237만건 털렸는데 신고는 기업 몫? 맑은소프트 해킹이 드러낸 위탁의 역설
- IT·테크
- 2026. 10. 22.
교육 위탁업체 한 곳이 털리자 개인정보 237만건이 줄줄이 유출됐습니다. 기아 노조원 5천여 명의 개인정보, 국민권익위원회와 국방부를 비롯한 20여 개 기관의 정보까지. 그런데 이 구조에서 이상한 점이 하나 있습니다. 털린 건 위탁업체인데, 유출 신고 의무와 책임의 무게는 그 업체를 이용한 각각의 기업과 기관에게도 돌아간다는 점입니다. 식자재 업체가 뚫렸는데 병원이 보건소에 신고하고 책임지는 격입니다. 이게 맞는 구조인지 짚어봅니다.
핵심 요약
- 사고: 온라인 교육시스템 업체 맑은소프트 서버 해킹 (9/19 침입 → 9/20 탈취)
- 규모: 개인정보 약 237만건 유출 신고, 피해 기관 20여곳
- 피해: 권익위 청렴권익배움터 10만명, 교육시설안전원 4만명, 기아 광명공장 노조 5천명
- 쟁점: 털린 건 위탁업체 한 곳인데, 신고 의무·과징금 리스크는 이용 기업·기관에게도
- 핵심 질문: 위탁업체의 잘못을 위탁자에게 묻는 것이 맞는가
사건 타임라인: 9월 19일 오후, 모든 것이 시작됐다
| 9/19 14:47 | 외부 공격자, 교육사이트 서버에 최초 불법 접근 |
| 9/20 10:04 | 개인정보 탈취 (침입 다음 날 오전) |
| 9/22 09:35 | 고객사 문자메시지 계정에서 스팸 발송 정황 → 유출 인지 (탈취 이틀 뒤) |
| 9/22·24·29 | 맑은소프트, 개인정보보호위원회에 3차례 유출 신고 |
| 9/30 | 개인정보위 조사 착수, 내부적으로 '중요사건' 분류 |
| 10/12~13 | 한창민 의원실 자료 공개로 언론 보도 시작, 237만건 규모 알려짐 |
피해 규모: 237만건, 20여곳이 한 번에
맑은소프트는 기업과 공공기관에 온라인 학습관리시스템(LMS)을 공급하고, 고객사 교육사이트의 시스템과 개인정보 관리를 위탁받아 온 업체입니다. 운영업체 한 곳이 공격받으면서 여러 고객사의 회원정보가 한꺼번에 빠져나간 것입니다.
| 국민권익위원회 (청렴권익배움터) | 약 10만명 | 성명·소속기관·생년월일·주소·이메일·ID·비밀번호 등 |
| 한국교육시설안전원 | 약 4만명 | |
| 기아 광명공장 노조 | 약 5천명 | 이름·사번·전화번호 등 |
| 국방부 등 기타 | 확인 중 | 총 20여곳 피해 확인 |
특히 심각한 건 유출 항목에 '온라인 주민번호' 역할을 하는 연계정보(CI)와 중복가입확인정보(DI)까지 포함됐다는 점입니다. 단순 연락처 유출이 아니라 본인확인 체계 자체가 흔들릴 수 있는 정보입니다. 전체 유출 규모 237만건은 업체 신고 기준 수치로, 개인정보위가 정확한 규모를 확인하고 있습니다.
이상한 점 하나: 털린 건 한 곳인데, 신고는 스무 곳이?
여기서 구조적인 질문이 나옵니다. 서버가 털린 건 맑은소프트 한 곳입니다. 그런데 개인정보보호법상 유출 신고 의무는 위탁 관계에서 각각의 위탁자(고객사·기관)에게도 돌아갑니다. 서비스를 이용한 모든 사업자가 각각 신고서를 내야 하는 구조인 셈입니다.
물론 맑은소프트도 9월 22·24·29일 세 차례에 걸쳐 개보위에 직접 신고했습니다. 업체가 책임을 회피한 건 아닙니다. 그럼에도 위탁 구조에서는 털린 업체뿐 아니라 이용한 기업·기관들까지 신고 의무, 과징금 리스크, 언론의 질타라는 책임의 범위에 함께 들어갑니다. 식자재 업체가 뚫렸는데 병원이 보건소에 신고하고 책임지는 격입니다.
