공공·민간 가릴 것 없이 뚫렸다…2026년 대형 개인정보 유출 '연쇄 충격'

---

BGF네트웍스·교원그룹 등 민간기업 해킹과 따릉이 462만명 유출까지, 공공기관 연쇄 침해로 국가 개인정보보호 체계 근본적 개편 요구 커져

---

민간기업, 해킹·랜섬웨어에 속수무책

2026년 들어 국내 대형 기업들이 연이어 사이버 공격의 희생양이 되고 있다. 편의점 CU를 운영하는 BGF리테일의 계열사 BGF네트웍스가 해킹 공격을 받아 고객 개인정보가 외부로 유출됐다. 뒤이어 교육 전문기업 교원그룹도 랜섬웨어 공격에 노출되며 개인정보 침해 사고를 겪었다.

두 사건 모두 정교화된 사이버 공격 수법이 동원된 것으로 알려졌다. 특히 랜섬웨어의 경우 데이터 암호화와 함께 유출 협박을 병행하는 '이중 갈취(Double Extortion)' 방식이 적용된 것으로 추정된다. 피해 기업들은 개인정보보호위원회에 유출 사실을 신고하고 피해자 통지 절차를 진행 중이다.

이번 사태를 계기로 옵트아웃 방식 집단소송 제도 도입 논의가 본격화되고 있다. 현행 옵트인 방식은 피해자가 직접 소송에 참여 의사를 밝혀야 하지만, 옵트아웃 방식은 별도 거부 의사가 없으면 자동으로 피해자 집단에 포함된다. 대규모 유출 사고에 대한 기업 책임을 강화하려는 움직임으로 해석된다.

---

공공기관도 안전지대 아니다…2년간 방치된 따릉이 유출

더욱 충격적인 것은 공공기관의 보안 실태다. 서울시 공공자전거 '따릉이' 이용자 462만명의 개인정보가 유출됐으며, 이 사실이 무려 2년간 탐지되지 않았다는 점이 드러났다. 이는 공공기관의 보안 모니터링 체계에 심각한 허점이 있음을 방증한다.

설상가상으로 외교부, 고용노동부, 국립중앙도서관, 영화진흥위원회 등 중앙행정기관과 산하기관에 대한 해킹 공격도 연쇄적으로 발생했다. 국립중앙도서관에서 879명, 영화진흥위원회에서 357명 등 총 1,236명의 회원정보가 추가로 유출된 것으로 확인됐다.

---

공통 패턴: 탐지 역량 부재와 사후 대응 한계

이번 연쇄 사고에서 드러난 공통적 문제점은 세 가지로 요약된다.

첫째, 실시간 침해 탐지 체계의 부재다. 따릉이 사례처럼 2년간 유출을 인지하지 못한 것은 로그 모니터링과 이상징후 탐지 시스템이 형식적으로 운영되고 있음을 보여준다.

둘째, 접근통제 및 암호화 미흡이다. 대량의 개인정보가 일시에 외부로 반출될 수 있었던 것은 최소 권한 원칙과 데이터 암호화 조치가 제대로 이행되지 않았기 때문이다.

셋째, 침해사고 대응 프로세스의 형해화다. 법적으로 72시간 내 신고 의무가 있지만, 탐지 자체가 늦어지면 신고 의무도 무력화된다.

---

기업·기관 대응 방안

전문가들은 다음과 같은 조치를 권고한다.

• 제로 트러스트 아키텍처 도입: 내부자도 신뢰하지 않는 '무신뢰' 원칙 기반 보안 체계 구축
• 상시 취약점 점검 및 모의해킹: 연 1회 형식적 점검에서 상시 진단 체계로 전환
• 개인정보 영향평가 강화: 신규 서비스 도입 시 사전 위험 분석 의무화
• 침해사고 대응훈련(Tabletop Exercise): 실제 유출 상황을 가정한 정기 훈련 실시

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 침해사고 신고 의무(개인정보보호법 제34조)

- 개인정보처리자는 개인정보 유출을 인지한 때로부터 72시간 이내 개인정보보호위원회에 신고해야 한다.

- 1천명 이상 정보주체의 개인정보 유출 시 신고 및 정보주체 통지 의무 발생

- ISMS-P 인증 기준 중 '침해사고 관리' 항목에서 탐지·분석·대응·복구 절차 전반을 평가하므로, 탐지 역량 강화가 인증 유지의 핵심 과제임을 기억하자.

---

백남정 기자 namjung.baek@privacy-news.kr