[일요시사 취재2팀] 김유미 기자 = 이메일을 이렇게 오래 쓸 줄 알았다면 초딩 때 조금 더 생각해서 만들걸… 하는 사람들의 모임”이라는 X(엑스) 게시글 캡처 이미지가 한때 밈으로 돌았다. 그만큼 어린 시절에 만든 아이디를 오래도록 사용하는 이들이 많다는 뜻. 개인정보가 하나 뚫릴 때마다 온갖 사이트 아이디와 비밀번호까지 연쇄적으로 걱정해야 하는데, 그마저도 너무 자주 털려서 ‘영혼까지 탈탈 털린다’는 웃지 못할 우스갯소리까지 나오고 있다.
서강대학교는 개인정보 18만여명 분량이 지난 14일 유출됐다고 밝혔다. 아이디(학번과 사번), 성명, 소속, 이메일주소, 암호화된 비밀번호 등 민감한 정보가 털린 것. 50여년 전 서강대에 입학했던 박근혜 전 대통령도 개인정보 유출 피해를 본 것으로 밝혀졌다.
50년 넘도록
정보만 축적
서강대학교 디지털정보처는 홈페이지에 ‘개인정보 유출 사고 발생에 따른 통지 및 사과문’을 올렸다. “통합 로그인 계정 정보에 대해 신원 미상의 외부 공격으로 일부 개인정보가 유출된 것으로 확인됐다”는 내용이 골자였다.
외부 공격은 지난 11일 해외 비인가 IP 접근으로 발생했다. 학교 측은 사흘 뒤인 14일 사고를 인지하고 긴급 방어에 나섰다. 공격 IP와 서버 네트워크를 차단, 접속 제한을 설정했다. 개인정보보호위원회와 교육부에도 사고 사실을 신고했다.
재학생뿐만 아니라 졸업생, 교직원, 반수생, 재수생 등도 개인정보 노출 피해를 본 것으로 추정된다. 서강대 관계자는 유출 범위가 넓어진 배경으로 법을 꼽았다. 교육기본법과 고등교육법 시행령 등에 따라 학적 정보를 반영구 보존해야 했던 까닭이다.
이번에 유출된 개인정보에 주민등록번호 등 고유 식별 정보와 금융계좌 번호는 포함되지 않았다. 암호화 형태이긴 하지만 통합 비밀번호까지 유출 대상에 포함된 것으로 파악돼 2차 피해 우려가 크다.
온라인 커뮤니티에는 “졸업한 지가 언제인데 아직도 내 번호랑 비번이…” “스미싱 문자 오기 시작하는데 학번까지 맞춰서 올까 봐 무섭다” 등 피해를 호소하는 재학생·졸업생·자퇴생의 글이 잇따라 올라오고 있다.
학교 측은 “이번 사안을 매우 엄중하게 받아들이고 있으며, 향후 유사한 사고가 재발하지 않도록 근본적으로 재점검하고 강화하겠다”며 사과했다.
대학가 해킹은 새로운 뉴스거리가 아니다. 2023년에는 학생 두 명이 경북대학교, 숙명여자대학교, 구미대학교 등 5개 대학과 동창회 홈페이지를 잇달아 해킹했다. 이들은 81만명이 넘는 이들의 개인정보와 주민등록번호를 수집했다. 당시 개인정보보호위원회는 다수 관련 기관에 과징금과 과태료 총 1억2080만원을 부과했다.
2024년에는 전북대학교, 이화여자대학교, 선문대학교에서 연이어 학생 정보가 유출됐다. 같은 해 한국예술종합학교도 해킹으로 재학생·졸업생 1만8000여명분 정보가 새어 나갔다고 밝혔다.
대학이 반복적으로 공격 대상이 되는 이유로는 상대적으로 낮은 보안 투자, 다수의 이용자가 공유하는 통합 로그인 시스템의 구조적 취약성, 장기간 보관되는 학적 정보의 특수성이 꼽힌다.
70학번 박근혜도 무사하지 못했다
교육법 따른 반영구 보관 방침 탓
공공기관에서 발생한 개인정보 유출 사고 역시 최근 5년 새 큰 폭으로 증가했다. 지난 16일 국회 정무위원회 소속 국민의힘 송언석 의원은 개인정보보호위원회에서 제출받은 ‘공공기관 개인정보 유출 사고 현황’ 분석 자료를 내놨다.
그에 따르면 올해 1월부터 6월까지 개인정보 유출 사고가 164곳에서 발생했다. 이는 지난해 연간 규모(128개 기관)를 이미 넘어선 수치다. 특히 3건 중 2건은 외부 해킹이 아니라 업무 과실 등 공공기관 내부 부주의에서 비롯한 것으로 나타났다.
