일상 전반으로 확산된 해킹 피해와 유출 규모

은행 업무를 보거나 카페에서 휴식을 취하고, 학교에서 학습하는 평범한 일상 속에서 개인정보가 무차별적으로 유출되는 사태가 벌어지고 있다. 지난 10월 한 달 동안 금융권과 교육계, 항공사, 커피 전문점 등 업종을 가리지 않는 해킹 사고가 잇따르며 이용자들의 정보가 위협받고 있다. 사이버 침해 정황이 포착된 주요 기업 및 기관 25곳의 유출 건수를 단순 합산하면 약 534만 건에 달하는 것으로 집계됐다. 중복된 데이터가 포함되어 있어 실제 피해 인원과는 차이가 있을 수 있으나, 한 달 사이 발생한 유출 규모와 범위는 매우 심각한 수준이다.

특히 유출된 데이터는 이름과 전화번호 같은 기본 정보를 넘어 계좌번호, 대출 관련 내역, 주민등록번호, 심지어 신분증 사본까지 포함되어 있어 충격을 주고 있다. 한 위탁업체가 해킹을 당하면서 해당 업체를 이용하는 20여 곳의 기관으로 피해가 번지는 연쇄 사고도 발생했다. 유출된 정보가 공공기관이나 금융사를 사칭하는 피싱 범죄에 악용될 위험이 커지고 있음에도 불구하고, 일부 기관은 여전히 정확한 피해 규모를 파악하지 못하고 있는 실정이다.

금융권과 서비스 업종의 대규모 정보 유출 사례

업계와 당국의 발표를 종합하면, 9월 말 금융권 해킹 사태 이후 10월 중 확인된 침해 사고는 총 25개 기관에서 약 534만 건의 정보를 유출시켰다. 가장 큰 규모의 피해를 입은 곳 중 하나는 커피 전문점 할리스다. 할리스는 지난달 16일 멤버십 시스템에 비인가 접근이 발생했음을 인지한 후, 19일 약 276만 건의 고객 정보가 유출되었다고 밝혔다. 유출 항목에는 아이디, 비밀번호, 성명, 생년월일, 연락처, 주소, 이메일, 중복가입확인정보 등 9가지가 포함되었으며, 이는 2009년부터 2020년 2월까지 축적된 과거 데이터다.

금융권의 피해는 은행과 저축은행, 증권사, 가상자산 거래소 등 전 분야로 확산했다. 금융당국은 지난달 14일 기준 16곳의 금융회사에서 침해 사고를 확인했으며, 당시 파악된 유출 규모는 약 10만 건이었다. 신한은행에서는 대출 신청 고객 중 2만 5천 명의 정보가, 예가람저축은행에서는 약 4만 명의 정보가 유출된 것으로 나타났다. 국민은행, 하나은행, 부산은행 등에서도 피해 사실이 확인되었다. 증권업계에서는 대신증권이 고객 3만 8천490명의 이름과 이메일, 주소, 암호화된 계좌번호 등을 유출했다고 발표했으며, 미래에셋자산운용 또한 일부 업무 시스템 정보가 유출되었으나 구체적 규모는 밝히지 않았다. 가상자산 거래소 빗썸에서는 고객 6천444명과 임직원 715명의 정보가 유출되었는데, 특히 고객 844명의 주민등록번호와 운전면허번호, 계좌번호, 신분증 사본이 직접 노출되어 파장이 커졌다.

교육·공공기관 연쇄 피해와 집단소송 움직임

교육 분야에서는 온라인 학습관리시스템 운영사인 맑은소프트의 해킹으로 인해 대규모 연쇄 유출이 발생했다. 9월 19일과 20일 사이 발생한 이 공격으로 국방부, 국민권익위원회, 한국교육시설안전원, 기아 노조 등 20여 곳의 위탁 기관에서 약 237만 건의 정보가 빠져나갔다. 여기에는 국가청렴권익교육원 이용자 10만 명, 한국교육시설안전원 4만 명, 기아 광명공장 노조원 5천 명의 정보가 포함되었으며, 본인확인용 연계정보(CI)까지 포함된 것으로 알려졌다. 대학가에서도 연세대는 재학생과 졸업생 1만여 명의 정보가, 국립부경대는 수협은행 등록금 관리 시스템 해킹으로 5천108명의 정보가 유출되었으며, 서울사이버대 역시 정보 유출 사실이 확인되었다. 한국전력은 직원 2만 4천 명의 이름과 소속, 전화번호가 외부 웹페이지에 노출되는 사고를 겪었다.

항공 및 여행·숙박 분야의 피해도 이어졌다. 진에어는 회원 1천454명의 정보 유출을 공개했고, 대한항공과 아시아나항공은 외부 IT 운영업체를 통한 예약 정보 유출 통보를 받았다. 모바일 상품권 서비스인 '기프티엘'에서는 고객 1만 8천359명의 이름과 연락처, 환불 계좌번호 등이 유출되었으며, 플래닛과 놀유니버스(옛 인터파크투어 예약 고객)에서도 정보 유출이 확인되었다. 특히 놀유니버스의 경우 예약 내역과 구매 금액까지 포함된 것으로 알려졌다. 한편, 금융권 개인정보 유출과 관련해 피해자들의 집단소송 움직임도 포착되고 있다. 서초동의 한 로펌은 신한은행 피해자를 대상으로 손해배상 소송 원고 모집을 시작했으며, 부산은행, 예가람·웰컴저축은행, 현대캐피탈 등의 사고로 인해 소송 규모가 확대될 가능성이 있다.

보안 취약점 노출과 2차 범죄에 대한 경고

이번 사태는 개인정보를 관리하는 위탁업체 한 곳이 공격받을 경우 다수의 기관이 동시에 피해를 입는 구조적 취약성을 여실히 보여주었다. 유출된 데이터가 금융 및 공공기관 사칭 피싱과 결합할 경우 매우 정교한 2차 범죄로 이어질 수 있다는 우려가 나온다. 보안 전문가들은 개인정보 유출이 특정 산업을 넘어 일상적인 서비스 전반으로 확산되고 있음을 지적하며, 유출된 정보가 다른 데이터와 결합해 악용될 가능성에 대비해 지속적인 주의가 필요하다고 강조했다. 또한 기업들이 해킹 사실을 인지하더라도 정확한 피해 범위를 산출하는 데 많은 시간이 소요되어 대응이 늦어지는 점도 주요 문제로 지적된다.