영국 전력망 40GB 유출·서강대 해킹… 국가 인프라·교육기관 동시 위협

---

핵심 요약

영국 국가 전력망 운영사에서 40GB 규모의 핵심 기술데이터 유출 정황이 포착됐고, 국내 서강대학교에서는 수만 명의 재학생·졸업생·교직원 개인정보가 해킹으로 탈취되는 사고가 발생했다. 국가 핵심 인프라와 교육기관을 동시에 겨냥한 사이버 공격이 증가하면서 체계적인 보안 대응이 시급하다는 지적이 나온다.

---

사례 분석

영국 전력망: 국가 핵심 인프라 위협

영국 국가 전력망 운영사(National Grid)에서 전력망 구조도, 제어 시스템 설정 정보 등 40GB 규모의 핵심 기술데이터가 유출됐다는 주장이 제기됐다. 해당 데이터는 전력 공급 체계의 취약점을 파악할 수 있는 민감 정보로, 악용될 경우 대규모 정전 사태나 2차 사이버 공격의 발판이 될 수 있다.

전력·에너지 분야는 각국이 '국가핵심기반시설'로 지정해 보호하는 영역이다. 이번 사건은 OT(운영기술) 시스템의 보안 취약성이 여전히 심각한 수준임을 보여준다.

서강대학교: 교육기관 개인정보 대량 유출

국내에서는 서강대학교가 외부 해킹 공격을 받아 재학생, 졸업생, 교직원의 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호 등 수만 명의 개인정보가 유출됐다. 서강대 측은 침해 사실 인지 후 교육부와 개인정보보호위원회에 즉시 신고했다고 밝혔다.

대학은 방대한 개인정보를 보유하면서도 상대적으로 보안 투자가 부족해 해커들의 주요 타깃이 되어왔다. 이번 유출 정보 중 암호화된 비밀번호는 일정 시간 내 복호화될 가능성이 있어 이용자들의 즉각적인 비밀번호 변경이 권고된다.

---

공통 패턴: 관리 체계 허점 노린 표적 공격

두 사건의 공통점은 대량의 민감 데이터를 보유한 기관이 표적이 됐다는 것이다.

• 접근통제 미흡: 핵심 시스템에 대한 다중 인증(MFA) 부재 또는 권한 관리 소홀
• 탐지 지연: 침입 후 상당 시간이 경과한 뒤에야 유출 사실 인지
• 공급망 취약점: 외부 협력업체나 레거시 시스템 통한 침투 가능성

특히 교육기관과 공공 인프라는 예산·인력 제약으로 최신 보안 체계 도입이 늦어지는 경향이 있어, 공격자들에게 '소프트 타깃'으로 인식된다.

---

기업·기관 대응 방안

1. 제로 트러스트 아키텍처 도입
'신뢰하지 않고 항상 검증'하는 제로 트러스트 원칙을 적용해 내부 네트워크에서도 지속적인 인증·권한 검증을 실시해야 한다.

2. 침해사고 대응 체계 고도화
24시간 보안관제(SOC)와 위협 인텔리전스 연계를 통해 이상 징후를 실시간 탐지하고, 침해사고 대응 매뉴얼을 주기적으로 점검·훈련해야 한다.

3. 개인정보 암호화 강화
비밀번호뿐 아니라 연락처·이메일 등 식별정보에 대해서도 안전한 암호화 알고리즘(AES-256 등) 적용이 필수다.

4. 법적 신고 의무 이행
개인정보 유출 시 72시간 내 정보주체 통지 및 개인정보보호위원회 신고 의무를 준수하고, 피해 최소화 조치를 즉시 시행해야 한다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 유출 신고 의무 (개인정보보호법 제34조)

- 신고 대상: 1건 이상의 개인정보 유출 시 정보주체 통지, 1,000명 이상 유출 시 개인정보보호위원회·전문기관 신고 필수

- 신고 시한: 유출 인지 후 72시간 이내

- 통지 항목: ①유출된 개인정보 항목 ②유출 시점·경위 ③피해 최소화 방법 ④대응조치 및 피해구제 절차 ⑤담당부서 연락처

- ISMS-P 연계: 인증기준 3.4.3(침해사고 대응) 항목에서 유출사고 대응절차 수립·이행 여부 심사

---

백남정 기자 | 개인정보보호 전문