락앤락 130만명 개인정보 유출 사건: 개인정보보호 담당자 점검 포인트
리드
개인정보보호위원회는 2026년 7월 8일 제13회 전체회의에서 락앤락에 과징금 5억300만 원과 과태료 540만 원을 부과하고 홈페이지 공표를 명령했다. 사안의 핵심은 회원 약 130만 명의 개인정보가 유출됐다는 규모만이 아니다. 2022년에 공개된 메일 서버 취약점 미조치, 관리자 계정 비밀번호 재사용, 대용량 반출 미탐지, 고유식별정보 암호화 미흡, 보유기간 경과 개인정보 미파기가 한 사건 안에서 함께 확인됐다는 점이다.
개인정보보호 담당자에게 이 사건은 “우리 조직이 침해를 막을 수 있는가”보다 넓은 질문을 던진다. 패치 이력, 접근권한, 로그, 암호화, 파기, 신고·통지 체계가 실제로 작동했음을 사고 후에 입증할 수 있는가가 더 중요하다.
핵심 요약
- 개인정보보호위원회는 2026년 7월 8일 락앤락의 안전조치 의무 위반을 의결하고, 2026년 7월 9일 보도자료를 통해 제재 내용을 공개했다.
- 공개 자료 기준 공격자는 2024년 4월 메일 서버 취약점을 악용해 내부 시스템에 침입했고, 2024년 5월 29~30일 회원 DB를 유출했다. 이후 2024년 11월 22~26일 내부 시스템에 재침입해 파일서버 업무자료와 임직원 개인정보를 추가로 유출했다.
- 유출 범위는 회원 약 130만 명의 이름, 휴대전화번호, 주소 등과 임직원 개인정보 1,111건이다. 임직원 자료에는 주민등록증, 운전면허증, 통장 사본 등이 포함된 것으로 발표됐다.
- 락앤락은 유출 과정의 비정상 대용량 트래픽을 탐지하지 못했고, 해커의 협박메일을 받은 뒤 유출 사실을 인지한 것으로 공개됐다.
- 개인정보보호 담당자는 이 사건을 계기로 메일 서버와 개인정보처리시스템의 패치 SLA, 관리자 인증, 대량 반출 탐지, 고유식별정보 암호화, 보유기간 만료 데이터 파기를 우선 점검해야 한다.
사건 타임라인
| 시점 | 공개 확인 내용 | 실무상 의미 |
|---|---|---|
| 2022년 | 관련 보안 취약점 공개 | 공개 취약점 추적과 패치 SLA가 장기간 방치되지 않았는지 확인해야 한다. |
| 2024년 4월 | 공격자가 메일 서버 취약점을 악용해 내부 시스템에 침입 | 메일 서버가 내부망 진입점으로 쓰일 수 있으므로 인터넷 노출 자산과 내부 접근 경로를 함께 봐야 한다. |
| 2024년 5월 29~30일 | 회원 DB 유출 | 회원정보 저장소의 접근권한, DB 감사로그, 대량 조회·반출 탐지가 핵심 통제다. |
| 2024년 11월 22~26일 | 내부 시스템 재침입, 파일서버 업무자료 및 임직원 개인정보 유출 | 1차 침입 후 계정·토큰 회전, 백도어 제거, 내부 이동 경로 차단이 충분했는지 확인해야 한다. |
| 유출 인지 시점 | 비정상 대용량 트래픽을 탐지하지 못하고 해커 협박메일 수신 후 인지 | 로그는 있었는지, 경보 기준과 대응 절차가 작동했는지 따져야 한다. |
| 2026년 7월 8일 | 개인정보보호위원회 제13회 전체회의에서 제재 의결 | 법적 책임은 사고 발생 자체뿐 아니라 사전 안전조치와 사후 관리 기록으로 판단된다. |
| 2026년 7월 9일 | 개인정보보호위원회 보도자료 및 언론 보도 공개 | 공표명령은 고객 신뢰와 평판 리스크로 이어진다. |
주요 실패 지점
1. 공개 취약점 패치가 운영 통제로 이어지지 않음
개인정보보호위원회 발표에 따르면 공격자는 메일 서버 취약점을 악용해 내부 시스템에 침입했다. 구체적인 CVE 번호는 공개되지 않았지만, 2022년에 공개된 보안 취약점을 업데이트하지 않은 점이 제재 사유로 지적됐다. 이는 취약점 정보 수집 자체보다, 수집된 정보가 자산 식별·위험평가·패치 적용·예외 승인·보완통제까지 이어졌는지가 중요하다는 뜻이다.
