정보 노출 확인 직후, 삭제 요청부터 신고까지

노출을 확인한 첫 한 시간이 피해를 가른다

2026년 10월 1일 오후, 한국전력은 외부 웹페이지에 직원 약 2만4천 명의 이름·소속·전화번호가 노출된 사실을 인지했다. 삭제까지는 약 32시간이 걸렸다. 같은 상황이 어느 조직에서든 벌어질 수 있고, 이때 정보보안·총무 담당자가 처음 한 시간에 무엇을 하느냐가 피해 규모와 법적 책임을 함께 좌우한다.

핵심은 순서다. 당황해서 "일단 지워 달라"부터 외치면, 정작 신고에 필요한 노출 항목과 경위를 확정하지 못한다.

지우기 전에, 범위부터 확정한다

Photo by Julio Lopez on Unsplash

삭제 요청은 두 번째 단계다. 먼저 세 가지를 동시에 처리한다.

첫째, 노출 범위를 확인한다. 어떤 항목이(이름·연락처·주민번호 중 무엇), 몇 명분이, 어느 URL에 떠 있는지 특정한다. 둘째, 증거를 보전한다. 해당 페이지의 URL과 전체 화면 스크린샷, 접속 로그를 남긴다. 운영사가 페이지를 내리면 노출 사실 자체를 입증하기 어려워지므로, 캡처가 삭제보다 먼저다.

셋째, 내부 연결 고리를 끊는다. 한전도 인지 직후 직원 정보 관련 내부 시스템 접속을 차단했다. 노출 경로가 내부 시스템과 연동돼 있다면 추가 유출을 막는 조치가 삭제보다 급하다.

운영사 삭제 요청에 담아야 할 것

노출된 페이지의 운영사나 호스팅 업체를 먼저 확인한다. 페이지 하단 사업자 정보, 도메인 whois 조회가 출발점이다.

요청은 전화로만 끝내지 말고 이메일이나 공문으로 기록을 남긴다. 삭제 요청서에는 노출된 정확한 URL, 노출 항목, 개인정보보호법상 삭제 근거, 그리고 회신 기한을 명시한다. 기한을 적어 두면 뒤에서 설명할 '지연 대응'으로 넘어가는 기준이 생긴다.

삭제와 신고는 별개다, 72시간을 기억하라

페이지를 내렸다고 상황이 끝난 게 아니다. 개인정보보호법 제34조와 시행령은 유출을 알게 된 때부터 72시간 안에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고하도록 정하고 있다.

신고 대상은 세 가지 중 하나에 해당할 때다. 1천 명 이상의 정보가 유출됐거나, 주민등록번호 같은 고유식별정보·민감정보가 포함됐거나, 외부의 불법적 접근으로 유출된 경우다. 특히 외부 불법 접근에 의한 유출은 규모와 상관없이 신고해야 한다.

신고와 정보주체 통지에는 유출된 항목, 유출 시점과 경위, 피해를 줄일 방법, 처리자의 대응 조치와 피해 구제 절차, 문의 담당 부서 연락처를 담는다. 개정법은 유출이 확정되기 전이라도 정황상 가능성이 높으면 72시간 내 통지하도록 하는 '유출 가능성 통지'도 두고 있다.

이 기한은 가볍지 않다. 머니투데이 보도에 따르면 2024년부터 2026년 상반기까지 72시간을 넘겨 신고했다가 제재받은 사례가 29건이고, 그중 절반 이상이 기한을 1주일 넘겼다.

삭제가 늦어질 때의 추가 조치

운영사가 응답하지 않거나 삭제가 지연되면 두 갈래로 움직인다.

하나는 검색엔진 대응이다. 원본 페이지가 사라져도 구글·네이버 검색 캐시나 스냅샷에 정보가 남는 경우가 많다. 각 검색엔진의 '오래된 콘텐츠 삭제' 도구로 캐시 삭제를 별도로 요청해야 한다.

다른 하나는 공적 경로 병행이다. 운영사가 끝내 협조하지 않으면 KISA 침해사고 신고(118)와 개인정보보호위원회 신고를 병행해 공식 기록과 조치 근거를 확보한다. 이 사이 2차 확산 여부도 계속 모니터링한다.

직원 안내는 사실과 행동 중심으로

통보가 늦으면 직원은 뉴스로 먼저 알게 된다. 한전은 피해 직원에게 문자와 이메일로 안내했다. 안내문에는 노출된 항목, 노출·삭제 시점, 그리고 직원이 당장 할 일을 담는다.

전화번호가 노출됐다면 스미싱 문자나 사칭 전화를 주의하라는 구체적 행동 지침이 "불편을 끼쳐 죄송하다"는 사과보다 쓸모 있다. 문의 창구를 하나로 지정해 안내하면 현장 혼선을 줄일 수 있다.

재발 방지 점검표

같은 일을 반복하지 않으려면 사고 직후가 아니라 평소에 아래를 갖춰 둬야 한다.

• 외부에 노출될 수 있는 내부 정보 자산을 목록으로 관리한다
• 조직명·직원명으로 외부 노출을 정기 검색하는 모니터링을 둔다
• 내부 시스템의 접근 권한을 최소화하고 접속 로그를 남긴다
• 노출 인지부터 신고까지의 대응 순서와 연락망을 문서로 만든다
• 72시간 신고를 책임질 담당자를 미리 지정한다

노출 사고의 피해는 정보가 떠 있던 시간이 아니라, 담당자가 순서를 알고 움직였는지로 갈린다.

출처

1. 은행 이어 한전도 정보 줄줄…직원 2만여명 이름 등 유출
2. 한전 직원 2만4천여명 개인정보 노출…원인 조사
3. 개인정보 유출신고제도
4. 개인정보 유출 72시간…신고 지연은 과징금 전체를 흔드는 변수