개인정보위, 2024년 개인정보 유출 신고 동향 분석결과 발표
유출 신고 307건, 사고 원인 해킹(56%), 업무 과실(30%), 시스템 오류(7%) 순 
크리덴셜 스터핑, 에스큐엘(SQL) 인젝션 등 해킹…보안 체계 점검 등 각별한 주의

[서울=뉴시스]

[서울=뉴시스]송혜리 기자 = 지난해 해킹으로 인한 개인정보 유출 사고가 증가한 가운데, 공공기관의 유출 신고 건수도 전년 대비 2배 이상 늘어난 것으로 나타났다. 반면, 업무 과실 및 시스템 오류로 인한 유출 사고는 감소했다.

개인정보보호위원회와 한국인터넷진흥원(KISA)은 지난한 해 동안 신고된 개인정보 유출 사고를 분석해 원인별 예방책을 담은 '2024년 개인정보 유출 신고 동향 및 예방 방법' 보고서를 통해 이같은 내용을 공개했다.

해킹 사고 증가…공공기관 개인정보 유출 신고 2배 급증

이번 보고서에 따르면 지난해 접수된 유출 신고 건은 총 307건으로 전년도 318건과 비슷한 수준이다. 유출 원인은 해킹이 56%(171건)로 가장 높은 비중을 차지했으며, 업무 과실 30%(91건), 시스템 오류 7%(23건) 순으로 나타났다. 

구체적으로 해킹 사고는 전년도 151건에서 171건으로 늘어난 반면, 업무 과실로 인한 유출은 116건에서 91건으로 감소했다. 또 시스템 오류로 인한 유출도 29건에서 23건으로 줄어들었다.

해킹 사고 유형을 분석한 결과, 관리자 페이지 비정상 접속(23건)이 가장 많았으며, 이어 SQL 인젝션(17건), 악성 코드(13건), 크리덴셜 스터핑(9건) 순으로 나타났다. 특히, 불법적인 접근이 있었으나 정확한 원인이 밝혀지지 않은 사건이 87건으로, 전체 해킹 사고의 절반에 달했다.

SQL 인젝션 공격은 악의적인 SQL 명령어을 삽입해 데이터베이스를 조작하는 방식으로 이뤄지며, 크리덴셜 스터핑은 공격자가 탈취한 계정 정보를 활용해 다른 사이트에 로그인하는 방식의 공격 기법이다.

업무 과실로 인한 유출 유형은 주로 게시판이나 단체채팅방 등에 개인정보 파일을 게시했거나(27건), 이메일을 동보 발송한 경우(10건), 이메일 및 공문 내 개인정보 파일을 잘못 첨부한 경우(7건) 등인 것으로 밝혀졌다. 

아울러 시스템 오류로 인한 유출사고 유형으로는 소스코드 적용 오류(14건)가 과반수를 차지했으며, 애플리케이션 프로그래밍 인터페이스(API) 연동 오류로 인해 개인정보가 권한 없는 자에게 표출되는 경우(8건)도 다수 있었다.

기관 유형별 통계를 살펴보면, 공공기관의 유출 신고는 전체 유출 신고의 34%(104건)를 차지하며, 전년도(41건) 대비 2배 이상 증가했다. 

이는 2023년 9월 개정된 개인정보 보호법에 따라 공공기관의 신고 기준이 강화된 영향으로 분석된다. 기존에는 유출 규모가 1000명 이상일 때만 신고하도록 돼 있었으나, 개정 이후 민감정보 또는 고유식별정보가 1건 이상 유출되더라도 신고가 의무화됐다. 실제 공공기관 유출 신고 104건 중 71건(68%)은 1000건 미만의 유출 사례였다.

공공기관 유형별로는 중앙행정기관·지방자치단체가 42%로 가장 많았으며, 이어 대학교·교육청(41%), 공공기관·특수법인(17%) 순으로 나타났다.

반면, 민간기업의 유출 신고는 66%(203건)로, 전년도(277건) 대비 감소한 것으로 확인됐다. 민간기업 내에서는 중소기업이 60%로 가장 높은 비율을 차지했으며, 해외사업자(12%), 협단체(12%), 중견기업(11%), 대기업(5%) 순으로 집계됐다.

개인정보 유출 사고 예방 위해 보안 점검 철저히… 관리자 접근 통제 및 데이터 보호 조치 강화

이번 보고서를 통해 개인정보위는 해킹기법 중 하나인 크리덴셜 스터핑 공격으로 인한 개인정보 유출을 방지하기 위해서는 개인정보 입력페이지에 이례적인 아이디·비밀번호 반복 대입행위를 탐지·차단하는 보호조치를 마련해야 한다는 점을 강조했다. 또 웹 방화벽(WAF) 설치 등을 통해 에스큐엘(SQL) 인젝션 관련 공격을 탐지·차단할 수 있는 정책을 설정해야 한다고도 안내했다.

아울러 개인정보위는 업무 과실로 인한 개인정보 유출을 방지하기 위해 게시판·홈페이지 등에 자료 업로드 시에는 주민등록번호 등 민감한 개인정보가 포함됐는지 확인하고, 메일 발송 시에는 수신자 개인별 발송 기능을 기본으로 설정해 둘 것을 당부했다. 또 개인정보가 포함된 업무용 기기에는 기기 비밀번호 설정, 파일 암호화 등을 설정하는 방법도 함께 안내했다. 

개인정보위는 "개인정보처리자의 보호 수준을 높이기 위한 교육 등에 보고서를 활용하도록 제공할 계획이다. 아울러, 기관과 기업의 경각심을 제고하고, 개인정보 보호 체계 개선에 도움이 되도록 지원해 나갈 방침"이라고 밝혔다.


☞공감언론 뉴시스 chewoo@newsis.com 

Copyright © 뉴시스. 무단전재 및 재배포 금지.