해커가 알려줄 때까지 몰랐습니다

최근 개인정보보호위원회가 대규모 개인정보 유출 사고를 낸 3개 사업자에 총 7억 100만 원의 과징금과 540만 원의 과태료를 부과하고, 처분 사실을 각 사 홈페이지에 공표하도록 의결했습니다. 세 곳 모두 개인정보처리시스템에 대한 접근통제 등 안전조치를 소홀히 한 탓에 개인정보가 밖으로 빠져나간 경우였습니다. 그중 가장 무거운 제재를 받은 곳은 국내 한 대형 생활용품 제조기업(이하 A사)이었습니다. 회원 약 130만 명의 개인정보가 외부로 유출되었고, 과징금만 5억 300만 원에 달했습니다.

그런데 이 사고에서 가장 뼈아픈 대목은 유출 규모 자체가 아니었습니다. A사는 대용량의 데이터가 밖으로 빠져나가는 동안 이를 전혀 감지하지 못했고, 해커가 보낸 협박 메일을 받고 나서야 유출 사실을 알게 되었습니다. 즉, 내 회사의 소중한 데이터가 도둑맞는 바로 그 순간에도, 회사는 아무것도 모르고 있었던 것입니다. 방어의 최전선이 뚫린 것을 넘어, 무언가 잘못되고 있다는 사실조차 인지하지 못한 상태가 몇 달이나 이어졌다는 뜻입니다.

오늘은 이 사고를 거울삼아 "그렇다면 우리 회사는 과연 안전한가?"를 함께 점검해보려 합니다. 이번 사례가 특별히 무서운 이유는, 피해 기업이 결코 이름 없는 영세 사업자가 아니라 누구나 알 만한 규모의 기업이었다는 점, 그리고 사고의 원인이 첨단 해킹 기술이 아니라 지극히 기초적인 관리 소홀이었다는 점 때문입니다.

무슨 일이 있었나

정리해보면 사고의 흐름은 이렇습니다.

신원 미상의 해커는 2024년 4월, A사 메일 서버에 남아 있던 보안 취약점을 악용해 내부 시스템에 침입했습니다. 이후 두 차례에 걸쳐 회원 데이터베이스와 업무 자료를 빼돌렸습니다. 1차 유출은 2024년 5월 말 회원 데이터베이스를 대상으로 이루어졌고, 이후 해커는 같은 해 11월 내부 시스템에 재침입해 파일서버에 저장된 업무 자료 등을 추가로 빼냈습니다. 한 번의 침입으로 끝난 것이 아니라, 같은 구멍을 통해 반년 가까이 시차를 두고 두 번에 걸쳐 데이터가 새어 나간 것입니다.

이 과정에서 회원 약 130만 명의 이름·휴대전화번호·주소 등 개인정보와 함께 임직원의 주민등록증·운전면허증·통장 사본 등 민감한 정보 1,111건이 유출되었습니다. 회원 정보만으로도 충분히 심각하지만, 신분증 사본과 통장 사본처럼 곧바로 금융 사기나 신분 도용에 악용될 수 있는 자료까지 함께 빠져나갔다는 점에서 피해의 결이 한층 무겁습니다.

같은 회의에서 콜센터 아웃소싱 업체 한 곳(과징금 1억 6,800만 원)과 사진·영상장비 판매업체 한 곳(과징금 3,000만 원)도 함께 제재를 받았습니다. 콜센터 아웃소싱 업체의 경우, 해커가 대표 홈페이지 관리자 계정으로 접속해 문의게시판 이용자 1,852명의 이름·전화번호·이메일·회사명을 빼낸 뒤 이를 텔레그램에 게시한 정황이 확인되었습니다. 유출된 정보가 곧바로 공개된 채널에 뿌려졌다는 것은, 2차 악용의 문턱이 그만큼 낮아졌다는 의미입니다.

