한전 직원 2만4천여명의 이름, 소속, 사번, 휴대전화번호, 사내 전화번호, 이메일, 직위 등 7개 항목이 외부 누리집에 노출됐다. 한전은 10월 1일 오후 3시 59분께 이를 인지했고, 정보가 누리집에서 삭제된 시점은 10월 3일로 넘어가는 자정께로 보도돼 인지 후 약 32시간이 걸렸다. 노출 원인과 실제 2차 피해가 있었는지는 아직 확인되지 않았다.

배경과 맥락

이번에 노출된 정보는 주민등록번호 같은 고유식별정보나 민감정보가 아니라 직원의 신원과 소속, 업무상 연락에 연결되는 정보다. 한전은 별도 전용시스템에서 관리하는 고객 정보도 노출되지 않았다고 설명했다. 이는 노출 범위를 가늠하는 데 중요한 사실이지만, 직원 정보가 외부에 공개된 사고 자체를 작게 만들지는 않는다.

한전은 노출 사실을 인지한 뒤 직원 개인정보 관련 내부 시스템 접속을 차단하고, 외부 누리집 운영사에 정보 삭제를 요청했다고 밝혔다. 다만 삭제 완료까지 약 32시간이 걸렸다.

한전은 10월 4일 오후 1시 22분께 개인정보보호위원회에 관련 사실을 보고하고 비상대응 종합상황실을 꾸렸다. 유관기관과 함께 정확한 노출 경위를 조사 중이라고 밝혔지만, 현재 제공된 내용만으로는 어떤 경로로 정보가 외부 누리집에 올라갔는지 알 수 없다. 한전은 직원들에게 문자와 이메일 등으로 사고 사실과 경위를 개별 통지하고 2차 피해 예방 주의사항도 안내했다.

이 소식이 뜻하는 것

이 사고의 직접적인 영향권에 든 사람은 사실상 한전 전 직원에 해당하는 2만4천여명이다. 주민등록번호나 고객 정보가 노출되지 않았다는 한전 설명은 피해 범위를 이해할 때 고려할 요소다. 그러나 이름·소속·사번·전화번호·이메일이 함께 노출되면 특정 직원을 알아보고 연락하는 데 활용될 수 있다는 점에서, 당사자가 예상하지 못한 연락이나 사칭 시도에 주의를 기울일 필요가 있다. 이는 가능한 위험에 대한 해석이지, 그런 피해가 실제 발생했다는 뜻은 아니다.

예를 들어 한전 직원이 내부 업무와 관련된 것처럼 보이는 연락을 받고 추가 정보나 확인을 요구받는다면, 노출 사고 이후의 상황과 맞물린 사칭인지 경계할 수 있다. 다만 이번 사고로 실제 피싱이나 사칭 피해가 발생했다는 사실은 확인되지 않았다. 한전이 피해 예방 주의사항을 개별 안내했다고 밝힌 만큼, 통지를 받은 직원은 그 안내를 확인하고 의심스러운 연락이 오면 성급히 응답하거나 정보를 제공하지 않는 편이 안전하다.

사고 대응의 평가는 정보가 삭제됐다는 결과뿐 아니라 노출 경위가 밝혀졌는지, 실제 피해가 확인됐는지, 피해가 발생했을 때 구제가 이뤄지는지에 달려 있다. 한전은 유관기관 합동 조사와 자체 조사를 통해 원인을 파악하고 재발 방지 대책을 마련하겠다고 했다. 또 피해가 발생했거나 예상돼 신고가 들어오면 필요한 조사를 거쳐 손해배상 등 구제 절차를 진행할 예정이라고 밝혔다. 이는 구제가 이미 확정됐다는 의미가 아니라, 신고와 조사를 거치겠다는 계획이다.

관련 제도·지원 정보

한전은 피해가 발생했거나 예상되는 경우 신고가 들어오면 필요한 조사를 거쳐 손해배상 등 구제 절차를 진행할 예정이라고 밝혔다. 다만 개인정보 노출만으로 배상 여부나 금액이 자동으로 정해지는 것은 아니다. 법률구조공단 상담사례 기반 자료에 따르면 손해배상액은 손해의 종류와 발생 경위, 피해자 과실, 합의 내용, 보험금·급여 수령 여부 등을 따져 산정한다. 이 자료는 일반적인 손해배상 원칙을 설명하는 것으로, 이번 사고에서 개인별 배상 책임이나 금액을 확정해 주지는 않는다.

따라서 피해가 실제로 발생했다고 판단되는 직원은 노출 통지와 관련 연락, 발생한 손해를 보여주는 자료를 보관하고, 한전에 어떤 신고 절차와 자료가 필요한지 확인할 수 있다. 합의를 검토한다면 합의서의 범위도 살펴야 한다. 일반적으로 합의는 이후 추가 청구를 제한할 수 있지만, 합의 당시 예상하기 어려웠던 중대한 후발손해라면 추가 청구 가능성이 있을 수 있다고 자료는 설명한다. 구체적인 적용 여부와 소멸시효 등은 손해의 내용과 알게 된 시점에 따라 달라질 수 있으므로, 일률적으로 단정할 수 없다.

보도마다 다르게 전한 점

정보 삭제 시점의 표현은 보도마다 차이가 있다. 한 보도는 10월 3일로 넘어가는 자정께 삭제됐다고 전했고, 다른 영문 보도는 금요일 자정 무렵 삭제가 완료됐다고 적었다. 두 표현이 같은 시각을 다르게 나타낸 것인지, 실제로 시점에 차이가 있는지는 제공된 내용만으로 확인하기 어렵다. 약 32시간이 걸렸다는 설명은 한국어 보도에 제시돼 있다.

확인된 사실과 아직 알 수 없는 것

확인된 사실

  • 한전은 10월 1일 오후 3시 59분께 외부 누리집에서 직원 개인정보가 노출된 사실을 인지했다.
  • 노출 항목은 이름, 소속, 사번, 휴대전화번호, 사내 전화번호, 이메일, 직위 등 7개이며, 대상은 2만4천여명이다.
  • 한전은 고유식별정보·민감정보와 별도 전용시스템의 고객 정보는 노출되지 않았다고 설명했다.
  • 한전은 내부 시스템 접속을 차단하고 삭제를 요청했으며, 10월 4일 개인정보보호위원회에 보고하고 비상대응 종합상황실을 꾸렸다.
  • 한전은 직원들에게 개별 통지했고, 피해 신고가 있으면 조사 후 구제 절차를 진행할 예정이라고 밝혔다.

아직 알 수 없는 것

  • 직원 정보가 외부 누리집에 노출된 구체적인 경위와 원인은 무엇인가?
  • 이번 노출로 실제 2차 피해가 발생했는가?
  • 피해가 있었다면 어떤 유형과 규모였으며, 조사와 구제는 어떻게 이뤄질 것인가?

독자가 확인할 것

  • 한전 직원이라면 문자·이메일로 받은 개별 통지와 2차 피해 예방 안내를 확인하고, 의심스러운 연락에 개인정보나 추가 정보를 제공하지 않도록 주의할 수 있다.
  • 실제 피해가 발생했거나 예상된다면, 관련 연락과 손해를 확인할 수 있는 자료를 보관한 뒤 한전에 신고 절차와 필요한 자료를 문의할 수 있다. 통지에 특정 신고 방법이 적혀 있다고 단정할 수는 없다.
  • 손해배상이나 합의를 검토하는 경우에는 손해 자료와 합의서 내용을 확인하고, 사안별 판단이 필요한 쟁점은 법률 상담을 통해 점검할 수 있다.

참고 자료