영국 전력망 40GB 유출·서강대 해킹…글로벌 보안 허점 잇따라 노출

유럽과 아시아를 넘나드는 대규모 침해사고가 연이어 발생했다. 영국 국가 전력망 핵심 데이터 40GB가 유출되고, 국내 서강대학교에서는 수만 명의 개인정보가 탈취됐다. 영국 정보위원회(ICO)는 2년간 침해사고를 방치한 범죄기록청에 견책 처분을 내리며 공공기관 보안 관리 부실에 경고장을 날렸다.

---

사례별 상세 분석

1. 영국 National Grid, 40GB 핵심 기술데이터 유출

영국 국가 전력망 운영사 National Grid에서 40GB 규모의 핵심 기술데이터가 외부로 유출됐다. 전력망 설계도, 운영 시스템 정보 등 국가 핵심 인프라 관련 민감 정보가 포함된 것으로 알려졌다.

해당 사고는 공급망(Supply Chain) 취약점을 통해 발생한 것으로 추정되며, 국가 기간시설을 노린 공격이 갈수록 정교해지고 있음을 보여준다. 영국 당국은 현재 유출 경로와 피해 범위를 조사 중이다.

2. 서강대학교, 수만 명 개인정보 해킹 피해

국내에서는 서강대학교가 해킹 공격을 받아 재학생·졸업생 등 수만 명의 개인정보가 탈취됐다. 유출된 정보에는 이름, 학번, 연락처 등 식별정보가 포함된 것으로 파악된다.

대학 등 교육기관은 방대한 학생 데이터를 보유하고 있으면서도 상대적으로 보안 투자가 부족해 공격자들의 주요 타깃이 되고 있다. 개인정보보호위원회의 조사 결과에 따라 과징금 등 행정처분이 예상된다.

3. 영국 ICO, 범죄기록청(ACRO) 견책 처분

영국 정보위원회(ICO)는 범죄기록청(ACRO)에 대해 공식 견책(Reprimand) 처분을 내렸다. ACRO는 2021년부터 2023년까지 2년간 총 3차례의 침해사고가 발생했음에도 이를 적시에 탐지하지 못했다.

ICO는 "침입 탐지 체계의 부재와 로그 모니터링 미흡이 반복적 침해를 초래했다"고 지적했다. 공공기관조차 기본적인 보안 모니터링을 소홀히 한 사례로, 경각심을 일깨우는 처분이다.

---

공통 패턴: 탐지 실패와 관리체계 부재

세 사건에서 공통적으로 드러나는 문제는 '침해 탐지 역량의 부재'와 '보안 거버넌스 미흡'이다.

• 실시간 모니터링 부재: 이상 징후를 조기에 포착하지 못해 피해가 확산됨
• 공급망 보안 취약: 외부 협력사를 통한 우회 공격에 무방비
• 주기적 점검 미실시: 장기간 침해 상태가 유지되며 피해 규모 증가

---

기업·기관 대응 방안

① 24시간 보안관제(SOC) 체계 구축
실시간 로그 분석과 이상행위 탐지 시스템을 통해 침해 발생 즉시 대응할 수 있는 체계가 필수다.

② 공급망 보안 점검 강화
협력업체에 대한 보안 요구사항을 계약에 명시하고, 정기적인 보안 감사를 실시해야 한다.

③ 침해사고 대응훈련 정례화
연 1회 이상 모의 침해 대응훈련을 실시하고, 탐지→보고→대응→복구 프로세스를 점검해야 한다.

④ 개인정보 암호화 및 접근통제 고도화
유출되더라도 피해를 최소화할 수 있도록 민감정보 암호화와 최소권한 원칙을 적용해야 한다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

침해사고 통지 의무 (개인정보 보호법 제34조)

개인정보처리자는 개인정보 유출을 인지한 때 72시간 이내 정보주체에게 통지해야 하며, 1천 명 이상 유출 시 개인정보보호위원회 신고가 의무다. ISMS-P 인증 기준에서도 '침해사고 탐지·대응·보고 체계'는 핵심 점검항목으로, 탐지 지연은 인증 결함사항에 해당할 수 있다.

---

개인정보보호 전문기자 백남정 | 2025.01.09