유출은 왜 반복되는가 — 2026년 사고에서 뽑아낸 공통 실패 지점

다른 사고, 같은 구멍

2026년 국내 침해사고를 나열하면 업종도 수법도 제각각이다. 그런데 "어디가 무너져서 여기까지 왔나"를 물으면 답이 네 가지로 수렴한다. 계정, 권한, 백업, 시간이다.

축 ① 계정 — 비밀번호는 이미 유출돼 있다

CU포스트 사고에서 유출 항목에 아이디와 비밀번호가 포함됐다. 문제는 그 다음이다. 이용자 상당수가 같은 조합을 다른 서비스에서도 쓴다. 공격자는 유출된 목록을 다른 사이트에 자동 대입한다 — 크리덴셜 스터핑이다.

즉 우리 회사가 뚫리지 않아도 우리 이용자 계정은 뚫릴 수 있다. 방어의 기준선이 "우리 시스템을 지킨다"에서 "이미 유출된 자격증명을 무력화한다"로 옮겨져야 한다.

축 ② 권한 — 나간 사람의 열쇠

쿠팡 사건은 퇴사자에 의한 내부 유출로 밝혀졌다. 외부 침입이 아니었다. 방화벽도, WAF도, EDR도 이 경로에는 무력하다.

대부분의 조직은 퇴사 절차에 권한 회수를 넣어두고 있다. 문제는 그 절차가 실제로 작동하는지 검증하지 않는다는 점이다. 서류상 회수됐지만 SaaS 계정, VPN 인증서, API 키, 공유 계정, 개인 단말에 남은 토큰은 살아 있는 경우가 흔하다.

축 ③ 백업 — 같이 암호화되면 백업이 아니다

교원그룹 사고에서 가상 서버 약 600대가 암호화됐다. 가상화 환경을 노리는 랜섬웨어는 하이퍼바이저 계층에 도달하는 순간 VM 전체를 한 번에 잠근다. 같은 인프라 안에 있는 백업 스냅샷도 함께 사라진다.

현대엘리베이터 사례는 다른 각도를 보여준다. 에베레스트는 1,116GB를 탈취했다고 주장하며 샘플을 공개했다. 이 경우 백업이 완벽해도 협상 압력은 사라지지 않는다. 복구는 되지만 유출은 되돌릴 수 없기 때문이다.

축 ④ 시간 — 이제 시계가 먼저 돈다

티빙 사고의 타임라인은 발생(5/30) → 확인(5/31) → 신고(6/1) → 공지(6/3)였다. 당시 기준으로는 신속한 편이었다.

그러나 2026년 9월 11일 시행되는 개정 개인정보보호법은 유출 '가능성'을 인지한 시점부터 72시간을 기산한다. 정보통신망법은 침해사고 인지 후 24시간이다. 확실해질 때까지 기다린다는 선택지가 사라졌다.

배상의 무게가 달라졌다

SK텔레콤은 HSS 해킹으로 가입자 2,324만 명의 정보가 유출돼 약 1,348억 원의 과징금을 부과받았고, 2026년 1월 과징금 취소 소송을 제기했다.

여기에 더해 개정법은 중대한 과실이 인정되면 실제 손해액의 최대 5배 배상을 가능하게 했고, 과징금 상한은 전체 매출액의 10%로 올랐다.

반대로 개인정보보호 예산 · 인력 · 설비에 대한 투자와 운영은 과징금 감경 사유로 새로 들어갔다. 보안 투자가 처음으로 사후에 금액으로 환산되는 근거를 얻은 것이다. 투자했다는 사실보다 투자를 증명할 수 있는 기록이 중요해졌다.

정리 — 우선순위 일곱

• ☐ 전 임직원 · 관리자 계정 MFA 적용 여부 확인
• ☐ 퇴사자 권한 회수 실효성 감사 (표본 실측)
• ☐ 공유 계정 목록화 후 개인 계정으로 전환
• ☐ 백업 1벌을 오프라인 · 불변으로 분리
• ☐ 하이퍼바이저 관리 콘솔 인증 분리
• ☐ 72h / 24h 이원 대응 흐름도 작성 및 도상훈련
• ☐ 보안 투자 내역을 감경 사유 입증용으로 문서화

사고를 막는 것과 사고를 견디는 것은 다른 능력이다. 2026년의 법은 후자를 훨씬 더 무겁게 묻기 시작했다.