970만명 정보유출에 위반 1건당 법정상한 222만호주달러

영향인원: 970만명

위반 1건당 법정상한: 222만호주달러

민사절차: 1심 진행

사건 공시: 2022-10-12

01 · 핵심 요약

건강정보는 비밀번호처럼 바꿀 수 없다. 진료·청구기록이 공개되면 금전손실과 별개로 장기간 재식별과 협박 위험이 남는다.

메디뱅크는 2022년 10월 고객 신원과 건강보험 청구자료가 유출된 사실을 알렸고 영향 모집단은 약 970만명으로 확대됐다. 일부 자료가 공개되면서 비밀번호 변경만으로 없앨 수 없는 의료정보의 장기 식별위험이 생겼다. 호주 경찰은 2024년 공격자를 지목했고 OAIC는 회사의 보호조치가 합리적이었는지를 묻는 민사제재 소송을 냈다. 2026년 9월 기준 1심 판단과 제재액은 확정되지 않았으며 당시 위반 1건당 222만호주달러 상한을 인원수에 곱해 예상 벌금이나 배상액으로 제시할 수 없다.

규모를 읽는 법

OAIC의 소송자료는 영향을 받은 Medibank 고객과 전고객을 970만명으로 적시했다. 당시 Privacy Act 조항상 법정상한은 각 위반 한 건당 222만호주달러였다. OAIC 민사절차는 2026년 9월 4일 기준 1심 진행 중이며, Medibank가 이상활동을 처음 공시한 날은 2022년 10월 12일이다. 970만명과 건당 상한을 곱한 값은 확정 제재금이 아니고, OAIC의 위반 주장은 법원 최종판단 전까지 주장으로 표시한다. 영향인원과 상한은 OAIC 소송자료, 최초 공시일은 Medibank 발표, 현재 절차는 OAIC의 2026년 업무설명으로 확인된다. ‘각 위반’이 몇 건 성립하는지는 법원이 보호조치의 기간과 피해자별 행위를 어떻게 판단하는지에 달려 있다. 사건 공시일은 회사가 이상활동을 알린 시점이지 침입의 최초 발생일을 확정한 날짜도 아니다.

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

교체할 수 없는 건강·청구정보가 대량 반출되면서 접근권한과 보유기간 통제가 장기 신원위험과 회사의 보호의무 소송으로 이어졌다.

01
1단계
공격자는 고객 신원정보와 민감한 건강보험 청구자료에 접근해 외부로 반출했다.
02
2단계
일부 자료가 공개되며 금전손실과 별개로 의료정보의 장기 식별위험이 생겼다.
03
3단계
경찰은 행위자를 지목했고 OAIC는 회사의 보호조치가 합리적이었는지 민사소송으로 물었다.
04
4단계
970만명은 소송상 모집단이며 법원이 인정한 위반 건수와 최종 제재액은 아직 정해지지 않았다.

사건 연표

2022.10.12
Medibank가 비정상 시스템 활동을 공시한다
2022.10~11
건강·청구정보 유출 범위가 확대 확인된다
2024.1.23
호주 경찰이 러시아 국적자를 공격자로 지목한다
2024.6.5
OAIC가 연방법원에 민사제재 소송을 제기한다
2026.9.4
민사소송의 최종 책임·제재액은 미확정이다

왜 가능했나

공격자는 고객 신원정보와 민감한 건강보험 청구자료에 접근해 반출했고 일부를 공개했다. 보유기간, 접근권한과 이상행위 탐지가 충분했는지가 회사의 합리적 보호조치 의무와 연결됐다. 탈취자료에는 서비스 이용 여부뿐 아니라 의료청구 내용이 포함돼 피해자가 스스로 노출정보를 교체하기도 어렵다. 회사가 어느 시점에 위험을 알았고 어떤 통제를 유지했는지도 소송의 시간축을 이룬다.

경찰은 행위자를 지목했고 OAIC는 회사 책임을 민사소송으로 묻고 있다. 970만명은 소송상 영향 모집단이며 법원이 인정할 위반 건수와 최종 제재액은 아직 정해지지 않았다. 위반 한 건당 상한을 인원수에 단순 곱해 예상 벌금이나 보상액으로 제시하지 않는다. 법원은 보호조치와 각 위반의 성립을 먼저 판단한 뒤에야 제재범위를 정할 수 있어 단순 곱셈이 성립하지 않는다.

03 · 같은 일이 여기서 일어난다면

한국에서는 건강정보의 민감성, 금융·보험회사의 보유 목적과 국외처리를 국내 개인정보 법제로 따로 판단해야 한다.

01
호주의 OAIC 소송은 Medibank가 합리적 보호조치를 했는지 묻는다. 한국에서는 개인정보 보호법과 신용정보법에 따른 보험사·수탁자의 안전조치 및 통지 의무를 확인한다. 민감정보의 처리목적과 삭제주기도 국내 판단요소다.
02
롯데카드 해킹·카드정보 유출과 대량 식별정보 노출이라는 구조는 같다. 건강보험 청구내용은 변경이 어려운 민감정보라는 점에서 장기 위험과 구제범위가 다르다. 카드정보와 건강정보는 변경·구제 가능성이 다르다.
03
공식 자료는 한국 거주 피해자를 확인하지 않았다. 국외 보험서비스 이용, 정보의 국외보관과 재식별 가능성이 노출경로이며 222만호주달러를 개인별 보상액으로 해석하지 않는다. 호주 집단구제와 국내 분쟁절차도 별개로 확인한다.

연결해서 볼 국내 사건

롯데카드 개인정보 유출과 업무정지 →2014년 카드 3사 개인정보 유출 →

Medibank 사건의 970만명은 영향 모집단이고 222만호주달러는 당시의 건당 법정상한이다. 법원 절차가 진행 중이므로 위반건수와 최종 제재·배상을 확정적으로 말할 수 없다. 2026년 기준 민사절차가 계속되는 만큼 최종 판단 전에는 OAIC의 주장을 귀속하고 법정상한을 확정 벌금처럼 제시하지 않는다.

관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.

04 · 근거 자료

판단을 다시 확인할 자료

사실관계 기준일은 2026.09.04입니다. 사건 규모의 숫자는 각 항목에 적힌 범위와 시점을 함께 읽어야 합니다.