메일 서버는 단순한 통신 인프라가 아니다. 계정, 첨부파일, 주소록, 내부 시스템 링크, 인증정보가 모이는 고가치 자산이다. 메일 서버에서 DB, 파일서버, 관리자 페이지, 백업 저장소로 이동할 수 있는 네트워크 경로가 있다면 개인정보처리시스템과 같은 수준으로 관리해야 한다.
2. 관리자 계정 관리가 침입 확대를 막지 못함
개인정보보호위원회는 주요 서버 관리자 계정에 동일한 비밀번호가 적용된 점을 지적했다. 관리자 비밀번호 재사용은 한 시스템 침해를 다른 시스템 침해로 확장시키는 전형적인 경로다. 특히 2024년 5월 회원 DB 유출 뒤 2024년 11월 재침입이 있었다는 점은 잔존 권한, 탈취 계정, 서비스 계정, 백도어, 원격접속 경로를 충분히 제거했는지 되묻게 한다.
개인정보보호 담당자는 보안팀에 “차단 완료”라는 결론만 요구하면 안 된다. 어떤 계정이 회전됐는지, 어떤 토큰과 키가 폐기됐는지, 어떤 관리자 경로가 막혔는지, 장기 미사용·공유·외주사 계정이 남아 있지 않은지를 증적으로 받아야 한다.
3. 대용량 반출 탐지가 작동하지 않음
이번 사건에서 락앤락은 유출 과정에서 발생한 비정상적인 대용량 트래픽을 탐지·대응하지 못했고, 해커 협박메일을 받은 뒤 유출 사실을 인지한 것으로 발표됐다. 이는 로그가 없었거나, 로그는 있었지만 경보 기준과 대응 절차가 실효적으로 작동하지 않았다는 의미다.
회원 DB와 파일서버를 운영하는 조직은 정상 백업, 배치, 통계 추출, 마케팅 캠페인, 데이터 이관 작업의 기준선을 정의해야 한다. 기준선을 넘는 외부 전송, 야간 대량 조회, 압축파일 생성, 반복 다운로드, 신규 관리자 계정의 대량 조회는 즉시 경보와 확인 절차로 연결돼야 한다.
4. 고유식별정보와 스캔 파일 보호가 부족함
임직원 개인정보 1,111건에는 주민등록증, 운전면허증, 통장 사본 등이 포함된 것으로 알려졌다. 개인정보보호위원회는 고유식별정보 암호화 미흡도 지적했다. 주민등록번호 등 고유식별정보는 일반 개인정보보다 높은 보호수준이 요구되며, 이미지·PDF·스캔본 형태로 저장된 경우에도 보호 대상에서 벗어나지 않는다.
점검 범위는 DB 컬럼에만 머물면 안 된다. 파일서버, 그룹웨어 첨부파일, 인사 시스템 업로드 폴더, NAS, 백업본, RPA 작업 폴더, 외주사 공유 폴더까지 포함해야 한다. 암호화 키가 애플리케이션 서버, 소스코드, 설정파일, 공유 폴더에 평문으로 남아 있는지도 함께 확인해야 한다.
5. 보유기간이 지난 데이터가 사고 범위를 키움
개인정보보호위원회는 임직원 개인정보 및 폐점 매장 구매자 정보 총 49,466건을 파기하지 않은 사실도 확인했다. 보유 목적이 끝난 개인정보는 업무상 가치는 낮지만, 유출되면 동일하게 법적 책임과 고객 피해를 만든다.
파기 통제는 사고 대응 이후의 정리 작업이 아니라 상시 통제다. 개인정보 처리방침의 보유기간, 내부 보존 기준, 실제 DB·파일서버·백업 저장 상태가 일치해야 한다. 자동 파기 배치 실패, 예외 승인, 폐점·종료 서비스 데이터, 테스트 DB와 개발자 로컬 덤프까지 파기 기준을 적용해야 한다.
실무 점검 체크리스트
1. 유출 범위와 데이터 흐름
- 회원 DB 스키마에서 이름, 휴대전화번호, 주소 외에 이메일, 생년월일, 주문 이력, 비밀번호 해시, 마케팅 동의, 고객센터 상담 이력이 포함되는지 확인한다.
