따릉이 462만 명 정보유출 2년간 방치…공공·민간 연쇄 침해 '보안 사각지대' 드러나

서울시 공공자전거 '따릉이'에서 462만 명의 개인정보가 유출된 사실이 2년이 지나서야 확인됐다. 같은 시기 BGF네트웍스, 교원그룹, 국립중앙도서관, 영화진흥위원회 등에서도 잇따라 침해사고가 발생하며, 국내 공공·민간 전반의 보안 체계에 구조적 결함이 있다는 지적이 나온다.

---

따릉이 사고의 심각성: '탐지 실패'가 본질

이번 따릉이 사고에서 가장 주목해야 할 점은 유출 규모가 아니다. 462만 건의 개인정보(이름, 연락처, 이용이력)가 빠져나가는 동안 2년간 이를 인지하지 못했다는 사실이 핵심이다.

개인정보보호법 제34조는 유출 인지 시 72시간 내 통지를 의무화하고 있다. 그러나 탐지 자체가 불가능한 상황에서 통지 의무는 무의미해진다. 서울시설공단 측은 "정기 보안점검에서도 이상 징후가 감지되지 않았다"고 해명했으나, 이는 오히려 모니터링 체계의 근본적 부재를 자인한 셈이다.

---

연쇄 침해사고, 우연이 아닌 '구조적 취약점'

따릉이 사고와 비슷한 시기에 발생한 침해사고들을 분석하면 공통된 패턴이 드러난다.

기관/기업	유형	주요 취약점
BGF네트웍스	민간	외부 접점 관리 미흡
교원그룹	민간	위탁업체 보안 통제 실패
국립중앙도서관	공공	레거시 시스템 방치
영화진흥위원회	공공	접근권한 관리 부실

첫째, 탐지·대응 역량의 부재다. 대부분의 기관이 침입 방지(Prevention)에만 집중하고, 탐지(Detection)와 대응(Response)에는 투자를 소홀히 했다. 공격자가 이미 내부에 침투한 상황을 전제한 보안 설계가 없었다.

둘째, 수탁사·외주업체 관리의 허점이다. 교원그룹 사례처럼 본사의 보안 수준과 무관하게 위탁업체를 통한 우회 공격이 성공했다. 개인정보보호법 제26조가 수탁자 관리·감독을 의무화하고 있지만, 현장에서는 계약서상 문구로만 존재하는 경우가 많다.

셋째, 공공기관의 '규정 준수형' 보안 관행이다. 국립중앙도서관, 영화진흥위원회 모두 법적 요건은 충족했으나, 실질적 위협에 대응할 역량은 갖추지 못했다. 형식적 컴플라이언스가 실제 보안을 담보하지 않는다는 점이 다시 한번 확인됐다.

---

기업·기관이 당장 점검해야 할 3가지

1. 이상행위 탐지체계 구축
단순 방화벽·백신을 넘어 SIEM(보안정보이벤트관리), UEBA(사용자행위분석) 등 비정상 접근을 실시간 식별할 수 있는 체계가 필수다.

2. 수탁사 보안실사 정례화
연 1회 이상 위탁업체 현장 점검을 실시하고, 계약 해지 조건에 보안사고 발생 시 즉시 해지 조항을 명시해야 한다.

3. 침해사고 대응 모의훈련
탐지부터 통지, 복구까지 전 과정을 시나리오 기반으로 훈련해야 한다. "사고는 반드시 발생한다"는 전제 하에 대응 속도를 높이는 것이 피해를 최소화하는 길이다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제34조(개인정보 유출 통지) - 개인정보처리자는 유출 사실을 인지한 때 72시간 내 정보주체에게 통지해야 한다. 통지 항목은 ①유출 항목 ②유출 시점·경위 ③피해 최소화 방법 ④대응조치·피해구제 절차 ⑤담당부서 연락처다. 1천 명 이상 유출 시 개인정보보호위원회 및 전문기관 신고가 추가 의무화된다. 이번 따릉이 사례는 '인지' 자체의 실패로, 탐지체계 부재가 법적 의무 이행을 원천 불가능하게 만든 사례로 출제 가능성이 높다.

---

백남정 기자 security@privacynews.kr