따릉이 462만 명 정보유출 2년간 '깜깜'…공공·민간 보안체계 총체적 부실 드러나

---

서울시 공공자전거 '따릉이'에서 462만 명의 개인정보가 유출됐으나 무려 2년간 탐지조차 되지 않은 것으로 확인됐다. 같은 시기 더존비즈온 ERP 시스템의 보안 취약점 방치 문제도 불거지면서, 공공기관과 민간기업을 아우르는 정보보호 체계의 구조적 허점이 수면 위로 떠올랐다.

---

사례 분석: 탐지 없는 유출, 방치된 취약점

따릉이 개인정보 유출 사고

서울시설공단이 운영하는 따릉이 시스템에서 회원 이름, 연락처, 이용이력 등 462만 명의 개인정보가 외부로 유출된 사실이 뒤늦게 밝혀졌다. 문제의 심각성은 유출 규모만이 아니다. 2년이라는 기간 동안 어떠한 이상징후도 탐지하지 못했다는 점에서 공공기관의 보안 모니터링 체계가 사실상 작동하지 않았음이 드러났다.

공공자전거 서비스 특성상 이용자 대부분이 실명 인증을 거친 시민들이다. 유출된 정보는 스미싱, 보이스피싱 등 2차 범죄에 악용될 가능성이 높아 피해 확산이 우려된다.

더존비즈온 ERP 보안 취약점 방치

한편 중소기업 시장 점유율이 높은 더존비즈온의 ERP 시스템에서도 심각한 보안 문제가 제기됐다. 기술지원이 종료된 구버전 시스템이 보안 패치 없이 다수 중소기업에서 그대로 운영되고 있는 것으로 나타났다. 비용 부담과 업무 연속성을 이유로 업그레이드를 미룬 기업들이 해커의 손쉬운 먹잇감이 될 수 있다는 경고가 나온다.

---

공통 패턴: '사후약방문' 보안의 한계

두 사례에서 드러난 공통점은 명확하다.

첫째, 상시 모니터링 체계의 부재다. 침해사고는 발생 즉시 탐지·대응해야 피해를 최소화할 수 있으나, 따릉이 사고는 2년간 방치됐다. 로그 분석, 이상행위 탐지(UEBA) 등 기본적인 보안 모니터링이 형식적으로 운영됐음을 시사한다.

둘째, 생명주기 관리 실패다. 더존 ERP 사례는 시스템의 기술지원 종료(End of Support) 이후에도 보안 업데이트 없이 운영을 지속한 전형적인 사례다. 개인정보처리시스템은 도입부터 폐기까지 전 생명주기에 걸쳐 보안성을 유지해야 한다.

셋째, 책임 소재의 모호함이다. 공공기관은 위탁업체에, 중소기업은 솔루션 벤더에 보안 책임을 떠넘기는 구조가 반복되고 있다.

---

기업·기관 대응 방안

• 실시간 침해탐지체계 구축: SIEM(보안정보이벤트관리) 도입과 정기적인 로그 분석을 의무화해야 한다.

• 시스템 생명주기 관리 강화: 기술지원 종료 소프트웨어는 즉시 업그레이드하거나 대체 시스템으로 전환해야 한다.

• 정기 취약점 점검 및 모의훈련: 연 1회 이상 침투 테스트와 침해사고 대응 훈련을 실시해 실효성을 검증해야 한다.

• 개인정보 영향평가 내실화: 공공기관은 형식적 평가를 넘어 실질적 위험 분석에 기반한 보호대책을 수립해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보의 안전성 확보조치 기준 제6조(접근통제) 및 제8조(접속기록의 보관 및 점검)와 직결되는 사례다. 특히 접속기록은 최소 1년 이상 보관하고 월 1회 이상 점검해야 하며, 이를 통해 이상징후를 조기에 탐지해야 한다. ISMS-P 인증기준 중 '2.9.4 로그 및 접속기록 관리' 항목에서 "접속기록을 정기적으로 분석하여 비인가 접근 및 이상행위를 탐지하는 절차를 수립·이행"할 것을 요구하고 있다.

---

백남정 기자 security@privacynews.kr