지난 2024년 6월 ‘서울 공공자전거 따릉이’에서 개인정보 유출이 발생했던 사실이 지난 2월 서울 경찰청 사이버수사과 수사 과정에서 드러났다. 개인정보 유출 피해자들은 지난 7월 23일에서야 피해 사실을 알게 됐다. 지난해에도 3천만 명이 넘는 피해자가 발생한 쿠팡 사건과 SK텔레콤의 개인정보 유출 사건 등 크고 작은 개인정보 유출 사건이 연이어 발생하며 개인정보 유출에 대한 심각성이 확대되고 있다. 본 기사를 통해 △개인정보 유출 현황△개인정보 유출 원인△나아가야 할 방향에 대해 알아보자.

 

 

◆개인정보 유출 현황

지난 2024년 6월 ‘서울공공자전거 따릉이’에서 개인정보 유출이 발생했던 사실이 지난 2월 서울 경찰청 사이버수사과 수사 과정에서 드러났다. 개인정보 유출 피해자들은 지난 7월 23일에서야 피해 사실을 알게 됐다. 민간기업에서는 대표적으로 지난해 3천만 명이 넘는 이용자의 개인정보가 유출된 쿠팡 사건과 SK텔레콤의 개인정보 유출 사건 등이 언론에 보도됐다.

 

이처럼 최근 민간이 아닌 공공서비스에서도 개인정보 유출이 발생하며 유출 사건 발생건은 해가 갈수록 증가하는 추세이다. 국회 정무위원회 송언석 의원이 개인정보보호위원회로부터 받은 자료에 따르면 개인정보 유출이 발생한 공공기관 수는 △2021년 22곳△2022년 23곳△2023년 41곳△2024년 104곳△2025년 128곳으로 늘었다. 이번 해의 경우 지난 6월까지만해도 유출 사고 발생건이 164곳에 달해 이미 2021년의 7배를 넘어선 상황이다.

 

 

◆개인정보 유출 원인

그렇다면 반복되는 개인정보 유출의 원인은 무엇일까. 개인정보보호위원회(PIPC)와 한국인터넷진흥원(KISA)이 공동 발간한 ‘2025년 개인정보 유출 신고 및 조사·처분 사례’ 보고서에 따르면 전체 개인정보 유출 원인은 △해킹 62%(276건)△업무 과실 25%(110건)△시스템 오류 5%(24건)순으로 해킹과 업무과실이 높게 나타났다. 해킹 유형 중에서는 랜섬웨어*와 웹셸** 등 악성코드 공격이 35%(96건)로 가장 높은 비중을 차지했고 SQL 인젝션***과 파라미터 변조**** 등 웹 취약점 악용 사례도 다수 확인됐다. 더불어 이러한 원인들이 복합적으로 발생함으로써 개인정보 유출 사고로 이어지고 있다.

 

우선 따릉이 개인정보 유출 사건은 10대 두 명의 해킹에 의한 것으로 밝혀졌다. 경찰 조사 결과 따릉이의 일부 서버에는 인증 절차가 제대로 작동하지 않는 구조적 취약점이 존재했다. 통상적으로 서버는 회원이 로그인하면 인증 토큰이라는 증표 및 자격증명을 발급한다. 이를 통해 서버는 해당 사용자 및 관리자가 실제로 정보를 볼 권한이 있는지 확인한다. 하지만 따릉이 서버는 이런 검증 과정 없이 외부에서 특정 값만 입력하면 정보 조회가 가능했다.  한편 쿠팡과 SKT 개인정보 유출 사건은 업무과실에 의한 사건이었다. 법무법인 지향에 따르면 쿠팡 개인정보 유출 사건의 경우 외부의 공격자가 아닌 이미 퇴사한 내부 직원의 소행이었던 것으로 밝혀졌다. 이는 기업 보안의 가장 기초가 되는 인사 및 계정 관리 시스템이 붕괴됐다는 것을 보여준다. 개인정보보호법에 따르면 기업은 직원이 퇴사하면 접근 권한을 지체 없이 말소해야 한다. 그러나 쿠팡은 이러한 기본적인 안전조치 의무를 위반했고 이것이 개인정보 유출로 이어졌다고 지향은 밝혔다.

 

이어서 지향은 개인정보 열람 권한 차등부여의 부재와 제한의 느슨함도 쿠팡 측의 부실이라고 지적했다. 개인정보보호법에 따르면 기업은 개인정보처리시스템의 접속 기록을 월 1회 이상 점검할 의무가 있다. 쿠팡이 수개월에 걸쳐 이루어진 대규모 범죄를 알아채지 못했던 것은 이 의무를 성실히 이행하지 못했다는 방증이다. 오마이뉴스에 따르면 쿠팡에서 발생한 개인정보 해킹이 사용자가 인증에 성공한 후 서버가 발급하는 API*****나 자원에 접근할 권한을 증명하는 임시 문자열인 액세스 토큰의 유효 인증키가 장기간 방치됐기 때문이라는 지적도 나왔다. 이 액세스 토큰 서명키를 회사 측이 제때 갱신하거나 폐기하지 않아 담당 직원이 퇴사 이후에 이를 악용했다는 것이다.

 

시스템 오류로 인한 개인정보 유출 사건으로는 지난달 신세계인터넷면세점에서 고객 673명의 개인정보가 유출됐던 사고가 있다. 신세계 측은 이번 사고가 해킹이 아닌 메일 발송 과정에서 발생한 시스템 오류로 인해 수신자 처리에 문제가 생긴 것으로 추정된다고 밝혔다. 한국인터넷진흥원 개인정보침해 조사센터는 현재 이 사건에 대해 서면조사를 진행하고 있다.