사진·영상장비 판매업체의 사례는 특히 주목할 만합니다. 해커는 이 업체 웹사이트 관리자 계정으로 접속해 회원 약 17만 명의 이름·아이디·휴대전화번호·성별 등 개인정보와 주문정보 일부를 유출했습니다. 그리고 여기서 그치지 않고, 유출된 정보를 이용해 주문자 한 명에게 해당 업체 직원을 사칭한 보이스피싱을 시도한 정황까지 드러났습니다. 유출이 단순한 정보 노출로 끝나지 않고, 실제 금전 피해를 노린 2차·3차 공격으로 곧장 번진다는 점을 보여주는 생생한 사례입니다. 개인정보 유출을 "정보가 조금 새어 나간 일" 정도로 가볍게 여겨서는 안 되는 이유가 여기에 있습니다. 이름과 연락처, 최근 주문 내역 같은 정보가 공격자의 손에 들어가면, 사칭 전화는 훨씬 그럴듯해집니다. "고객님, 얼마 전 주문하신 상품 관련해서 연락드렸습니다"라는 첫마디가 실제 구매 사실과 맞아떨어지는 순간, 피해자가 경계를 푸는 것은 시간문제입니다. 유출된 정보 하나하나가 곧 다음 범죄의 재료가 되는 셈입니다.

사고의 진짜 원인은 "고도의 해킹"이 아니었습니다

우리는 흔히 대형 유출 사고라고 하면 영화 속 천재 해커의 정교하고 화려한 공격을 떠올립니다. 며칠 밤을 새워 뚫어야 하는 난공불락의 방벽, 아무도 예측하지 못한 제로데이 취약점 같은 것들 말입니다. 하지만 개인정보보호위원회가 지적한 이번 사고들의 공통된 원인은, 놀랍게도 기초적인 보안 수칙을 지키지 않은 것이었습니다. 감독 당국은 이번 사고들이 고도화된 해킹 기술보다 기본적인 보안수칙 미준수에서 비롯됐다고 분명히 밝혔습니다. A사에서 확인된 문제들을 하나씩 살펴보겠습니다.

첫째, 이미 2022년에 공개된 보안 취약점을 방치했습니다. 취약점이 공개되었다는 것은 곧 "여기에 구멍이 있으니 막으라"는 신호가 이미 세상에 알려졌다는 뜻입니다. 그런데 A사는 고쳐야 한다고 공표된 그 구멍을 2년 넘게 그대로 두었고, 결국 해커는 바로 그 알려진 통로로 걸어 들어왔습니다.

둘째, 여러 대의 주요 서버 관리자 계정에 동일한 비밀번호를 돌려 썼습니다. 열쇠 하나가 뚫리면 건물 전체의 모든 방이 한꺼번에 열리는 구조였던 셈입니다. 관리자 계정은 시스템 전체를 통제할 수 있는 가장 강력한 권한을 가지므로, 이 계정들이 같은 비밀번호를 공유하고 있었다는 것은 방어선을 사실상 하나로 줄여버린 것과 다르지 않습니다.

셋째, 주민등록번호 같은 고유식별정보를 암호화하지 않은 채 보관했습니다. 암호화는 데이터가 설령 밖으로 빠져나가더라도 그 내용을 읽지 못하게 만드는 최후의 방어선입니다. 이 방어선이 없었기 때문에, 유출된 정보는 곧바로 해독 가능한 형태로 해커의 손에 들어갔습니다.

넷째, 비정상적인 대용량 트래픽이 발생했음에도 이를 탐지·대응하는 체계가 없었습니다. 대량의 데이터가 한꺼번에 외부로 전송되는 것은 명백히 이상한 신호입니다. 그런데 이 신호를 잡아내고 경보를 울릴 장치가 없었던 탓에, A사는 협박 메일을 받기 전까지 아무런 낌새도 채지 못했습니다. 앞서 말씀드린 "해커가 알려줄 때까지 몰랐다"는 상황이 바로 이 지점에서 비롯되었습니다.

