개인정보 유출 삼양그룹 4개 사 과징금 5억여원 부과

핵심요약

기사 핵심 요약

개인정보보호위원회는 약 15만 명의 정보를 유출한 삼양그룹 계열사에 과징금 5억여 원을 의결했다.

• 개인정보보호위원회가 삼양그룹 소속 4개 사에 과징금 5억5천200만 원과 과태료 1천620만 원을 부과했다.
• 해커가 2022년 내부 파일서버를 공격해 임직원과 주주 등 약 15만 명의 정보와 주민등록번호를 유출했다.
• 삼양그룹은 주민등록번호 암호화 누락과 데이터 이관 후 외부망 서버 방치 등 기본 안전조치를 위반했다.

개인정보 유출 삼양그룹 계열사들이 주민등록번호 암호화와 서버 접근통제 같은 안전조치를 소홀히 한 사실이 드러나 무거운 행정처분을 받았다. 개인정보보호위원회는 2026년 11월 11일 전체회의를 열고 개인정보 보호 법규를 위반한 삼양그룹 소속 4개 사에 총 5억5천200만 원의 과징금과 1천620만 원의 과태료, 시정명령을 의결했다고 11월 12일 밝혔다. 제재 대상은 지주사인 삼양홀딩스를 비롯해 삼양사, 삼양패키징, 삼양데이타시스템이다.

개인정보보호위원회 제재 내용과 4개 사 처분 내역

개인정보보호위원회는 안전조치 의무를 소홀히 한 삼양그룹 지주사와 핵심 계열사들에 대해 법적 기준에 따른 과징금과 과태료를 분할 부과하고 시스템 관리 계열사에는 별도의 시정명령을 내렸다. 개인정보보호법에 규정된 주민등록번호 암호화 및 유출 방지 의무를 위반한 계열사들은 과징금 처분을 피하지 못했다.

개인정보 유출 삼양그룹에 대한 조치가 강력히 이루어지고 있으며, 앞으로의 추가적인 감시와 법적 조치가 예상된다.

과징금은 삼양홀딩스, 삼양사, 삼양패키징 등 3개 사에 각각 1억8천400만 원씩 동일하게 책정됐다. 과태료의 경우 개인정보 수집 및 파기 의무 위반 항목에 따라 삼양홀딩스 900만 원, 삼양패키징 540만 원, 삼양사 180만 원으로 각각 정해졌다. 전체 시스템 관리 업무를 전담한 삼양데이타시스템에는 과징금 대신 시정명령과 공표 조치가 내려졌다. 최근 기업들의 보안 관리 부실로 행정제재가 잇따르고 있으며, 앞서 모두투어 개인정보 유출로 7억4천700만원 과징금 부과 사례처럼 내부망 통제 실패에 대한 감독당국의 처벌 기준은 강화되는 추세다.

표: 삼양그룹 4개 사 제재 처분 내역

회사명	역할	과징금(원)	과태료(원)	행정처분
삼양홀딩스	그룹 지주사	1억8천400만	900만	과징금·과태료 부과
삼양사	식품·화학 계열사	1억8천400만	180만	과징금·과태료 부과
삼양패키징	패키징 계열사	1억8천400만	540만	과징금·과태료 부과
삼양데이타시스템	IT 시스템 관리사	없음	없음	시정명령 및 결과 공표

출처: 개인정보보호위원회 의결 결과(2026.11.12)

해킹 사고 경로와 외부망 방치 정황

신원 미상의 해커는 메일서버 취약점을 악용해 관리자 권한을 손에 넣은 뒤 데이터 이관을 위해 구축된 내부 파일서버 인증정보를 탈취해 대량의 개인정보를 외부로 유출했다. 침입은 2022년 7월에 발생한 것으로 조사됐다.

해커는 메일서버를 경유해 확보한 계정 정보를 활용해 내부 파일서버에 침투했다. 유출 대상에는 삼양홀딩스, 삼양사, 삼양패키징 소속 임직원은 물론 주주와 업무 관계자 등 총 14만9천767명의 정보가 포함됐다. 유출 파일 규모는 약 85만 개로 총용량은 1.3TB에 달했다. 이 가운데 8만2천750명에 달하는 주민등록번호가 외부로 빠져나갔다.

