공공부문 사이버 공격 급증...외교부·고용부 해킹, 따릉이 462만명 정보유출

핵심 요약

- 2022년 이후 외교부 해킹, 고용노동부 랜섬웨어 공격 등 중앙부처 대상 사이버 공격 잇따라 발생 - 서울시 따릉이 회원 462만명 개인정보 유출 사고는 발생 2년 후에야 확인되는 등 사후 대응 체계 미흡 - 국립현대미술관 유튜브 채널 해킹 등 공공기관 대상 공격도 확대되며 공공부문 보안 취약성 노출

주요 내용

2022년부터 2026년 현재까지 대한민국 정부기관과 공공기관을 대상으로 한 사이버 공격이 급격히 증가하고 있다. 외교부는 해킹 공격을 받았으며, 고용노동부는 랜섬웨어 공격으로 시스템 마비 사태를 겪었다. 이러한 공격은 단순한 시스템 침해를 넘어 국가 안보와 직결되는 외교 정보, 국민의 고용·노동 정보 등 민감한 데이터를 표적으로 삼고 있어 그 심각성이 더욱 크다.

특히 주목할 만한 사례는 서울시 공공자전거 '따릉이' 회원 462만명의 개인정보 유출 사고다. 이 사고는 실제 유출 발생 시점으로부터 무려 2년이 지난 후에야 확인됐다. 이는 침해사고 탐지 체계의 부재와 로그 관리 미흡을 단적으로 보여주는 사례로, 공공부문의 개인정보 보호 체계가 형식적 수준에 머물러 있음을 드러낸다. 462만명 규모는 서울시 인구의 절반에 육박하는 대규모 유출 사고로, 이름, 전화번호, 이메일 등 개인식별정보가 장기간 노출됐을 가능성이 높다.

국립현대미술관의 유튜브 채널 해킹 사고 역시 공공기관의 디지털 자산 관리 취약성을 보여준다. 공격자들은 해킹한 공식 채널을 악용해 가짜 정보를 유포하거나 피싱 공격의 발판으로 활용할 수 있다. 행정안전부를 포함한 여러 중앙부처와 지방정부가 연이어 공격 대상이 되면서, 공공부문 전반의 사이버 보안 역량 강화가 시급한 과제로 떠올랐다.

이러한 공격 급증의 배경에는 공공기관이 보유한 방대한 국민 개인정보와 중요 행정 데이터, 그리고 상대적으로 취약한 보안 인프라가 있다. 민간 기업에 비해 보안 투자와 전문 인력 확보가 부족한 공공부문은 조직화된 해킹 그룹의 주요 표적이 되고 있으며, 2026년 현재도 이러한 추세는 계속되고 있다.

전문가 시각

공공부문 사이버 공격 급증의 근본 원인은 '사후 대응' 중심의 낙후된 보안 패러다임에 있다. 따릉이 사고에서 2년간 유출 사실을 인지하지 못한 것은 실시간 침해 탐지 체계, 로그 모니터링, 이상 징후 분석 등 예방적 보안 통제가 작동하지 않았음을 의미한다. ISMS-P 인증을 받은 기관조차 사후 인증 유지 관리가 형식적으로 이뤄지는 경우가 많아, 인증 취득 자체가 목적이 되는 왜곡된 관행을 개선해야 한다.

실무 현장에서는 공공기관의 보안 담당자가 1~2명에 불과한 경우가 흔하며, 정보보호 예산 역시 전체 IT 예산의 5% 미만인 기관이 대부분이다. 랜섬웨어 공격에 대비한 백업 체계, 제로 트러스트 기반의 접근통제, 개인정보 암호화 등 기본적인 보안 통제조차 제대로 구현되지 않은 상태에서 사이버 공격에 무방비로 노출되고 있다. 공공부문은 보안 거버넌스 재정립, 전문인력 확충, 지속적 모의훈련을 통해 실질적 보안 역량을 구축해야 한다.

ISMS-P 심사원 체크포인트

1. 침해사고 탐지 및 대응 체계 (ISMS-P 2.8.2, 2.8.4)
따릉이 사고처럼 2년간 유출을 인지하지 못한 것은 침해사고 탐지 체계의 부재를 의미한다. 심사 시 ①실시간 로그 모니터링 체계 구축 여부 ②IDS/IPS, 웹방화벽 등 보안장비 운영 현황 ③이상 징후 탐지 및 분석 절차 ④침해사고 대응팀(CSIRT) 구성 및 역할 ⑤모의훈련 실시 이력을 중점 점검한다. 개인정보보호법 제29조(안전조치의무)와 제34조(개인정보 유출 통지) 위반 시 과징금 및 과태료가 부과될 수 있다.

2. 접근권한 관리 및 로그 기록 (ISMS-P 2.6.1, 2.6.3, 2.9.2)
공공기관 해킹의 주요 경로는 관리자 계정 탈취와 불필요한 권한 남용이다. 심사 시 ①최소권한 원칙 적용 여부 ②특권계정 관리 절차 ③접근 로그 6개월 이상 보관 ④로그 위변조 방지 대책 ⑤주기적 접근권한 재검토를 확인한다. 개인정보보호법 시행령 제30조(개인정보의 안전성 확보조치)는 접근 기록 최소 6개월 보관을 의무화하고 있다.

3. 개인정보 암호화 및 백업 (ISMS-P 2.9.3, 2.10.4)
462만명 규모의 개인정보 유출은 암호화 미적용 시 전체 정보 노출을 의미한다. 심사 시 ①고유식별정보·비밀번호 등 주요 개인정보 암호화 적용 현황 ②암호키 관리 체계 ③안전한 백업 및 복구 절차 ④백업 데이터 암호화 여부를 점검한다. 개인정보보호법 시행령 제30조 제1항 제3호는 개인정보 암호화를 명시적으로 요구한다.

CPPG·ISMS-P 연계 포인트

침해사고 통지 의무 (개인정보보호법 제34조)
개인정보 유출 사고 발생 시 정보주체에게 지체 없이 ①유출된 개인정보 항목 ②유출 시점과 그 경위 ③피해 최소화 방법 ④정보주체가 취할 수 있는 조치 ⑤대응조치 및 피해구제 절차를 통지해야 한다. 따릉이 사례처럼 2년 후 통지는 명백한 법 위반이며, 1천만명 이상 유출 시 과징금은 매출액의 3% 이하 또는 8억원 이하다.

안전조치 의무 위반 책임 (개인정보보호법 제29조, 제73조)
개인정보처리자는 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 조치를 취해야 하며, 위반 시 5년 이하 징역 또는 5천만원 이하 벌금이 부과될 수 있다. 공공기관의 경우 정보보호 최고책임자(CISO) 지정 의무가 있으며, 안전조치 미이행 시 기관장과 실무 책임자 모두 처벌 대상이 된다.