주말 사이에 드러난 침해, 그리고 30년 치 연락처

2026년 7월 말, 영국의 경찰 법률정보 데이터베이스를 운영하는 기관이 데이터 침해 사실을 공개했습니다. 해당 기관은 주말이었던 7월 26일에 침해 정황을 인지했고, 이후 전문 보안업체와 수사기관이 합동으로 조사를 진행하고 있다고 밝혔습니다. 규제 감독기관에도 신고가 이루어졌습니다.

공개된 유출 항목은 이름, 소속 조직, 업무용 이메일 주소였습니다. 대상은 경찰관과 경찰 행정직원, 형사사법 분야 종사자, 정부 협력기관 담당자, 그리고 해당 서비스의 고객이었습니다. 이 데이터베이스는 일반 시민이 치안이나 법률 관련 질문을 남길 수 있는 공개 문의 서비스도 함께 운영해 왔는데, 과거에 질문을 남긴 시민들의 이름과 이메일 주소 일부도 다크웹에 게시된 것으로 확인됐습니다.

침해를 주장한 데이터 갈취 조직은 1.9기가바이트 분량의 데이터를 확보했으며, 그 안에 약 13만 5천 건의 연락처 기록이 담겨 있다고 주장했습니다. 이 가운데 약 11만 4천 건은 유료 구독자, 약 2만 1천 건은 공개 문의 서비스 이용자라는 것이 이 조직의 설명입니다. 운영 기관은 연락처 정보가 공개된 사실 자체는 인정했지만, 공격자가 주장한 구체적인 건수나 침입 경로는 확인해 주지 않았습니다. 다만 비밀번호를 비롯한 인증정보가 유출됐다는 증거는 없으며, 피해자나 목격자, 범죄 전력에 관한 기밀정보는 애초에 이 시스템이 보유하지 않는다는 점은 분명히 했습니다.

주목할 부분은 이 서비스가 30년 넘게 운영돼 왔다는 사실입니다. 잉글랜드와 웨일스의 43개 경찰 조직과 철도경찰이 오랫동안 이용해 온 시스템이었고, 그만큼 오랜 기간에 걸쳐 사용자 계정과 문의 이력이 축적됐습니다. 유출된 것은 한 시점의 데이터가 아니라, 수십 년 동안 지워지지 않고 남아 있던 누적분이었습니다.

"민감정보는 없었다"는 설명이 안심으로 이어지지 않는 이유

이번 사안에서 유출된 항목만 놓고 보면 대단히 민감한 정보는 아닙니다. 이름과 소속, 업무용 이메일은 명함에도 적혀 있는 정보이고, 개별 항목으로는 이미 외부에 알려져 있는 경우도 많습니다. 그런데도 현지에서 이 사건이 무겁게 다뤄진 이유는 정보의 성격이 아니라 정보가 모인 형태에 있습니다.

흩어져 있을 때는 평범한 연락처가, 하나의 목록으로 묶이면 전혀 다른 의미를 갖습니다. 누가 어느 조직에 소속돼 있는지, 어떤 업무 영역의 사람들이 한 명단에 함께 들어가 있는지가 한눈에 드러나기 때문입니다. 조직 단위로 정리된 명단은 표적형 피싱과 사칭 메일의 재료가 되고, 사회공학 공격의 성공률을 크게 끌어올립니다. 공격자 입장에서는 어떤 사람에게 어떤 조직 이름을 대며 접근해야 의심을 덜 살지 계산할 수 있는 자료가 통째로 생긴 셈입니다 .

여기에 공개 문의 서비스 이용자 정보가 함께 포함됐다는 점이 문제를 키웠습니다. 시민 입장에서는 몇 년 전 궁금한 점을 한 번 물어본 것이 전부인데, 그 기록이 남아 있다가 유출 명단에 들어간 것입니다. 본인은 자신의 정보가 아직 어딘가에 저장돼 있으리라고 생각조차 하지 못했을 가능성이 높습니다.

