자사몰이 해킹·랜섬웨어를 당하면,
24시간 안에 신고해야 합니다
개인정보가 새어 나갔을 때 개인정보보호위원회에 신고해야 한다는 건 많이 알려져 있습니다. 그런데 해킹·랜섬웨어·디도스처럼 "시스템이 공격당한 사고" 자체는 그와 별개의 법(정보통신망법)으로, 과학기술정보통신부에 24시간 안에 따로 신고해야 한다는 사실은 놓치기 쉽습니다. 회원 DB를 직접 운영하는 자사몰 셀러라면 두 신고가 동시에 걸릴 수 있습니다. 이 글은 근거 조문(정보통신망법 제48조의3)과 KISA 안내를 바탕으로, 내가 침해사고 신고 대상인지·언제까지·어디에 하는지, 그리고 개인정보 유출신고와 무엇이 다른지를 셀러 관점에서 과장 없이 정리합니다.
"개인정보 유출신고"와 "침해사고 신고"는 다른 제도입니다
같은 해킹 사고 하나로 두 신고가 동시에 발동할 수 있습니다. 근거 법·신고처·기한이 다르므로, 한쪽만 하면 다른 쪽 의무를 놓칩니다.
| 구분 | 침해사고 신고 | 개인정보 유출신고 |
|---|---|---|
| 근거 법 | 정보통신망법 제48조의3 | 개인정보 보호법 제34조 |
| 대상 사고 | 해킹·랜섬웨어·디도스·악성코드 등 정보통신망 침해 | 개인정보의 분실·도난·유출(개정 후 위조·변조·훼손 포함) |
| 신고처 | 과학기술정보통신부·KISA | 개인정보보호위원회·KISA |
| 기한 | 사고를 안 때부터 24시간 이내(최초신고) | 안 때부터 72시간 이내 |
침해사고 24시간 신고는 2024년 8월부터 이미 시행 중
이건 앞으로 생길 규제가 아니라 이미 시행되고 있는 의무입니다. 2024년 8월 14일부터 정보통신망법 제48조의3과 시행령 제58조의2에 따라, 정보통신서비스 제공자는 침해사고 발생을 알게 된 때부터 24시간 이내에 우선 신고(최초신고)하고, 이후 추가로 확인한 사항이 있으면 확인한 때부터 다시 24시간 이내에 보완신고해야 합니다.
| 구분 | 내용 |
|---|---|
| 최초신고 | 침해사고를 안 때부터 24시간 이내 — 피해 내용·원인·대응 현황 중 파악된 것부터 우선 신고 |
| 보완신고 | 추가 사실을 확인한 때부터 24시간 이내 |
| 신고 방법 | 서면·전자우편·전화·인터넷 홈페이지 입력 |
| 미신고 시 | 과태료 1차 750만 · 2차 1,500만 · 3차 이상 3,000만원 |
"정보통신서비스 제공자" — 자사몰 운영자는 대개 해당
신고 의무 대상은 정보통신서비스 제공자, 즉 영리를 목적으로 전기통신역무를 이용해 정보를 제공하거나 그 제공을 매개하는 자입니다. 판단이 갈리는 지점을 셀러 상황별로 정리하면 이렇습니다.
| 내 판매 방식 | 침해사고 신고 의무 |
|---|---|
| 자사몰·독립몰 운영(Cafe24·자체 서버 등 내 도메인으로 회원·주문을 직접 처리) | 대개 해당 내 시스템이 침해당하면 신고 주체 |
| 오픈마켓 입점만(스마트스토어·쿠팡 등 플랫폼 안에서만 판매) | 대개 플랫폼 책임 플랫폼 서버 침해는 플랫폼이 신고 주체 — 단 내 PC·업무망이 직접 감염되면 상황이 달라질 수 있음 |
전면개정: 매출 3% 과징금·CISO 임원급 (시행 예정)
2026년 3월 12일 국회 본회의를 통과한 정보통신망법 전면개정은 침해사고 대응 의무를 크게 강화합니다. 공포 후 6개월이 지난 날부터 시행될 예정입니다.
| 강화 내용 | 메모 |
|---|---|
| 24시간 신고를 예외 없이 명확화 | 기존 24시간 기한을 법률 본문에 더 분명히 규정 |
| 반복 침해 시 매출액 3% 이내 과징금 | 5년 내 2회 이상, 고의·중과실일 때 — 소규모 셀러에 곧바로 적용되긴 어려운 가중요건 |
| 이행강제금 | 시정명령 미이행 시 하루 단위 부과 |
| 정보보호 최고책임자(CISO) 임원급 격상·정보보호위원회 | 적용 규모 기준은 시행령 위임(미확정) — 중기업은 제외 방향으로 논의, 소규모 셀러는 대개 대상 아님 |
사고를 알게 되면: 24시간 안에, 어디에
침해사고로 판단되면 사고를 안 때부터 24시간 이내에 과학기술정보통신부(접수 전문기관 KISA)에 신고합니다. 개인정보까지 유출됐다면 개인정보 유출신고(72시간)도 별도로 진행해야 합니다.
