핵심기반시설·교육기관 연쇄 해킹…40GB 유출에 수만 명 피해

국가 전력망부터 대학교까지, 사이버 공격이 사회 핵심 인프라를 겨냥하고 있다. 영국 전력망 운영사에서 40GB 기술데이터가 유출됐다는 주장이 제기된 가운데, 국내 서강대학교도 해킹으로 재학생·졸업생·교직원 개인정보가 대량 노출되는 사고가 발생했다.

---

사례 1: 영국 국가전력망 40GB 기술데이터 유출 주장

영국 국가 전력망 운영사가 사이버 공격을 받아 약 40GB 규모의 내부 기술 데이터가 유출됐다는 주장이 제기됐다. 유출된 것으로 알려진 데이터에는 전력망 구조도, 제어 시스템 설정 정보 등 핵심기반시설(Critical Infrastructure) 운영과 직결되는 민감 정보가 포함된 것으로 전해진다.

보안 전문가들은 이번 사고가 단순 정보 탈취를 넘어 2차 물리적 공격의 교두보가 될 수 있다고 경고한다. 전력망 제어 시스템의 취약점이 노출될 경우, 후속 공격을 통해 실제 전력 공급에 차질을 빚을 가능성도 배제할 수 없기 때문이다. 특히 러시아-우크라이나 전쟁 이후 에너지 인프라를 겨냥한 국가 배후 해킹이 급증하고 있어 이번 사고의 배후와 목적에 대한 정밀 분석이 요구된다.

---

사례 2: 서강대학교 해킹, 수만 명 개인정보 유출

국내에서는 서강대학교가 외부 해킹 공격을 받아 재학생, 졸업생, 교직원의 개인정보가 유출되는 사고가 발생했다. 유출 항목은 성명, 소속, 이메일, 휴대전화번호, 암호화된 비밀번호 등 5개 항목으로, 피해 규모는 수만 명에 달할 것으로 추정된다.

대학 측은 사고 인지 즉시 교육부와 개인정보보호위원회에 신고를 완료했으며, 현재 정확한 피해 규모와 공격 경로를 조사 중이다. 비밀번호가 암호화된 상태로 유출됐다고는 하나, 약한 해시 알고리즘이 사용됐거나 솔트(Salt) 적용이 미흡했다면 복호화 위험이 존재한다. 피해자들에게는 동일 비밀번호를 사용하는 타 서비스의 즉각적인 비밀번호 변경이 권고된다.

---

공통 패턴 분석

두 사건은 대상과 지역은 다르지만 명확한 공통점을 보인다.

첫째, 고가치 표적 집중 공격이다. 국가 핵심기반시설과 대규모 개인정보를 보유한 교육기관 모두 공격자 입장에서 높은 가치를 지닌다. 둘째, 내부 시스템 깊숙이 침투하여 단순 외부 노출 데이터가 아닌 핵심 기술정보와 대량의 내부 DB를 탈취했다. 이는 초기 침입 후 상당 기간 내부 탐색(Lateral Movement)이 이루어졌음을 시사한다.

---

기업·기관 대응 방안

• 제로 트러스트(Zero Trust) 아키텍처 도입: 내부 네트워크라도 모든 접근을 검증하는 체계 구축
• 핵심 자산 분리 및 망분리 강화: OT(운영기술) 시스템과 IT 시스템 간 물리적·논리적 분리
• 침해사고 대응체계 고도화: 72시간 내 신고 의무 준수를 위한 탐지-분석-신고 프로세스 상시 점검
• 암호화 수준 재점검: 비밀번호는 반드시 안전한 해시 알고리즘(bcrypt, Argon2 등)과 솔트 적용 필수

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제34조(개인정보 유출 통지)와 ISMS-P 인증기준 2.9.7(침해사고 대응)을 연계하여 학습할 것. 개인정보 유출 시 정당한 사유 없이 72시간 이내 정보주체에게 통지해야 하며, 1천 명 이상 유출 시 개인정보보호위원회와 전문기관(KISA)에도 신고 의무가 있다. 서강대 사례처럼 교육기관은 교육부 신고도 병행해야 한다.

---

백남정 기자 | 개인정보보호 전문