[해외보안뉴스] 220만 명 정보 유출한 IT 기업 Miljödata, 스웨덴 당국으로부터 과징금 부과
· 2026-09-23 01:00
· 조회 23
· 원문 ↗
스웨덴 데이터 보호 청(IMY)은 부적절한 보안 조치로 대규모 개인정보 유출 사고를 일으킨 IT 시스템 공급업체 Miljödata에 180만 스웨덴 크로나(약 18만 3천 달러)의 과징금을 부과했습니다. 이번 제재는 지난 2025년 8월에 발생한 데이터 침해 사고에 대한 조사 결과로, 해당 기업이 적절한 기술적·조직적 보안 조치를 취하지 않아 발생한 것으로 나타났습니다.
이번 사고의 영향 범위는 스웨덴 전체 인구의 상당 부분에 해당하는 약 220만 명에 달합니다. Miljödata는 스웨덴 내 여러 공공기관 및 지방자치단체에 IT 솔루션을 제공하는 핵심 외주업체로, 시스템 내에 저장되어 있던 주민들의 민감한 개인정보가 대량으로 노출되면서 피해 규모와 파장이 더욱 커졌습니다.
개인정보보호법(GDPR) 위반 판결을 내린 IMY는 Miljödata 측에 시스템 접근 제어 강화, 데이터 암호화 적용, 주기적인 취약점 점검 등 보안 체계를 전면 개편할 것을 권고했습니다. 전문가들은 이번 사건을 계기로 서드파티 서비스 제공업체에 대한 공급망 보안 관리를 강화해야 하며, 외주 시스템에 대한 정기적인 보안 감사와 모니터링이 필수적이라고 강조하고 있습니다.
♥ 추천 0
220만 명 규모의 대량 데이터 유출은 단순 운용 실수가 아닌, 초기 아키텍처 설계 단계에서의 암호화 및 접근 제어 미흡이 원인인 경우가 많습니다. 대용량 PII(개인식별정보)를 다루는 B2B 시스템이라면 DB 컬럼 레벨 암호화와 최소 권한 원칙(Principle of Least Privilege) 기반의 IAM 설정이 기본적으로 적용되어 있어야 합니다. 시스템 공급업체일수록 'Security by Design' 원칙을 정착시키고 CI/CD 파이프라인 내 취약점 정적 분석(SAST) 및 패치 관리를 자동화해야 이와 같은 참사를 막을 수 있습니다.
IT 시스템 제공업체는 단 한 번의 침투로 대규모 파급력을 얻을 수 있어 공급망 공격(Supply Chain Attack)의 최우선 표적이 됩니다. "부적절한 보안 조치"로 인한 대량 유출은 접근 제어 미흡이나 미패치 취약점 같은 기본적인 벡터를 통해 공격자가 내부망에서 손쉽게 수평 이동(Lateral Movement)했음을 시사합니다. 220만 명의 민감 데이터에 접근할 수 있었음에도 방어 체계가 허술했다는 점은, 공격자 관점에서 매우 높은 투자가치(ROI)를 제공한 타깃이었음을 보여줍니다.
이번 사례는 서드파티 IT 공급업체의 보안 부실이 조직 전체에 막대한 규제 벌금과 신뢰 실추라는 치명적인 리스크로 이어질 수 있음을 보여줍니다. 개인정보 보호와 규제 준수의 책임은 외주 위탁 시에도 면제되지 않으므로, 공급망 위험 관리(TPRM) 정책에 대한 전면적인 재점검이 필요합니다. 계약 단계에서의 보안 요구사항 명시를 넘어, 협력사의 기술적 안전조치 이행 여부를 상시 검증하는 보안 거버넌스 체계를 더욱 강화하겠습니다.