신한카드 가맹점주 19만 명 개인정보 유출 사건

신한카드의 일부 영업점에 소속된 직원들이 2022년 3월부터 새로 계약을 맺은 가맹점주들의 개인정보를 무단으로 조회해 외부로 빼돌리기 시작한 것으로 뒤늦게 확인됐다. 이들은 새로 등록된 가맹점 대표자의 이름과 휴대전화번호, 생년월일 등을 시스템에서 조회한 뒤 이를 카드 모집인에게 넘겨 신규 카드 고객 확보에 활용한 것으로 드러났다. 시스템 감시망을 피하기 위해 모니터 화면을 촬영하거나 종이에 직접 적어 정보를 공유하는 등 내부 통제를 무력화하는 방식이 동원됐다. 이러한 유출 행위는 특정 영업소 한 곳에 그치지 않고 여러 영업소에 걸쳐 조직적으로 이뤄진 것으로 파악됐다. 이 시점부터 시작된 유출은 3년 넘게 발각되지 않은 채 이어지게 된다.

신한카드 가맹점주 개인정보 무단 유출은 2022년 3월부터 2025년 5월까지 약 3년 2개월에 걸쳐 지속된 것으로 조사됐다. 5개 영업소에 소속된 직원 12명이 이 기간 동안 가맹점 대표자 정보를 반복적으로 빼돌린 것으로 파악돼, 개인의 일탈이 아닌 다수 인원이 가담한 구조적 문제라는 지적이 나왔다. 유출된 정보는 상호·주소와 함께 가맹점 대표자의 휴대전화번호, 이름, 생년월일, 성별 등 민감한 개인정보를 포함하고 있었다. 이 기간 신한카드 내부에서는 별다른 이상 징후를 포착하지 못한 채 유출 행위가 장기간 지속됐다는 점에서 내부통제 시스템의 허점이 드러났다. 이후 이 사실은 공익제보를 통해서야 비로소 세상에 알려지게 된다.

2025년 11월 12일 개인정보보호위원회는 가맹점 대표자 개인정보가 무단 유출됐다는 공익제보를 접수하고 신한카드 측에 관련 자료 제출을 공식 요청했다. 제보자는 신한카드 영업점 직원들이 가맹점주 정보를 카드 모집인에게 넘기고 있다는 구체적인 정황을 신고한 것으로 알려졌다. 이는 신한카드 내부에서 자체적으로 적발한 것이 아니라 외부 제보를 통해 비로소 문제가 수면 위로 떠오른 사례였다. 개인정보위의 자료 제출 요청은 이후 신한카드의 내부 조사를 촉발하는 계기가 됐다. 금융권에서는 대형 카드사조차 내부자 유출을 자체적으로 포착하지 못했다는 점에서 보안 관리 체계에 대한 우려가 커졌다.

개인정보보호위원회의 자료 제출 요청 다음 날인 2025년 11월 13일 신한카드는 제보된 자료와 자사 내부 시스템 기록을 대조하는 조사에 착수했다. 회사는 조회 이력 등을 역추적해 어떤 직원이 언제, 어떤 가맹점주의 정보를 조회했는지를 확인하는 작업을 진행한 것으로 알려졌다. 이 과정에서 5개 영업소 소속 직원 12명이 2022년 3월부터 2025년 5월까지 총 19만2088건의 개인정보를 무단으로 유출한 정황이 구체적으로 드러났다. 유출된 정보에는 휴대전화번호만 포함된 경우부터 이름·생년월일·성별까지 함께 포함된 경우까지 다양한 조합이 있었던 것으로 파악됐다. 내부 조사 결과는 이후 12월 공식 발표와 사과로 이어지게 된다.

신한카드는 2025년 12월 23일 내부 조사 결과를 바탕으로 가맹점 대표자 19만2088명의 개인정보가 유출된 사실을 공식 발표하고 사과문을 게시했다. 유출 정보 중 휴대전화번호만 노출된 경우가 18만1585건으로 가장 많았고, 휴대전화번호와 이름이 함께 노출된 경우가 8120건, 생년월일과 성별까지 포함된 경우도 2310건에 달했다. 신한카드는 피해가 확인된 가맹점 대표자들에게 개별 안내를 진행하고 본인 정보 포함 여부를 확인할 수 있는 전용 조회 페이지를 마련하겠다고 밝혔다. 아울러 내·외부 보안 체계를 재점검·강화하고 관련 직원들에 대해 엄중히 문책하겠다는 방침도 함께 내놨다. 이번 사고는 카드업계 내부자에 의한 개인정보 유출의 심각성을 다시 한번 부각시킨 사례로 평가된다.

2025년 12월 25일 보도에 따르면 신한카드의 이번 개인정보 유출 사건이 3년 넘게 지속된 데다 피해 규모가 19만 명을 넘어서면서 금융당국으로부터 최대 1000억 원대 과징금을 부과받을 수 있다는 전망이 제기됐다. 개인정보보호법상 과징금은 위반행위 관련 매출액을 기준으로 산정되는데, 유출이 장기간 조직적으로 이뤄진 정황이 확인될 경우 제재 수위가 한층 높아질 수 있다는 분석이었다. 금융권에서는 이번 사건이 내부자에 의한 정보 유출인 만큼 신한카드의 내부통제 실패 책임이 더 무겁게 다뤄질 수 있다는 관측도 나왔다. 신한카드는 금융감독원 등 당국의 조사에 협조하며 결과를 지켜보고 있다는 입장을 밝혔다. 이 사건은 카드사의 내부 직원 관리와 정보 접근 통제 강화 필요성을 다시 한번 환기시켰다.