개인정보보호 – 개인정보위, 2024년 개인정보 유출 신고 동향 분석결과 발표

2024년 개인정보 유출 신고 307건 접수, 절반 이상이 해킹

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')와 한국인터넷진흥원(원장 이상중)은 2024년 한 해 동안 신고된 개인정보 유출 사고를 분석해 원인별 예방책을 담은 「2024년 개인정보 유출 신고 동향 및 예방 방법」(이하 '보고서')을 발간하였다.

보고서에 따르면 2024년 접수한 유출 신고 건은 총 307건으로, 전년도 318건과 비슷한 수준이다. 다만 유출을 일으킨 원인의 구성에는 뚜렷한 변화가 있었다.

유출 원인별: 해킹은 늘고 업무 과실·시스템 오류는 줄어

유출 원인은 해킹이 56%(171건)로 가장 높은 비중을 차지하였으며, 업무 과실 30%(91건), 시스템 오류 7%(23건) 순으로 나타났다. 전년도에 비해 해킹은 증가(151건 → 171건)한 반면, 업무 과실(116건 → 91건) 및 시스템 오류(29건 → 23건)로 인한 유출은 감소하였다.

유출 원인	2024년	2023년
해킹	171건 (56%)	151건
업무 과실	91건 (30%)	116건
시스템 오류	23건 (7%)	29건

해킹 사고 유형

해킹 사고의 유형으로는 관리자 페이지 비정상 접속(23건), 에스큐엘(SQL) 인젝션(17건), 악성 코드(13건), 크리덴셜 스터핑(9건) 순으로 나타났다. 불법적인 접근은 있었으나 원인이 밝혀지지 않은 사건(87건)도 절반이나 되었다.

해킹 유형	건수
관리자 페이지 비정상 접속	23건
에스큐엘(SQL) 인젝션	17건
악성 코드	13건
크리덴셜 스터핑	9건
원인 불명(불법 접근은 확인되었으나 원인 미상)	87건

에스큐엘(SQL) 인젝션 공격: 악의적인 에스큐엘(SQL)문을 삽입해 데이터베이스가 비정상적인 동작을 하도록 조작하는 공격 기법

크리덴셜 스터핑: 공격자가 어떤 방법을 통해 계정·비밀번호 정보를 취득한 후 다른 사이트에서도 이를 동일하게 사용하여 성공할 때까지 로그인을 시도하는 대입 공격

업무 과실·시스템 오류 유형

업무 과실로 인한 유출 유형은 주로 게시판이나 단체채팅방 등에 개인정보 파일을 게시하였거나(27건), 이메일을 동보 발송한 경우(10건), 이메일 및 공문 내 개인정보 파일을 잘못 첨부한 경우(7건) 등인 것으로 밝혀졌다. 아울러 시스템 오류로 인한 유출사고 유형으로는 소스코드 적용 오류(14건)가 과반수를 차지하였으며, API(애플리케이션 프로그래밍 인터페이스) 연동 오류로 인해 개인정보가 권한 없는 자에게 표출되는 경우(8건)도 다수 있었다.

기관 유형별: 공공기관 신고 2배 이상 증가

공공기관의 유출 신고는 전체 유출 신고의 34%(104건)로, 전년도(41건) 대비 2배 이상 증가하였다. 이는 '23년 9월 「개인정보 보호법」 개정으로, 공공기관의 경우 유출 규모가 1천 명 이상일 때 신고하도록 하던 것을 민감·고유식별정보 1건 이상 유출 시에도 신고하도록 신고기준이 상향된 것이 주된 원인으로 보인다. 세부 공공기관별로는 중앙행정기관·지방자치단체(42%), 대학교·교육청(41%), 공공기관·특수법인(17%) 순이었다. 실제로 공공기관 유출 신고 104건 중 71건(68%)은 1,000건 미만 유출에 해당했다.

민간기업의 유출 신고는 66%(203건)로, 전년도(277건) 대비 다소 감소하였다. 세부 기관별로는 중소기업(60%), 해외사업자(12%), 협단체(12%), 중견기업(11%), 대기업(5%) 순으로 나타났다.

기관 유형	2024년 신고 비중	세부 구성
공공기관	34% (104건, 전년 41건)	중앙행정기관·지자체 42%, 대학교·교육청 41%, 공공기관·특수법인 17%
민간기업	66% (203건, 전년 277건)	중소기업 60%, 해외사업자 12%, 협단체 12%, 중견기업 11%, 대기업 5%

예방을 위한 안내

업무 과실로 인한 개인정보 유출을 방지하기 위해 게시판·홈페이지 등에 자료 업로드 시에는 주민등록번호 등 민감한 개인정보가 포함되었는지 확인하고, 메일 발송 시에는 수신자 개인별 발송 기능을 기본으로 설정해 둘 것과 개인정보가 포함된 업무용 기기에는 기기 비밀번호 설정, 파일 암호화 등을 설정하는 방법도 함께 안내하였다.

앞으로 개인정보위와 한국인터넷진흥원은 개인정보처리자의 보호 수준을 높이기 위한 교육 등에 보고서를 활용하도록 제공할 계획이다. 아울러, 기관과 기업의 경각심을 제고하고, 개인정보 보호 체계 개선에 도움이 되도록 지원해 나갈 방침이다.

개인정보 유출 사고 원인 및 예방 방법(예시)

구분	유형	유출 유형	예방 방안
해킹으로 인한 유출	크리덴셜 스터핑	다른 곳에서 유출된 사용자의 인증정보(ID/PW 등)를 악용하여 웹사이트 및 앱에 지속적 접속 시도, 로그인 성공 시 개인정보 탈취	비정상적인 로그인 시도 탐지·차단, 홈페이지에 개인정보 표시 최소화 조치(마스킹 등), 자동입력 방지코드(CAPTCHA) 도입, 문자메시지·이메일 인증 추가 적용 등
해킹으로 인한 유출	SQL 인젝션	해커가 응용프로그램의 보안상 허점을 이용해 악의적인 SQL 구문을 실행되게 하여, 이용자 데이터베이스(DB)에 접근하여 개인정보 유출	시큐어 코딩 도입, 주기적인 취약점 점검·조치, 웹 방화벽 설치·운영 등
업무 과실로 인한 유출	홈페이지 게시판에 개인정보 업로드	홈페이지 게시판에 개인정보가 포함된 파일을 게시하여 유출	파일 업로드 후 다시 한번 정상적인 파일이 업로드되었는지 확인
업무 과실로 인한 유출	메일 동보 발송	다수의 수신자에게 이메일 또는 문자메시지를 다른 수신자의 개인정보를 포함하여 동보 발송	개인별 발송 기능을 기본으로 설정하고, 수신자 참조 필요 시에만 별도로 선택하여 발송할 수 있도록 설정
업무 과실로 인한 유출	개인정보가 포함된 업무용 기기 분실	개인정보 파일이 저장된 업무용 노트북 분실	기기 비밀번호 설정 및 OS 암호화 기능 사용, 원격제어 기능이 있는 경우 기기 비활성화·데이터 초기화 수행 등
홈페이지 설계·개발 과실	검색 시 개인정보 조회	검색엔진에 개인정보 조회 가능한 관리자페이지 또는 취급 중인 개인정보 등 노출	관리자페이지 외부 접근 제한, 안전한 인증수단 도입, 개인정보 조회 페이지는 인증 후 접속 가능하도록 보호조치 적용 등

자료 출처: 개인정보보호위원회 보도자료 — 「개인정보위 2024년 개인정보 유출 신고 동향 분석결과 발표」(2025.03.20)