왜 대기업도 고객정보 유출을 막지 못하는가

1. 여섯 사건을 나란히 놓고 읽기

[사실] 이 글의 근거는 미국 연방거래위원회(FTC)의 Equifax 합의 보도자료, 영국 정보위원회(ICO)의 British Airways와 Marriott 제재 결정문, 개인정보보호위원회의 골프존·카카오·SK텔레콤 의결 보도자료 여섯 건입니다. 모두 조사가 끝난 뒤 나온 공식 결정 단계의 문서이며 언론 추정이나 업계 소문은 근거로 쓰지 않았습니다.

[사실] 규모는 각각 다릅니다. Equifax는 약 1억 4,700만 명, British Airways는 약 429,612명, Marriott는 약 3억 3,900만 건의 고객 기록, 골프존은 221만 명이 넘는 이용자와 임직원, SK텔레콤은 23,244,649명이 공식 문서에 적혔습니다. 카카오 사건은 의결 보도자료 본문만으로 정확한 규모와 항목이 확인되지 않아 이 글에서는 규모를 단정하지 않습니다.

[분석] 업종도 나라도 방식도 제각각인 사건들인데 결정문이 지적하는 실패를 읽으면 비슷한 문장이 반복됩니다. 패치를 끝까지 확인하지 않았다, 인증이 한 단계뿐이었다, 오랫동안 발견하지 못했다, 무엇을 가지고 있는지 몰랐다는 지적입니다. 이 글은 그 반복되는 패턴을 하나씩 확인합니다.

[권고] 이 글을 읽을 때는 확인된 사실인지, 상황을 해석한 분석인지, 지금 행동으로 옮길 권고인지를 나누어 보시기 바랍니다. 숫자는 모두 공식 결정문에서 직접 확인된 범위 안에서만 인용했고, 확인되지 않은 부분은 그 사실을 함께 적었습니다.

• 공식 결정문만을 근거로 규모와 원인을 정리합니다.
• 확인되지 않은 규모는 단정하지 않습니다.
• 공통 패턴은 기본 통제의 공백에서 반복됩니다.

2. Equifax 사건과 패치 마감 확인

[사실] 미국 연방거래위원회 고발장에 따르면 2017년 3월 8일 미국 보안 기관이 널리 쓰이는 웹 프레임워크의 취약점을 경고했고, 회사 안에서는 48시간 안에 패치하라는 지시가 내려졌지만 그 지시가 실제 담당 부서까지 전달되지 않았으며, 취약한 시스템을 찾는 스캔 설정도 잘못되어 있었습니다. 침해는 2017년 5월 13일부터 7월 30일까지 이어졌고 같은 해 9월 7일 공개됐습니다. 영향을 받은 사람은 약 1억 4,700만 명으로 정리됐고, 이름과 생년월일 같은 핵심 신원 정보가 대량으로 포함됐다고 고발장은 밝혔습니다.

[분석] 이 사건의 핵심은 몰랐던 취약점이 아니라 알았던 취약점이었습니다. 경고도 있었고 내부 지시도 있었지만, 패치가 실제로 끝났는지 확인하는 마감 추적이 없었습니다. 회사는 최소 5억 7,500만 달러 규모의 합의에 이르렀습니다. 네트워크 분리가 충분하지 않았고 계정 정보가 보호 없이 보관됐다는 지적도 함께 나왔습니다. 교훈은 패치 그 자체보다 패치가 닫혔음을 확인하는 절차가 통제라는 점이며, 이는 규모가 작은 조직에서도 그대로 적용되는 원칙입니다.

[권고] 조직이라면 보안 공지를 읽는 일과 적용을 끝내는 일을 분리해 맡기시기 바랍니다. 공지를 받은 사람과 적용을 확인하는 사람이 다르면, 전달이 끊기는 지점이 눈에 보이기 때문입니다. 작은 조직일수록 이 분리가 오히려 단순합니다.

• 패치 마감 확인 절차가 없었다는 점이 지적됐습니다.
• 약 1억 4,700만 명이 영향을 받은 것으로 정리됐습니다.
• 합의금은 최소 5억 7,500만 달러로 발표됐습니다.

3. 원격 접속에 다중인증이 없었던 사건

[사실] 영국 감독기관 결정문에 따르면 2018년 6월부터 9월까지 약 429,612명이 영향을 받았고 과징금 2,000만 파운드가 부과됐습니다. 원격 접속 계정에 다중인증이 없었고 사건 이후에 적용됐습니다.

[분석] 인증이 한 단계뿐이면 보호 전체가 비밀번호 하나의 비밀 유지에 기대게 됩니다. 협력업체 계정일수록 다중인증과 접근 범위 제한이 먼저입니다. 실제 금전 피해 규모는 공식 문서에서 확인되지 않았습니다.

