“다 옮겼으니 이제 저 서버는 안 써요.” 회사에서 한 번쯤 들어 봤을 말입니다. 그런데 안 쓰는 서버를 끄지도, 인터넷에서 떼어 놓지도 않으면 어떤 일이 생길까요? 그 답을 보여 주는 사건이 11월 12일 공개됐습니다. 개인정보보호위원회(개인정보위)가 삼양그룹 4개 회사에 과징금 총 5억5,200만 원과 과태료 1,620만 원을 부과했다고 밝혔습니다. 해커가 빼 간 것은 임직원·주주 등 14만9,767명의 개인정보, 그중 8만2,750명은 주민등록번호까지 포함됐습니다.
오늘은 이 사건을 보안 용어 없이 차근차근 풀어 보고, 회사 담당자든 개인이든 지금 바로 해 볼 수 있는 점검법까지 정리해 보겠습니다.
한눈에 보는 요약
| 항목 | 내용 |
|---|---|
| 무슨 일? | 해커가 그룹 메일서버를 뚫고, 데이터 옮기기(이관)용으로 만든 파일서버의 접속 정보를 훔쳐 개인정보 파일을 대량 반출 |
| 언제? | 사고는 2022년 7월, 개인정보위 처분 의결은 2026년 11월 11일, 발표는 11월 12일 |
| 피해 규모 | 14만9,767명, 파일 약 85만 개(1.3TB), 주민등록번호 포함 8만2,750명 |
| 누가 제재? | 삼양홀딩스·삼양사·삼양패키징(과징금·과태료), 삼양데이타시스템(시정명령·공표) |
| 핵심 원인 | 이관이 끝난 서버를 외부망에 연결된 채 방치, 주민번호 미암호화, 기한 지난 정보 미파기 |
| 내가 할 일 | 회사: 안 쓰는 서버 찾아 끄기 / 개인: 피싱 주의, 명의도용 방지 서비스 점검 |
1. 사건은 이렇게 흘러갔습니다
개인정보위 조사 결과를 순서대로 따라가 보면 생각보다 단순합니다.
- 메일서버의 빈틈 — 2022년 7월, 신원 미상의 해커가 그룹 메일서버의 취약점을 이용해 관리자 권한을 얻었습니다.
- 파일서버 열쇠 탈취 — 그 안에서 데이터 이관을 위해 설치해 둔 내부 파일서버의 인증정보(아이디·비밀번호 같은 열쇠)를 찾아냈습니다.
- 외부 클라우드로 반출 — 이관은 이미 끝났지만 그 파일서버는 여전히 인터넷(외부망)과 통신할 수 있는 상태였습니다. 해커는 이 길로 파일 약 85만 개, 1.3TB를 짧은 시간 안에 외부 클라우드로 옮겼습니다.
비유하자면 이렇습니다. 이사를 마친 옛집에 서류 상자를 그대로 둔 채, 현관문 열쇠는 우편함에 넣어 두고 떠난 셈입니다. 도둑은 이웃집(메일서버) 담을 넘어 우편함 열쇠를 찾아냈고, 옛집 문은 활짝 열려 있었던 거죠.
2. 숫자로 보면 더 크게 느껴집니다
| 숫자 | 뜻 | 쉽게 말하면 |
|---|---|---|
| 14만9,767명 | 개인정보가 유출된 사람 | 중소 도시 하나의 인구와 비슷한 규모 |
| 8만2,750명 | 주민등록번호까지 포함된 사람 | 유출자 절반 이상(약 55%) |
| 약 85만 개 / 1.3TB | 빠져나간 파일 수와 용량 | 고화질 영화 수백 편 분량의 문서 더미 |
| 5억5,200만 원 | 과징금 합계(3개사 × 1억8,400만 원) | 주민번호 암호화·위탁 문서화 위반 |
| 1,620만 원 | 과태료 합계 | 파기 위반, 근거 없는 주민번호 수집 등 |
유출 대상은 고객이 아니라 임직원·주주·관계자였다는 점도 눈여겨볼 만합니다. “우리 회사는 고객 정보가 별로 없어서 괜찮다”는 생각이 위험한 이유입니다. 직원 인사·급여 자료만으로도 주민번호가 잔뜩 쌓여 있으니까요.