그리고 다섯째, 데이터 파기 업계에 몸담은 저희가 가장 주목한 부분입니다. A사는 법정 보유기간이 지나 이미 파기했어야 할 임직원 개인정보와 폐점 매장 구매자 정보 약 4만 9,466건을 파기하지 않고 그대로 보관하고 있었습니다. 애초에 없었어야 할 데이터가, 유출 피해 규모를 그만큼 키운 것입니다. 이 대목은 잠시 뒤에 다시 자세히 짚어보겠습니다. 이번 사고가 우리에게 던지는 가장 근본적인 질문이 바로 여기에 담겨 있기 때문입니다.

이 다섯 가지를 관통하는 공통점은 분명합니다. 어느 하나도 최첨단 보안 기술이나 막대한 예산을 요구하는 항목이 아니라는 점입니다. 패치 적용, 비밀번호 관리, 암호화, 트래픽 모니터링, 그리고 불필요한 데이터 파기 — 모두 정보보호의 가장 기본에 해당하는 수칙들입니다. 감독 당국이 "해킹 피해 기업이라 하더라도 책임을 피하기 어렵다"고 못 박은 이유도 여기에 있습니다. 공격을 당했다는 사실만으로 면죄부가 주어지는 것이 아니라, 지켰어야 할 기본을 지키지 않았다면 그 소홀함에 대한 책임을 물을 수밖에 없다는 것입니다.

우리 회사는 어떤가요? — 스스로 점검해볼 항목

위 사고의 원인들을 뒤집으면, 그대로 우리 회사의 점검 항목이 됩니다. 아래 질문들에 자신 있게 "그렇다"고 답할 수 있는지 하나씩 확인해보시기 바랍니다.

먼저 보안 패치 관리입니다. 우리 회사는 서버와 주요 소프트웨어의 알려진 취약점을 정기적으로 확인하고 제때 업데이트하고 있습니까? 바쁘다는 이유로 "나중에" 미뤄둔 패치가 남아 있지는 않습니까? A사의 사례가 보여주듯, 이미 공개된 취약점은 공격자에게도 똑같이 공개되어 있습니다. 방치된 구멍 하나가 전체 시스템의 관문이 될 수 있습니다.

다음은 계정과 접근 통제입니다. 관리자 계정마다 서로 다른 강력한 비밀번호를 쓰고 있습니까? 관리자 페이지 접속을 특정 IP 주소로 제한하고 있으며, 아이디와 비밀번호 외에 다단계 인증(MFA) 같은 추가 인증 수단을 적용하고 있습니까? 이번에 함께 제재받은 업체들의 공통된 지적 사항이 바로 이 부분이었습니다. 외부에서 관리자 페이지에 접속할 수 있도록 열어두면서도 접속 권한을 제한하지 않았고, 아이디·비밀번호만으로 로그인이 가능하도록 운영한 것이 화근이 되었습니다. 감독 당국 역시 외부 접속이 필요한 경우에는 아이디·비밀번호 외에 반드시 추가 인증 수단을 적용할 것을 당부한 바 있습니다.

세 번째는 암호화입니다. 주민등록번호 등 고유식별정보와 민감정보를 암호화해서 저장하고 있습니까? 암호화는 유출이라는 최악의 상황이 벌어졌을 때 피해를 결정적으로 줄여주는 안전장치입니다. 데이터가 빠져나가더라도 그것을 읽을 수 없다면, 유출의 실질적 위험은 크게 낮아집니다.

네 번째는 이상 탐지와 접속기록 관리입니다. 평소와 다른 대용량 데이터 전송이 발생하면 이를 감지하고 경보를 울리는 체계가 마련되어 있습니까? 개인정보처리시스템의 접속기록을 주기적으로 보관하고 점검하고 있습니까? 이번 사고들에서 반복적으로 지적된 것이 바로 접속기록 관리의 부실이었습니다. 기록을 제대로 남기고 살피는 것만으로도, 이상 징후를 조기에 포착하고 사고의 규모를 줄일 수 있습니다.

