침해사고AI 초안

英 전력망 40GB 유출·서강대 해킹…글로벌 대형 침해사고 연쇄 발생

영국 국가 전력망 핵심 기술데이터 40GB가 유출되고, 국내 서강대학교에서 수만 명의 개인정보가 해킹으로 탈취되는 대형 침해사고가 동시다발적으로 발생했다. 영국 정보위원회(ICO)는 반복적 침해사고를 방치한 범죄기록청(ACRO)에 공식 견책 처분을 내리며, 공공기관의

백남정 기자

입력 2026년 8월 24일

단축URLhttps://privacynews.kr/s/1a86398c

영국 국가 전력망 핵심 기술데이터 40GB가 유출되고, 국내 서강대학교에서 수만 명의 개인정보가 해킹으로 탈취되는 대형 침해사고가 동시다발적으로 발생했다. 영국 정보위원회(ICO)는 반복적 침해사고를 방치한 범죄기록청(ACRO)에 공식 견책 처분을 내리며, 공공기관의 보안 관리 부실에 경고등이 켜졌다.

사례 1: 英 국가 전력망 40GB 기술데이터 유출

영국 국가 전력망 운영사 National Grid에서 40GB 규모의 핵심 기술데이터가 외부로 유출된 정황이 확인됐다. 유출된 데이터에는 전력 인프라 설계도, 운영 시스템 구성 정보, 내부 네트워크 아키텍처 등 국가 핵심기반시설(CNI) 관련 민감 정보가 포함된 것으로 알려졌다.

전문가들은 이번 유출이 국가 안보에 직접적 위협이 될 수 있다고 경고한다. 전력망 기술데이터는 사이버 공격자들이 시스템 취약점을 분석하는 데 악용될 수 있으며, 실제 물리적 피해로 이어질 가능성도 배제할 수 없다.

사례 2: 서강대학교 개인정보 대량 해킹

국내에서는 서강대학교가 해킹 공격을 받아 재학생·졸업생·교직원 등 수만 명의 개인정보가 탈취되는 사고가 발생했다. 유출 항목에는 성명, 학번, 연락처, 이메일 주소 등 식별 가능한 개인정보가 다수 포함된 것으로 파악된다.

교육기관은 개인정보보호법상 '공공기관'에 준하는 의무를 부담하며, 정보주체에 대한 지체 없는 통지와 개인정보보호위원회 신고가 필수다. 대학 측은 현재 피해 규모 파악과 함께 2차 피해 방지 조치를 진행 중인 것으로 전해졌다.

사례 3: 英 범죄기록청, 반복 침해로 ICO 견책

영국 ICO는 범죄기록청(ACRO)에 공식 견책(reprimand) 처분을 내렸다. ACRO는 2022년부터 2024년까지 2년간 3차례에 걸쳐 개인정보 침해사고가 발생했음에도 근본적인 보안 체계 개선 없이 사고를 반복했다.

ICO는 "기술적·관리적 보호조치의 지속적 미흡과 침해사고 재발 방지 노력 부재"를 처분 사유로 명시했다. 이는 공공기관이라 하더라도 반복적 위반 시 제재 수위가 높아질 수 있음을 보여주는 사례다.

공통 패턴 분석

세 사건은 다음과 같은 공통점을 보인다.

첫째, 핵심 인프라 및 대규모 개인정보 보유 기관이 타깃이 됐다. 공격자들은 파급력이 큰 조직을 집중 공략하고 있다.

둘째, 사전 예방보다 사후 대응에 치중하는 보안 문화가 문제로 지적된다. 특히 ACRO 사례는 침해사고 후에도 시스템 개선이 이뤄지지 않아 피해가 누적됐다.

셋째, 공공기관·교육기관의 보안 투자 부족이 드러났다. 민간 대비 상대적으로 보안 예산과 전문 인력이 부족한 구조적 문제가 반복되고 있다.

기업·기관 대응 방안

침해사고 대응 체계(CSIRT) 상시 운영: 탐지-분석-대응-복구 프로세스를 문서화하고 정기 모의훈련 실시
접근통제 강화: 핵심 시스템에 대한 최소권한 원칙 적용, 다중인증(MFA) 의무화
정기 취약점 점검: 연 1회 이상 모의해킹 및 취약점 진단 수행
재발 방지 이행 점검: 침해사고 후 개선조치 이행 여부를 경영진 보고 및 감사 항목에 포함

📚 CPPG·ISMS-P 시험 연계 포인트

[ISMS-P 인증기준 2.9.7 침해사고 대응 및 복구]

침해사고 발생 시 탐지·분석·대응·복구 절차를 수립하고, 사고 종료 후 재발 방지 대책 수립 및 이행 여부 점검이 필수다. ACRO 사례처럼 동일 유형 사고가 반복될 경우, 침해사고 대응 체계의 실효성 부재로 인증 심사에서 결함 판정을 받을 수 있다.