3. 누가, 무엇 때문에 제재를 받았나
회사마다 위반 내용이 조금씩 다릅니다. 언론 보도로 확인된 내용을 표로 정리했습니다.
| 회사 | 역할 | 과징금 | 과태료 | 주요 위반 |
|---|---|---|---|---|
| 삼양홀딩스 | 지주사 | 1억8,400만 원 | 900만 원 | 주민번호 미암호화, 위탁계약서 늦장, 기한 지난 일용직 급여정보 미파기, 채용 때 법적 근거 없이 주민번호 수집 |
| 삼양사 | 설탕·제분 | 1억8,400만 원 | 180만 원 | 주민번호 미암호화, 위탁계약서 늦장 |
| 삼양패키징 | 포장용 플라스틱 | 1억8,400만 원 | 540만 원 | 주민번호 미암호화, 위탁계약서 늦장, 기한 지난 급여정보 미파기 |
| 삼양데이타시스템 | 시스템 관리(수탁사) | — | — | 접근통제 등 안전조치 위반 → 시정명령·공표 |
여기서 ‘위탁계약서 늦장’은 무슨 뜻일까요? 삼양 3사는 2022년 7월 사고 당시 이미 삼양데이타시스템에 개인정보 처리 업무를 맡기고 있었는데, 정작 그 업무를 맡긴다는 계약서는 2024년 12월에야 만들었습니다. 같은 그룹 계열사끼리라도 “누가, 어떤 정보를, 어떻게 지킬지” 문서로 정해 두지 않으면 책임이 흐려집니다.
삼양그룹은 행정처분을 엄중히 받아들인다며 사과했고, 사고 직후 유출 경로를 차단하고 4년간 보안 체계를 보강해 왔다고 밝혔습니다.
4. 피해를 키운 세 가지 구멍
개인정보위는 이번 사고가 “더 이상 사용하지 않는 서버를 폐기하지 않는 등 기본적인 안전조치를 소홀히 해 발생했다”고 짚었습니다. 그리고 주민번호 미암호화와 불필요한 정보의 장기 보관이 피해를 더 키웠다고 봤습니다. 세 가지를 하나씩 풀어 보면 이렇습니다.
| 구멍 | 무슨 뜻? | 막았다면? |
|---|---|---|
| ① 좀비 서버 방치 | 일이 끝난 서버가 켜진 채 인터넷과 연결돼 있음 | 해커가 열쇠를 훔쳐도 들어갈 문 자체가 없음 |
| ② 주민번호 평문 저장 | 번호를 암호로 바꾸지 않고 그대로 저장 | 파일이 빠져나가도 읽을 수 없는 문자열만 남음 |
| ③ 기한 지난 정보 보관 | 법정 보존기간이 지난 일용직 급여정보를 계속 보관 | 애초에 털릴 데이터가 줄어듦 |
보안에서는 이런 서버를 흔히 ‘좀비 서버’ 또는 ‘고아 서버(orphan server)’라고 부릅니다. 주인이 사라졌으니 업데이트도 안 되고, 누가 들어와도 아무도 눈치채지 못합니다. 실제로 이번 사건도 사고 시점(2022년)과 처분 시점(2026년) 사이에 4년 넘는 시간이 걸렸습니다.
5. 왜 ‘안 쓰는 서버’가 특히 위험할까
쓰는 서버는 누군가 매일 들여다봅니다. 느려지면 신고가 들어오고, 이상한 접속이 있으면 로그를 확인하죠. 반면 안 쓰는 서버는 다릅니다.
- 아무도 보지 않는다 — 담당자는 다른 프로젝트로 옮겼고, 경고 메일이 와도 읽는 사람이 없습니다.
- 업데이트가 멈춘다 — 새로 발견된 취약점이 그대로 남습니다.
- 데이터는 그대로 있다 — “이관”은 복사일 뿐, 원본을 지우지 않으면 똑같은 정보가 두 군데 생깁니다.
- 열쇠가 돌아다닌다 — 이관 작업 때 쓴 계정·비밀번호가 문서나 메일 속에 남아 있기 쉽습니다.
집에 비유하면, 매일 쓰는 현관문보다 몇 년째 안 여는 창고 뒷문이 도둑에게는 더 반가운 법입니다.
6. 회사 담당자라면: 오늘 해 볼 ‘서버 퇴근’ 점검
| 점검 항목 | 구체적으로 | 난이도 |
|---|---|---|
| 서버 목록 만들기 | 사내·클라우드 서버를 전부 적고, 각각 “담당자·용도·종료 예정일” 칸 채우기 | 쉬움 |
| 다 쓴 서버 정리 | 이관·테스트가 끝나면 데이터 삭제 → 전원 끄기 → 폐기. 당장 못 지우면 최소한 외부망 차단 | 보통 |
| 주민번호 암호화 | 주민번호는 법상 암호화 대상. 엑셀 파일로 공유 폴더에 두는 습관부터 점검 | 보통 |
| 보존기간 지나면 파기 | 퇴사자·일용직 급여 자료 등 보관 기한을 정하고 달력에 파기일 표시 | 쉬움 |
| 위탁 계약서 | 계열사·외주사에 개인정보 업무를 맡기면 계약서부터 작성 | 쉬움 |
| 메일서버 패치 | 이번 사건의 출발점. 메일·그룹웨어는 보안 업데이트를 가장 먼저 적용 | 보통 |
| 이관용 계정 회수 | 작업이 끝나면 임시 계정·비밀번호를 바로 삭제하거나 변경 | 쉬움 |
작은 회사라면 거창한 시스템이 없어도 됩니다. 스프레드시트 한 장에 “서버 이름 / 담당자 / 용도 / 끝나는 날”만 적어도 좀비 서버의 절반은 찾아낼 수 있습니다. 예를 들어 “2022 홈페이지 이전용 임시 서버 – 담당 김대리(퇴사) – 종료일 미정” 같은 줄이 보인다면, 바로 그게 오늘 정리할 1순위입니다.
