침해사고AI 초안

국립외교원 9개월 해킹 방치·티빙 1,953만 건 유출…공공·민간 동시 '보안 참사'

외교 핵심기관과 국민 OTT 플랫폼에서 잇따라 대형 개인정보 침해사고가 발생했다. 두 사건 모두 수개월간 침해를 탐지하지 못했거나 기본적인 접근권한 관리조차 이뤄지지 않은 것으로 드러나, 공공·민간을 막론한 정보보호 체계 전반의 총체적 부실이 도마 위에 올랐다. --

백남정 기자

입력 2026년 7월 21일

단축URLhttps://privacynews.kr/s/43e01c

외교 핵심기관과 국민 OTT 플랫폼에서 잇따라 대형 개인정보 침해사고가 발생했다. 두 사건 모두 수개월간 침해를 탐지하지 못했거나 기본적인 접근권한 관리조차 이뤄지지 않은 것으로 드러나, 공공·민간을 막론한 정보보호 체계 전반의 총체적 부실이 도마 위에 올랐다.

사례 1: 국립외교원, 제로데이 취약점으로 9개월간 무방비 노출

외교부 산하 국립외교원이 제로데이(Zero-day) 취약점을 통해 약 9개월간 해킹에 노출된 사실이 뒤늦게 확인됐다. 제로데이 취약점은 보안 패치가 배포되기 전 공격자가 먼저 악용하는 보안 허점으로, 초기 대응이 어렵다는 특성이 있다.

그러나 보안 전문가들은 "제로데이 자체는 막기 어렵더라도, 9개월간 침해 사실을 인지하지 못한 것은 명백한 관리 부실"이라고 지적한다. 이상 징후 탐지 시스템(SIEM) 운영, 정기적인 로그 분석, 침입탐지시스템(IDS) 모니터링 등 기본적인 보안 체계가 작동했다면 조기 발견이 가능했다는 것이다.

외교 분야 핵심 인력을 양성하는 기관 특성상, 외교 기밀 및 고위급 인사 정보 유출 가능성도 배제할 수 없어 국가안보 차원의 우려가 제기된다.

사례 2: 티빙, 접근권한 관리 실패로 OTT 업계 역대 최대 유출

OTT 플랫폼 티빙에서는 무려 1,953만 건의 개인정보가 유출되며 국내 OTT 업계 사상 최대 규모의 사고가 발생했다. 사고 원인은 '접근권한 관리 부실'로 확인됐다.

내부 시스템에 대한 접근권한이 업무 필요 범위를 초과해 광범위하게 부여되어 있었고, 퇴직자 계정 미삭제, 공용 계정 사용 등 기초적인 계정 관리조차 허술했던 것으로 파악된다. 개인정보보호위원회는 해당 사안에 대해 조사에 착수했으며, 「개인정보 보호법」 제29조(안전조치의무) 위반 여부를 집중 검토 중이다.

1,953만 명이라는 수치는 국내 OTT 가입자 상당수에 해당하는 규모로, 2차 피해(스미싱, 피싱, 명의도용) 확산 우려가 크다.

공통 패턴: '탐지 지연'과 '관리적 보안 공백'

두 사건의 공통점은 명확하다.

구분	국립외교원	티빙
침해 탐지	9개월 지연	사후 인지
핵심 원인	모니터링 체계 부재	접근권한 관리 부실
위반 의심 조항	공공기관 보안관리 지침	개인정보보호법 제29조

첫째, 침해 탐지 역량의 부재다. 공격을 100% 차단하는 것은 불가능하지만, 침해 발생 후 신속히 탐지·대응하는 체계는 필수다. 두 기관 모두 이 체계가 사실상 작동하지 않았다.

둘째, 관리적 보안의 총체적 부실이다. 기술적 보안 솔루션 도입에만 집중하고, 접근권한 검토·로그 분석·보안 교육 등 관리적 조치는 형식에 그친 전형적인 사례다.