그래서 묻습니다. 아래 세 가지, 답해 보십시오.
위탁자의 잘못인가
위탁업체의 잘못을 위탁자에게 묻는 것이 맞는가. 서비스를 이용한 모든 사업자가 각각 신고서를 내는 것이 맞는가. 위탁자가 거래하는 모든 위탁업체의 보안 수준을 일일이 체크하는 것이 맞는가.
말은 쉽습니다. "업체를 고를 때 보안을 확인했어야지." 그런데 체크해서 오늘 완벽하다고 해서, 내일도 완벽한가. AI가 공격을 자동화하는 시대입니다. 어제 뚫리지 않았던 서버가 오늘 뚫립니다. 보안은 상태가 아니라 과정입니다. 어느 시점의 체크리스트 통과가 내일의 안전을 보장하지 않습니다.
그럼 위탁을 하지 말라는 건가
그렇다고 모든 것을 직접 하라는 건가. 홈페이지 하나 만들 때마다 서버를 직접 사고, 개발자를 직접 고용하고, 보안팀을 직접 꾸리라는 건가. 분업이 없는 경제는 없습니다. 위탁은 비용의 문제가 아니라 능력의 문제입니다. 교육업체가 홈페이지 보안 전문가를 둘 수 없고, 중소기업이 CISO를 둘 수 없기 때문에 위탁하는 것입니다. "위탁하지 마라"는 말은 "사업하지 마라"는 말과 같습니다.
책임은 정확한 곳에
잘못한 업체는 정확히 시정조치해야 합니다. 맑은소프트의 보안이 뚫렸다면, 맑은소프트를 조사하고, 시정하고, 필요하면 처벌합니다. 그게 책임의 원칙입니다. 그런데 지금 구조는 서비스를 이용한 기업들까지 책임의 범위에 끌어들입니다. 신고 의무, 과징금 리스크, 언론의 질타. 위탁자에게 과도한 책임을 지우는 것입니다.
협박으로 막을 수 있는가
언제까지 "유출되면 망하게 하겠다"는 협박으로 갈 것인가. 폭력적인 문장으로 위협하면 해킹이 줄어드는가. AI 시대의 공격은 이미 자동화되었습니다. 협박은 방화벽이 되지 않습니다. 책임을 물을 곳에 정확히 묻고, 위탁 구조의 현실을 인정하는 규제. 그게 먼저입니다.
자주 묻는 질문
Q. 내 정보가 유출됐는지 어떻게 확인하나요?
이용하던 교육사이트(예: 권익위 청렴권익배움터)의 공지사항을 확인하세요. 유출이 확인된 기관은 대상자에게 개별 안내를 진행합니다. 정확한 유출 규모는 개인정보위가 조사 중이므로, 각 기관의 공식 안내를 기다리는 것이 가장 정확합니다.
Q. CI/DI 유출이 왜 심각한가요?
CI(연계정보)와 DI(중복가입확인정보)는 여러 사이트에서 본인을 확인하는 데 쓰이는 정보로, '온라인 주민번호' 역할을 합니다. 이 정보가 유출되면 명의도용이나 2차 피해의 위험이 커집니다. 단순 연락처 유출보다 파장이 큰 이유입니다.
Q. 위탁업체를 쓰면 무조건 위험한가요?
그렇지 않습니다. 위탁 자체가 문제가 아니라, 보안이 '과정'으로 관리되는지가 핵심입니다. 계약 시 보안 수준을 확인하는 것은 기본이고, 이후에도 정기 점검·침해 대응 체계가 돌아가는지를 보는 것이 중요합니다. 어느 시점의 체크리스트 통과가 내일의 안전을 보장하지는 않습니다.
출처
- 중앙일보 — 교육업체 한곳 뚫리자 237만건 '와르르'…권익위·국방부 개인정보까지 털렸다
- 연합뉴스 — 맑은소프트 해킹에 개인정보 237만건 유출신고…피해기관 20여곳
- 디지털타임스 — 맑은소프트 해킹에 개인정보 237만건 유출…20여곳 피해
이 글은 2026년 10월 17일 기준 공개된 언론 보도를 정리한 것으로, 사실관계는 각 출처 기사를 따릅니다. 유출 규모 등 일부 수치는 업체 신고 기준으로 개인정보위가 확인 중입니다.