그리고 가장 중요한 마지막 질문

우리 회사는 지금 이 순간, 법적으로 보유할 필요가 없는 개인정보를 얼마나 쌓아두고 있습니까? 퇴사자 정보, 계약이 종료된 고객 정보, 이미 폐기했어야 할 문서와 저장매체가 서랍이나 창고, 낡은 서버 어딘가에 남아 있지는 않습니까? 눈에 보이지 않는다고 해서 존재하지 않는 것이 아닙니다. 오히려 관리의 사각지대에 방치된 데이터일수록, 사고가 터졌을 때 피해를 키우는 뇌관이 되기 쉽습니다.

현업에서는 "언젠가 필요할지도 모른다"는 막연한 이유로, 혹은 담당자가 바뀌는 과정에서 인수인계가 되지 않아, 파기 시점이 지난 데이터가 계속 쌓이는 경우가 흔합니다. 문제는 이렇게 쌓인 데이터가 평소에는 아무런 존재감도 없다가, 유출 사고라는 순간에 이르러서야 갑자기 피해 규모를 키우는 형태로 그 무게를 드러낸다는 점입니다. 보유 목록에 없는 데이터는 관리 대상에서도 빠지기 쉽고, 관리되지 않는 데이터는 지켜지지도 않습니다.

"없는 데이터는 유출되지 않습니다"

방화벽을 세우고, 침입 탐지 시스템을 도입하고, 암호화를 강화하는 것 모두 반드시 필요한 대비책입니다. 어느 것 하나 소홀히 할 수 없는 정보보호의 기둥들입니다. 하지만 여기에는 한 가지 중요한 맹점이 있습니다. 아무리 방어를 두텁게 쌓아 올려도, 지켜야 할 데이터가 많으면 많을수록 위험의 총량도 그만큼 커진다는 점입니다. 방어는 언제나 공격보다 한 발 늦을 수 있고, 완벽한 방벽이란 현실에 존재하지 않습니다.

이번 A사 사고가 정확히 그 점을 보여줍니다. 파기했어야 할 5만여 건에 가까운 데이터가 시스템 안에 남아 있지 않았다면, 유출 피해도 그만큼 줄었을 것입니다. 애초에 존재하지 않는 데이터는 결코 유출될 수 없습니다. 이것은 단순한 말장난이 아니라, 정보보호의 가장 확실하고 근본적인 원리입니다. 지켜야 할 대상 자체를 줄이는 것이야말로 가장 강력한 방어인 셈입니다.

그래서 정보보호의 마지막 단계이자 가장 근본적인 대비책은 바로 "안전한 파기"입니다.

많은 기업과 조직이 정보보호 생애주기의 시작 단계, 즉 데이터를 안전하게 수집하고 보관하며 접근을 통제하는 일에는 상당한 자원을 투입합니다. 그러나 정작 그 생애주기의 끝, 즉 더 이상 필요 없어진 데이터를 완전히 없애는 마지막 단계는 의외로 소홀히 다뤄지는 경우가 많습니다. A사의 미파기 데이터 4만 9,466건은, 바로 이 마지막 단계의 공백이 얼마나 큰 대가로 돌아올 수 있는지를 보여주는 상징적인 숫자입니다.

보유기간이 끝난 개인정보, 사용을 마친 하드디스크와 SSD, 폐기 대상 서버와 각종 저장매체는 복구가 불가능한 방식으로 완전히 파기되어야 합니다. 여기서 반드시 짚어야 할 점은, 단순히 파일을 삭제하거나 저장매체를 포맷하는 것만으로는 데이터가 얼마든지 복원될 수 있다는 사실입니다. 삭제 버튼을 누르거나 포맷을 실행하면 데이터가 사라진 것처럼 보이지만, 실제로는 데이터의 위치를 가리키는 표시만 지워질 뿐 원본은 저장매체 어딘가에 그대로 남아 있는 경우가 대부분입니다. 이는 유출의 불씨를 그대로 남겨두는 것과 같습니다. 겉보기에는 비어 있는 것 같아도, 전문적인 복구 도구 앞에서는 손쉽게 되살아날 수 있기 때문입니다.