위 대학 사례처럼 외부 해커 공격이 언론에 주목받기 쉽지만, 실제로는 담당자 부주의나 관리 소홀이 훨씬 더 빈번한 개인정보 유출 원인이라는 뜻이다.
2022년부터 올해까지 약 5년간 개인정보보호위원회가 처분을 완료한 공공기관 개인정보 유출 사고는 139건이었다. 그중 업무 과실이 94건으로 전체의 67.6％를 차지했다. 해킹은 44건, 고의 유출은 1건이었다.
송 의원은 “국민의 가장 민감한 정보를 보유하고 있는 공공기관이 오히려 개인정보 보호에 허술한 모습을 반복해서 보인다”며 “특히 처분 사례의 3분의 2 이상이 업무 과실이라는 것은 일선 현장의 경각심이 부족하다는 의미”라고 꼬집었다.
민간 영역 사고도 규모 면에서 만만치 않다. 지난해 4월 SK텔레콤에서는 홈 가입자 서버(HSS)를 해킹당해 가입자 2324만명의 휴대전화 번호, 가입자식별번호(IMSI), 유심 인증키 등 25종 정보가 유출되는 사고가 있었다.
이 사건은 유심 복제를 통한 금융 사기 가능성까지 제기되며 사회 불안을 키웠다. 개인정보위는 SK텔레콤에 약 1348억원, 역대 최대 규모 과징금을 부과했다. SK텔레콤은 지난 1월 이 과징금 처분에 불복해 취소 소송을 제기한 상태다.
공공기관은
업무 과실?
같은 해 11월에는 쿠팡에서 중국인으로 추정되는 전직 내부 직원에 의해 약 3370만개 회원 성명, 주소, 연락처 등이 유출됐다. SK텔레콤 사건의 1.5배에 달하는 규모였다. 외부 해킹이 아니라 내부자에 의한 유출이라는 점에서 기업 인력 관리와 접근 권한 통제에 경종을 울렸다.
이 밖에도 올해 들어서만도 1월 서울시 공공자전거 따릉이, 3월 사랑의열매(고액 기부자 647명의 명단과 주민등록번호), 6월 TVING과 CU편의점 택배 운영사 BGF네트웍스 등에서 크고 작은 개인정보 유출 사고가 발생했다. 언론 통계는 지난해에만 국내에서 개인정보 약 7000만건이 유출된 것으로 추산한다.
취재를 종합하면 최근 개인정보 유출은 크게 두 갈래 원인으로 나뉜다. 첫째는 외부 해킹이다. 비인가 IP가 시스템에 침입하는 사례다. 혹은 SK텔레콤에서처럼 고도화한 악성코드(BPFDoor)를 이용한 서버 침투가 대표적이다.
최근에는 AI 기술 확산도 새로운 위협 요인으로 지목된다. 업계 보고서에 따르면 지난해 전 세계 데이터 유출 사고의 16%가 AI 기반 공격과 연관돼있었다고 한다. 기업의 20%는 통제하지 못하는 ‘섀도 AI’ 사용으로 인해 정보 유출을 경험한 것으로 나타났다. 공격 기법이 고도화하는 만큼, 방어 대응에도 점점 더 많은 자원을 요구하는 셈이다.
둘째는 내부 관리 부실이다. 공공기관 유출 사고의 3분의 2 이상이 업무 과실에서 비롯됐다는 국회 자료가 이를 뒷받침한다. 담당자의 실수로 인한 정보 오발송, 접근 권한 관리 미흡, 퇴사자 계정 관리 소홀 등이 대표적인 유형이다.
쿠팡 사건처럼 내부 직원이 고의로 정보를 빼돌리는 경우도 이 범주에 속한다. 아무리 고도화한 첨단 보안 기법을 도입한다 해도 사람이 개입하는 절차적 허점이 남아 있는 한, 이런 사고는 근절되기 어렵다.
민간·공공
유출 도미노
두 원인은 해법도 다르다. 해킹에는 침입 탐지 시스템, 망 분리, 취약점 점검 등 기술적 투자가 필요하다. 반면 업무 과실에는 접근 권한 재설계, 직원 교육, 내부 통제 체계 정비 같은 조직·인사 차원 접근이 필요하다.
문제는 지금까지의 정책 논의가 주로 전자, 즉 해킹 대응과 처벌 강화에 초점을 맞춰왔다는 점이다. 개인정보 유출은 이제 특정 기업이나 기관이 겪는 사고가 아니라, 한국 사회 전체가 마주하는 구조적 문제로 굳어지고 있다.
왜 이런 일이 반복될까. 전문가들은 개인정보 유출 사고 근본 원인으로 4가지 구조적 폐단을 지적한다.
첫째, 개인정보 다이어트의 부재 혹은 데이터 과다 보존이다. 현행법상 목적을 달성한 개인정보는 즉시 파기하거나 별도 분리 보관해야 한다. 그러나 대다수 기관과 기업은 언젠가 쓸지 모른다는 이유로 수십년 전 졸업생이나 휴면 회원 데이터를 중앙 서버에 묶어둔다. 모으기만 하고 버리지 않는 관행이 피해 규모를 부풀렸다.
