수탁업체 해킹, 우리 회사는 안전한가 (2026)
외주 개발사·호스팅 업체·CRM 대행사가 털리면 과징금 고지서는 우리 회사로 옵니다. 2026년 개인정보위 의결 사례 두 건에서 뽑은, 소규모 사업자용 협력사 점검 6가지.
해커가 처음 문을 연 곳은 정부 기관이 아니었습니다. 시스템 유지보수를 맡은 작은 업체의 네트워크 저장장치(NAS)였죠. 그 안에는 위탁받은 개인정보가 2020년 5월부터 약 5년간 무단 보관돼 있었고, 관리자 화면은 아이디와 비밀번호만 알면 인터넷 어디서든 열렸습니다.
수탁업체 해킹은 대기업만의 뉴스가 아닙니다. 쇼핑몰 운영을 대행사에 맡기고, 고객 DB를 외주 개발사가 고치고, 상담 문자를 발송 업체가 보내는 순간 우리 회사도 공급망 보안의 한가운데에 섭니다. 법은 이 구조에서 맡긴 쪽, 즉 위탁자에게 감독 책임을 지웁니다. 그렇다면 보안 담당자가 따로 없는 회사는 무엇부터 봐야 할까요?
2026년, 협력사에서 터진 두 사건
올해 개인정보보호위원회 전체회의에서 위·수탁 관계가 쟁점이 된 의결이 잇따랐습니다. 두 건만 나란히 놓아 보면 패턴이 보입니다.
| 구분 | 농촌진흥청 위탁 시스템 | 보람그룹 통합 CRM |
|---|---|---|
| 의결 | 2026-05-27 | 2026-05-13 |
| 수탁자 | 유지·관리 업체 미소테크 | 계열사 보람상조개발 |
| 규모 | 57만5천여 건, 다크웹 게시 | 2만7,882건 |
| 드러난 구멍 | 위탁 정보를 자체 NAS에 무단 보관, 관리자 계정은 ID·비밀번호만으로 접속 | 접근제어 소홀, 법정 기한 넘긴 통지, 보유기간 지난 정보 미파기 |
| 위탁자 쪽 제재 | 농진청 과징금 1억6,800만원, 국립농업과학원 2,310만원 | 위탁사 6곳은 교육·감독 미이행으로 과태료. 수탁사 포함 7개 사업자 합계 과징금 5억4,250만원·과태료 1,140만원 |
농진청 사건에서 눈여겨볼 대목은 따로 있습니다. 해당 NAS는 2017년 6월부터 2025년 4월까지 외부 인터넷 주소로 접근할 수 있는 상태였고, 위탁 기관은 계약이 끝날 때 업체에서 자료미보유확약서만 받았습니다. 노트북이나 외장하드에서 실제로 지웠는지는 아무도 확인하지 않았죠. 종이 한 장이 파기를 대신한 셈입니다.
출처: 데일리시큐 (2026-05-28) · 파이낸셜뉴스 (2026-05-14)
법은 맡긴 쪽에 무엇을 요구하나
"해킹은 업체가 당했는데 왜 우리가?" 억울할 수 있습니다. 그런데 개인정보 보호법 제26조를 읽으면 이 질문의 답이 꽤 분명합니다.
- 제1항 — 처리 업무를 맡길 땐 목적 외 처리 금지, 기술적·관리적 보호조치 등을 담은 문서로 해야 합니다.
- 제4항 — 위탁자는 수탁자를 교육하고, 처리 현황 점검 등으로 안전하게 처리하는지 감독해야 합니다.
- 제6항 — 수탁자가 일을 다시 다른 업체에 넘기려면 위탁자의 동의를 받아야 합니다.
- 제7항 — 수탁자가 법을 어겨 생긴 손해배상에서는 수탁자를 위탁자의 소속 직원으로 봅니다.
마지막 항이 핵심입니다. 고객 입장에서 외주 업체는 '우리 회사 직원'과 같다는 뜻이니까요. 숫자도 가볍지 않습니다.
출처: 국가법령정보센터 개인정보 보호법 제26조 · 개인정보위 2025년 유출 신고 분석 발표 보도
소규모 사업자가 협력사를 점검하는 6가지
보안 감사 팀이 없어도 됩니다. 아래 여섯 가지는 대부분 업체와 통화하거나 설정 화면을 열어 보는 정도로 시작할 수 있습니다. 계약서 손질이 필요한 건 두 가지뿐이죠.
① 관리자 계정, 공용 하나로 돌리고 있지 않나
외주 개발자 셋이 admin 계정 하나를 같이 쓰면, 사고가 나도 누가 들어왔는지 가릴 수 없습니다. 사람마다 계정을 따로 발급하고, 우리 직원 계정과 업체 계정을 분리하세요. 미소테크 사례처럼 비밀번호 하나로 열리는 관리자 화면이라면 2단계 인증(MFA)부터 켭니다.
