[한국미래일보=김동건 대학생 기자]

기사와 관련 없는 사진 / 출처=픽사베이

최근 GS리테일, 한국예술종합학교(이하 한예종), 법원행정처 등 민간기업과 공공기관을 가리지 않고 크고 작은 개인정보 유출이 빈번하게 발생하고 있으며, 이로 인한 피해가 지속되고 있다.

이로 인해 해당 기관에 종사 또는 가입되어있는 사람들의 이름·연락처·이메일·주소 등이 유출되었다. 개인정보 유출 사실이 확인되자 GS리테일, 한예종 등에서는 해킹 시도 IP를 즉각 차단하고 고객 계정에 접근이 불가하도록 조치했다.

GS리테일은 2024년 12월 27일부터 2025년 1월 4일까지 일주일 동안 약 9만명이 개인정보 유출 피해를 입었다. 해커조직이 GS리테일을 해킹하기 위해 사용한 방식은 ‘크리덴셜 스터핑’이다. ‘크리덴셜 스터핑’은 해커가 다크웹에서 구매한 인증정보로 봇을 사용해 웹사이트에 지속적으로 접속하려 시도하는 자동화된 사이버 공격을 뜻한다.

이와 마찬가지로 한예종 관계자에 따르면, 2024년 12월 29일 약 2시간 동안 “해커조직이 이름·생년월일·성별·학적상태·은행계좌번호 등 개인정보 항목 22개를 빼갔다.”고 밝혔다. 해커조직은 해외 IP로 우회해 비정상적인 접근으로 한예종 공식 홈페이지를 해킹한 것으로 알려졌다.

한편, 개인정보 유출은 민간기업 뿐만 아니라 국가 기관에서도 발생하는 것이 확인된다. 1월 8일 법원행정처는 북한 해커조직 ‘라자루스’가 2021년 6월부터 2023년 1월까지 개인정보를 해킹함에 따라 과징금 2억 700만원과 과태료 600만원을 개인정보보호위원회(이하 개보위)에 부과하도록 의결되었다.

북한 해커조직 ‘라자루스’는 법원행정처 보유 데이터 1014GB를 비롯해 혼인관계증명서, 자필 진술서 등과 같은 개인정보를 파악했다. 당시, 법원행정처는 초기 설정된 관리자 비밀번호를 유지하고, 보안프로그램을 미설치하는 등 개인정보 유출 대처에 미온적이었다는 평가를 받고 있다.

또한, 분석된 유출 규모는 유출 데이터의 0.4%에 불과해, 실제 알려진 개인정보에 비해 더 많은 개인정보가 유출되었을 것으로 개보위는 예상했다. 이에 대해 일각에선 개보위가 법원행정처에게 유출된 개인정보에 비해 솜방망이 처벌을 내린 것이 아니냐는 지적이 제기되고 있는 상황이다.

2024년 9월 22일 국회 과학기술정보방송통신위원회 국민의힘 박충권 의원이 공공기관과 민간기업 개인정보 유출 피해 자료를 제시했다. 박충권 의원은 공공기관에서 2023년 352만건, 2024년 7월까지 186만 6천건 유출 사고가 발생했으며, 민간기업에서는 2023년 659만 1천건, 2024년 7월까지 592만 2천건으로 유출 신고가 증가하고 있음이 확인되었음을 밝혔다.

이에 대해 박충권 의원은 “매해 개인정보 유출은 증가하고 있는 추세임에도 불구하고, 근본적인 해결책이 요원하다.”고 지적하며 향후 정치권이 풀어가야 할 숙제를 남겼다.