지난해 개인정보 유출 사고 중 절반 이상이 해킹 때문인 것으로 조사됐다. 공공부문의 경우 강화된 신고 기준에 따라 유출신고 건수가 크게 증가했다.
개인정보보호위원회(개인정보위)와 한국인터넷진흥원(KISA)은 2024년 한 해 동안 신고된 개인정보 유출 사고를 분석해 원인별 예방책을 담은 '2024년 개인정보 유출 신고 동향 및 예방 방법(이하 보고서)'을 20일 발간했다.
보고서에 따르면 2024년 접수한 유출 신고 건은 총 307건이었다. 전년도 318건과 비슷한 수준이다. 유출 원인은 해킹이 56%(171건)로 가장 높은 비중을 차지했으며, 업무 과실 30%(91건), 시스템 오류 7%(23건) 순으로 나타났다. 전년도에 비해 해킹은 증가(151건→171건)한 반면, 업무 과실(116건→91건) 및 시스템 오류(29건→23건)로 인한 유출은 감소했다.
해킹 사고의 유형으로는 관리자 페이지 비정상 접속(23건), SQL 인젝션(17건), 악성코드(13건), 크리덴셜 스터핑(9건) 순으로 나타났다. 불법적인 접근은 있었으나 원인이 밝혀지지 않은 사건(87건)도 절반이나 됐다.
업무 과실로 인한 유출 유형은 주로 게시판이나 단체채팅방 등에 개인정보 파일을 게시했거나(27건), 이메일을 동보 발송한 경우(10건), 이메일 및 공문 내 개인정보 파일을 잘못 첨부한 경우(7건) 등인 것으로 밝혀졌다. 또한 시스템 오류로 인한 유출사고 유형으로는 소스코드 적용 오류(14건)가 과반을 차지했으며, 응용프로그램인터페이스(API) 연동 오류로 인해 개인정보가 권한 없는 자에게 표출되는 경우(8건)도 다수 있었다.
한편 공공기관의 유출 신고는 전체 유출 신고의 34%(104건)로, 전년도(41건) 대비 2배 이상 증가했다. 2023년 개인정보보호법 개정에 따라 공공기관의 경우 유출규모가 1000명 이상일 때 신고하도록 하던 것을 민감·고유식별정보 1건 이상 유출 시에도 신고하도록 신고기준이 상향된 것이 주된 원인으로 풀이된다. 총 104건 중 71건(68%)이 1000건 미만 유출에 해당한다. 세부 공공기관별로는 중앙행정기관·지방자치단체(42%), 대학교·교육청(41%), 공공기관·특수법인(17%) 순이었다.
민간기업의 유출 신고는 66%(203건)로, 전년도(277건) 대비 다소 감소했다. 세부 기관별로는 중소기업(60%), 해외사업자(12%), 협단체(12%), 중견기업(11%), 대기업(5%) 순으로 나타났다.
해킹기법 중 하나인 크리덴셜 스터핑 공격으로 인한 개인정보 유출을 방지하기 위해서는 개인정보 입력페이지에 이례적인 아이디·비밀번호 반복 대입행위를 탐지·차단하는 보호조치를 마련해야 한다. 웹 방화벽(WAF) 설치 등을 통해 SQL 인젝션 관련 공격을 탐지·차단할 수 있는 정책 설정도 요구된다. 한다. 업무 과실로 인한 개인정보 유출을 방지하려면 게시판·홈페이지 등에 자료 업로드 시에는 주민등록번호 등 민감한 개인정보가 포함됐는지 확인이 필요하다.
개인정보위와 KISA는 개인정보처리자의 보호 수준을 높이기 위한 교육 등에 보고서를 활용하도록 제공할 계획이다. 아울러, 기관과 기업의 경각심을 제고하고, 개인정보 보호 체계 개선에 도움이 되도록 지원해나간다는 방침이다.팽동현기자 dhp@dt.co.kr
