95만 명 정보 유출·구글 민감정보 노출…잇따른 침해사고에 '경고등'

저작권 무료 플랫폼 '뮤팟' 해킹과 구글 디지털성범죄 피해정보 유출 사건이 연이어 발생하며, 개인정보 보호 체계 전반에 대한 점검 필요성이 다시 한번 대두되고 있다. 두 사건 모두 핵심 식별정보와 민감정보가 외부에 노출되어 2차 피해 우려가 커지고 있는 상황이다.

---

사례 1: 뮤팟, 해킹으로 95만 회원 정보 대량 유출

저작권 무료 콘텐츠 플랫폼 '뮤팟'이 외부 해킹 공격을 받아 약 95만 명의 회원 개인정보가 유출되는 대형 사고가 발생했다. 유출된 정보에는 이름, 이메일 주소, 휴대폰 번호 등 핵심 식별정보가 포함된 것으로 확인됐다.

전문가들은 이번 유출 정보가 피싱·스미싱 등 2차 범죄에 악용될 가능성이 높다고 경고한다. 특히 무료 콘텐츠 플랫폼 특성상 다양한 연령대의 이용자가 존재해 피해 규모가 광범위하게 확산될 수 있다는 점이 우려된다.

사례 2: 구글, 디지털성범죄 피해정보 외부 노출 논란

더욱 심각한 것은 구글에 제출된 디지털성범죄물 삭제 요청 내역이 외부 웹사이트에 그대로 공개된 사건이다. 개인정보보호위원회는 지난 9월 7일 구글에 자료제출을 요구하며 공식 조사에 착수했다.

이번 사건은 단순 개인정보를 넘어 디지털성범죄 피해자의 민감정보가 노출되었다는 점에서 충격을 주고 있다. 피해자가 스스로 피해 사실을 신고했음에도 오히려 그 정보가 재유출되어 2차 가해로 이어질 수 있는 구조적 문제가 드러난 것이다.

개인정보위는 구글이 민감정보를 제3자에게 제공한 경위와 개인정보보호법 제17조(개인정보의 제공) 및 제23조(민감정보의 처리 제한) 위반 여부를 집중 검토할 예정이다.

---

공통 패턴: '관리 사각지대'가 부른 참사

두 사건의 공통점은 개인정보 생애주기 전반에 걸친 보호조치 미흡이다.

뮤팟의 경우 외부 침입 탐지 및 대응 체계의 부재가, 구글의 경우 제3자 제공 시 안전성 검토 절차의 허점이 사고의 원인으로 지목된다. 두 사건 모두 '수집' 이후 '보관·제공·파기' 단계에서의 관리 소홀이 대규모 유출로 이어졌다는 점에서 교훈을 남긴다.

---

기업·기관의 대응 방안

첫째, 정기적인 취약점 점검과 침입탐지시스템(IDS) 고도화가 필수다. 둘째, 제3자 제공 시 '필요 최소한의 정보 원칙'을 철저히 적용해야 한다. 셋째, 침해사고 발생 시 72시간 내 신고 의무(개인정보보호법 제34조)를 준수하고, 피해자 통지를 신속히 이행해야 한다.

업계 관계자는 "ISMS-P 인증을 받은 기업도 안심할 수 없다. 인증 이후에도 지속적인 모니터링과 내부 점검이 관건"이라고 강조했다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제23조(민감정보의 처리 제한)

사상·신념, 건강, 성생활 등에 관한 민감정보는 정보주체의 별도 동의 또는 법령의 명시적 근거 없이 처리할 수 없다. 구글 사건에서처럼 디지털성범죄 피해 정보는 대표적인 민감정보에 해당하며, 제3자 제공 시 더욱 엄격한 안전조치가 요구된다. ISMS-P 인증심사에서도 '민감정보 처리 현황 및 보호조치'는 핵심 점검 항목이다.

---

백남정 기자 privacywatch@news.com