따릉이 462만명 정보유출 2년간 '깜깜'…공공·민간 보안 구멍 '심각'

서울시 공공자전거 따릉이에서 462만 명의 개인정보가 유출되고도 2년간 탐지되지 않은 사실이 뒤늦게 밝혀졌다. BGF네트웍스, 교원그룹, 국립중앙도서관 등 민간·공공기관을 가리지 않고 대규모 침해사고가 연쇄 발생하면서 대한민국 개인정보보호 체계 전반에 경고등이 켜졌다.

---

사례별 심층 분석

따릉이 462만명 유출, 2년간 '미탐지'의 충격

서울시 따릉이 시스템에서 발생한 이번 유출 사고는 규모도 문제지만, 2년이라는 탐지 공백이 더 큰 논란을 낳고 있다. 유출된 정보에는 이용자 이름, 연락처, 이용 이력 등이 포함된 것으로 추정된다.

공공기관의 경우 개인정보보호법 제34조에 따라 유출 인지 후 72시간 내 정보주체에게 통지해야 하나, 탐지 자체가 이뤄지지 않으면 이 의무는 무력화된다. 이는 침해사고 탐지·모니터링 체계의 부재를 여실히 보여주는 사례다.

민간도 예외 없어…BGF·교원그룹 연쇄 피해

BGF네트웍스는 해킹 공격으로, 교원그룹은 랜섬웨어 감염으로 개인정보 침해사고를 겪었다. 특히 교원그룹의 경우 교육 관련 민감정보가 포함됐을 가능성이 제기되며 2차 피해 우려가 높다.

국립중앙도서관과 영화진흥위원회 등 공공기관 역시 동일 시기 침해사고가 발생해, 공격자들이 공공·민간 구분 없이 취약점을 집중 공략하고 있음을 시사한다.

---

공통 패턴 3가지

패턴	설명
① 탐지 체계 미비	실시간 이상징후 모니터링 부재로 장기간 유출 방치
② 위탁업체 관리 실패	외주 시스템 보안 점검 소홀
③ 사후대응 지연	유출 인지 후 통지·신고 절차 미흡

이번 사례들은 침입 방지(Prevention)에만 집중하고 탐지(Detection)·대응(Response)이 부실한 국내 보안 현실을 그대로 드러낸다.

---

기업·기관 대응 방안

1. 상시 모니터링 체계 구축
SIEM(보안정보이벤트관리), EDR(엔드포인트탐지대응) 등 탐지 솔루션을 도입하고 24시간 관제 체계를 운영해야 한다.

2. 정기적 침해사고 모의훈련
연 1회 이상 모의 침투 테스트와 대응 훈련을 실시해 실제 사고 시 골든타임 내 조치가 가능하도록 한다.

3. 수탁사 보안 관리 강화
위탁업체에 대한 정기 보안점검을 계약서에 명시하고, 개인정보 처리 현황을 분기별로 점검해야 한다.

4. 침해사고 대응 프로세스 문서화
탐지→분석→통지→신고→복구 전 과정을 매뉴얼화하고 담당자 역할을 명확히 해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.9.5 침해사고 대응]

침해사고 탐지·분석·대응·복구 절차를 수립하고, 정기적으로 모의훈련을 실시해야 한다. 이번 따릉이 사례처럼 2년간 미탐지는 해당 인증 기준의 핵심 취지인 '신속한 탐지와 대응'을 정면으로 위반한 것으로, 시험에서 탐지 모니터링 체계의 필수 구성요소(로그 분석, 이상징후 탐지, 알림 체계)를 묻는 문제로 출제 가능성이 높다.

---

이번 연쇄 사고는 단순한 기술적 실패가 아닌 거버넌스와 감시체계 전반의 구조적 문제를 보여준다. 개인정보보호위원회의 엄중한 조사와 함께, 공공·민간 모두 보안 투자와 인식 제고가 시급하다.

백남정 기자 | 개인정보보호 전문