기업 담당자가 이 지점에서 확인해야 할 것은 자사 시스템에도 같은 구조가 있는지 여부입니다. 상담 이력, 이벤트 응모 명단, 지난 채용 지원서, 종료된 프로젝트의 담당자 연락처, 해지한 고객의 계약 정보처럼 목적이 이미 끝난 데이터가 계속 남아 있다면, 그 데이터는 보호해야 할 자산이 아니라 사고가 났을 때 피해 규모를 키우는 부담으로 작동합니다.

피해 규모를 결정하는 것은 방어 수준이 아니라 남아 있던 양입니다

침해 사고가 발생하면 조직은 대체로 침입 경로부터 찾습니다. 어떤 취약점이 뚫렸는지, 어떤 계정이 탈취됐는지가 초기 대응의 중심이 됩니다. 당연한 순서입니다. 다만 사고가 끝난 뒤 남는 숫자, 즉 몇 건이 유출됐고 몇 명에게 통지해야 하는지를 결정하는 것은 방어의 수준이 아니라 그 시스템 안에 무엇이 얼마나 남아 있었는지입니다.

같은 취약점이 뚫리더라도 필요한 데이터만 보유한 조직은 통지 대상이 수백 명에 그치고, 십수 년 치를 그대로 쌓아 둔 조직은 수십만 명이 됩니다. 침입을 막는 일은 확률의 문제이지만, 남아 있는 데이터의 양은 조직이 미리 조정할 수 있는 변수입니다. 파기가 규정 준수 항목이 아니라 실질적인 위험 감축 수단인 이유가 여기에 있습니다.

이번 사안에서 침해를 주장한 조직은 앞서 영국의 한 정부 부처를 공격했다고도 밝혔는데, 해당 부처는 이후 60만 건이 넘는 고객 응대 연락처 기록이 노출된 사실을 확인했습니다. 두 사건 모두 탈취된 정보는 고도로 민감한 자료가 아니라 오랜 기간 누적된 연락 창구 데이터였습니다. 공격자들이 어떤 데이터를 노리고 있는지를 보여 주는 흐름입니다.

국내 상황도 같은 방향을 가리키고 있습니다

개인정보보호위원회가 2026년 5월에 공개한 분석 결과를 보면, 2025년 한 해 동안 접수된 개인정보 유출 신고는 447건으로 전년 대비 45.6퍼센트 증가했습니다. 이 가운데 해킹으로 인한 유출이 276건으로 가장 큰 비중을 차지했고, 랜섬웨어와 웹셸 같은 악성코드, 웹 취약점 악용, 관리자 페이지 비정상 접 속이 주요 유형으로 나타났습니다. 같은 기간 조사·처분은 227건, 과징금은 40건에 1,677억 원 규모였습니다.

신고 건수와 제재 수준이 함께 올라가고 있다는 점은 담당자에게 두 가지를 시사합니다. 첫째, 사고 자체를 완전히 피하는 것은 점점 어려워지고 있습니다. 둘째, 사고가 발생했을 때 조직이 어떤 상태였는지에 대한 설명 책임은 반대로 무거워지고 있습니다. 유출이 확인된 순간 감독기관과 정보주체가 묻는 것은 결국 같은 질문입니다. 그 데이터가 왜 아직 거기에 있었느냐는 것입니다.

데이터가 남아 있는 이유는 기술이 아니라 절차입니다

목적이 끝난 데이터가 왜 계속 남아 있는지를 살펴보면, 기술적으로 지울 수 없어서인 경우는 오히려 드뭅니다. 대부분은 지울 시점과 책임자가 정해져 있지 않아서입니다.

가장 흔한 형태는 보유기간이 문서에만 존재하는 경우입니다. 개인정보 처리방침에는 항목별 보유기간이 적혀 있지만, 그 기간이 지났을 때 실제로 무엇이 삭제되는지 확인하는 절차는 없는 상태입니다. 시스템에 자동 삭제 기능이 없다면 기간이 지나도 데이터는 그대로 남습니다. 두 번째는 나중에 쓸지도 모른다는 판단입니다. 통계나 재분석에 필요할 수 있다는 이유로 원본을 남겨 두는 경우인데, 이런 데이터는 특정 담당자의 개인 폴더나 별도 하드디스크에 저장되는 경향이 있어 관리 대상 목록에서 빠지기 쉽습니다.