바로 이 지점에서 저장매체의 특성에 맞는 전문적인 파기가 필요합니다. 저장매체는 크게 자기(磁氣)를 이용해 데이터를 기록하는 방식과, 그렇지 않은 방식으로 나뉩니다. 하드디스크(HDD)나 자기 테이프처럼 자성을 이용하는 매체는 강력한 자기장을 가해 데이터를 완전히 지우는 디가우징(Degaussing) 방식으로 소거할 수 있습니다. 자성 기록 자체를 무력화하기 때문에, 물리적으로 매체가 남아 있더라도 그 안의 데이터는 복구가 불가능한 상태가 됩니다. 반면 SSD·eMMC·USB 메모리·NVMe처럼 자성을 이용하지 않는 매체는 디가우징으로는 데이터를 지울 수 없으므로, 인증된 소프트웨어를 이용한 영구삭제나 물리적 파괴 등 매체의 특성에 맞는 별도의 방식이 필요합니다. 매체의 종류를 정확히 구분하고 그에 맞는 방식을 적용하는 것이, 확실한 파기의 첫걸음입니다.

RTECH KOREA는 DieHDD™ 브랜드를 통해 이러한 안전한 파기의 전 과정을 지원합니다. 강력한 자기장으로 자성 저장매체의 데이터를 완전히 소거하는 디가우저(Degausser)와, 저장매체를 물리적으로 파괴하는 천공·파쇄 장비를 제공합니다. 또한 SSD·eMMC·USB·NVMe와 같은 비자성 매체에 대해서는 블랑코(Blancco) 기반의 인증된 영구삭제를 통해, 복구가 불가능한 방식으로 데이터를 지워냅니다. 나아가 파기를 마친 저장매체가 그대로 폐기물로 버려지지 않도록, 생산자책임재활용(EPR) 체계에 따른 자원순환, 이른바 도시광산 개념의 회수·재활용까지 연결합니다. 데이터의 생성부터 보관, 그리고 마지막 파기와 자원순환에 이르는 전 과정을 안전하게 관리하는 것 — 그것이 진짜 정보보호의 완성입니다.

한 가지 분명히 해둘 점이 있습니다. RTECH KOREA는 정보보호 생애주기의 모든 단계를 대신하는 곳이 아닙니다. 조직의 보안 감사나 데이터 거버넌스 설계, 내부 통제 체계 수립 같은 영역은 저희의 몫이 아닙니다. 저희가 전문성을 갖고 책임지는 영역은 바로 그 생애주기의 마지막, 즉 더 이상 필요 없어진 데이터와 저장매체를 확실하게, 그리고 되돌릴 수 없게 없애는 파기 단계입니다. 많은 곳이 정보보호의 시작을 다루지만, 그 끝을 전문적으로 책임지는 곳은 드뭅니다. 저희는 바로 그 끝에 서 있습니다.

이번 사고의 가장 무서운 교훈은, 피해 기업이 결코 특별히 허술한 곳이 아니었다는 점입니다. 누구나 알 만한 대형 기업조차 기초적인 관리 소홀로 5억 원대 과징금을 물었습니다. 그리고 개인정보보호위원회는 분명히 밝혔습니다. 해킹 피해를 입은 기업이라 하더라도, 보안 취약점을 방치하고 개인정보 관리를 소홀히 한 사실이 확인되면 그 책임을 피하기 어렵다고 말입니다. 공격을 당한 것 자체가 면책 사유가 되지 않는다는 이 원칙은, 모든 개인정보처리자가 무겁게 새겨야 할 대목입니다.

"해커가 알려줄 때까지 몰랐다"는 상황은, 결코 남의 일이 아닙니다. 오늘 우리 회사의 데이터를 한번 돌아보시기 바랍니다. 우리가 지키려는 데이터 가운데, 사실은 진작 없앴어야 할 것들이 얼마나 섞여 있는지를 말입니다. 지키는 것만큼이나, 잘 비우고 안전하게 파기하는 것이 중요한 시대입니다. 없는 데이터는 결코 유출되지 않기 때문입니다.