CJ 임직원 330명 정보 유출: 내부자 보안의 구멍

무슨 일이 있었나

서울경찰청 사이버수사대가 개인정보보호법 위반 혐의로 CJ그룹 전직 직원 A씨를 검찰에 송치했다. A씨는 재직 중 접근할 수 있었던 그룹 내부 전산망을 통해 전·현직 임직원의 개인정보를 빼돌리고, 이를 텔레그램 채널에 유포한 혐의를 받는다. 현재까지 확인된 피해자는 약 330명이며, 대부분 20~30대 여성 직원인 것으로 파악됐다.

CJ그룹은 유출 사실을 인지한 뒤 지난 5월 19일 경찰에 고발장을 냈다. 경찰은 국제 공조를 통해 문제의 텔레그램 채널을 폐쇄하고 A씨 주거지를 압수수색하는 등 수사를 진행했다. 특히 이 채널은 2,800여 명이 참여하고 있었으며, 지난해 말 가상자산으로 채널 소유권 자체가 거래된 정황도 확인됐다.

왜 중요한가 — '외부 해킹'이 아니라 '내부자'였다

기업 보안 사고 보도는 대개 외부 해커의 침입, 랜섬웨어, 서버 취약점 같은 키워드로 채워진다. 그러나 이번 사건은 방화벽이나 침입탐지 시스템이 막을 수 있는 유형이 아니다. 정상 권한을 가진 내부자가 업무상 접근 가능한 데이터를 그대로 들고 나간 케이스이기 때문이다.

보안업계에서 오래 지적돼 온 '내부자 위협(insider threat)'의 전형이다. 외부 공격은 비정상 트래픽이나 인증 실패 로그로 탐지 신호가 남지만, 내부자의 조회·다운로드는 평소 업무 패턴과 구분하기 어렵다. 그래서 필요한 것이 접근 권한 최소화(least privilege), 대량 조회에 대한 이상행위 탐지(UEBA), 그리고 조회 로그의 상시 감사다. 이번 사건은 대기업 규모의 조직에서도 이 세 겹의 통제가 완전히 작동하지 않을 수 있음을 보여준다.

퇴사자 계정, 여전히 가장 흔한 구멍

보도에 따르면 A씨는 계약 기간 만료로 퇴사한 이후의 정황도 수사 대상에 포함됐다. 퇴사·계약 종료 시점의 계정 회수(deprovisioning)는 정보보안 기본 중의 기본이지만, 실무에서는 가장 자주 뚫리는 지점이다. 인사 시스템과 계정 관리 시스템이 연동돼 있지 않으면 퇴사 처리와 계정 비활성화 사이에 며칠에서 수주의 공백이 생긴다. 그 사이 VPN이나 사내 포털 접근이 살아 있는 경우가 드물지 않다.

또 하나 간과되는 것은 '퇴사 전 대량 다운로드'다. 계정을 제때 닫아도, 퇴사 통보 직후 몇 주 동안 데이터를 미리 확보해 두는 행위는 계정 회수로 막을 수 없다. 이를 잡으려면 퇴사 예정자에 대한 접근 모니터링 강화라는 별도의 절차가 필요하다.

텔레그램·가상자산, 유출 데이터의 유통 구조

이번 사건에서 가장 주목할 대목은 유출 이후의 유통 경로다. 데이터가 흘러간 곳은 참여자 수천 명 규모의 텔레그램 채널이었고, 그 채널의 소유권이 가상자산으로 거래됐다는 정황까지 나왔다. 데이터 자체가 아니라 '데이터가 모이는 공간'이 하나의 자산으로 값이 매겨져 사고팔린다는 뜻이다.

이는 과거 'n번방' 사건 이후 사회적으로 확인된 구조와 유사하다. 익명 메신저 + 가상자산 결제 조합은 추적을 어렵게 만들고, 채널이 폐쇄돼도 참여자 명단과 데이터는 다른 채널로 이전돼 재생산된다. 경찰이 국제 공조를 통해 채널 폐쇄까지 끌어낸 것은 의미 있는 성과이지만, 사후 조치의 한계도 동시에 드러난다. 이미 2,800명에게 배포된 정보는 회수가 사실상 불가능하다.

피해자와 기업, 실질적으로 무엇이 달라지나

피해자가 20~30대 여성 직원에 집중됐다는 점은 이 사건을 단순 개인정보 유출과 다르게 만든다. 유출 정보가 성적 목적의 커뮤니티로 흘러갔을 경우, 피해는 스팸이나 명의도용을 넘어 직접적인 신변 위협으로 이어질 수 있다. 회사 입장에서 이는 정보보호 이슈인 동시에 직장 내 안전 문제다.

기업이 져야 할 법적 부담도 가볍지 않다. 개인정보보호법상 유출 주체가 개인이라 해도, 개인정보처리자인 사업자는 안전조치 의무 위반 여부를 별도로 판단받는다. 접근 권한 관리, 접속기록 보관·점검, 퇴사자 계정 처리 절차가 미흡했다면 과징금·과태료 부과 대상이 될 수 있다. 실제 CJ 측이 자체 인지 후 즉시 고발했다는 점은 대응 성실성 측면에서는 유리한 정황이다.

실무자가 지금 점검할 것

인사 시스템과 계정 관리(IAM)의 자동 연동 여부 — 퇴사 당일 계정 차단이 실제로 되는가
임직원 인사 데이터에 대한 접근 권한 보유자 수 — 필요 이상으로 넓지 않은가
대량 조회·다운로드 알림 기준 존재 여부
접속기록 보관 기간과 정기 점검 주체
퇴사 예정 통보 이후의 접근 모니터링 강화 절차

남는 질문

이번 송치로 수사가 끝난 것은 아니다. 확인된 피해자가 330명이라는 것은 곧 미확인 피해가 더 있을 수 있다는 뜻이기도 하다. 채널 참여자 2,800여 명에 대한 후속 수사, 데이터 2차 유통 여부, 그리고 CJ의 안전조치 의무 이행 여부에 대한 감독기관 판단이 남아 있다. 결국 이 사건이 업계에 남길 교훈은 하나로 요약된다. 조직의 보안 수준은 방화벽의 성능이 아니라 권한 관리의 정밀도로 결정된다.