- 주문·배송·환불·고객센터·CRM·BI·DW·마케팅 솔루션·외주사 전달본까지 동일 개인정보가 복제된 경로를 맵핑한다.
- 임직원 자료 중 신분증, 운전면허증, 통장 사본, 가족 정보, 급여 자료, 원천징수 자료가 어느 저장소에 있는지 전수 확인한다.
- 폐점 매장, 종료 서비스, 이벤트, 오프라인 구매자 정보처럼 운영 목적이 끝난 데이터의 저장 위치를 확인한다.
2. 침입 경로와 잔존 권한
- 메일 서버 제품명, 버전, 2022년 공개 취약점 패치 적용 여부, 패치 지연 사유를 확인한다.
- 메일 서버에서 내부 DB, 파일서버, 관리자 페이지로 접근 가능한 네트워크 경로를 점검한다.
- 2024년 4월부터 11월 이후까지 관리자 로그인, VPN 접속, 서비스 계정 사용, 원격접속 기록을 타임라인으로 재구성한다.
- 주요 서버 관리자 계정, DB 계정, 서비스 계정, VPN 계정의 비밀번호와 토큰을 전면 회전한다.
- 퇴직자, 외주사, 폐쇄 프로젝트, 공유 계정, 장기 미사용 관리자 계정을 비활성화한다.
3. 대량 반출 탐지와 로그 증적
- DB 대량 SELECT, 전체 테이블 덤프, CSV·엑셀 내보내기, 압축파일 생성, 파일서버 대량 다운로드 로그를 확인한다.
- 외부 IP 기준 전송량, 야간 전송, 평소 미사용 국가·ASN 접속, 실패 후 성공 로그인 패턴을 분석한다.
- 메일 서버, DB, 파일서버, WAF, 방화벽, EDR, 프록시, VPN 로그의 보존 기간과 무결성을 확인한다.
- 개인정보처리시스템 접속기록이 법정·내부 기준 이상으로 보존되고, 사후 변경이 불가능한 저장소에 남는지 확인한다.
- SIEM 또는 로그 저장소에 대량 조회·대량 다운로드·신규 고권한 계정 생성 경보가 등록돼 있는지 확인한다.
4. 암호화와 키 관리
- 주민등록번호, 운전면허번호, 계좌번호 등 고유식별정보와 금융성 정보의 저장 위치를 전수 조사한다.
- DB 컬럼뿐 아니라 이미지, PDF, 스캔본, 압축파일, 백업본에 암호화가 적용되는지 확인한다.
- 암호화 키가 소스코드, 설정파일, 공유 폴더, 개발자 PC, 배포 스크립트에 평문으로 저장돼 있지 않은지 점검한다.
- 백업본과 로그에 고유식별정보가 평문으로 남지 않는지 확인한다.
- 키 접근권한, 키 회전 주기, 키 사용 로그를 문서화한다.
5. 보유기간과 파기 체계
- 개인정보 처리방침, 내부 보존 기준, 실제 DB·파일서버 보관 상태를 대조한다.
- 폐점 매장, 이벤트, 상담, 배송, 환불, 임직원 입사·퇴사 자료의 보유기간 만료 여부를 확인한다.
- 자동 파기 배치 실패, 예외 처리, 수동 보관, 법적 분쟁 보존 같은 파기 예외 목록을 관리한다.
- 백업본, DW, 테스트 DB, 개발자 로컬 덤프에도 파기 기준이 적용되는지 확인한다.
- 파기 완료 내역과 실패 경보를 월간 점검 항목으로 남긴다.
대응 우선순위
24시간 이내
- 침해 의심 시스템을 식별하고 메일 서버, 회원 DB, 파일서버의 외부 접근 경로를 제한한다.
- 메일 서버와 개인정보처리시스템의 취약점 패치 상태를 확인하고 미패치 서버는 격리한다.
- 주요 서버 관리자 계정, DB 계정, 서비스 계정, VPN 계정의 비밀번호와 토큰을 회전한다.
- 관련 로그가 삭제되거나 덮어써지지 않도록 증거 보존 조치를 한다.
- 유출 가능 항목을 회원정보, 주문정보, 임직원 정보, 폐점 매장 구매자 정보로 분류한다.
