한국전력공사(한전) 직원 약 2만4천명의 개인정보가 외부 누리집에 노출됐다는 보도가 나왔다. 보도된 한전 설명에 따르면 노출 정보는 이름·소속·사번·휴대전화번호·사내 전화번호·이메일·직위 등 7개 항목이다. 한전은 고객 정보와 주민등록번호 같은 고유식별정보(개인을 고유하게 식별하는 정보), 민감정보는 노출되지 않았다고 설명했다.

배경과 맥락

노출 사실을 한전이 인지한 시점은 10월 1일 오후 3시 59분께로 전해졌다. 한전은 직원 개인정보와 관련한 내부 시스템 접속을 차단하고, 외부 누리집 운영사에 정보를 삭제해 달라고 요청했다고 설명했다.

보도에 따르면 한전은 10월 4일 오후 1시 22분께 개인정보보호위원회에 관련 사실을 보고하고, 유관기관과 함께 경위를 조사하기 위한 비상대응 종합상황실을 꾸렸다. 직원들에게는 문자와 이메일로 사고 사실과 경위를 개별 통지하고 2차 피해 예방 주의사항을 안내했다고 한다.

이 소식이 뜻하는 것

이번에 알려진 정보는 주민등록번호 같은 민감도가 높은 정보가 아니라는 한전의 설명이 있지만, 이름과 소속, 사번, 연락처, 이메일, 직위가 함께 노출됐다는 점은 확인이 필요하다. 이 정보들이 결합되면 누군가 직원을 특정하거나 실제 직장 관계자인 것처럼 연락을 시도할 가능성이 있다. 다만 이런 2차 피해가 실제 발생했다는 내용은 주어진 보도에 없다.

예를 들어 직원이 회사 관계자를 사칭한 연락을 받는다면, 발신자가 이름이나 소속을 알고 있다는 사실만으로 정당한 연락이라고 판단하지 않는 편이 안전할 수 있다. 이는 노출된 정보의 종류를 바탕으로 한 예방적 해석이지, 사칭 피해가 확인됐다는 뜻은 아니다.

고객 정보는 별도 시스템에 저장돼 있어 노출되지 않았다는 것이 한전의 설명이다. 따라서 보도된 사고의 직접적인 대상은 직원 정보이며, 고객 정보까지 유출됐다고 확대해 이해해서는 안 된다.

보도마다 다르게 전한 점

정보가 누리집에서 삭제된 시점은 보도마다 다르다. 한 보도는 10월 3일로 넘어가는 자정께 삭제돼 인지 후 약 32시간이 걸렸다고 전했지만, 다른 보도는 금요일 자정께 삭제가 완료됐다고 보도했다. 따라서 삭제 시점과 소요 시간을 하나로 단정하기 어렵다.

사건의 원인에 대한 표현에도 차이가 있다. 한 보도 제목은 ‘해킹 유출’이라고 했지만 본문은 정확한 노출 경위를 조사 중이라고 전했다. 다른 보도에는 한전 관계자가 원인을 확인하고 있으며 인공지능과는 무관한 것으로 보인다고 말했다는 내용이 있다. 현재 근거만으로 유출 원인을 확정할 수는 없다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 보도된 피해 규모는 직원 약 2만4천명이다.
  • 이름·소속·사번·휴대전화번호·사내 전화번호·이메일·직위 등 7개 항목이 노출된 것으로 전해졌다.
  • 한전은 내부 시스템 접속을 차단하고 외부 누리집 운영사에 삭제를 요청했다고 설명했다.
  • 한전은 직원들에게 문자와 이메일로 사고 사실을 알렸으며, 개인정보보호위원회에 관련 사실을 보고했다고 보도됐다.

아직 알 수 없는 것

  • 외부 누리집에 정보가 올라간 구체적인 경위와 원인은 무엇인가?
  • 정보가 외부에 공개돼 있었던 정확한 시간과 실제로 정보를 열람하거나 내려받은 사람이 있는가?
  • 피해 직원에게 안내된 예방 조치의 구체적인 내용과 실제 2차 피해 발생 여부는 무엇인가?

독자가 확인할 것

  • 한전 직원이라면 회사에서 받은 공식 안내를 확인해 본인의 정보가 대상에 포함되는지, 안내된 항목과 예방 주의사항이 무엇인지 살펴볼 수 있다.
  • 이름·소속 등 노출된 정보만을 근거로 신뢰를 요구하는 연락에는 주의를 기울이고, 회사 안내에 적힌 공식 확인 절차를 통해 발신자를 확인하는 것이 도움이 될 수 있다.

참고 자료