2026 상반기 국내 침해사고 총정리 — 8개월, 끊이지 않은 유출

교원그룹 랜섬웨어로 시작해 8월 민간 인증기관 해킹까지. 2026년 국내에서 확인된 주요 침해사고를 시간순으로 정리했습니다. 업종도 규모도 제각각이지만, 공격 경로에는 반복되는 패턴이 있습니다.

2026년, 조용한 달이 없었다

아래는 2026년 1월부터 8월까지 국내에서 공개적으로 확인된 주요 침해사고다. 제조 · 금융 · 유통 · 미디어 · 공공 · 교육까지 업종을 가리지 않았고, 수법도 랜섬웨어 · DB 직접 침입 · 비인가 접근 · 내부자 유출로 갈렸다.

1월 — 랜섬웨어로 열린 한 해

교원그룹 — 대규모 랜섬웨어 공격. 1월 10일 이상 징후를 포착했고, 가상 서버 약 600대가 암호화됐다. 가상화 인프라를 통째로 노린 전형적인 사례다.
서울시 공공자전거 따릉이 — 개인정보 유출 발생. 공공 서비스도 예외가 아니라는 점을 다시 확인시켰다.

3월 — 다크웹 협박과 명단 유출

현대엘리베이터 — 랜섬웨어 조직 에베레스트(Everest)가 1,116GB 규모의 내부 데이터를 탈취했다고 다크웹에 주장하며 설계 도면, 승강기 안전 인증서 등 샘플 6장을 공개했다. 암호화보다 유출 협박(이중 갈취)에 무게를 둔 최근 랜섬웨어의 전형이다.
사랑의열매 — 고액 기부자인 정재계 인사 · 연예인 647명의 명단과 주민등록번호가 유출됐다. 건수는 적지만 대상의 민감도가 극도로 높은 사고였다.

5~6월 — 티빙: DB에 직접 들어왔다

        타임라인

        5월 30일 — CJ ENM의 OTT 서비스 티빙 DB에 직접 침입 발생

        5월 31일 — 유출 확인

        6월 1일 — 신고

        6월 3일 — 공지

신원 미상의 해커가 DB에 접속해 개인정보 파일을 외부로 전송한 것으로 확인됐다. 공지된 "이외 서비스 이용 관련 정보"에는 결제 이력도 포함된 것으로 알려졌다.

주목할 점은 발생 → 확인 → 신고 → 공지가 나흘에 걸쳐 있었다는 것이다. 9월 11일 시행되는 개정 개인정보보호법 기준으로는 '유출 가능성'을 인지한 시점부터 72시간이 기산되므로, 같은 사고가 지금 발생했다면 훨씬 촘촘한 일정 관리가 필요했을 것이다.

6월 — CU포스트(BGF네트웍스)

6월 4일, 해커가 CU 편의점 택배를 운영하는 BGF네트웍스 시스템에 비인가 접근해 다음 정보를 유출했다:

이름, 휴대전화번호, 이메일, 주소, 성별
아이디, 비밀번호

비밀번호가 유출 항목에 포함된 것이 특히 위험하다. 같은 비밀번호를 다른 서비스에 재사용한 이용자에게는 크리덴셜 스터핑(Credential Stuffing) 2차 피해로 번진다.

그 밖의 사고

4월 — 듀오정보
6월 — 에스티유니타스 · 패스트캠퍼스 (교육 플랫폼)
7월 — 멜로밍

8월 — 민간 인증기관, 그리고 고위 인사

국내 민간 인증기관 서버가 해킹돼 청와대 고위 인사를 포함한 주요 인물들의 개인정보가 유출된 정황이 확인됐다. 8월 20일 경찰청 국가수사본부가 이를 밝혔다.

        확인된 사실

        · 유출 정보는 이름 · 휴대전화번호 · 주소 등 명함 수준으로 추정

        · 청와대 서버 자체가 해킹된 것은 아니다

        · 사건은 부산경찰청에 배당돼 침입 경로와 피해 규모 수사 중

정보의 민감도 자체는 높지 않지만, 인증기관이라는 신뢰의 결절점이 뚫렸다는 점에서 의미가 크다. 인증 · 결제 · 본인확인처럼 다수 서비스가 의존하는 사업자는 한 번의 침해가 연쇄적 신뢰 붕괴로 이어진다.

2025년 대형 사건의 후속

SK텔레콤 — HSS 해킹으로 가입자 2,324만 명 정보 유출. 약 1,348억 원의 과징금이 부과됐고, SKT는 2026년 1월 과징금 취소 소송을 제기했다.
쿠팡 — 퇴사자에 의한 내부 유출로 밝혀져 접근 권한 통제의 중요성이 부각됐다. 외부 방어를 아무리 세워도 권한 회수 절차가 없으면 무의미하다.

반복되는 패턴 다섯

        ① 가상화 · 클라우드 인프라를 통째로 노린 랜섬웨어 (교원그룹)

        ② 암호화보다 유출 협박이 주무기가 된 이중 갈취 (현대엘리베이터)

        ③ 애플리케이션이 아닌 DB 직접 침입 (티빙)

        ④ 비밀번호까지 포함된 유출 → 크리덴셜 스터핑 확산 (CU포스트)

        ⑤ 외부 침입이 아닌 내부자 · 퇴사자 경로 (쿠팡)

제도 변화 — 사고 이후가 달라진다

2026년 개정 개인정보보호법은 유출 통지 시 손해배상 청구 방법까지 안내하도록 의무화했다. 중대한 과실이 인정되면 실제 손해액의 최대 5배까지 배상받을 수 있다.

기업 입장에서 이는 두 가지를 뜻한다. 첫째, 통지문이 곧 소송 안내문이 된다. 둘째, 사고 대응의 품질이 배상액의 배수를 좌우한다. "중대한 과실이 아니었다"를 입증할 수 있는 평상시 기록이 곧 방어선이다.

지금 점검해야 할 것

☐ 가상화 인프라 백업이 오프라인 · 불변(Immutable) 상태인지
☐ DB 서버에 대한 직접 접근 경로와 계정 목록 전수 조사
☐ 비밀번호 저장 방식 점검 — 평문 · 취약 해시가 남아 있지 않은지
☐ 퇴사자 권한 회수 절차의 실효성 검증 (실제 샘플 감사)
☐ 다크웹 유출 모니터링 — 자사 도메인 · 브랜드 키워드
☐ 인증 · 결제 등 외부 의존 사업자의 보안 수준 재확인
☐ 72시간 통지 시나리오 도상훈련 (통지문 초안 사전 준비)

※ 본 정리는 2026년 8월 말까지 공개 보도된 내용을 기준으로 하며, 수사 진행에 따라 사실관계가 변경될 수 있습니다. 피해 규모 등 세부 사항은 각 기업 공지와 수사기관 발표를 확인하시기 바랍니다.