둘째, 알려진 취약점조차 방치하는 기술적 안일함이다. 해커는 고도로 발달한 신종 해킹 기법만을 사용하지 않는다. 이미 보안 패치가 발표된 구형 서버 취약점, 무차별 로그인 시도를 차단하는 기본적인 접속 제한(Rate Limiting) 로직조차 구현되지 않은 관리 소홀을 노린다.
퇴사자 및 외주 협력사 권한 관리(IAM) 부실이 셋째 원인이다. 퇴사한 직원 계정이나 개발용 인증 토큰(token)을 회수하지 않고 장기간 방치하다 해커에게 탈취당하는 사건이 빈번하다. 경계 보안망을 높게 쌓고도 ‘열려 있는 뒷문’을 관리하지 못한다는 게 전문가 평가다.
넷째, 보안을 투자가 아닌 비용으로 보는 인식이다. 기업과 대학 이사회에서 정보 보안 예산은 늘 우선순위에서 밀린다. 사고가 터졌을 때 지불하는 과징금이나 합의금이 평소 보안 인프라를 구축하는 비용보다 적게 든다는 도덕적 해이가 보안 경각심을 약화한다.
유출분 3분의 2 이상이 업무 과실
AI 기술 확산도 새로운 위협 요인
최근 몇 년간 정부와 국회는 개인정보 보호 관련 법과 제도를 잇달아 손봐왔다. 지난 2월에는 개인정보 보호법 개정안이 국회를 통과했다. 연이은 대규모 개인정보 유출 사고에 대응하기 위해 기업 책임을 강화하고 거버넌스를 정립하는 데 초점을 맞췄다.
가장 큰 변화는 개인정보 보호가 개인정보 보호 책임자(CPO) 등 실무진 관리 실패로 귀결되던 과거 구조에서 벗어났다는 점이다. 사고가 발생하면 조직 최고 의사 결정자에게도 법적·행정적 책임을 물을 수 있게 됐다. 제재 수위도 기존보다 두 배 이상 강화됐다.
오는 9월11일에는 유출·과징금·보호 책임자 관련 개정법을 시행한다. 우선 ‘유출 등’의 정의가 확대돼 위조·변조·훼손까지 포함하게 된다. 이는 데이터가 외부로 유출된 정황은 없으나 내부 파일이 훼손되기만 해도 통지·신고 의무가 발생한다는 뜻이다. 따라서 신고 대상이 넓어지는 효과를 낳는다.
또 유출 통지 시 피해자에게 손해배상청구 방법까지 함께 안내하도록 의무화했다. 손해배상 관련 법리도 바뀐다. 과거에는 피해자가 기업 고의나 과실을 직접 입증해야만 배상을 받을 수 있었지만, 개정 이후에는 이 입증 책임 구조가 달라져 피해 구제가 한층 실질화될 것으로 기대된다.
올해 하반기부터 내년까지는 공공기관 개인정보 보호 수준 평가 강화 공공기관을 대상으로 한 개인정보 보호 수준 평가도 대폭 강화한다. 가장 눈에 띄는 변화는 처벌 강도 상향이다. 유출 사고 발생 시 기존 최대 10점이던 감점이 최대 20점으로 두 배 높아졌다. 사후 대응이 미흡한 경우 추가로 최대 5점이 더 깎인다.
평가 기준도 형식적으로 법을 준수했는가를 따지던 방식에서 실질 보호 역량과 사고 예방 능력, 내부자 보안 활동 중심 평가 방식으로 전환된다.
제도가 정비되는 동안 이용자 개인 차원 대비도 필요하다. 개인정보 유출 사고가 발생했다면, 해당 기관이 운영하는 유출 여부 조회 페이지를 통해 피해 여부를 직접 확인해야 한다.
안전 속수무책
제재 수위 강화
암호화 여부와 무관하게 개인정보가 노출된 사이트는 물론, 동일 비밀번호를 사용 중인 다른 사이트 비밀번호까지 변경하는 것이 안전하다. 아울러 유출 통지를 빙자한 스미싱이나 피싱 문자에 주의해야 한다. 유출 사고 발생 직후에는 ‘본인 정보 유출 확인’ 등을 미끼로 한 악성 링크를 대량 유포하는 경우가 많기 때문이다.
오는 9월11일 개정법 시행 이후에는 기관이 개인정보 유출을 통지할 때 손해배상청구 방법까지 함께 안내하도록 의무화되는 만큼, 공식 통지 내용을 꼼꼼히 확인하고 피해 구제 절차를 밟는 것이 바람직하다.
<younme@ilyosisa.co.kr>
