건설업계 속속 터지는 개인정보 유출...금융·통신 따라잡기까지 '한계'

2026년 건설업계에서 해킹과 개인정보 유출 사고가 연쇄 발생하고 있다. GS건설 해킹 피해와 건설사·배달업체 정보 유출 사건은 금융·통신업 수준의 규제를 받지 못하는 건설업의 '정보보안 공백'을 여실히 드러냈다. 전문가들은 즉시적인 보안 투자와 업계 차원의 기준 마련이 필요하다고 경고한다.

---

잇따른 피해, 건설업계 정보보안의 적신호

GS건설 해킹 사건의 충격

GS건설의 2026년 해킹 피해는 국내 건설업계의 정보보안 체계가 얼마나 취약한지를 방증한다. 구체적인 피해 규모와 유출 정보, 해킹 방법이 아직 공개되지 않은 상태지만, 업계 규모와 보유 고객정보량을 고려하면 피해 규모는 상당할 것으로 추정된다.

건설사는 시공 과정에서 수천 명의 근로자, 협력업체, 발주처 담당자 정보를 보유한다. 또한 건물주와 임차인의 주소, 연락처, 건설 계약 내용 등 민감한 개인정보가 축적되는 특성이 있다. 해킹 피해가 발생할 경우 신원도용, 사기, 보이스피싱 등 2차 피해로 이어질 가능성이 높다.

연쇄 유출 사건의 패턴

10월 30일 발생한 건설사와 꽃 배달업체 개인정보 유출 사건은 더욱 광범위한 위험을 시사한다. 배송지 주소와 휴대전화 번호가 유출된 이번 사건은 고객 데이터베이스 접근 통제 실패, 또는 외부 공격에 대한 방어 부족을 의미한다.

특히 두 업종(건설·배달)에서 동시다발적으로 유사한 사고가 발생한 점은 공통된 보안 약점이 존재함을 시사한다. 이는 중소 규모 기업들이 정보보호 책임자 배치, 암호화, 접근 통제 등 기본적인 보안 조치를 미흡하게 하고 있다는 의미다.

---

건설업, 금융·통신업과 '규제 격차' 존재

건설업계 정보보안 취약성의 근본 원인은 산업 특성과 규제 환경의 불균형에 있다.

규제 부재의 결과

금융기관과 통신사는 개인정보보호법, 정보통신망법, ISMS-P(정보보안관리체계) 등 엄격한 규제를 받는다. 반면 건설업은 상대적으로 규제가 느슨하고, 많은 중소 건설사는 정보보호 담당 인력이나 시스템 투자를 미루고 있다.

또한 건설업은 기술 인력의 유동성이 크고, 현장 중심의 업무 환경으로 인해 정보보안 문화가 정착되지 않은 측면도 있다. 클라우드 기반 프로젝트 관리 시스템, 원격 접근, 외부 협력업체와의 정보 공유 과정에서 접근 통제 미흡과 인적 오류가 빈번하게 발생한다.

---

기업과 기관의 즉각적 대응 방안

기업 차원의 실행 과제

• 접근 통제 강화: 최소권한의 원칙(Principle of Least Privilege, PoLP)에 따라 직원과 협력업체의 데이터 접근 권한을 최소화하고, 정기적 권한 재검토 실시
• 암호화 및 보안 기술: 개인정보 저장 시 AES-256 이상의 암호화, 전송 시 TLS 적용
• 침입탐지 및 모니터링: 비정상적인 데이터 접근, 대량 다운로드 시도 등 실시간 모니터링 체계 구축
• 정기 보안감사: 외부 전문 기관의 보안감사와 취약점 점검을 최소 연 1회 이상 실시

업계 및 정책 차원의 과제

• 건설업계 정보보안 가이드라인 개발 및 보급
• 건설회사 규모별 ISMS-P 인증 의무화 추진
• 정보보호 인력 양성 및 교육 프로그램 확대
• 중소 건설사 대상 정보보안 투자 지원 정책 도입

---

CPPG·ISMS-P 연계 포인트

항목	내용
ISMS-P 기준 4.2 접근통제	GS건설 해킹 사건은 비인가자의 시스템 접근을 적절히 차단하지 못한 사례로, 정보자산 인증, 권한 부여·회수 절차의 체계화가 필수임을 보여줌
CPPG 원칙 2 목적 제한	건설사·배달업체 유출 사건에서 고객 주소·전화번호가 유출된 것은 필요 이상의 개인정보 수집과 장기 보관이 원인이며, 수집 목적을 명확히 하고 필요시에만 보유해야 함

---

기자 백남정
개인정보보호 및 정보보안 정책 전문