따릉이 462만 명 정보 2년간 '방치'…공공·민간 연쇄 유출에 드러난 보안 총체적 부실

---

서울시 공공자전거 따릉이에서 462만 회원의 개인정보가 유출된 사실이 약 2년간 탐지되지 않은 채 방치됐다. LGU+ 증거인멸, CJ그룹 내부자 유출 재발까지 겹치며 공공·민간을 막론한 정보보호 관리체계의 구조적 결함이 수면 위로 떠올랐다.

---

사례 1: 따릉이, 462만 명 정보 유출 '2년간 깜깜'

서울시설공단이 운영하는 따릉이에서 회원 462만 명의 이름, 휴대전화번호, 이용이력이 외부로 유출됐다. 더 심각한 문제는 해당 침해사고가 약 2년간 탐지조차 되지 않았다는 점이다.

공공기관은 「개인정보 보호법」에 따라 침해사고 인지 후 72시간 내 신고 의무가 있으나, 탐지 자체가 이뤄지지 않으면서 후속 조치는 물론 피해자 통지도 지연됐다. 462만 명이라는 규모는 서울 시민 절반에 육박하는 수치로, 공공부문 보안관제의 실효성에 근본적인 의문이 제기되고 있다.

---

사례 2: LGU+·CJ그룹, 반복되는 부실 대응

민간 영역도 예외가 아니다. LGU+는 2026년 해킹사고 이후 내부 조사 과정에서 증거를 인멸한 정황이 드러나 공무집행방해로 판단받았다. 침해사고 대응이 아닌 은폐에 조직 역량을 쏟은 셈이다.

CJ그룹 역시 과거 개인정보 유출로 제재를 받은 전력이 있음에도 이번에 또다시 내부자에 의한 정보 유출이 발생했다. 재발 방지를 위한 관리적·기술적 보호조치가 형식에 그쳤음을 방증한다.

---

공통 패턴: '탐지 실패'와 '관리 형해화'

세 사건에서 공통적으로 확인되는 문제는 다음과 같다.

첫째, 실시간 탐지체계의 부재다. 따릉이 사례처럼 2년간 이상징후를 포착하지 못했다면 보안관제센터(SOC)와 침입탐지시스템(IDS)이 사실상 무용지물이었다는 의미다.

둘째, 사고 대응 프로세스의 형해화다. LGU+의 증거인멸은 「정보통신망법」상 침해사고 보고·보존 의무를 정면으로 위반한 것이며, 내부 통제가 작동하지 않았음을 보여준다.

셋째, 재발 방지 조치의 실효성 부족이다. CJ그룹 사례는 한 번의 제재가 조직 문화와 시스템을 바꾸지 못한다는 점을 여실히 드러낸다.

---

기업·기관 대응 방안

• 상시 모니터링 체계 고도화: 단순 로그 적재가 아닌 비정상 접근 패턴 분석, AI 기반 이상행위 탐지 도입이 필수다.
• 침해사고 대응 매뉴얼 실효성 점검: 연 1회 이상 모의훈련을 통해 보고·보존·통지 절차가 실제 작동하는지 검증해야 한다.
• 내부자 위협 관리 강화: 접근권한 최소화(Least Privilege), 퇴직·이동 시 즉시 권한 회수, 이상접근 알림 체계를 정비해야 한다.
• 경영진 책임 명확화: CISO 전결권 강화 및 이사회 보고 의무화로 보안을 비용이 아닌 경영 리스크로 인식시켜야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

침해사고 대응 절차 (ISMS-P 2.11.5)

>

침해사고 발생 시 탐지 → 초기대응 → 분석 → 복구 → 사후관리 5단계를 수행해야 한다. 특히 「개인정보 보호법」 제34조에 따라 1천 명 이상 정보주체의 개인정보 유출 시 72시간 내 개인정보보호위원회 신고가 의무이며, 증거 보존 및 로그 기록 유지는 사고 원인 분석과 법적 책임 규명의 핵심 요건이다. 본 사례는 탐지 단계 실패와 증거 보존 의무 위반이 어떤 결과를 초래하는지 보여주는 전형적 사례로, 시험에서 '침해사고 대응 절차 미흡 시 법적 리스크'를 묻는 문제로 출제될 가능성이 높다.

---

기자 백남정 | 개인정보보호 전문 데스크