 

 

◆나아가야 할 방향

개인정보 유출은 무엇보다도 미연에 방지하는 것이 중요하다. 이를 위해서는 먼저 접근권한 관리가 강화될 필요가 있다. 퇴사자 계정이나 방치된 인증 정보로 내부 및 외부 위협자가 시스템에 무단 접근하는 것을 막으려면 네트워크 안팎을 가리지 않고 모든 접근 요청을 지속적으로 검증하는 체계인 ‘제로 트러스트(Zero Trust) 모델’이 필요하다. 실제로 구글은 △기기△사용자△접근 권한 기반을 기준으로 삼는 제로 트러스트 모델 중 하나인 ‘비욘드코프(BeyondCorp)’를 시행하고 있다. 구글은 약 8년에 걸쳐 사내 네트워크를 이 방식으로 재구축했으며 △싱글사인온(SSO)******△접근 컨텍스트 관리자*******△ID 인식 프록시******** 등을 통해 통제 기준을 네트워크가 아닌 개별 기기와 사용자로 옮겨 내부에 있어도 권한을 계속 재확인하도록 만든 것이 핵심이다. 쿠팡의 개인정보 유출 사건과 같은 사례가 발생하지 않기 위해서는 이같은 모델을 적용할 필요가 있다.

 

둘째로 암호화 의무가 확대돼야 한다. 유럽연합의 개인정보보호규정(General Data Protection Regulation, 이하 GDPR)은 이와 관련해 참고할 만한 모델이다. GDPR은 지난 2018년부터 시행된 유럽연합의 개인정보보호 법률로 유럽연합 시민의 개인정보를 처리하는 모든 기업에게 △데이터 처리 목적 제한△열람 및 삭제 요구권 보장△정보주체의 동의 등을 의무화한다. GDPR은 특정 기술적 조치를 세세하게 의무화하지는 않지만 조직에 기술 및 조직적 제어가 모두 필요하다고 명시하며 암호화 및 가명화를 강력하게 권장하고 있다. 권리 침해가 발생한 경우 72시간 내에 감독기관에 신고해야 하며 이를 어길 경우 글로벌 매출액의 4% 또는 2,000만 유로 중 더 높은 금액을 벌금으로 지불해야 한다. 우리나라도 GDPR처럼 암호화 대상을 촘촘히 열거하기보다 다양한 조치를 폭넓게 권장하고 암호화를 유도하는 방식을 참고할 필요가 있다.

 

마지막으로 개인정보 유출 사건이 이미 발생했을 경우를 대비해 유출 인지 및 공시 체계 역시 정비돼야 한다. 미국의 증권거래위원회(SEC)는 상장기업이 사이버 보안 사고를 중대하다고 판단한 날로부터 이를 영업일 4일 내에 공시하도록 의무화했다. 또한 지난 2023년 7월부터는 ‘8-K 아이템 1.05’라는 별도 항목을 통해 △범위△성격△시점△잠재적 영향 등을 공시하도록 하고 있다. 우리나라도 현행 72시간 신고 의무와 더불어 투자자를 향한 공시 의무까지 이중으로 부과하면 기업의 은폐 및 축소 유인을 줄일 수 있을 것이다.

 

결국 개인정보 유출은 기술의 문제이기 이전에 관리의 문제다. 우리는 서명키와 암호화 설정을 소홀히 한 대가가 수천만 명의 피해로 돌아온다는 것을 이미 경험했다. 반복되는 사고를 막으려면 이제는 기업의 선의에 기대기보다 △공시 의무△암호화△접근권한을 촘촘히 엮은 제도적 안전망이 필요한 시점이다.

 

*랜섬웨어(Ransomware): 사용자의 파일이나 시스템을 암호화하여 접근을 차단한 뒤 이를 복구해주는 대가로 금전을 요구하는 악성 소프트웨어.

**웹셸(Web Shell) 공격: 특정 웹페이지의 파일 업로드 취약점(파일 업로드 기능을 이용해 비정상적인 스크립트 파일 등을 실행)을 통해 시스템에서 실행 가능한 악성코드를 삽입 및 실행하여 관리자 권한 획득 및 개인정보 탈취 등을 행하는 공격 기법.

***SQL(Structured Query Language) 인젝션 공격: 악의적인 에스큐엘(SQL)문을 삽입해 데이터베이스가 비정상적인 동작을 하도록 조작하는 공격 기법.

****파라미터 변조: 웹 요청에 포함된 파라미터 값(△쿠키△폼 데이터△URL 등)을 사용자가 임의로 조작하여 △가격△권한△인증 정보 등을 부당하게 변경하는 공격 기법.

*****API(Application Programming Interface): 서로 다른 소프트웨어가 정해진 규칙에 따라 데이터를 주고받거나 기능을 요청·응답할 수 있게 해주는 약속된 인터페이스.

******싱글사인온(SSO, Single Sign-On): 한 번의 로그인으로 여러 시스템과 서비스에 접근할 수 있게 해주는 인증 방식.

*******접근 컨텍스트 관리자(Access Context Manager): 사용자의 △기기 상태△시간△위치 등 여러 조건을 종합적으로 확인해 접근 허용 여부를 판단하는 정책 관리 도구.

********ID 인식 프록시(Identity-Aware Proxy): 사용자가 특정 애플리케이션이나 서버에 접속할 때마다 신원과 권한을 확인한 뒤 접근을 중계하는 관문 역할을 하는 프록시

 

 

한예진 기자 13yejin@hufs.ac.kr