- 개인정보보호책임자, 보안팀, 법무, 고객 커뮤니케이션 담당자의 사고 대응 회의를 즉시 가동한다.
72시간 이내
- DB 대량 조회·반출, 파일서버 다운로드, 외부 전송량, 관리자 로그인 타임라인을 작성한다.
- 유출 대상자 산정 기준과 중복 제거 기준을 확정한다.
- 유출 신고·통지 문안 초안을 준비하고, 항목별 고객 행동 지침을 작성한다.
- 고유식별정보와 신분증 사본 저장소를 우선 암호화하거나 접근 차단한다.
- 외부에서 접근 가능한 관리자 페이지와 개인정보처리시스템에 IP 제한과 MFA를 적용한다.
- 해커 협박메일, 유출 샘플, 다크웹·텔레그램 게시 정황을 증거로 보존한다.
1주 이내
- 회원 DB, CRM, 고객센터, 배송·주문 시스템, 파일서버의 개인정보 흐름도를 갱신한다.
- 개인정보처리시스템 접속기록 보관·점검 절차를 문서화하고 월간 점검 항목에 반영한다.
- 보유기간 만료 데이터 자동 파기와 파기 실패 경보를 적용한다.
- 관리자 계정 공유와 비밀번호 재사용을 금지하고 PAM 또는 비밀관리 도구 도입 계획을 세운다.
- 대량 다운로드, 비정상 외부 전송, 야간 DB 덤프, 신규 고권한 계정 생성을 SIEM 룰로 운영한다.
- 침해 원인, 영향 범위, 재발방지 대책, 고객 안내, 임직원 피해 예방 조치를 경영진 보고서로 정리한다.
1~3개월 이내
- 메일 서버, 그룹웨어, VPN, 파일서버, 개인정보처리시스템을 인터넷 노출 기준으로 재분류한다.
- 개인정보 저장소를 데이터 등급별로 분리하고, 고유식별정보 파일은 별도 암호화 저장소로 이전한다.
- 개인정보처리시스템 관리자 접속에 허용 IP, MFA, PAM 승인, 세션 기록을 기본값으로 적용한다.
- 인터넷 노출 자산과 개인정보처리시스템 관련 취약점에 별도 패치 SLA를 둔다.
- 개인정보 보유기간, 파기, 백업본 삭제, 테스트 데이터 비식별화 절차를 정기 감사 항목으로 전환한다.
- 해커 협박메일 수신 전에 자체 탐지가 가능하도록 DLP, EDR, NDR, DB 접근제어, SIEM 상관분석을 정비한다.
결론
락앤락 사건은 “한 번 뚫렸다”는 단일 사고보다 “기본 통제가 여러 지점에서 동시에 실패했다”는 신호에 가깝다. 개인정보보호 담당자가 지금 확인해야 할 것은 공격자의 세부 기법만이 아니다. 공개 취약점이 패치됐는지, 관리자 계정이 분리됐는지, 대량 반출이 탐지되는지, 고유식별정보가 암호화돼 있는지, 보유기간이 끝난 개인정보가 실제로 파기되는지, 그리고 이 모든 조치가 증적으로 남는지다.
유출 사고 대응은 신고와 사과문 작성으로 끝나지 않는다. 패치, 계정 회전, 로그 보존, 유출 범위 산정, 신고·통지, 파기 체계 정비가 순서대로 이어져야 한다. 특히 해커의 협박메일을 받은 뒤에야 유출을 인지하는 구조라면, 사고 대응의 출발점은 커뮤니케이션이 아니라 탐지 체계 재설계다.
참고자료
- 개인정보보호위원회, “개인정보위, 안전조치 의무 위반 3개 사업자 제재”, 2026-07-08 작성, 2026-07-09 보도: https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=&nttId=12242
- 연합뉴스, “개인정보위, 회원 130만명 정보 유출 락앤락에 과징금 5억원”, 2026-07-09: https://www.yna.co.kr/view/AKR20260709044600530
- 보안뉴스, “락앤락, 집주소 등 130만명 개인정보 유출... 5억300만원 과징금”, 2026-07-09: https://www.boannews.com/media/view.asp?idx=144596&skind=6
- YTN, “락앤락, 회원 130만 명 정보 유출...과징금 5억 원”, 2026-07-09: https://www.ytn.co.kr/_ln/0115_202607092351096194
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.