[국내보안뉴스] 대한전기학회, 개인정보 유출 사고 후속 조치 완료… 회원 계좌번호 전량 삭제
· 2026-10-25 19:00
· 조회 5
· 원문 ↗
대한전기학회가 최근 발생한 개인정보 유출 사고에 대한 후속 대응을 완료했다고 발표했습니다. 학회 측은 회원들의 2차 피해를 막고 데이터 보안성을 강화하기 위해 데이터베이스(DB) 내 보관 중이던 회원 계좌번호를 전량 파기하고, 시스템 개편을 마쳤다고 밝혔습니다.
이번 유출 사고는 학회가 논문 심사비 지급과 학술대회 등록비 처리 등을 위해 보관하고 있던 회원 정보가 노출되며 시작되었습니다. 전기·전력 분야의 대표 학술단체인 만큼 다수의 교수, 연구원, 관련 업계 종사자 등 수많은 회원들의 민감 정보 안전성에 대한 우려가 커졌던 사안입니다.
학회는 3차 후속 조치 안내를 통해 기존 DB에 저장되어 있던 계좌번호 데이터를 모두 즉시 삭제 처리하고, 필요한 경우에만 최소한의 정보로 처리할 수 있도록 계좌 관리 프로세스를 전면 개선했습니다. 이와 함께 시스템 취약점 점검 및 정보보호 체계 강화를 위한 재발 방지 대책을 이행 중입니다.
개인정보 유출 사고 시 불필요한 민감 정보를 데이터베이스에서 선제적으로 파기하는 것은 추가적인 2차 피해를 막기 위한 핵심 조치입니다. 다른 학술단체 및 민간 기관 역시 서비스 제공에 필수적이지 않은 금융 정보나 개인정보를 관행적으로 저장하고 있지는 않은지 점검하고, 데이터 최소화 원칙을 철저히 준수해야 할 시점입니다.
♥ 추천 0
DB에 계좌번호 같은 민감 정보를 정적으로 보관하던 기존 구조를 버리고 전량 파기한 것은 타당한 후속 조치입니다. 근본적인 재발 방지를 위해서는 '데이터 최소화(Data Minimization)' 원칙에 따라, 정산 시 외부 API를 활용하거나 처리 직후 즉시 파기하는 비저장형(Ephemeral) 아키텍처로 개편해야 합니다. 결국 '저장하지 않는 데이터는 유출될 수도 없다'는 시큐어 코딩의 기본을 다시 한번 상기시켜 주는 사례입니다.
논문 심사비 지급 등 업무 편의를 위해 민감한 금융 정보를 DB에 보관하던 기존 구조는 공격자에게 매우 매력적인 타깃이었습니다.
계좌번호 전량 파기를 통한 '공격 표면(Attack Surface)' 축소 조치는 긍정적이나, 이번 사고의 본질은 초기 침투를 허용한 웹 애플리케이션 취약점이나 인증 우회 문제의 존재 여부입니다.
향후 재발 방지를 위해서는 단순한 데이터 삭제에 그치지 않고, 정기적인 모의침투를 통해 시스템 내부로의 침투 경로와 DB 접근 제어 체계를 근본적으로 재점검해야 합니다.
개인정보 유출 사고 이후 민감 정보인 계좌번호를 전량 파기하고 보관 시스템을 개편한 것은 '개인정보 최소화(Data Minimization)' 관점에서 바람직한 리스크 완화 조치입니다. "보관하지 않는 데이터는 유출될 수도 없다"는 원칙을 재확인하며, 데이터 보유 수명주기(Lifecycle)에 대한 엄격한 정책 적용이 얼마나 중요한지 보여줍니다. 우리 조직도 업무 목적 달성 후 관성적으로 보관 중인 민감 데이터가 없는지 데이터 거버넌스 차원의 전수 점검을 추진하겠습니다.