7. 개인이라면: 내 정보가 이런 식으로 샌다면?
이번 사건의 피해자는 직원·주주였지만, 누구나 어느 회사의 직원·주주·고객입니다. 주민번호 같은 정보가 유출되면 곧바로 돈이 빠져나가기보다는 그 정보를 미끼로 한 피싱이 늘어나는 경우가 많습니다.
| 상황 | 이렇게 하세요 |
|---|---|
| “유출 피해 보상” 문자·전화 | 링크를 누르지 말고 회사 공식 홈페이지나 대표번호로 직접 확인 |
| 내 이름·생일을 아는 낯선 연락 | 정보를 안다고 진짜 기관이라는 뜻은 아님. 끊고 공식 번호로 다시 걸기 |
| 명의도용이 걱정될 때 | 통신사 ‘명의도용 방지 서비스(엠세이퍼)’로 내 이름 휴대폰 개통 내역 확인·차단 |
| 금융 거래가 걱정될 때 | 금융감독원 ‘개인정보 노출자 사고예방시스템’ 등록, 은행 앱 알림 켜기 |
| 비밀번호 재사용 | 여러 사이트에 같은 비밀번호를 쓴다면 중요 계정부터 바꾸고 2단계 인증 켜기 |
8. 최근 다른 사고와 무엇이 다를까
요즘 금융권·기업 해킹 소식이 줄을 잇다 보니 다 비슷해 보이지만, 이번 사건은 결이 조금 다릅니다.
| 구분 | 흔한 해킹 사고 | 이번 삼양 사건 |
|---|---|---|
| 발표 주체 | 회사가 사고 직후 공지 | 개인정보위가 조사를 마치고 처분 결과 발표 |
| 시점 | 며칠~몇 주 전 사고 | 4년 전(2022년) 사고에 대한 결론 |
| 핵심 교훈 | 새 취약점 패치 | 안 쓰는 서버·안 쓰는 데이터를 치우는 ‘정리 습관’ |
| 피해자 | 주로 고객 | 임직원·주주·관계자 |
즉 “최신 해킹 기법”보다는 기본기를 놓쳤을 때 얼마나 비싼 값을 치르는지를 보여 주는 사례입니다.
자주 묻는 질문
Q. 이관 작업이 끝나면 서버를 꼭 없애야 하나요?
A. 개인정보위는 사용이 중단된 서버는 폐기하거나 외부 접근을 차단하라고 당부했습니다. 당장 지우기 어렵다면 최소한 인터넷 연결부터 끊고, 남은 개인정보는 삭제하는 것이 기본입니다.
Q. 주민번호를 암호화하면 해커가 가져가도 괜찮나요?
A. 완벽하진 않지만, 암호 열쇠까지 함께 털리지 않는 한 파일만으로는 번호를 읽기 어렵습니다. 피해 규모를 크게 줄여 주는 ‘안전벨트’라고 보면 됩니다.
Q. 나도 삼양 계열사 직원·주주였는데 어떻게 확인하나요?
A. 회사가 보내는 공식 통지나 홈페이지 안내를 확인하세요. 이 과정에서 “조회 링크”를 내세운 문자가 오면 피싱일 가능성이 높으니, 반드시 공식 채널로 직접 접속하는 것이 안전합니다.
Q. 과징금 5억 원이면 적은 것 아닌가요?
A. 금액보다 중요한 건 시정명령과 공표입니다. 처분 사실이 공개되면 거래처·투자자 신뢰에 영향을 주고, 같은 실수를 반복하면 훨씬 무거운 제재로 이어질 수 있습니다.
마무리: 보안의 절반은 ‘정리’입니다
이번 사건에서 해커가 쓴 기술은 특별하지 않았습니다. 문을 연 건 “다 썼는데 그냥 켜 둔 서버”와 “언젠가 필요할지도 몰라 남겨 둔 데이터”였습니다. 집 정리를 하듯, 회사 서버도 한 달에 한 번 “이거 아직 쓰나?”를 물어보는 습관만으로도 큰 사고를 막을 수 있습니다. 오늘 퇴근 전에 우리 팀 서버 목록부터 한번 열어 보시는 건 어떨까요?