[권고] 외부에서 들어오는 모든 접속 경로를 목록으로 만들고, 그 경로마다 두 번째 확인이 켜져 있는지를 한 번씩 눌러 확인하시기 바랍니다. 협력업체가 쓰는 계정도 같은 목록에 넣어야 빈틈이 보입니다.

• 원격 접속 계정에 다중인증이 없었습니다.
• 약 429,612명이 영향을 받았습니다.
• 실제 금전 피해 규모는 확인되지 않았습니다.

4. Marriott 사건과 장기 미탐지 구간

[사실] 영국 감독기관 결정문에 따르면 해당 호텔 그룹이 인수한 예약 시스템은 2014년에 이미 침해됐는데 경로는 끝내 확인되지 않았고, 인수한 뒤에도 발견되지 않은 채 2018년 9월까지 이어졌습니다. 고객 기록은 약 3억 3,900만 건으로 정리됐고 과징금은 1,840만 파운드로 결정됐습니다. 암호화되지 않은 여권 정보가 약 525만 건 포함됐다는 내용도 결정문에 적혀 있습니다.

[분석] 발견의 계기는 2018년 9월 데이터베이스 감시 도구의 경고였고, 원격 접속 도구의 연결은 같은 달에 차단됐습니다. 감독기관은 재정적 피해가 실제로 발생했다는 증거는 보지 못했다고 적었습니다. 이 사건이 던지는 질문은 인수합병 과정의 보안 점검입니다. 회사를 사면 시스템과 데이터도 함께 오는데 그 안에 오래된 침해가 숨어 있을 수 있고, 특권 계정에 대한 감시가 부족했다는 지적도 함께 나왔습니다.

[권고] 회사를 사거나 시스템을 통째로 들일 때는 보안 점검을 계약 과정에 넣으시기 바랍니다. 오래된 침해가 숨어 있을 수 있다는 전제로 기록을 살펴보는 절차가, 인수 뒤에 뒤늦게 발견하는 비용보다 훨씬 작습니다.

• 침해가 2014년부터 2018년까지 발견되지 않았다고 결정문은 적고 있습니다.
• 고객 기록은 약 3억 3,900만 건으로 정리됐습니다.
• 인수합병 때 보안 점검이 필요하다는 교훈이 남았습니다.

5. 골프존 사건과 원격 접속·공유 폴더

[사실] 개인정보보호위원회 2024년 5월 8일 의결에 따르면 2023년 11월 랜섬웨어 사고 과정에서 원격 접속 계정 정보가 탈취됐고, 파일서버에 접근이 이루어져 정보가 유출되고 다크웹에 공개됐습니다. 영향을 받은 이용자와 임직원은 221만 명이 넘었고, 위원회는 과징금 75억 400만 원과 과태료 540만 원을 부과하고 시정과 공표를 명했습니다. 파기해야 할 정보가 최소 38만 건 이상 남아 있었다는 점도 지적됐습니다.

[분석] 위원회가 지적한 문제는 고유식별정보가 있는 공유 파일서버를 개인정보 처리 시스템으로 인식하지 못한 점, 원격 접속이 아이디와 비밀번호만으로 가능했던 점, 서버 사이 접속과 인터넷 접속이 열려 있었던 점, 암호화가 없었던 점입니다. 파일 공유 폴더도 그 안에 개인정보가 있으면 개인정보 처리 시스템으로 관리해야 합니다. 다크웹 공개 이후의 실제 2차 피해 규모는 공식 문서에서 확인되지 않아 이 글에서도 단정하지 않습니다.

[권고] 집에서 쓰는 파일 공유 공간도 같은 기준으로 보시기 바랍니다. 가족 사진과 함께 신분증 사본이 섞여 있지는 않은지, 오래된 자료가 그대로 남아 있지는 않은지를 정하는 일이 가정에서도 그대로 통하는 원칙입니다.

• 원격 접속이 아이디와 비밀번호만으로 가능했다고 지적됐습니다.
• 영향을 받은 사람은 221만 명이 넘는 것으로 발표됐습니다.
• 공유 폴더도 개인정보 시스템으로 관리해야 한다는 교훈이 남았습니다.

6. 카카오 오픈채팅: 설계 단계의 식별자 연계가 만든 위험

[사실] 개인정보보호위원회 2024년 5월 22일 의결에 따르면 2023년 3월 오픈채팅 이용자 정보가 불법 거래된다는 언론 보도가 나온 뒤 조사가 시작됐습니다. 위원회는 해커가 오픈채팅의 취약점과 친구 추가 기능, 불법 프로그램 등을 이용해 회원 일련번호로 오픈채팅방에 참여하고 정보를 파일로 만들어 판매했다고 밝혔습니다. 회사는 과징금 151억 4,196만 원과 과태료 780만 원을 부과받았고, 일반 채팅과 오픈채팅에 같은 회원 일련번호가 쓰인 설계가 핵심 문제로 지적됐습니다.

