유출 통지 받았다면 첨부파일부터, 외부 AI는 금물

유출 통지를 받았다면 '내 파일'부터 센다

업무용 협업툴에서 정보가 샜다는 통지를 받으면 대부분 회사의 공식 발표를 기다린다. 하지만 실무자와 보안 담당자가 먼저 할 일은 따로 있다. 내가 그 메신저로 주고받은 메일과 첨부파일에 어떤 민감정보가 들어 있었는지를 직접 추려 피해 범위를 가늠하는 것이다.

이번 카카오워크 사고가 그 이유를 보여준다. IT데일리 보도에 따르면 운영사 디케이테크인이 11월 9일 외부 공격자의 비정상 접근을 당했고, 12일 한국인터넷진흥원과 개인정보보호위원회에 신고했다. 유출 항목에는 이름·전화번호·이메일뿐 아니라 메일 본문과 제목, 그리고 첨부파일 원본이 포함됐다. 첨부파일 안에 무엇이 들었느냐가 실제 피해를 좌우한다는 뜻이다.

1단계, 원본을 한곳에 모으되 밖으로 내보내지 않는다

Mikhail Nilov

먼저 사고 기간에 주고받은 메일과 첨부파일을 모은다. 이때 가장 중요한 원칙은 이 원본을 챗GPT 같은 외부 생성형 AI에 그대로 올리지 않는 것이다. 유출된 정보를 분석하겠다고 외부 서비스에 통째로 업로드하면 그 자체가 또 다른 유출이 된다. 아직 분류하지 않은 파일은 일단 민감 데이터로 가정하고 다루는 편이 안전하다.

2단계, 패턴과 AI로 민감정보를 가려낸다

다음은 파일 속에서 민감정보를 찾아 유형별로 나누는 작업이다. 주민등록번호, 계좌·카드번호, 계약서의 금액과 서명란 같은 항목이 대상이다.

탐지는 정규식과 키워드를 함께 쓰는 방식이 기본이다. 계좌번호처럼 숫자 패턴이 흔한 정보는 정규식만으로는 오탐이 많아, '계좌'·'예금주' 같은 키워드가 근처에 함께 있을 때만 잡도록 설계한다. 주민번호나 카드번호는 검증 자릿수(체크섬)가 있어 형식이 맞는지까지 확인하면 정확도가 올라간다. 처음에는 차단 대신 알림 전용 모드로 돌려 오탐을 줄인 뒤 적용하는 게 안전하다.

이 작업은 데이터가 외부로 나가지 않는 로컬에서 돌리는 AI 모델이나, 회사가 승인한 사내 DLP·분류 도구로 처리한다.

외부 AI를 써도 되는 선은 어디인가

외부 AI를 아예 못 쓰는 건 아니다. 기준은 데이터의 등급이다.

데이터	예시	쓸 수 있는 도구
개인정보 원본	주민번호, 계좌, 계약서	로컬·사내 도구만
영업·내부 정보	단가표, 내부 문서	사내 승인 도구
비식별 샘플·규칙	마스킹된 예시, 분류 로직	외부 AI 활용 가능

즉 개인정보와 영업비밀 원본은 외부 LLM에 올리지 않고, 민감정보를 가린 샘플로 탐지 규칙을 짜거나 분류 기준을 설계하는 일에는 외부 AI의 도움을 받아도 된다. 한 조사에서 의사결정권자의 65%가 승인되지 않은 AI 도구를 쓴다고 답했다. 금지만으로는 막기 어려운 만큼, 쓸 수 있는 도구를 등급별로 분명히 정해두는 편이 현실적이다.

분류가 끝나면: 우선 조치 순서

가려낸 결과를 피해가 큰 순서대로 처리한다.

• 주민번호 같은 고유식별정보나 민감정보가 나왔다면 신고 대상이다. 개인정보보호법상 민감정보·고유식별정보는 단 1건만 유출돼도, 또 외부 불법 접근에 의한 유출이면 안 때부터 72시간 안에 개보위·KISA에 신고해야 한다.
• 정보주체에게도 72시간 안에 유출 항목과 대응 방법을 알린다. 미신고 시 과태료가 따를 수 있다.
• 계좌·카드 정보가 포함됐다면 해당 금융기관에 알리고 이상거래 모니터링이나 재발급을 검토한다.
• 계약서·내부 문서가 샜다면 거래 상대방에 통지하고 법무 검토를 붙인다.
• 마지막으로 유출을 빌미로 한 사칭 문자·피싱 메일에 대비해 구성원에 공지하고 관련 계정 비밀번호를 바꾼다.

사고에서 가장 위험한 상태는 '첨부파일 안에 무엇이 있었는지 모른다'는 것이다. AI는 그 내용을 빠르게 가시화하는 데 쓰되, 원본을 밖으로 내보내지 않는 선을 지켜야 분석 도구가 또 다른 유출구가 되지 않는다.

출처

1. 카카오 기업용 메신저 카카오워크 해킹…메일·첨부파일까지 유출
2. 개인정보보호법 개정 — 유출 통지·신고 72시간 의무와 과징금 강화
3. 사내 데이터를 LLM에 넣어도 되는가 - 판단 기준과 사내 규정 만들기