세 번째는 담당자 교체입니다. 데이터를 만든 사람과 관리하는 사람이 달라지면, 새 담당자는 그 데이터를 지워도 되는지 판단할 근거를 갖지 못합니다. 판단이 어려우면 남기는 쪽을 선택하게 되고, 이 과정이 몇 차례 반복되면 아무도 내용을 모르는 데이터가 조직 안에 축적됩니다. 네 번째는 백업입니다. 운영 데이터에서 지운 정보가 백업본에는 그대로 남아 있는데, 백업은 대개 별도 주기와 별도 매체로 관리되기 때문에 파기 절차와 연결되지 않는 경우가 많습니다.

이 네 가지는 모두 보안 솔루션을 추가한다고 해결되지 않습니다. 무엇을 언제 어떤 방식으로 파기할지, 그리고 그 결과를 누가 확인할지를 정해 두는 것이 먼저입니다. 반대로 이 절차만 정리돼 있으면 파기 자체는 어렵지 않게 실행할 수 있습니다.

법은 이미 "불필요해지면 지체 없이 파기"를 요구하고 있습니다

개인정보 보호법은 보유기간이 지났거나 처리 목적이 달성돼 개인정보가 불필요해졌을 때 지체 없이 파기하도록 정하고 있습니다(제21조 1항). 다른 법령에 따라 보존해야 하는 경우는 예외이지만, 이때에도 해당 정보를 다른 개인정보와 분리해 저장하고 관리해야 합니다(제21조 3항). 그리고 파기할 때에는 복구나 재생이 되지 않도록 조치해야 한다는 요건이 별도로 규정돼 있습니다(제21조 2항).

여기서 실무상 가장 자주 놓치는 부분이 두 번째 요건입니다. 삭제 버튼을 눌렀거나 파일을 지웠다는 사실만으로는 이 조항을 충족했다고 보기 어렵습니다. 법이 요구하는 것은 삭제 행위가 아니라 복구 불가능한 상태이기 때문입니다.

파기 방법은 시행령에서 더 구체적으로 정하고 있습니다. 전자적 파일 형태인 경우에는 복원이 불가능한 방법으로 영구 삭제해야 하고, 그 밖의 기록물이나 인쇄물, 서면 등 기록매체는 파쇄 또는 소각하도록 규정돼 있습니다(시행령 제16조 1항). 기술적 특성 때문에 영구 삭제가 현저히 곤란한 경우에 한해 익명정보로 처리해 복원이 불가능하도록 조치하는 방법이 예외적으로 허용됩니다.

여기에 개인정보의 안전성 확보조치 기준은 전용 소자장비를 이용하거나 데이터가 복원되지 않도록 초기화 또는 덮어쓰기를 수행하는 방식을 파기 방법으로 제시하고 있습니다(제13조 1항). 전용 소자장비를 이용한 삭제, 즉 디가우징이 고시 수준의 근거를 갖춘 파기 방식이라는 점이 여기서 확인됩니다.

의무를 이행하지 않았을 때의 제재도 명시돼 있습니다. 불필요해진 개인정보를 파기하지 않은 경우 3천만 원 이하의 과태료 부과 대상이 됩니다(제75조 2항 4호). 금액만 놓고 보면 최근의 대형 과징금 사례에 비해 크지 않아 보일 수 있지만, 미파기는 대체로 단독으로 적발되지 않습니다. 유출 사고 조사 과정에서 함께 드러나면서 안전조치 의무 위반과 결합해 전체 제재 수준을 끌어올리는 경우가 일반적입니다.

한 가지 더 짚어 둘 변화가 있습니다. 2025년 10월 말 시행된 개정 고시에서는 내부 관리계획에 포함해야 할 항목으로 개인정보 파기에 관한 사항이 추가됐습니다. 파기를 현업에서 그때그때 처리하는 단발성 작업이 아니라, 문서화된 관리 체계 안에서 다루도록 기준이 정리된 것입니다. 아직 내부 관리계획에 파기 절차와 책임자, 방법이 반영돼 있지 않은 조직이라면 점검이 필요한 대목입니다.

