따릉이 462만 명 정보 유출 2년간 방치…공공·민간 연쇄 침해로 드러난 보안 총체적 부실

---

서울시 공공자전거 따릉이에서 462만 명의 개인정보가 유출되고도 2년간 탐지조차 되지 않은 사실이 드러났다. 같은 시기 BGF네트웍스, 교원그룹, 국립중앙도서관, 영화진흥위원회 등 공공·민간 기관에서 연쇄적으로 침해사고가 발생하며 국내 개인정보보호 체계의 구조적 취약점이 적나라하게 노출됐다.

---

사례별 상세 분석

따릉이: 2년간 미탐지된 대규모 유출

서울시설공단이 운영하는 따릉이 서비스에서 이름, 연락처, 이용이력 등 462만 명의 개인정보가 외부로 유출됐다. 더욱 심각한 문제는 침해 발생 시점부터 탐지까지 2년이라는 공백 기간이다. 이는 실시간 이상징후 모니터링 체계가 사실상 작동하지 않았음을 의미한다.

공공기관의 경우 개인정보보호법상 침해사고 발생 시 72시간 내 신고 의무가 있으나, 탐지 자체가 이뤄지지 않아 의무 이행이 원천적으로 불가능했던 셈이다.

민간 부문도 안전지대 아냐

BGF네트웍스는 외부 해킹 공격으로, 교원그룹은 랜섬웨어 감염으로 각각 침해사고를 당했다. 특히 랜섬웨어 공격은 데이터 암호화와 함께 정보 탈취를 병행하는 '이중 협박' 수법이 일반화되면서 피해 규모가 확대되는 추세다.

공공기관 연쇄 피해

국립중앙도서관과 영화진흥위원회 등 문화·교육 분야 공공기관에서도 잇따라 침해사고가 확인됐다. 이들 기관은 대량의 이용자 정보를 보유하고 있으면서도 상대적으로 보안 투자가 미흡했던 것으로 분석된다.

---

공통 패턴: 3대 구조적 취약점

첫째, 탐지 체계의 부재다. 따릉이 사례처럼 침해 발생 후 수년간 인지하지 못하는 것은 로그 분석, 이상행위 탐지(UEBA), 데이터 유출방지(DLP) 시스템이 형식적으로만 운영되고 있음을 보여준다.

둘째, 보안 투자의 구조적 불균형이다. 공공기관은 예산 편성 구조상 보안을 '비용'으로 인식하는 경향이 강하고, 민간 중견기업도 매출 대비 정보보호 투자 비율이 선진국 대비 절반 수준에 그친다.

셋째, 침해사고 대응 프로세스의 미비다. 사고 인지→초기 대응→신고→피해 확산 방지로 이어지는 체계가 문서상으로만 존재하고 실제 작동하지 않는 사례가 반복되고 있다.

---

기업·기관 대응 방안

즉시 조치 사항으로는 △접근 로그 전수 점검 및 이상 접근 탐지 체계 가동 △DB 암호화 적용 현황 재점검 △비상연락망 및 침해사고 대응 매뉴얼 실효성 검증이 필요하다.

중장기 과제로는 △보안관제 인력 및 시스템 확충 △연 1회 이상 모의 침투 훈련 의무화 △개인정보 처리 시스템 대상 ISMS-P 인증 확대를 검토해야 한다.

업계 전문가는 "탐지에 2년이 걸렸다는 것은 사고 대응 이전에 보호 체계 자체가 무력화됐다는 의미"라며 "기술적 조치와 함께 조직 내 보안 거버넌스 재정비가 시급하다"고 강조했다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제34조(개인정보 유출 등의 통지·신고)

- 유출 인지 시 72시간 이내 정보주체 통지 및 전문기관 신고 의무

- 1천 명 이상 유출 시 개인정보보호위원회·한국인터넷진흥원(KISA)에 신고 필수

- ISMS-P 인증기준 2.9.7(침해사고 대응): 침해사고 탐지·분석·대응·복구 절차 수립 및 주기적 훈련 요구

>

💡 따릉이 사례는 '탐지 체계 미비로 인한 신고 의무 불이행'의 대표 사례로 출제 가능성 높음

---

백남정 기자 privacywatch@news.com