영국 전력망 40GB 유출·서강대 해킹…글로벌 보안 경고등 켜졌다

국가 핵심 인프라부터 대학까지 해킹 표적, 영국 ICO는 2년간 침해 방치한 범죄기록청에 견책 처분

---

핵심 요약

영국 국가 전력망 운영사에서 40GB 규모의 핵심 기술데이터가 유출되고, 국내 서강대학교에서는 수만 명의 개인정보가 해킹당하는 사건이 연이어 발생했다. 영국 정보보호 당국(ICO)은 2년간 3차례 침해사고를 감지조차 못한 범죄기록청에 견책 처분을 내리며, 조직의 보안 모니터링 체계 부재를 강력히 경고했다.

---

사례 1: 영국 전력망 40GB 데이터 유출

영국 국가 전력망 운영사인 National Grid에서 전력망 구조도, 제어 시스템 설정 정보 등 40GB 규모의 핵심 기술데이터가 외부로 유출됐다. 이번에 유출된 데이터는 국가 에너지 인프라의 핵심 설계도로, 악용될 경우 대규모 정전 사태나 사이버 테러로 이어질 수 있어 심각성이 크다.

보안 전문가들은 "국가 핵심기반시설(CNI)을 겨냥한 공격이 점점 정교해지고 있다"며 "OT(운영기술) 영역의 보안 강화가 시급하다"고 지적했다.

---

사례 2: 서강대학교 수만 명 개인정보 탈취

국내에서는 서강대학교가 외부 해킹 공격을 받아 재학생·졸업생·교직원 수만 명의 개인정보가 탈취됐다. 유출된 정보에는 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호가 포함됐다.

서강대는 즉시 교육부와 개인정보보호위원회에 신고했으며, 피해자 대상 안내와 비밀번호 변경 권고 조치를 시행했다. 다만 비밀번호가 암호화되어 있었더라도, 약한 암호화 방식이나 솔팅(salting) 미적용 시 복호화 위험이 있어 추가 피해 가능성을 배제할 수 없다.

---

사례 3: 영국 범죄기록청 ACRO, 2년간 침해 '무감지'

영국 범죄기록청(ACRO)은 2024년부터 2026년까지 2년간 총 3차례의 개인정보 침해사고가 발생했으나, 조직 내부에서 단 한 건도 자체 감지하지 못한 것으로 드러났다.

영국 ICO는 "침해사고 탐지 및 모니터링 체계가 전무했다"며 공식 견책(reprimand) 처분을 내렸다. 이는 과징금은 아니지만, 향후 유사 사례 발생 시 강력한 제재로 이어질 수 있는 경고적 조치다.

---

공통 패턴 분석

세 가지 사례에서 공통적으로 발견되는 문제점은 다음과 같다.

공통 취약점	세부 내용
탐지 체계 미비	침해 발생 후에도 자체 인지 실패
핵심 자산 관리 부재	민감 데이터 분류·보호 조치 미흡
대응 프로세스 공백	사고 발생 시 신속 대응 체계 부족

---

기업·기관 대응 방안

• 실시간 모니터링 체계 구축: SIEM, EDR 등 보안관제 솔루션을 통한 이상 징후 상시 탐지
• 정기적 취약점 점검: 시스템 및 네트워크 대상 주기적 모의해킹·취약점 진단 실시
• 개인정보 암호화 강화: 단방향 암호화 + 솔팅 적용, 암호화 키 분리 관리
• 침해사고 대응 훈련: 최소 연 1회 이상 시나리오 기반 모의훈련 실시
• 내부 신고·보고 체계 정비: 침해 인지 시 72시간 내 당국 신고 의무 준수

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.9.4 침해사고 대응 및 보고]

>

조직은 침해사고를 신속히 탐지·분석하고, 관계 기관에 정해진 기한 내 신고해야 한다. 개인정보보호법 제34조에 따라 개인정보 유출 시 72시간 이내 개인정보보호위원회에 신고해야 하며, 모니터링 체계 부재 자체가 관리적 보호조치 위반에 해당할 수 있다. 영국 ACRO 사례처럼 '감지 실패'도 제재 대상이 됨을 기억하자.

---

백남정 기자 | 개인정보보호 전문