온라인 데이터를 지웠다고 해서 끝나지 않습니다

이번 사안은 운영 중인 시스템이 외부에서 공격받은 사건입니다. 그래서 언뜻 저장매체 파기와는 거리가 있어 보입니다. 그러나 실제 조직에서 데이터가 남아 있는 위치를 따라가 보면 이야기가 달라집니다.

운영 데이터베이스에서 레코드를 삭제해도, 같은 데이터는 대개 여러 곳에 복제본으로 존재합니다. 백업 테이프와 백업용 디스크, 개발과 테스트 환경에 복사해 둔 스냅숏, 통계나 분석을 위해 별도로 내려받은 추출 파일, 담당자 노트북과 외장 하드디스크에 남은 작업본, 그리고 이미 교체하거나 반납한 서버와 스토리지 장비가 그렇습니다.

여기서 자주 벌어지는 상황이 있습니다. 데이터베이스에서는 정상적으로 파기 처리를 마쳤는데, 몇 년 전 교체하고 창고에 쌓아 둔 스토리지에는 그 시점의 전체 사본이 그대로 남아 있는 경우입니다. 장비는 자산 목록에서 이미 불용 처리로 표시돼 있고, 담당자는 바뀌었으며, 그 안에 무엇이 들어 있는지 아는 사람은 조직에 남아 있지 않습니다. 사고가 나서 조사를 받게 되면 이 장비들이 가장 설명하기 어려운 항목이 됩니다.

최근에는 클라우드 전환이 같은 문제를 만들어 내기도 합니다. 데이터를 클라우드로 옮기고 나면 관리 대상이 클라우드로 이동했다고 인식하기 쉽지만, 이전에 사용하던 온프레미스 서버와 스토리지는 여전히 조직 안에 남아 있습니다. 마이그레이션이 끝난 뒤 원본 장비를 어떻게 처리할지가 프로젝트 계획에 들어 있지 않으면, 전체 데이터의 사본을 담은 장비가 전원만 꺼진 채 방치됩니다. 임대 장비 반납이나 리스 종료도 마찬가지입니다. 반납 일정에 맞춰 장비가 나가는 동안 그 안의 데이터가 어떻게 처리됐는지는 별도로 확인해야 하는 사항입니다.

목적이 끝난 데이터를 파기한다는 것은 시스템에서 지우는 일과 그 데이터가 물리적으로 기록돼 있던 매체를 처리하는 일을 함께 마무리한다는 뜻입니다. 둘 중 하나만 하면 조직의 실제 노출 면적은 줄어들지 않습니다. 특히 저장매체는 조직 밖으로 이동할 수 있다는 점에서 온라인 데이터와 성격이 다릅니다. 시스템에 남은 데이터는 침입이 있어야 유출되지만, 매체는 분실이나 잘못된 처분만으로도 그대로 밖으로 나갑니다.

매체 특성을 무시한 파기는 파기로 인정받기 어렵습니다

저장매체를 처리할 때 반드시 구분해야 하는 것이 매체의 기록 방식입니다. 하드디스크나 백업 테이프처럼 자성 방식으로 데이터를 기록하는 매체는 강력한 자기장을 가해 기록 구조 자체를 무너뜨리는 디가우징이 유효합니다. 시행령과 고시가 언급하는 전용 소자장비를 이용한 삭제가 바로 이 방식입니다.

반면 SSD와 NVMe, eMMC, USB 메모리처럼 플래시 메모리를 사용하는 매체에는 디가우징이 통하지 않습니다. 플래시 메모리는 자성이 아니라 전하를 가두는 방식으로 데이터를 저장하기 때문에, 자기장을 가해도 데이터가 지워지지 않습니다. 그런데도 자성 매체와 플래시 매체를 구분하지 않고 같은 장비에 넣어 처리한 뒤 파기가 완료됐다고 기록하는 사례가 현장에서 드물지 않게 발견됩니다. 이 경우 파기 대장에는 완료로 남지만 데이터는 그대로 남아 있습니다.