조사 과정에서는 시스템 관리 운영사인 삼양데이타시스템의 관리 소홀이 확인됐다. 삼양데이타시스템은 파일서버를 이용한 데이터 이관 작업이 끝난 뒤에도 해당 장비를 외부 인터넷망과 연결된 채 방치했다. 해커는 외부망과 연결된 허점을 이용해 서버에 축적된 대규모 개인정보 파일을 단기간에 외부 상용 클라우드로 전송했다.

주민등록번호 미암호화와 부실한 위수탁 관리

삼양그룹 주요 계열사들은 주민등록번호를 암호화하지 않은 채 평문으로 저장하거나 보존기간이 경과한 서류를 파기하지 않는 등 기본적인 법령상 보호 조치를 어긴 것으로 나타났다. 보관 기준과 위탁 관계 관리 체계 모두에서 결함이 드러났다.

삼양홀딩스, 삼양사, 삼양패키징 3개 사는 저장 시 필수적으로 적용해야 하는 주민등록번호 암호화 조치를 누락했다. 법적 보존기간이 지난 일용직 근로자의 급여 명세 및 지급 관련 정보 역시 제때 파기되지 않고 서버에 남아 있었다. 삼양홀딩스와 삼양패키징은 이를 장기간 보관해 오다 침해 피해를 키웠다.

삼양홀딩스는 신규 인력 채용 과정에서 법적 근거 없이 지원자의 주민등록번호를 수집해 보관한 사실까지 적발됐다. 개인정보 처리 위수탁 계약서 작성 의무도 지켜지지 않았다. 삼양 3사는 해킹 사고가 일어난 2022년 7월 이전부터 삼양데이타시스템에 전산 업무를 맡겨왔으나, 공식 위수탁 계약서는 유출 사고가 발생한 지 2년여가 지난 2024년 12월에야 체결했다.

시스템 방치와 장기 보관 방지를 위한 재발 방지 권고

개인정보보호위원회는 작업이 끝난 장비를 방치하거나 불필요한 개인정보를 장기 보관하는 행태가 대형 침해 사고의 원인이라고 짚으며 전 계열사에 실질적인 보안 대책 이행을 요구했다. 제도적 관리 기준과 기술적 격리가 현장에서 철저히 작동해야 한다는 점을 분명히 했다.

개인정보보호위원회는 사용하지 않는 서버를 물리적으로 폐기하지 않거나 네트워크에서 완전히 분리하지 않아 취약점이 발생했다고 밝혔다. 암호화 미비와 보존기한 경과 자료의 방치가 유출 피해 규모를 불필요하게 키운 주요 배경으로 지적됐다.

위원회는 기업들을 향해 용도가 끝난 전산 서버는 즉시 폐기하거나 외부 인터넷 접속 경로를 차단해야 한다고 강조했다. 보유 목적이 달성된 개인정보는 규정에 따라 지체 없이 파기하는 등 기초적인 법정 안전조치 의무를 지속해서 점검할 것을 당부했다.

자주 묻는 질문

삼양그룹에서 유출된 개인정보 규모와 항목은 어느 정도인가요?

임직원, 주주, 관계자 등 14만9천767명의 개인정보 파일 약 85만 개가 유출됐으며 이 중 8만2천750명의 주민등록번호가 포함됐습니다.

계열사별로 어떤 행정처분이 내려졌나요?

삼양홀딩스, 삼양사, 삼양패키징에 각각 1억8천400만 원의 과징금이 부과됐고, 삼양데이타시스템에는 시정명령과 공표 조치가 내려졌습니다.

주요 법 위반 사항은 무엇이었나요?

주민등록번호 미암호화, 데이터 이관 완료 서버의 외부망 방치, 보존기간 경과 정보 미파기, 위수탁 계약서 지연 체결 등이 적발됐습니다.