[단독] AI 법률 서비스 개인정보 대량 유출…내용증명 누구나 다운로드 가능

핵심 요약

- AI 법률 자문 서비스에서 이용자들의 내용증명, 계약서 등 민감한 법률문서가 검색엔진을 통해 누구나 접근 가능한 상태로 노출 - AI 기술 개발에만 집중하고 기본적인 접근통제, 파일 저장소 보안 등 정보보호 투자를 소홀히 한 것이 원인 - 개인정보보호위원회가 구체적인 유출 경위와 책임 소재에 대한 조사에 착수

주요 내용

2026년 8월, AI 기반 법률 자문 서비스를 제공하는 한 업체에서 대규모 개인정보 유출 사고가 발생했다. 이용자들이 법률 상담을 위해 업로드한 내용증명, 계약서, 고소장 등 민감한 법률문서들이 웹 검색을 통해 누구나 다운로드할 수 있는 상태로 방치된 것으로 확인됐다. 해당 문서들에는 실명, 주소, 연락처는 물론 금융거래 내역, 분쟁 내용 등 고도의 민감정보가 포함되어 있어 2차 피해가 우려되는 상황이다.

문제의 핵심은 AI 서비스 개발 과정에서 기본적인 보안 조치가 누락됐다는 점이다. 파일 업로드 디렉토리에 대한 접근통제 설정 오류, 검색엔진 크롤링 차단 미흡, 파일명 추측 가능성 등 웹 애플리케이션 보안의 기초적인 취약점이 복합적으로 작용했다. 특히 AI 모델 학습 및 서비스 고도화에 자원을 집중하면서 인프라 보안, 데이터 저장소 관리 등 전통적인 정보보호 영역을 간과한 것으로 분석된다.

서울여대 김명주 정보보호학과 교수는 "보안에 관한 투자 부분들을 등한시하고 AI 쪽에만 신경을 쓰게 되면 이제 이렇게 근본적으로 문제가 생긴다"고 지적했다. 실제로 최근 AI 스타트업들은 서비스 차별화와 시장 선점에 집중한 나머지 ISMS-P 인증, 보안 관제, 취약점 점검 등 기본적인 보안 투자를 후순위로 미루는 경향이 있다.

개인정보보호위원회는 이번 사건의 구체적인 유출 경위, 피해 규모, 사업자의 안전조치 의무 위반 여부 등에 대한 전면 조사에 착수했다. 개인정보보호법상 안전조치 의무 위반 시 매출액의 3% 이하 과징금이 부과될 수 있으며, 고의·중과실이 인정될 경우 대표자에 대한 형사처벌도 가능하다.

전문가 시각

ISMS-P 선임심사원 관점에서 본 사건은 AI 서비스 사업자들이 범하기 쉬운 전형적인 보안 거버넌스 실패 사례다. 인증심사 현장에서도 AI 기술력은 우수하지만 정보보호 관리체계가 부실한 조직들을 자주 목격한다. 특히 ①접근통제 정책 미수립 ②개인정보 저장 시 암호화 미적용 ③웹 디렉토리 인덱싱 차단 누락 ④개발-운영 환경 분리 미흡 등이 반복적으로 지적되는 항목들이다. AI 서비스라 하더라도 개인정보를 처리하는 이상 ISMS-P 인증 104개 통제항목의 기본 요구사항은 반드시 충족해야 한다.

기업 실무자들은 AI 서비스 기획 단계부터 '보안 바이 디자인(Security by Design)' 원칙을 적용해야 한다. 구체적으로 ①개인정보 영향평가(PIA) 선제 실시 ②파일 업로드 기능 설계 시 접근통제·암호화·로깅 동시 구현 ③AI 학습데이터 비식별화 철저 ④제3자 클라우드 이용 시 데이터 처리 위탁 계약 체결 등이 필수다. 특히 법률, 의료, 금융 등 민감정보를 다루는 AI 서비스는 상용 서비스 전 모의해킹, 소스코드 진단 등 보안성 검토를 의무화해야 한다.

CPPG·ISMS-P 연계 포인트

1. 접근통제(ISMS-P 2.8)
정보시스템 및 개인정보 처리 파일에 대한 접근 권한을 최소 권한 원칙에 따라 부여하고, 비인가자의 접근을 차단해야 한다. 웹 디렉토리 인덱싱 차단, robots.txt 설정, 인증 없는 직접 URL 접근 차단 등이 포함된다.

2. 개인정보 암호화(개인정보보호법 제29조, ISMS-P 2.9)
고유식별정보, 비밀번호, 바이오정보 등은 암호화 저장이 법적 의무사항이며, 민감정보도 안전한 암호 알고리즘(AES-256 등)을 적용해 저장·전송해야 한다. 파일 저장소 자체에 대한 암호화(EBS 암호화 등)도 권고된다.