LG유플러스 증거폐기·따릉이 2년 방치…개인정보 관리체계 '총체적 부실' 드러나

국내 대표 통신사와 공공기관에서 개인정보 침해사고 대응의 기본 원칙이 무너지는 사례가 잇따라 발생했다. LG유플러스는 해킹 조사 중 핵심 서버를 폐기해 증거인멸 논란에 휩싸였고, 서울시 따릉이는 462만 회원 정보유출을 2년간 방치했다. 두 사건은 탐지·보존·대응이라는 침해사고 관리의 3대 축이 동시에 붕괴된 심각한 사례로 평가된다.

---

사례 1: LG유플러스, 조사 중 서버 폐기 '증거인멸' 논란

2023년 LG유플러스에서 약 30만 명의 고객정보가 해킹으로 유출되는 사고가 발생했다. 문제는 사고 자체보다 이후 대응 과정에서 불거졌다. 개인정보보호위원회의 조사가 진행되는 도중 회사 측이 핵심 서버를 폐기한 것으로 알려지면서 증거인멸 의혹이 제기됐다.

개인정보보호법 제34조의2는 침해사고 발생 시 관련 자료의 보존 의무를 명시하고 있다. 특히 규제기관의 조사가 진행 중인 상황에서 증거가 될 수 있는 시스템을 임의로 폐기하는 것은 법적·윤리적으로 심각한 문제를 야기한다. 이번 사태는 대기업조차 침해사고 대응 거버넌스가 제대로 작동하지 않을 수 있음을 보여주는 사례다.

사례 2: 따릉이, 462만 명 정보유출 2년간 '깜깜이'

서울시가 운영하는 공공자전거 따릉이에서는 더욱 충격적인 관리 부실이 확인됐다. 462만 회원의 개인정보가 유출됐음에도 이를 탐지하지 못한 채 2년이라는 시간이 흘러버렸다.

공공기관의 경우 「개인정보의 안전성 확보조치 기준」에 따라 접근기록을 최소 1년 이상 보관하고 정기적으로 점검해야 한다. 그러나 따릉이 사례에서는 이상 접근 탐지 시스템 자체가 사실상 무력화되어 있었던 것으로 추정된다. 특히 공공서비스 특성상 실명, 연락처, 결제정보 등 민감한 개인정보가 포함되어 있어 2차 피해 우려도 상당하다.

공통 패턴: '탐지-보존-대응' 3단계 전면 실패

두 사례를 관통하는 핵심 문제는 침해사고 관리체계의 구조적 부실이다.

구분	LG유플러스	따릉이
탐지	외부 제보 후 인지	2년간 미탐지
보존	조사 중 서버 폐기	로그 점검 미흡
대응	증거인멸 논란	지연 신고·통지

단순한 기술적 보안 실패를 넘어, 조직 차원의 개인정보보호 거버넌스와 컴플라이언스 문화가 부재했음을 방증한다.

기업·기관이 당장 점검해야 할 사항

첫째, 침해사고 대응 매뉴얼의 실효성을 재점검해야 한다. 문서상 존재하는 절차가 아닌, 실제 작동하는 프로세스인지 모의훈련을 통해 검증해야 한다.

둘째, 증거보전 체계를 강화해야 한다. 침해 징후 탐지 시 관련 로그와 시스템을 최소 3년 이상 보존하고, 조사 종료 전 임의 폐기를 금지하는 내부 통제 장치가 필요하다.

셋째, 이상징후 탐지 시스템에 대한 지속적 투자와 점검이 요구된다. 특히 공공기관은 예산 제약을 이유로 보안 투자를 미루는 관행에서 벗어나야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

「개인정보의 안전성 확보조치 기준」 제8조(접속기록의 보관 및 점검)

- 개인정보처리자는 접속기록을 최소 1년 이상 보관·관리해야 함 (5만 명 이상 정보주체 또는 민감정보·고유식별정보 처리 시 2년)

- 접속기록을 월 1회 이상 정기 점검하고 이상 유무 확인 의무

- 접속기록 위·변조 방지 조치 필수

>

➡️ 따릉이 사례는 접속기록 점검 의무 위반의 전형적 사례로, 기관의 안전조치 의무 위반에 해당할 수 있음

---

백남정 기자 security@privacy-news.kr