[분석] 익명을 전제로 한 서비스에서 식별자가 다른 서비스와 이어지면 서로 다른 공간의 정보가 연결될 수 있습니다. 2020년 8월 이전 임시 아이디가 암호화되지 않았고 이후에도 게시판 구조의 결함으로 평문이 노출될 수 있었던 점, 공개된 API 오용 신고를 제대로 살피지 않은 점도 지적됐습니다. 위원회는 회사가 2023년 3월 유출을 알게 된 뒤에도 신고와 통지를 하지 않았다고 보았습니다. 사건 이후 임시 아이디는 모두 암호화됐고 구체적인 2차 피해 규모는 공식 본문에서 확인되지 않았습니다.

[권고] 익명을 내세운 서비스를 만들거나 쓴다면, 다른 서비스와 이어지는 식별자가 있는지를 먼저 물으시기 바랍니다. 설계 단계에서 나누어 둔 경계는 나중에 생기는 연결을 막는 가장 값싼 방법입니다.

• 익명 서비스와 일반 서비스가 같은 일련번호를 썼습니다.
• 과징금 151억 4,196만 원이 부과됐습니다.
• 외부 취약점 제보를 처리하는 절차가 필요합니다.

7. 이동통신 사건에서 드러난 기본 관리의 빈틈

[사실] 개인정보보호위원회 2025년 8월 27일 의결에 따르면 이동통신 가입자 23,244,649명의 전화번호와 가입자 식별정보 등 25종의 정보가 유출됐습니다. 최초 침해는 2021년 8월로 정리됐고, 과징금은 1347억 9,100만 원으로 결정됐습니다. 회사는 2025년 4월 19일에 유출을 알게 됐고 확정 통지는 7월 28일에 이루어졌다고 위원회는 적었습니다.

[분석] 위원회는 인증 정보의 보호 조치가 부족했던 점, 다수 서버 접속 정보의 보관 방식, 오래전에 알려진 약점이 고쳐지지 않은 점, 네트워크 분리가 되지 않은 점, 침입탐지 기록을 확인하지 않은 점을 지적했습니다. 실제 금전 피해의 규모는 공식 문서에서 확인되지 않아 이 글에서도 단정하지 않습니다.

[권고] 통신과 금융처럼 생활에 닿은 서비스를 쓰는 분이라면, 유출 통지를 받았을 때의 행동을 미리 익혀 두는 쪽이 좋습니다. 이 사이트의 대응 자료에서 비밀번호 변경과 신고 순서를 먼저 확인해 두시기 바랍니다.

• 영향을 받은 가입자는 23,244,649명으로 발표됐습니다.
• 유출된 정보는 25종으로 의결문에 정리됐습니다.
• 과징금은 1347억 9,100만 원으로 결정됐습니다.

8. 공통으로 드러난 자산 파악의 실패

[분석] 여섯 사건의 결정문을 겹쳐 놓으면 첫 번째로 반복되는 모습은 무엇을 가지고 있는지 모르는 상태에서 사고가 났다는 점입니다. 어떤 서버에 낡은 소프트웨어가 남아 있는지 놓친 경우, 고유식별정보가 든 공유 폴더를 관리 대상에서 빼놓은 경우, 인수한 시스템 안에 이미 침해가 들어와 있는 줄 몰랐던 경우가 서로 다른 사건에서 확인됩니다. 자산 목록은 행정 서류가 아니라 방어의 지도에 가깝습니다.

[분석] 어떤 서버가 있고 어떤 소프트웨어가 깔려 있으며 어떤 개인정보가 어디에 있는지를 알아야 패치도 암호화도 먼저 할 곳을 정할 수 있습니다. 목록이 없으면 점검은 감에 기대게 되고, 감은 바쁜 조직에서 가장 먼저 무너집니다. 작은 조직일수록 자산이 적으니 한 장의 목록으로도 충분합니다. 목록에 없는 시스템이 발견되면 그것이 첫 번째로 고칠 항목입니다.

[권고] 지금 조직이 가진 시스템과 개인정보의 목록을 한 장으로 적어 보시기 바랍니다. 서버와 클라우드, 업무용 프로그램, 공유 폴더, 협력업체가 접속하는 경로까지 적고 각각의 담당자를 표시하시기 바랍니다. 목록은 한 번 만들고 끝내는 문서가 아니라 새 서비스를 들일 때마다 고쳐 쓰는 기록으로 두시기 바랍니다.

[권고] 목록을 만들 때는 담당자의 이름을 함께 적으시기 바랍니다. 이름이 없는 항목은 사고가 났을 때 아무도 고치지 않는 항목이 되기 쉽습니다. 목록이 길어질 필요는 없고, 빠진 것이 없는지가 더 중요합니다.

