침해사고AI 초안

2026년 공공·민간 대형 개인정보 유출 연쇄 발생…462만 따릉이 회원정보 2년간 방치

핵심 요약 올해 들어 BGF네트웍스, 교원그룹 등 민간 대기업과 서울시 따릉이, 국립중앙도서관 등 공공기관에서 대규모 개인정보 유출 사고가 연쇄 발생했다. 특히 따릉이 사고는 462만 명의 정보가 유출된 후 2년간 탐지되지 않아 관리체계의 심각한 허점이 드러났다. -

백남정 기자

입력 2026년 9월 18일

단축URLhttps://privacynews.kr/s/2bd65db5

핵심 요약
올해 들어 BGF네트웍스, 교원그룹 등 민간 대기업과 서울시 따릉이, 국립중앙도서관 등 공공기관에서 대규모 개인정보 유출 사고가 연쇄 발생했다. 특히 따릉이 사고는 462만 명의 정보가 유출된 후 2년간 탐지되지 않아 관리체계의 심각한 허점이 드러났다.

민간 부문: 해킹·랜섬웨어 동시다발 공격

BGF네트웍스는 외부 해킹 공격을 받아 회원 개인정보가 외부로 유출되는 피해를 입었다. 편의점 CU를 운영하는 BGF그룹의 IT 계열사인 만큼 유통·결제 관련 민감정보 포함 여부가 관건이다.

교원그룹은 랜섬웨어 공격으로 내부 시스템이 암호화되면서 개인정보 유출이 확인됐다. 교육 서비스 특성상 미성년자 정보가 다수 포함됐을 가능성이 높아 2차 피해 우려가 크다.

두 사건 모두 공격 경로와 유출 규모에 대한 상세 조사가 진행 중이며, 개인정보보호위원회의 과징금 처분이 예상된다.

공공 부문: 탐지 실패와 관리 부실

가장 심각한 사고는 서울시 따릉이다. 462만 명의 이용자 정보가 유출됐으나 2년간 탐지되지 않았다는 점에서 충격을 주고 있다. 이는 개인정보 처리시스템에 대한 접근 기록 점검, 이상징후 모니터링 등 기본적인 보호조치가 작동하지 않았음을 의미한다.

국립중앙도서관(879명)과 영화진흥위원회(357명)에서도 총 1,236명의 회원정보가 추가 유출되었다. 공공기관의 경우 「개인정보 보호법」 제34조의2에 따라 24시간 이내 신고 의무가 있으나, 따릉이 사례처럼 탐지 자체가 늦어지면 신고 의무도 무의미해진다.

공통 패턴 분석

구분	공통 취약점
탐지 역량	침해사고 발생 후 인지까지 장기간 소요
접근 통제	외부 공격에 대한 다층 방어체계 미흡
모니터링	이상 접근·대량 조회 실시간 탐지 부재
대응 체계	사고 발생 후 대응 매뉴얼 작동 지연

민간·공공 구분 없이 '예방-탐지-대응' 전 단계에서 허점이 노출됐다는 공통점이 있다.