플래시 기반 매체는 컨트롤러 명령을 이용해 저장 영역 전체를 검증 가능한 방식으로 지우는 소프트웨어 방식의 인증 영구삭제, 또는 물리적으로 복구가 불가능한 상태로 만드는 파기 방식으로 처리해야 합니다. 국제적으로 통용되는 매체 파기 기준들도 공통적으로 매체 유형에 따라 적용 가능한 방식을 구분하고, 처리 결과를 검증하고 기록으로 남기는 절차를 요구하고 있습니다. 방식의 선택은 취향의 문제가 아니라 매체 구조에 따라 결정되는 문제입니다.

하이브리드 구성 장비도 주의가 필요합니다. 서버 한 대 안에 하드디스크와 SSD가 함께 들어 있거나, 노트북에 내장 SSD와 별도 저장장치가 동시에 장착된 경우가 많습니다. 장비 단위로 파기 방식을 정하면 이 가운데 일부 매체가 적절하지 않은 방식으로 처리될 수 있습니다. 파기 대상은 장비가 아니라 매체 단위로 파악하는 것이 원칙입니다.

또 하나 확인할 지점은 재사용 여부입니다. 장비를 계속 사용하거나 매각·반납해야 한다면 매체를 물리적으로 파괴할 수 없으므로 인증된 영구삭제가 필요하고, 매체를 더 이상 쓰지 않는다면 물리적 파기가 가장 확실한 선택이 됩니다. 이 판단이 먼저 정리돼야 처리 방식과 증빙 형태가 함께 정해집니다.

파기는 "했다"가 아니라 "증명할 수 있다"여야 합니다

사고가 발생하거나 감독기관의 점검을 받게 됐을 때 조직이 실제로 제출해야 하는 것은 파기했다는 진술이 아니라 파기를 확인할 수 있는 기록입니다. 어떤 매체를 처리했는지 식별할 수 있어야 하고, 어떤 방식으로 처리했는지, 언제 누가 수행하고 확인했는지가 함께 남아 있어야 합니다. 매체 일련번호와 처리 방식, 처리 일시, 수행자와 확인자, 그리고 처리 결과 리포트가 하나로 연결될 때 비로소 설명이 가능해집니다.

반대로 이 연결이 끊어져 있으면 실제로 파기를 제대로 수행했더라도 입증이 어렵습니다. 처리는 했는데 어떤 장비였는지 특정할 수 없거나, 대장은 있는데 처리 방식이 적혀 있지 않거나, 외부에 위탁했는데 결과 리포트를 받아 두지 않은 경우가 여기에 해당합니다. 담당자가 바뀌고 시간이 지날수록 이런 공백은 복구하기 어려워집니다.

외부 위탁 시에는 인수인계 시점의 기록도 함께 남겨야 합니다. 반출한 매체의 수량과 식별 정보, 이동 과정, 처리 완료 시점이 이어지지 않으면 반출과 처리 사이의 구간이 통째로 설명되지 않는 상태로 남습니다. 위탁 처리에서 확인해야 할 것은 처리 업체가 무엇을 했는지가 아니라, 우리 조직이 내보낸 매체와 처리 결과 문서에 적힌 매체가 정확히 일치하는지입니다. 이 대조가 가능한 형태로 기록이 남아 있어야 위탁 구간까지 포함해 설명할 수 있습니다.

증빙의 형태는 조직마다 다를 수 있지만, 최소한 처리 전후를 확인할 수 있는 자료는 함께 확보해 두는 편이 안전합니다. 처리 전 매체 목록과 상태, 처리 과정에서 남긴 사진이나 영상, 처리 완료 후 발급된 확인서와 리포트가 한 묶음으로 보관돼 있으면 감사나 고객 문의가 발생했을 때 별도의 재구성 작업 없이 바로 제출할 수 있습니다. 이 기록은 자산관리 대장이나 내부 보안 문서와 연결해 두는 것이 좋습니다. 파기 기록만 따로 보관하면 나중에 어떤 자산이 어느 기록에 대응하는지 확인하는 데 다시 시간이 걸립니다.