• 자산 목록이 없으면 먼저 고칠 곳을 정하기 어렵습니다.
• 공유 폴더와 협력업체 접속 경로도 목록에 넣어야 합니다.
• 목록은 서비스를 들일 때마다 고쳐 쓰는 기록입니다.

9. 권한과 탐지, 그리고 책임지는 운영

[분석] 두 번째로 반복되는 모습은 권한이 넓게 열려 있었다는 점입니다. 다중인증이 없는 원격 접속, 보호 없이 보관된 인증 정보와 서버 접속 정보, 감시가 부족한 관리자 계정이 서로 다른 사건에서 등장합니다. 권한은 편의 때문에 넓어지기 쉽지만, 한 계정에 문제가 생겼을 때 닿을 수 있는 범위를 정하는 것은 바로 그 권한입니다. 권한을 좁게 두는 일은 불편을 참는 일이 아니라 피해 범위를 미리 잘라 두는 설계에 가깝습니다.

[분석] 세 번째로 반복되는 모습은 탐지의 빈틈입니다. 침해가 수년을 머문 경우도 있었고, 탐지 기록을 확인하지 않았다는 지적이 나온 경우도 있었습니다. 도구가 경고를 내도 사람이 보지 않으면 탐지가 아닙니다. 경고가 누구에게 가고, 누가 판단하고, 누가 차단을 정하는지가 정해져 있어야 도구가 의미를 갖습니다. 보호 책임자가 기술 부서만이 아니라 인프라와 협력업체까지 볼 수 있는지도 함께 정해져 있어야 합니다.

[권고] 관리자 권한을 가진 계정의 목록과 보안 경고를 받는 사람을 오늘 확인해 보시기 바랍니다. 패치와 권한 점검 결과가 경영진에게 보고되는 흐름이 있는지도 함께 살펴보시기 바랍니다. 사고가 나면 누가 통지와 신고를 정하는지를 이름으로 적어 두시기 바랍니다.

[권고] 보안 경고를 받는 사람이 휴가나 퇴사로 비게 되는 경우까지 정해 두시기 바랍니다. 경고를 대신 받는 사람이 정해져 있지 않으면, 탐지는 사람이 없는 동안 멈추게 됩니다. 대행자를 정하는 일은 비용이 들지 않습니다.

• 권한을 좁게 두면 피해 범위를 미리 줄일 수 있습니다.
• 경고를 사람이 받아 보는 절차가 있어야 탐지입니다.
• 통지와 신고를 정하는 사람을 이름으로 적어 둡니다.

10. 규모는 방패가 아니라는 결론

[분석] 여섯 사건의 기업은 모두 각 분야에서 손꼽히는 규모와 전문 인력을 가진 조직이었습니다. 그럼에도 실패는 예산 부족에서 오지 않았습니다. 패치 마감 확인, 다중인증 적용, 자산 목록, 기록 확인, 설계 검토, 통지 결정처럼 돈보다 절차와 책임이 필요한 일에서 빈틈이 났습니다. 규모가 클수록 시스템은 복잡해지고, 복잡할수록 기본의 빈틈은 숨기 쉬워집니다.

[전망] 앞으로의 사건에서도 새로운 기술 이름이 등장하겠지만, 감독기관이 물을 질문은 비슷할 가능성이 큽니다. 무엇을 가졌는지 아는가, 누가 들어올 수 있는가, 이상을 누가 보는가, 사고를 알았을 때 무엇을 알리는가입니다. 이용자 입장에서는 기업이 이 질문에 답하는 태도를 보는 것이 보안 수준을 가늠하는 현실적인 방법이 될 수 있습니다.

[권고] 이 글을 읽는 조직이라면 오늘 세 가지를 확인해 보시기 바랍니다. 자산 목록이 최신인지, 외부 접속에 다중인증이 켜져 있는지, 지난 한 달의 보안 경고를 누가 확인했는지입니다. 이용자라면 유출 통지를 받았을 때의 행동을 미리 익혀 두시기 바랍니다. 거대한 개혁보다 확인 가능한 기본이 먼저입니다.

[권고] 오늘 확인한 세 가지가 모두 갖춰져 있지 않더라도 괜찮습니다. 빠진 것 하나를 골라 이번 주 안에 채우는 순서가 중요합니다. 기본은 한 번에 완성하는 것이 아니라, 빈틈을 하나씩 닫아 가는 과정이기 때문입니다.

• 실패는 예산보다 절차와 책임의 빈틈에서 났습니다.
• 자산과 권한, 탐지와 통지가 판단의 기준입니다.
• 오늘 자산 목록과 다중인증부터 확인하시기 바랍니다.