대구 공공배달앱 '대구로' 해킹으로 가맹점 계좌정보 2만5천건 유출…공공앱 보안체계 전면 재점검

핵심 요약

- 대구시 공공배달앱 '대구로'에서 해킹 사고 발생, 가맹점주 계좌번호 2만 5천여 건이 외부에 노출됨 - 대구시는 해킹 사고 이후 긴급 사이버보안 특별점검에 착수, 공공앱 보안체계 전면 재검토 진행 중 - 야당은 개인정보 보호 강화뿐 아니라 공공데이터 관리·활용 체계 전반의 구조적 개선 필요성 지적

주요 내용

2026년 11월, 대구시가 운영하는 공공배달앱 '대구로'에서 대규모 해킹 사고가 발생했다. 이번 사고로 가맹점주들의 계좌번호 약 2만 5천 건이 외부에 노출되면서, 공공기관이 운영하는 플랫폼의 보안 취약성이 다시 한번 도마 위에 올랐다. 대구로는 지역 소상공인 지원을 목적으로 개발된 공공배달 플랫폼으로, 민간 배달앱 대비 낮은 수수료로 운영되며 지역경제 활성화에 기여해왔다.

대구시는 사고 발생 즉시 사이버보안 특별점검에 돌입했다. 해킹 경로 분석, 시스템 취약점 진단, 개인정보 유출 범위 확정 등을 최우선 과제로 추진하고 있다. 특히 계좌정보는 민감정보에 해당하는 금융정보로, 2차 피해 우려가 크다는 점에서 긴급 모니터링 체계를 가동 중이다. 대구시는 피해 가맹점주들에게 개별 통지를 완료했으며, 금융기관과 협력해 이상거래 탐지 시스템을 강화했다고 밝혔다.

민주당은 이번 사고를 계기로 대구로의 개인정보 보호 체계뿐 아니라 공공데이터 관리·활용 체계 전반을 재검토해야 한다고 주장했다. 공공 플랫폼이 민간 서비스와 동등한 수준의 보안 투자와 전문인력을 확보하지 못한 채 서비스를 확장해온 구조적 문제를 지적한 것이다. 특히 개발 단계에서부터 보안성 검토가 미흡했던 점, 정기적인 취약점 점검과 침해사고 대응 체계가 제대로 작동하지 않았던 점 등이 문제로 제기됐다.

이번 사고는 공공 플랫폼의 보안 거버넌스 강화 필요성을 시사한다. 대구시는 재발 방지를 위해 외부 보안전문기관의 정밀 진단을 받고, ISMS-P 인증 취득 등 제도적 안전장치 마련에 나설 것으로 예상된다. 또한 공공앱 개발 시 보안 설계 원칙(Security by Design) 적용, 정기적 모의해킹 테스트, 보안관제 체계 고도화 등이 필수 과제로 떠올랐다.

전문가 시각

이번 대구로 해킹 사고는 공공 플랫폼의 '보안 부채(Security Debt)' 문제를 극명하게 드러낸 사례다. 많은 공공앱들이 기능 구현과 신속한 서비스 출시에 집중한 나머지, 보안 설계와 개인정보보호 체계 구축을 후순위로 미루는 경향이 있다. 특히 외부 개발업체에 의존하는 경우, 납품 이후 유지보수 단계에서 보안 패치가 제때 이루어지지 않거나, 취약점 발견 시 신속한 대응이 어려운 구조적 한계가 존재한다. 계좌정보 2만 5천 건 유출은 단순한 기술적 실패가 아니라, 개인정보 영향평가(PIA) 부실, 접근통제 미흡, 암호화 적용 불충분 등 다층적 보안 통제 실패가 복합적으로 작용한 결과로 보인다.

실무 관점에서 공공기관은 이번 사고를 계기로 세 가지 핵심 대응 방안을 즉시 이행해야 한다. 첫째, 개인정보(특히 금융정보)는 반드시 암호화 저장하고, DB 접근 권한을 최소 권한 원칙에 따라 재설정해야 한다. 둘째, 웹 애플리케이션 방화벽(WAF)과 침입탐지시스템(IDS) 등 기술적 보안 통제를 필수적으로 도입하고, 실시간 모니터링 체계를 구축해야 한다. 셋째, 개발 단계부터 보안 전문가가 참여하는 DevSecOps 체계를 구축하고, 정기적인 모의해킹과 취약점 진단을 의무화해야 한다. 특히 공공앱의 경우 ISMS-P 인증을 통해 외부 검증을 받고, 개인정보 보호책임자(CPO)의 실질적 권한을 강화하는 조직적 대응이 필수적이다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(PIA, Privacy Impact Assessment): 개인정보를 활용하는 신규 시스템 구축 시 개인정보 침해 위험요인을 사전에 분석·평가하고 보호대책을 수립하는 제도. 개인정보보호법 제33조에 따라 공공기관은 대규모 개인정보 처리 시스템 구축·운영 전 의무적으로 시행해야 하며, 민감정보·고유식별정보 처리 시스템의 경우 더욱 엄격한 평가가 요구된다. 대구로와 같은 공공배달앱은 금융정보를 처리하므로 PIA를 통해 암호화, 접근통제, 로그 관리 등 기술적 보호조치를 사전 설계 단계부터 반영했어야 한다.

ISMS-P 인증 3대 보호대책(관리적·기술적·물리적 보호조치): 정보보호 및 개인정보보호 관리체계 인증에서 요구하는 핵심 통제 영역으로, 관리적 보호조치(정책·조직·교육), 기술적 보호조치(암호화·접근통제·취약점 점검), 물리적 보호조치(시설 보안)를 포괄한다. 공공 플랫폼은 ISMS-P 인증 104개 통제항목 중 특히 '개인정보 암호화(2.8.2)', '접근권한 관리(2.5.3)', '침해사고 대응(2.10.1~2.10.4)' 항목의 이행이 핵심이며, 이번 사고는 기술적 보호조치의 실패 사례로 분석된다.