알테크코리아가 담당하는 구간

알테크코리아는 데이터가 기록된 저장매체를 실제로 파기하고, 그 결과를 검증 가능한 문서로 남기는 구간을 담당합니다. 어떤 데이터를 얼마나 보유할지, 접근 권한을 어떻게 설계할지는 각 조직이 내부 기준으로 정할 문제이지만, 파기 대상이 확정된 이후의 처리와 증빙은 전문 영역의 일입니다.

데이터 파기 브랜드 DieHDD™는 디가우징, 유압천공, 분쇄파기, 소각파기 네 가지 방식을 제공합니다. 자성 매체는 전용 소자장비를 이용한 디가우징으로, 물리적 복구 가능성까지 차단해야 하는 매체는 유압천공이나 분쇄파기, 소각파기로 처리합니다. 매체 유형과 재사용 여부, 요구되는 보증 수준에 따라 방식을 선택하게 됩니다.

장비를 계속 사용하거나 반납·매각해야 해서 물리적 파기가 어려운 경우에는 블랑코 기반 인증 영구삭제를 적용합니다. 알테크코리아는 블랑코 공식 한국 파트너로서, 삭제 수행 결과를 검증하고 인증 리포트를 발급합니다. 이 리포트는 파기 사실을 외부에 설명해야 할 때 그대로 근거 자료로 사용할 수 있습니다.

이번 사안이 남긴 교훈은 단순합니다. 공격자가 노리는 것은 조직이 가장 중요하다고 여기는 데이터가 아니라, 조직이 잊고 있던 데이터입니다. 오래 쌓인 연락처 목록이 그랬고, 창고에 남아 있는 교체 장비가 그렇습니다.

목적이 끝난 데이터가 어느 매체에 남아 있는지, 그 매체가 지금 어디에 있는지, 마지막으로 파기한 시점과 그 근거 문서가 무엇인지 확인해 보시기 바랍니다. 세 가지 질문 중 하나라도 답이 막힌다면 그 구간이 조직의 취약 지점입니다.

알테크코리아는 보유 중인 저장매체의 수량과 유형을 확인하는 단계부터, 매체별 파기 방식 선정, 반출과 처리, 인증 리포트 발급까지 전 과정을 지원합니다. 창고에 쌓인 하드디스크와 서버, 반납 대기 중인 노트북과 SSD가 있다면 지금 문의해 주시기 바랍니다. 파기 대상 목록을 함께 정리하고, 매체에 맞는 처리 방식과 증빙 형태를 제안해 드리겠습니다.

참고한 법령 원문

개인정보 보호법 제21조 1항 : 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

개인정보 보호법 제21조 2항 : 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

개인정보 보호법 제21조 3항 : 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장·관리하여야 한다.

개인정보 보호법 시행령 제16조 1항 : 개인정보처리자는 법 제21조에 따라 개인정보를 파기할 때에는 다음 각 호의 구분에 따른 방법으로 해야 한다. 1. 전자적 파일 형태인 경우: 복원이 불가능한 방법으로 영구 삭제. 다만, 기술적 특성으로 영구 삭제가 현저히 곤란한 경우에는 법 제58조의2에 해당하는 정보로 처리하여 복원이 불가능하도록 조치해야 한다. 2. 제1호 외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우: 파쇄 또는 소각

개인정보의 안전성 확보조치 기준 제13조 1항 : 전자적 파일 형태인 경우 전용 소자장비를 이용한 삭제, 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 등 복원이 불가능한 방법으로 영구 삭제하며, 전자적 파일 형태 외의 기록물·인쇄물·서면·그 밖의 기록매체인 경우 파쇄 또는 소각한다.

개인정보 보호법 제75조 2항 4호 : 제21조제1항을 위반하여 개인정보의 파기 등 필요한 조치를 하지 아니한 자에게는 3천만원 이하의 과태료를 부과한다.