애플 내부자 유출부터 230만 건 의료정보 해킹까지…잇단 대형 침해사고 경각심

글로벌 빅테크 기업의 내부자 정보유출과 대규모 의료정보 해킹 사건이 잇따라 발생하면서, 기업 보안 체계 전반에 대한 재점검 요구가 커지고 있다. 전직 직원에 의한 영업비밀 탈취와 외부 해킹 공격이라는 서로 다른 유형의 침해사고가 동시에 터지며 '내부자 위협'과 '외부 사이버 공격' 모두에 대한 복합적 대응 필요성이 부각된다.

---

애플 전 직원, 기밀문서 유출 후 오픈AI 이직…소송전 돌입

애플은 최근 전직 직원 탕 탄(Tang Tan)을 상대로 영업비밀 유출 소송을 제기했다. 탕 탄은 애플 재직 당시 하드웨어 설계 정보와 협력사 기밀 문서를 개인 이메일로 전송한 뒤, 경쟁사인 오픈AI로 이직한 것으로 알려졌다.

이번 사건은 전형적인 내부자 위협(Insider Threat) 사례로 분류된다. 퇴직 예정 직원이 이직을 앞두고 핵심 기술자료를 외부로 반출하는 패턴은 글로벌 기업들이 가장 경계하는 보안 위협 중 하나다. 특히 AI 산업의 인재 쟁탈전이 격화되면서 이 같은 기술 유출 리스크가 더욱 높아지고 있다.

---

크레소티 해킹, 230만 명 민감 의료정보 대규모 유출

미국 의약품 결제 플랫폼 크레소티(Curesoti)가 해킹 공격을 받아 약 230만 명의 민감 의료정보가 유출되는 대형 사고가 발생했다. 유출된 정보에는 처방전, 복용 약물 내역, 건강 상태 데이터 등이 포함되어 있어 2차 피해 우려가 크다.

의료정보는 개인정보 중에서도 민감정보로 분류되어 더욱 엄격한 보호가 요구된다. 이번 유출 사고는 의료 분야 플랫폼의 보안 취약점을 여실히 드러낸 사례로, 환자 정보를 다루는 기업들의 보안 투자 확대가 시급하다는 지적이 나온다.

---

공통 패턴: 데이터 이동 구간과 접근 통제의 허점

두 사건은 발생 원인과 유형이 다르지만, 데이터 흐름 통제 실패라는 공통점을 갖는다.

애플 사건의 경우 퇴직 예정자의 이메일 전송 행위를 사전에 탐지·차단하지 못했다. 크레소티 사건은 외부 침입자가 대량의 민감정보에 접근할 수 있었다는 점에서 접근 권한 관리와 이상 탐지 체계의 부재가 드러났다.

결국 '누가, 어떤 데이터에, 언제, 어떻게 접근하는가'에 대한 가시성 확보가 핵심 과제인 셈이다.

---

기업·기관 대응 방안

1. 내부자 위협 대응 강화 - 퇴직 예정자 대상 데이터 접근 권한 즉시 축소 - 이메일·클라우드·USB 등 데이터 반출 채널에 대한 DLP(Data Loss Prevention) 솔루션 적용 - 이직 시 비밀유지서약 재확인 및 법적 고지 강화

2. 외부 해킹 방어 체계 점검 - 민감정보 암호화 및 접근 로그 실시간 모니터링 - 정기적 취약점 점검 및 침투 테스트 실시 - 침해사고 대응 매뉴얼 수립 및 모의훈련

3. 제로 트러스트(Zero Trust) 보안 모델 도입 - 내·외부 구분 없이 모든 접근 요청에 대해 지속적 검증 - 최소 권한 원칙(Least Privilege) 철저 적용

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

민감정보의 정의와 처리 제한 (개인정보보호법 제23조)

>

건강정보, 의료정보는 「개인정보보호법」상 민감정보에 해당하며, 정보주체의 별도 동의 또는 법령상 근거 없이는 처리할 수 없다. ISMS-P 인증 기준에서도 민감정보는 일반 개인정보보다 강화된 기술적·관리적 보호조치를 요구한다. 시험에서는 민감정보의 유형(사상·신념, 건강, 유전정보, 범죄경력 등)과 처리 요건을 정확히 구분하는 문제가 빈출된다.

---

개인정보보호 전문기자 백남정