침해사고AI 초안

대기업·공공기관 연쇄 개인정보 유출, 2년간 방치에 증거인멸까지 '총체적 난국'

국내 대표 대기업과 공공기관에서 대규모 개인정보 유출 사고가 잇따르고 있다. 증거인멸, 재발 사고, 2년간 미탐지 등 사고 대응 체계의 근본적 결함이 드러나며 개인정보보호 거버넌스에 대한 전면적 재점검이 요구된다. --- 사례별 심층 분석 1. LGU+ 해킹사

백남정 기자

입력 2026년 9월 21일

단축URLhttps://privacynews.kr/s/f906063c

국내 대표 대기업과 공공기관에서 대규모 개인정보 유출 사고가 잇따르고 있다. 증거인멸, 재발 사고, 2년간 미탐지 등 사고 대응 체계의 근본적 결함이 드러나며 개인정보보호 거버넌스에 대한 전면적 재점검이 요구된다.

사례별 심층 분석

1. LGU+ 해킹사고: 증거인멸로 공무집행방해 판단

LGU+가 2026년 해킹사고 발생 이후 과학기술정보통신부와 개인정보보호위원회를 기만하고 핵심 증거를 인멸한 행위가 공무집행방해로 인정됐다.

가장 심각한 문제는 증거인멸로 인해 유출 규모와 피해자 범위 자체를 확인할 수 없게 됐다는 점이다. 이는 단순한 보안 실패를 넘어, 규제기관의 조사 자체를 무력화시킨 사례로 기록된다. 통신사업자로서 수천만 명의 정보를 위탁받은 기업이 사고 은폐를 시도했다는 점에서 업계 전반의 신뢰도 타격이 불가피하다.

2. CJ그룹: 과징금 제재 이후에도 내부자 유출 재발

CJ그룹에서 내부 직원에 의한 개인정보 유출이 또다시 발생했다. 과거 660만원 과징금 처분을 받은 전력이 있음에도 동일 유형의 사고가 반복된 것이다.

로그 분석 결과 외부 공격이 아닌 내부자 소행으로 확인됐으며, 대표이사가 직접 공개 사과하는 사태로 이어졌다. 이는 기술적 보안 강화만으로는 한계가 있으며, 내부 접근권한 관리와 이상행위 탐지 체계가 여전히 미흡함을 보여준다.

3. 서울시 따릉이: 462만 명 정보, 2년간 방치

서울시설공단이 운영하는 공공자전거 따릉이에서 462만 명의 개인정보가 유출됐다. 회원 이름, 휴대전화 번호, 이용이력 등이 포함됐으며, 충격적인 것은 약 2년간 유출 사실이 탐지되지 않았다는 점이다.

실시간 모니터링 체계의 부재, 침해사고 대응 프로세스의 형식적 운영 등 공공부문 정보보호 관리체계의 구조적 문제가 고스란히 드러났다.

공통 패턴: 사후 대응의 총체적 실패

세 사건에서 발견되는 공통점은 다음과 같다.

구분	핵심 문제점
탐지 역량	침해 발생 후 장기간 미인지 (따릉이 2년)
대응 투명성	사고 은폐·증거인멸 시도 (LGU+)
재발 방지	기존 제재에도 동일 유형 반복 (CJ그룹)
거버넌스	경영진 책임의식·내부통제 부재