문체부 산하 공공기관, 하루 740만건 해킹 시도에 연이은 개인정보 유출 '비상'

국립중앙도서관·영화진흥위원회 등 실제 침해사고 발생… 공공기관 정보보호 체계 전면 재점검 요구

---

핵심 요약

문화체육관광부 소관 공공기관을 대상으로 한 사이버 공격이 하루 평균 740만 건에 달하는 것으로 나타났다. 단순 시도에 그치지 않고 국립중앙도서관, 영화진흥위원회 등에서 실제 개인정보 유출 사고가 연이어 발생하며, 공공기관의 정보보호 역량에 대한 우려가 커지고 있다.

---

사례별 분석

1. 국립중앙도서관 – DDoS 공격에서 웹취약점 침해까지

국립중앙도서관은 2024년 대규모 디도스(DDoS) 공격을 받은 데 이어, 2025년에는 웹 취약점을 악용한 공격으로 이용자 879명의 개인정보가 유출되는 피해를 입었다. 디도스 공격이 서비스 마비를 노린 1차 공격이었다면, 이후 발생한 웹취약점 공격은 내부 데이터 탈취를 목적으로 한 2차 침해로 분석된다.

특히 웹취약점 공격은 SQL 인젝션, 크로스사이트 스크립팅(XSS) 등 이미 알려진 공격 기법을 활용했을 가능성이 높아, 기본적인 보안 패치와 취약점 점검이 미흡했음을 시사한다.

2. 영화진흥위원회 – 회원정보 357건 유출

영화진흥위원회에서는 회원정보 357건이 외부로 유출되는 사고가 발생했다. 유출 규모는 상대적으로 작지만, 문화예술 분야 종사자의 민감한 개인정보가 포함되어 있어 2차 피해 우려가 제기된다.

---

공통 패턴 분석

이번 연쇄 침해사고에서 나타난 공통점은 다음과 같다.

첫째, 지속적인 공격 속 방어 체계의 한계다. 하루 740만 건의 해킹 시도는 공격자들이 공공기관을 '손쉬운 타깃'으로 인식하고 있음을 보여준다.

둘째, 알려진 취약점에 대한 대응 부재다. 웹취약점 공격은 정기적인 보안 점검과 패치만으로도 상당 부분 예방 가능하나, 이를 소홀히 한 정황이 드러났다.

셋째, 침해 탐지 및 대응 체계의 미흡이다. 대량의 공격 시도가 탐지되면서도 실제 침해로 이어진 것은 모니터링과 즉각 대응 역량에 문제가 있음을 의미한다.

---

기업·기관 대응 방안

① 상시 취약점 점검 체계 구축: 분기별 모의해킹 및 웹 취약점 진단을 의무화하고, 발견 즉시 패치하는 프로세스를 확립해야 한다.

② 침해사고 대응훈련 강화: 연 1회 이상 실전형 사이버 모의훈련을 실시하고, 대응 매뉴얼을 최신화해야 한다.

③ 개인정보 암호화 및 접근통제 강화: 유출 시에도 피해를 최소화할 수 있도록 저장·전송 시 암호화를 철저히 적용하고, 접근 권한을 최소화해야 한다.

④ 정보보호 인력 및 예산 확대: 전담 보안 인력 배치와 함께 정보보호 예산을 현실화할 필요가 있다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.9 취약점 점검 및 조치]

>

인증기준에 따르면, 정보시스템의 취약점을 정기적으로 점검하고 발견된 취약점은 신속하게 조치해야 한다. 이번 사례는 웹 취약점 방치로 인한 침해사고의 대표적 유형으로, 시험에서 "취약점 점검 주기 및 조치 절차"와 관련된 문제로 출제될 가능성이 높다. 공공기관은 「전자정부법」에 따른 보안성 검토와 함께 ISMS-P 인증 기준의 취약점 관리 요구사항을 반드시 충족해야 한다.

---

백남정 기자 | 개인정보보호 전문