2026년 공공·민간 개인정보 유출 '도미노'…따릉이 462만명 정보, 2년간 방치된 충격

---

2026년 상반기, 민간 대기업부터 공공기관까지 대규모 개인정보 유출 사고가 연쇄 발생했다. 특히 서울시 공공자전거 '따릉이'에서 462만 명의 개인정보가 유출된 후 2년간 탐지조차 되지 않은 사실이 밝혀지며, 국내 개인정보 관리체계의 구조적 허점이 여실히 드러났다.

---

사례별 분석: 민간과 공공, 동시다발 침해

민간 부문 – 해킹과 랜섬웨어의 이중 공격

BGF네트웍스는 외부 해킹 공격으로 고객 정보가 대량 유출되는 피해를 입었다. 공격자는 취약한 외부 접점을 통해 내부 시스템에 침투한 것으로 추정된다. 교원그룹은 랜섬웨어 공격을 받아 시스템이 암호화되는 동시에 개인정보 탈취 피해까지 발생했다. 최근 랜섬웨어 공격이 단순 금전 요구를 넘어 '이중 협박(Double Extortion)' 방식으로 진화하고 있음을 보여주는 사례다.

공공 부문 – 관리 사각지대의 민낯

가장 심각한 것은 서울시 따릉이 사고다. 462만 명이라는 대규모 정보가 유출되었음에도 2년간 탐지되지 않았다는 점에서 단순 해킹 사고를 넘어 관리체계 자체의 실패로 봐야 한다. 개인정보보호법은 접속기록을 최소 1년 이상 보관하고 월 1회 이상 점검하도록 의무화하고 있으나, 이 기본적인 절차조차 이행되지 않은 것이다.

국립중앙도서관(879명)과 영화진흥위원회(357명) 역시 유출 규모는 상대적으로 작지만, 공공기관의 보안 인식 수준에 의문을 제기하게 만드는 사례다.

---

공통 패턴: 탐지·대응 체계의 구조적 부재

이번 연쇄 사고에서 드러난 공통점은 명확하다.

첫째, 침입 탐지 및 이상징후 모니터링 체계의 부실이다. 따릉이 사고처럼 2년간 탐지되지 않았다는 것은 로그 분석, 이상행위 탐지(UEBA), 보안관제 시스템이 사실상 작동하지 않았음을 의미한다.

둘째, 내부 점검 의무의 형식적 이행이다. 법적으로 요구되는 접속기록 점검이 실제로 수행되었는지, 수행되었다면 왜 이상을 발견하지 못했는지 근본적인 재검토가 필요하다.

셋째, 공공-민간 불문 동일한 취약점 노출이다. 민간은 외부 공격에, 공공은 내부 관리 부실에 취약한 것으로 나타났으나, 결국 '예방-탐지-대응'이라는 보안의 기본 사이클이 모두 제대로 작동하지 않았다.

---

대응 방안: 이제는 '실질적 이행'이 관건

기업·기관이 즉시 점검해야 할 사항은 다음과 같다.

• 접속기록 점검 체계 재정비: 월 1회 점검을 자동화하고, 이상 접속 패턴 탐지 알고리즘을 도입해야 한다.
• 개인정보처리시스템 접근통제 강화: 비인가 접근 차단, 권한 최소화 원칙 적용이 필수다.
• 침해사고 대응 모의훈련 정례화: 연 1회 이상 실제 시나리오 기반 훈련으로 탐지·대응 시간을 단축해야 한다.
• ISMS-P 인증 기준의 실질적 내재화: 인증 획득에 그치지 않고, 지속적인 운영·개선 체계로 연결해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

접속기록의 보관 및 점검 의무 (개인정보보호법 제29조, 안전조치기준 제8조)

- 개인정보처리시스템 접속기록은 최소 1년(5만 명 이상 또는 민감·고유식별정보 처리 시 2년) 보관

- 월 1회 이상 접속기록 점검 의무

- 점검 시 비인가 접속, 대량 다운로드 등 이상행위 탐지 여부 확인

- 위반 시 과태료 부과 및 침해사고 발생 시 관리적 책임 가중 요인으로 작용

---

기자 백남정 | 개인정보보호 전문 데스크