서는 "누가, 무엇을, 누구에게 승인했는지"를 보여줍니다. 공격자가 이를 알면 실제 결재선과 거래처를 흉내 낸 메일로 송금을 요구하는 2차 범죄가 쉬워집니다. 회사가 "사칭 연락에 주의해 달라"고 당부하는 이유가 여기에 있습니다.

임직원·협력사·아티스트는 무엇을 해야 하나요?

직원이나 협력사도 개인정보보호법상 정보주체로서 고객과 똑같이 보호받습니다. "회사 일로 낸 서류"라서 권리가 줄어드는 것이 아닙니다.

퇴직자나 협력사 관계자는 연락처가 바뀌어 개별 통지를 받지 못하는 경우가 많습니다. 회사가 홈페이지 공지나 별도 문의 창구를 운영한다면 그 경로로 직접 확인하는 것이 좋습니다.

기업 업무 시스템 해킹, 회사는 어떤 의무를 지나요?

해킹을 당한 회사는 범죄 피해자이지만, 동시에 임직원과 협력사의 정보를 맡은 개인정보처리자입니다. 법이 정한 보호조치와 사고 후 절차를 지켰는지가 책임을 가릅니다.

2026년 9월 11일 시행된 개정 제도에서는 법정 요건에 해당하는 반복적·중대한 위반에 대해 과징금 상한이 전체 매출액의 10%까지 높아질 수 있습니다. 예방을 위한 보안 투자 등은 감경 요소가 될 수 있지만, 고의·중과실 위반은 감경에서 제외될 수 있습니다. 이는 행정상 과징금에 관한 설명이며 개별 피해자의 손해배상액과는 별개입니다.

손해배상은 어떻게 청구하나요?

개인정보보호법은 피해자의 입증 부담을 줄인 손해배상 방법을 두고 있습니다. 어느 청구든 사고 경위와 유출 사실을 먼저 살펴야 합니다. 회사가 고의·과실이 없음을 증명하는지와 별도로, 법정손해배상에서는 배상할 만한 손해가 없다는 항변이 인정되는지도 쟁점입니다.

대법원은 법정손해배상에서도 회사가 배상할 만한 정신적 손해가 없었다는 점을 증명하면 책임을 면할 수 있고, 유출된 정보의 종류와 식별 가능성, 제3자 열람 가능성, 확산 방지 조치 등을 종합해 판단한다고 했습니다(대법원 2025. 12. 4. 선고 2023다311184 판결). 주민등록번호와 계좌번호가 이름과 함께 유출됐다면 피해 위험을 평가할 중요한 사정이지만, 실제로 누구의 어떤 정보가 유출됐는지와 확산 가능성, 회사의 사후 조치를 함께 보아야 합니다. 결국 조사로 드러날 유출 범위와 대응 과정이 결론을 좌우합니다.

같은 사고의 피해자가 많다면 함께 원고가 되는 공동소송으로 진행할 수 있습니다. 개인정보 유출 소송의 구조는 개인정보 유출 손해배상과 기업 대응, 듀오 집단소송까지에 자세히 정리했습니다.

기획사와 기업이 미리 갖춰야 할 것은?

업무 시스템 사고는 회원 DB 사고보다 준비가 덜 된 경우가 많습니다. 아래 항목이 평소에 정리돼 있는지가 사고 시 회사를 지킵니다.

• 문서 속 개인정보 지도: 결재·정산·계약 문서 가운데 주민등록번호와 계좌번호가 어디에 들어가는지 파악하고, 꼭 필요하지 않다면 마스킹하거나 별도 보관합니다.
• 외부 연동 점검: 문서 미리보기, 전자서명, 클라우드 저장소처럼 업무 시스템에 연결된 외부 프로그램을 목록으로 만들고, 위탁계약에 보안 의무와 사고 시 통보·협조 조항을 넣습니다.
• 권한과 기록: 퇴사자·외주 인력 계정을 즉시 회수하고, 권한 부여·변경·말소 기록을 3년 이상 남깁니다.
• 통지 체계: 퇴직자와 협력사까지 연락할 수 있는 통지 경로와, 72시간 안에 낼 통지 문안을 미리 준비합니다.
• 처리방침 정합성: 임직원·협력사 정보 처리 내용이 개인정보 처리방침과 내부 관리계획에 실제대로 반영돼 있는지 확인합니다.