스캐터드 스파이더 핵심 해커 2명 5년 6개월 실형, 런던교통공사 해킹·오이스터카드 개인정보 유출

핵심 요약

- 영국 법원이 스캐터드 스파이더(Scattered Spider) 조직의 핵심 해커 2명에게 5년 6개월 징역형을 선고(2026년) - 런던교통공사(Transport for London) 시스템 무단 침해 및 오이스터(Oyster) 결제카드 환불 시스템의 개인정보 유출 - 영국 수사당국이 영국 내 중대한 사이버 범죄 사건으로 규정하고, 공격 이후 환불 시스템을 수작업으로 처리하는 등 운영 차질 발생

주요 내용

영국 법원은 2026년 7월, 런던교통공사(TfL) 시스템을 무단 침해하고 중대한 피해 위험을 초래한 혐의로 스캐터드 스파이더 조직의 핵심 해커 2명에게 각각 5년 6개월의 실형을 선고했다. 이번 판결은 영국 수사당국이 영국 내에서 발생한 가장 중대한 사이버 범죄 사건 중 하나로 평가하는 사안에 대한 것이다.

공격자들은 런던 대중교통 결제시스템인 오이스터(Oyster) 카드의 환불 시스템을 표적으로 삼아 개인정보를 유출했다. 이로 인해 런던교통공사는 자동화된 환불 시스템을 중단하고 모든 환불 요청을 수작업으로 처리해야 하는 상황에 직면했다. 이는 수백만 명의 런던 시민과 관광객이 이용하는 핵심 공공 인프라가 사이버 공격에 얼마나 취약한지를 보여주는 사례다.

스캐터드 스파이더는 최근 몇 년간 전 세계적으로 활동하며 주요 기업과 공공기관을 표적으로 삼아온 조직으로 알려져 있다. 이들은 정교한 소셜 엔지니어링 기법과 시스템 침투 능력을 결합해 높은 수준의 공격을 수행하며, 특히 결제 시스템과 개인정보를 집중적으로 노린다는 특징이 있다.

이번 사건은 공공 교통 인프라의 디지털화가 진행되면서 발생할 수 있는 보안 위험을 명확히 드러냈다. 특히 수백만 건의 결제 정보와 개인정보를 처리하는 시스템에 대한 보안 강화가 시급하다는 점을 재확인시켰으며, 영국 정부는 이번 사건을 계기로 공공 인프라에 대한 사이버 보안 기준을 더욱 강화할 것으로 예상된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 런던교통공사 사건은 공공 인프라를 운영하는 기관의 개인정보 보호 및 정보보안 관리체계가 얼마나 중요한지를 보여주는 전형적인 사례다. 특히 결제 시스템과 같이 금융정보와 개인식별정보가 결합된 민감정보를 처리하는 시스템은 다층 방어체계와 실시간 모니터링이 필수적이다. 환불 시스템을 수작업으로 전환해야 했다는 점은 업무연속성계획(BCP)과 재해복구계획(DRP)이 충분히 준비되지 않았을 가능성을 시사한다.

국내 대중교통 결제시스템을 운영하는 기관들도 이번 사건을 타산지석으로 삼아야 한다. 특히 T-money, Cashbee 등 교통카드 시스템과 모바일 결제 연동 서비스는 런던의 오이스터 카드와 유사한 구조를 가지고 있어 동일한 공격 벡터에 노출될 수 있다. 접근통제 강화, 특권계정 관리, 이상징후 탐지 시스템 고도화, 그리고 무엇보다 임직원 대상 소셜 엔지니어링 대응 훈련이 시급하다. 또한 개인정보 영향평가(PIA)를 정기적으로 실시하고, 제3자 제공 및 처리 위탁 시 수탁자 관리·감독을 철저히 해야 한다.

ISMS-P 심사원 체크포인트

1. 접근통제 및 권한관리 (ISMS-P 2.8.1~2.8.6) 개인정보 처리시스템, 특히 결제·환불 시스템에 대한 접근권한이 최소권한 원칙에 따라 부여되고 있는지, 특권계정에 대한 모니터링과 로깅이 실시간으로 이루어지는지 점검해야 한다. 개인정보보호법 제29조(안전조치의무)에 따라 접근권한의 관리, 접근통제시스템의 설치·운영 여부를 확인하며, 특히 외부 공격자의 침투 시나리오를 가정한 모의훈련 실시 여부를 심사한다.

2. 침해사고 대응 및 업무연속성 관리 (ISMS-P 2.10.1~2.10.4, 2.12.1~2.12.3) 침해사고 발생 시 즉각적인 탐지·대응 체계가 구축되어 있는지, 특히 개인정보 유출 시 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제34조의2(개인정보 유출 신고 등)에 따른 72시간 내 신고 체계가 마련되어 있는지 확인한다. 또한 핵심 시스템 마비 시 수작업 전환 절차와 복구 우선순위가 문서화되어 있고, 정기적인 모의훈련을 통해 실효성을 검증하고 있는지 점검해야 한다.

3. 개인정보 처리시스템 보안 (ISMS-P 3.1.3, 3.1.5) 결제정보를 포함한 민감한 개인정보 처리 시스템에 대해 암호화(전송 및 저장 단계), 접근로그 기록 및 보관(최소 6개월 이상), 개인정보 처리 프로그램에 대한 보안성 검토가 이루어지는지 확인한다. 개인정보의 안전성 확보조치 기준(개인정보보호법 시행령 제30조)에 따라 접속기록의 위·변조 방지조치와 정기적인 점검이 수행되는지 심사한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 유출 통지·신고 의무 (개인정보보호법 제34조, 제34조의2) 개인정보처리자는 개인정보가 유출된 사실을 알게 되었을 때 지체 없이 해당 정보주체에게 통지하고, 개인정보 보호위원회 또는 전문기관에 신고해야 한다. 통지·신고 사항에는 유출된 개인정보 항목, 유출 시점과 그 경위, 피해 최소화 대책, 정보주체가 할 수 있는 조치 등이 포함되어야 하며, 1만 명 이상 유출 시에는 즉시 신고가 의무화된다.

2. 접근통제 및 최소권한 원칙 정보시스템 보안의 핵심 원칙으로, 사용자에게는 업무 수행에 필요한 최소한의 권한만 부여하고(Need-to-Know 원칙), 특히 개인정보 처리시스템에 대한 접근은 역할 기반 접근통제(RBAC)를 통해 관리해야 한다. 특권계정은 별도 관리하며, 모든 접근은 로깅되고 정기적으로 검토되어야 한다. 이는 ISMS-P 인증심사의 핵심 통제항목이다.