| 구분 | 내용 |
|---|---|
| 신고 창구 | 과기정통부·KISA 인터넷보호나라(boho.or.kr) · 침해사고 신고·상담 전화 118 |
| 신고 시점 | 사고를 안 때부터 24시간 이내 최초신고 → 추가 확인 시 보완신고 |
| 함께 챙길 것 | 개인정보 유출을 동반하면 개인정보위 유출신고(brss.pipc.go.kr, 72시간) 별도 진행 |
| 미신고 시 | 과태료(현행 750~3,000만원) + 전면개정 시행 후 제재 강화 예정 |
지금 점검할 체크리스트
- 신고 창구 미리 저장 — 침해사고는 118·boho.or.kr, 개인정보 유출은 brss.pipc.go.kr. 사고 순간에 검색하지 않도록 지금 북마크.
- "두 신고" 판단 기준 1장 — 사고가 나면 ⓐ침해사고 신고(24시간) ⓑ개인정보 유출 동반 여부 → 유출신고(72시간)를 순서대로 확인하는 사내 절차를 문서화.
- 랜섬웨어·해킹 대비 — 회원·주문 데이터 정기 백업, 관리자 계정 2단계 인증, 접근권한 최소화. 침해사고 예방이 곧 신고 리스크 감소.
- 로그·증적 보존 — 사고 발생 시 원인·경위 파악을 위해 접속기록과 서버 로그를 훼손하지 말고 보존(신고서에 피해 내용·원인 기재 필요).
- 자사몰 여부 자가진단 — 오픈마켓 입점만 하는지, 자체 도메인으로 회원을 직접 처리하는지 확인. 후자면 신고 주체일 가능성.
- 규모·해당 여부가 애매하면 KISA(118)·과기정통부 또는 전문가 확인.
침해사고 신고, 셀러가 자주 묻는 것
개인정보가 유출된 게 아니라 서버만 해킹당했는데도 신고해야 하나요?
네. 개인정보 유출과 별개로 「정보통신망법」 제48조의3의 침해사고 신고 의무가 있습니다. 해킹·랜섬웨어·디도스 등 침해사고를 알게 되면 24시간 이내에 과학기술정보통신부·한국인터넷진흥원(KISA)에 신고해야 합니다. 개인정보 유출은 제34조에 따른 72시간 통지·신고로 별개 제도입니다.
침해사고 24시간 신고는 최근 새로 생긴 의무인가요?
아닙니다. 침해사고 24시간 신고는 「정보통신망법」 제48조의3과 시행령 제58조의2에 따라 2024-08-14부터 이미 시행 중입니다. 위반 시 과태료가 1차 750만원, 2차 1,500만원, 3차 이상 3,000만원까지 부과될 수 있습니다.
작은 자사몰인데도 '정보통신서비스 제공자'에 해당하나요?
대체로 해당합니다. 영리 목적으로 웹사이트·앱으로 재화·서비스를 제공하면 정보통신서비스 제공자로 보는 것이 일반적이라, 자사몰 운영자도 제48조의3 침해사고 신고 의무 대상이 됩니다. 규모가 작다는 이유만으로 예외라고 단정하기 어렵습니다.
2026년에 침해사고 관련 규제가 더 강해지나요?
네. 2026-03-31 공포된 전면개정(법률 제21500호)이 2026-10-01 시행 예정입니다. 매출액 3% 수준 과징금, CISO(정보보호 최고책임자) 지정 강화 등이 담겼으나 규모 기준 등 세부는 시행령에 위임돼 아직 확정 문언이 아닙니다. 시행 시점에 관보·과기정통부 안내로 최신 문언을 확인하세요.
개인정보 처리방침, 무료로 먼저 점검
침해사고 대응 절차와 함께, 자사몰 개인정보 처리방침에 필수 기재나 부적정 표현이 없는지도 점검할 차례입니다. 무료 도구로 가입·설치 없이 바로 확인하고, 취급 품목·상황에 맞는 다른 도구와 실무 가이드도 허브에서 골라 쓰세요.
개인정보 처리방침 무료 점검 → 전체 무료 도구 보기유출 대응 문서까지 갖추려면
침해사고가 개인정보 유출을 동반하면 72시간 신고·회원 통지 절차가 함께 걸립니다. 개인정보 9·11 대응킷은 이 유출 대응 절차를 실무 문서로 만든 패키지입니다 — 소상공인용 처리방침 템플릿, 유출 대응 절차서, 자가점검표.
대응킷 살펴보기 →참고 출처(2026-09-04 확인): 국가법령정보센터 — 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조의3 · KISA 인터넷보호나라 — 침해사고 신고(118) · 김·장 — 침해사고 24시간 신고 제도(2024-08 시행) 해설