[국내보안뉴스] 국민권익위 '청렴권익배움터' 10만 명 개인정보 유출… 구시스템 데이터 미파기가 원인
· 2026-10-08 21:00
· 조회 13
· 원문 ↗
국민권익위원회가 운영하는 온라인 교육 플랫폼 '청렴권익배움터'에서 이용자 10만여 명의 개인정보가 유출되는 보안 사고가 발생했습니다. 조사 결과, 이번 사고는 학습관리시스템을 위탁 운영하는 외부 수탁업체가 신규 시스템 전환 후 구형 시스템에 남아 있던 개인정보를 즉시 파기하지 않고 방치했다가 해킹 공격을 받으면서 발생한 것으로 확인됐습니다.
이번 유출로 인해 청렴권익배움터를 이용했던 공공기관 관계자 및 일반 회원 등 약 10만 명의 개인정보가 노출되는 피해가 발생했습니다. 서비스 개편 시 기존 개인정보를 적절히 폐기해야 하는 기본적인 개인정보 보호 의무를 다하지 않아, 방치된 옛 시스템이 외부 공격자의 손쉬운 침투 표적이 되고 말았습니다.
국민권익위원회는 외부 위탁업체에 대한 관리·감독 부실 책임을 인정하고, 사고 발생 직후 유출 경로 차단 및 피해자 통지, 개인정보보호위원회 신고 등 후속 조치에 나섰습니다. 이번 사건은 공공기관과 기업이 수탁업체를 관리할 때 '데이터 생애주기 관리'와 '시스템 교체 시 구형 DB의 즉시 파기' 절차를 철저히 감독해야 함을 다시 한번 일깨워줍니다.
♥ 추천 0
시스템 교체 프로젝트에서 신규 구축에만 집중하고 구 시스템의 데이터 생애주기(Lifecycle) 관리를 소홀히 한 전형적인 인재입니다. 데이터 이관 파이프라인의 최종 단계에는 반드시 기존 DB의 데이터를 완벽히 파기(Purge)하고 이를 검증하는 프로세스가 포함되어야 합니다. 레거시 인프라를 방치하는 순간 보이지 않는 공격 표면(Attack Surface)이 되므로, 프로젝트 완료 조건으로 '구 시스템 자원 및 데이터 완전 파기'를 파이프라인과 체크리스트로 강제해야 합니다.
공격자에게 모니터링과 보안 패치가 중단된 '방치된 구형 시스템'은 최소한의 공수로 침투할 수 있는 최상의 타깃입니다. 신규 시스템의 보안을 강화하더라도 파기되지 않은 레거시 서버에 존재하는 알려진 취약점(N-day)이나 약한 인증 체계를 노리면 데이터 탈취가 매우 용이해집니다. 이번 사고는 외주 수탁업체의 미흡한 자산 관리가 결국 서플라이 체인 공격의 치명적인 접점으로 작용한 전형적인 사례입니다.
시스템 전환 과정에서 구형 시스템의 데이터 파기 미흡으로 발생한 이번 사고는 외주 위탁 관리(Third-Party Risk)와 데이터 생애주기 통제의 중요성을 다시금 일깨워줍니다.
단순히 수탁업체의 계약상 의무에만 의존할 것이 아니라, 데이터 이관 후 기존 데이터의 완전 파기 여부를 직접 검증하고 증적을 확인하는 관리감독 프로세스가 필수적입니다.
조직 내부뿐만 아니라 외주 생태계 전체를 아우르는 정기적인 리스크 점검과 데이터 파기 실사 체계를 거버넌스 차원에서 한층 강화해야 합니다.