② 업체가 들어오는 길은 몇 개인가
원격 접속, 호스팅 관리 화면, DB 직접 접속, 공유 드라이브. 업체에 열어 준 경로를 종이에 적어 보면 생각보다 많습니다. 쓰지 않는 경로는 닫고, 남는 것은 업체 사무실 IP만 허용하거나 정해진 접속 수단으로 묶습니다. 8년 가까이 인터넷에 노출돼 있던 NAS가 바로 '잊힌 경로'였습니다.
③ 접근 로그, 남기는 것과 보는 것은 다르다
개인정보의 안전성 확보조치 기준은 개인정보처리시스템 접속기록을 최소 1년, 5만 명 이상 정보를 처리하거나 민감정보·고유식별정보를 다루는 시스템은 2년 이상 보관하라고 정합니다. 보관만 하고 열어 보지 않으면 소용없죠. 점검 주기는 내부 관리계획에 직접 정하게 돼 있으니, 업체 계정의 야간 접속과 대량 다운로드만이라도 정기적으로 확인하는 일정을 박아 두세요.
④ 계약서에 넣어야 할 다섯 줄
위·수탁 계약서 체크
- 위탁 업무의 목적과 범위, 목적 외 처리 금지
- 재위탁은 사전 서면 동의 (제26조 제6항)
- 사고 인지 시 통지 기한 (예: 즉시, 늦어도 24시간 안)
- 위탁자의 점검·자료 요청 권한
- 계약 종료 시 반환·파기 방법과 확인 절차
보람상조 건에서는 법정 기한을 넘긴 통지도 제재 사유가 됐습니다. 업체가 늦게 알려 주면 우리 통지도 늦어집니다.
⑤ 1년에 한 번, 업체에 질문지를 보낸다
제26조 제4항의 '교육·감독'을 거창하게 볼 필요는 없습니다. 담당자 보안 교육 이수 여부, 우리 데이터가 저장된 위치, 재위탁 여부를 묻는 질문지 한 장과 답변 회신을 기록으로 남기면 됩니다. 보람그룹 위탁사 6곳이 과태료를 받은 이유가 이 감독을 이행하지 않은 점이었습니다.
⑥ 계약이 끝나면 확약서 말고 증거를 받는다
파기 확인서에 어떤 저장장치에서, 어떤 방법으로, 언제 지웠는지를 적게 하세요. 가능하면 삭제 화면 캡처나 파기 대장 사본을 받습니다. 농진청은 계약이 2022년 12월 끝났다며 감독 의무도 소멸했다고 주장했지만, 위원회는 위반 상태가 2025년 5월까지 이어졌다고 봤습니다. 계약 종료가 책임 종료는 아니라는 얘기입니다.
대기업식 실사 vs 작은 회사의 현실
보안 컨설팅 업계는 흔히 협력사 실사, 침투 테스트, 인증 취득 요구를 권합니다. 맞는 말이지만 직원 다섯 명짜리 회사가 외주 개발사에 ISMS 인증서부터 요구하면 맡길 업체를 찾기조차 어려워지기 쉽습니다. 반대로 "작은 회사라 해커가 관심 없다"는 생각은 더 위험합니다. 2013년 미국 유통사 타깃의 대규모 카드 정보 유출도 냉난방 설비 협력업체의 계정에서 시작됐습니다. 공격자는 회사 크기가 아니라 가장 덜 잠긴 문을 고릅니다.
현실적인 균형점. 완벽한 실사 대신 위 6가지를 문서로 남기세요. 제26조 제4항이 요구하는 건 결국 교육과 감독을 했다는 사실이고, 사고 뒤 그걸 보여 줄 수단은 기록밖에 없습니다. 보람그룹 위탁사들이 과태료를 받은 사유도 바로 그 감독 미이행이었고요.
우리 회사 열쇠, 지금 몇 개가 밖에 있나
오늘 할 일은 하나면 됩니다. 협력사 목록을 펴고, 업체마다 '계정 몇 개, 접속 경로 몇 개, 계약서에 파기 조항 있음/없음'을 한 줄씩 적어 보세요. 빈칸이 가장 많은 업체가 다음 뉴스의 출발점일 가능성이 큽니다.
열쇠를 몇 개 복사해 줬는지 모르는 집주인이 가장 늦게 도둑을 알아챕니다. 여러분 회사의 보조 열쇠는 지금 누구 주머니에 있나요?
※ 이 글 아래 광고는 주나이테크 주식회사가 운영하는 자사 서비스입니다. VPN은 통신 구간을 암호화하는 도구일 뿐, 위에서 다룬 수탁자 감독·계약·로그 관리를 대신하지 않습니다. 법령·처분 내용은 2026년 11월 1일 기준 공개 자료를 정리한 것이며, 구체적 사안은 전문가 확인을 권합니다.