위탁사 한 곳이 뚫리면 — 맑은소프트 사고로 본 수탁자 관리와 "파기 확인"
온라인 교육 플랫폼 운영사 한 곳이 뚫리자 공공기관과 기업 교육 사이트 최소 22곳의 개인정보가 함께 유출됐습니다. 그중 한 기관은 시스템을 바꾼 지 1년이 넘었는데도 옛 데이터가 남아 있었습니다. 위탁한 쪽이 무엇을 확인했어야 했는지 정리했습니다.
한 업체, 스물두 개의 공지문
9월 말부터 교육 사이트들에 비슷한 공지가 잇따라 올라왔다. 자원봉사센터, 광고교육원, 보안 교육기관, 국방부 상담관 교육 사이트, 기업 노조까지 — 업종은 제각각인데 원인은 하나였다. 이 사이트들의 교육 시스템을 운영하던 클라우드 LMS 업체 맑은소프트가 해킹당한 것이다.
보안뉴스는 9월 30일 기준 개인정보가 유출된 홈페이지를 최소 22곳 직접 확인했다. 각 기관 입장에서 보면 자기 시스템은 한 번도 공격받지 않았다. 맡겨 둔 곳이 뚫렸을 뿐이다.
① 타임라인 — 인지 계기는 문자 발송 대행사였다
· 9월 19일 오후 2시 47분경 — 공격자 최초 침입
· 9월 20일 오전 10시 4분경 — 개인정보 탈취
· 9월 22일 오전 9시 35분경 — 문자 발송 대행사가 비정상 발송을 알려 와 회사가 인지, DB 접근 흔적 확인
· 9월 23일 — 전수조사로 일부 회원 정보 유출 확인
눈여겨볼 지점은 두 가지다. 첫째, 침입부터 인지까지 약 사흘이 걸렸고, 그 계기가 자체 탐지가 아니라 외부 협력사의 이상 신호였다. 공격자가 회사 발신번호로 스팸 문자를 보낸 정황도 확인됐다. 둘째, 보도마다 "유출 확인일"이 다르게 나온다(회사 공지 9월 23일, 보안뉴스 9월 29일 확인 · 공지). 이용 기관마다 통보를 받은 시점도 제각각이었다는 뜻이다.
② 같은 사고, 다른 유출 항목
유출 항목은 사이트마다 달랐다. 어떤 곳은 아이디 · 이름 · 생년월일 · 이메일 · 주소에 암호화된 비밀번호와 휴대전화번호가, 어떤 곳은 연계정보(CI) · 중복가입확인정보(DI)까지 나갔다. 기아 광명공장 노조는 약 5,000명(추정)의 이름 · 사번 · 암호화된 전화번호, 한국경영기술지도사회 이러닝센터는 5,820명의 유출을 공지했다.
같은 플랫폼이라도 고객사마다 수집 항목과 설정이 달랐기 때문이다. 수탁자가 "암호화되어 있다"고 해도 그 설명이 모든 고객사 데이터에 똑같이 적용된다고 볼 수 없다. 위탁한 기관은 우리 데이터에 대해 따로 확인해야 한다.
③ 가장 아픈 사례 — 바꾼 시스템의 옛 데이터
국민권익위원회의 청렴 교육 사이트에서는 이용자 10만 4,139명의 정보가 유출된 것으로 보도됐다. 그런데 권익위는 이미 2025년 4월에 시스템을 교체한 상태였다. 맑은소프트가 옛 DB의 개인정보를 파기하지 않고 보관하고 있었고, 그 데이터가 털렸다.
보도에 따르면 계약서에는 파기 조항이 있었다. 하지만 위탁 기관은 옛 시스템이 닫혔는지만 확인했고, 데이터가 남아 있는지는 확인하지 않았다. 권익위는 이후 최근 3년간 위탁 사업의 파기 현황을 전수조사하고, 사업 종료 시 파기 확인과 증빙 절차를 강화하겠다고 밝혔다.
④ "업체에 물어보세요"는 답이 아니다
일부 피해 기관은 이용자 문의에 "자세한 내용은 맑은소프트에 문의하라"고 답한 것으로 전해졌다. 그러나 개인정보보호법 제26조는 위탁자가 수탁자를 교육하고 처리 현황을 점검 · 감독하도록 하고, 수탁자의 법 위반으로 생긴 손해배상 책임에 대해서는 수탁자를 위탁자의 소속 직원으로 본다.
정보주체에게 개인정보를 받은 곳은 업체가 아니라 기관이다. 유출 통지, 이용자 문의 대응, 피해 구제 안내의 1차 책임은 위탁한 쪽에 있다. 9월 11일 시행된 개정법으로 유출 통지에 손해배상 청구 방법까지 안내해야 하는 지금, "업체 소관"이라는 답은 법적으로도 평판으로도 버티기 어렵다.
⑤ 공유 플랫폼이 만드는 집중 위험
여러 기관이 같은 클라우드 플랫폼을 쓰는 것은 비용과 운영 면에서 합리적이다. 대신 한 곳의 취약점이 모든 고객사의 사고가 된다. 피해 기관 상당수는 내부에 IT · 보안 인력이 없는 소규모 운영 조직이었고, 그래서 처음부터 업체에 맡겼다. 바로 그 이유로 사고가 났을 때 스스로 확인할 수단도 없었다.
회사는 사고 후 공격자 IP 차단, 백도어 삭제, 서버 접근 키와 외부 연동 키 교체, 관리자 2단계 인증 적용, 소스코드 취약점 수정을 했다고 밝혔다. 거꾸로 말하면 위탁 계약 단계에서 관리자 MFA와 키 관리를 요구하고 확인했어야 할 항목들이다.
아직 확인되지 않은 것
- 전체 유출 규모와 사이트별 유출 항목 — 회사가 일괄 공개하지 않았다
- 침입 경로와 암호화 방식, 암호 키의 별도 보관 여부
- 옛 데이터를 보관하고 있던 경위와 다른 고객사에도 같은 잔존 데이터가 있었는지
위탁 기관 체크리스트
- ☐ 개인정보를 맡긴 수탁자 목록과 각 수탁자가 보관 중인 항목 · 건수 최신화
- ☐ 종료 · 교체된 위탁 사업의 파기 확인서와 증빙(파기 일시, 대상, 방법) 회수 — 최근 3년분
- ☐ 위탁 계약서에 관리자 MFA, 접근 키 관리, 로그 보관, 사고 통보 시한(예: 인지 후 24시간) 명시
- ☐ 연 1회 이상 수탁자 점검 — 서면 확인서만이 아니라 관리자 접근 통제 · 로그를 직접 확인
- ☐ 수집 항목 재검토 — 교육 이수 관리에 CI · DI · 주소가 정말 필요한지
- ☐ 수탁자 사고 시 우리 기관 명의로 나갈 유출 통지문 · FAQ 초안 사전 준비
위탁은 일을 넘기는 것이지 책임을 넘기는 것이 아니다. 그리고 끝난 계약의 데이터는 확인하기 전까지 끝난 것이 아니다.
※ 본 정리는 2026년 10월 12일까지 공개된 보도와 각 기관 공지를 기준으로 하며, 조사 결과에 따라 사실관계가 바뀔 수 있습니다. 본인 정보의 유출 여부는 이용하신 사이트의 공지에서 확인하시기 바랍니다.