외부에서 발견된 고객 명단, DB 접근기록으로 유출자를 찾을 수 있을까

아래 내용은 이해를 돕기 위해 구성한 가상의 사례입니다.

온라인 회원 서비스를 운영하는 한 유통회사에 제휴 제안 메일이 도착했습니다. 첨부된 홍보용 명단 샘플을 열어 본 마케팅 담당자가 이상한 점을 발견했습니다. 이름과 휴대전화 번호 조합이 자사 고객과 겹치는 항목이 한둘이 아니었습니다. 가입 시기가 비슷한 고객끼리 묶여 있는 모양새도 우연으로 보기 어려웠습니다. 회사는 내부 유출 가능성을 확인하기로 했습니다.

가장 먼저 고객 데이터베이스의 접근기록을 열었습니다. 개인정보를 다루는 시스템은 어떤 계정이 언제 어디서 접속해 무엇을 처리했는지 기록을 남기도록 되어 있습니다. 이 기록이 남아 있어야 확인 자체가 가능합니다.

조회한 계정은 있는데 조회한 사람이 없다

지난 석 달 치 접근기록에서 평소 업무 규모를 넘는 조회가 몇 차례 드러났습니다. 시스템이 정해진 시각에 자동으로 실행하는 작업은 전용 계정을 쓰기 때문에 어렵지 않게 구분됐습니다. 문제는 남은 건이었습니다. 조회에 쓰인 계정이 상담팀 여러 명이 함께 쓰는 공용 계정이었습니다.

여기서 멈추는 조사가 생각보다 많습니다. 접근기록에 남는 주체는 사람이 아니라 계정입니다. 한 계정을 여럿이 쓰면 기록만으로는 그 시각의 사용자를 특정할 수 없습니다. 업무 프로그램을 거쳐 데이터베이스를 조회하는 구조라면 접근기록에 프로그램 전용 계정만 남기도 합니다. 이 경우 실제 사용자는 업무 프로그램 쪽 기록에서 찾아야 합니다.

어떤 기록을 겹쳐야 사람이 좁혀지는가

조사팀은 문제가 된 조회 건의 시각과 접속지 정보를 기준으로 삼았습니다. 이 시스템은 사무실 밖에서 접속할 수 없게 되어 있어 접속지 정보만으로 사무실 안 어느 구역인지가 좁혀졌습니다. 여기에 세 가지 기록을 대조했습니다. 상담 프로그램의 사용자별 로그인 기록, 사무실 출입 기록, 해당 구역 PC의 사용 기록입니다.

대조에 앞서 한 가지를 먼저 확인했습니다. 시스템마다 시계가 조금씩 어긋나 있을 수 있기 때문에 각 기록의 시각 기준부터 맞췄습니다. 서버가 남긴 시각과 PC가 남긴 시각, 출입 시스템의 시각은 같은 사건을 두고도 몇 분씩 다르게 적힐 수 있습니다.

문제의 조회는 야간 상담 조가 없는 시간대에 몰려 있었습니다. 그 시간에 사무실에 출입한 기록과 상담 프로그램에 로그인한 계정은 소수였습니다. 후보 범위는 크게 줄었습니다. 다만 이 단계까지 확인된 것은 그 시각에 그 계정을 쓸 수 있었던 사람의 범위입니다. 이 사람이 명단을 만들어 외부로 보냈다는 결론은 아직 어느 기록에도 없습니다.

조회 기록이 반출까지 말해주지는 않습니다

접근기록은 조회나 다운로드가 있었다는 사실까지 알려줍니다. 화면으로 본 것인지 파일로 내려받은 것인지 구분되는 시스템도 있고 그렇지 않은 시스템도 있습니다. 어느 쪽이든 그 데이터가 회사 밖으로 나갔는지는 접근기록 바깥의 문제입니다.

다음 확인은 해당 시간대에 그 자리 PC에서 무슨 일이 있었는지로 넘어갑니다. 파일이 만들어지거나 압축된 흔적, 개인 웹메일이나 외부 저장공간에 접속한 기록, 외부 저장장치 연결 기록 같은 것들입니다. 하나하나는 일상 업무에서도 나올 수 있는 기록입니다. 대량 조회 시각과 같은 시간대에 몰려 있고 순서가 이어질 때 설명이 필요한 정황이 됩니다.

회사는 이 단계에서 해당 PC와 관련 기록의 원본을 그대로 보존했습니다. 법적 다툼으로 가면 분석 과정에서 원본이 바뀌지 않았다는 점부터 다투게 되기 때문입니다.

접근기록에서 확인된 것과 확인되지 않은 것

대량 조회 가운데 일부는 마케팅 부서의 추출 요청 문서와 대조되어 정상 업무로 확인됐고 조사 대상에서 제외됐습니다. 업무상 설명이 확인되지 않은 새벽 조회 건은 특정 PC의 사용 기록과 이어졌습니다. 회사는 이 정황을 근거로 조사 범위를 넓혀 해당 PC 정밀 분석과 법적 대응 검토에 들어갔습니다.

접근기록만으로 유출자를 특정할 수는 없었습니다. 대신 어느 시간대의 어떤 계정을 살펴야 하는지 조사 범위를 좁히는 출발점이 됐습니다. 계정과 사람을 연결하는 기록이 있어야 후보가 좁혀집니다. 조회가 반출로 이어졌는지를 보여주는 기록이 있어야 사실관계가 정리됩니다. 석 달 전 조회 기록이 남아 있었기에 여기까지 대조가 가능했습니다. 개인정보 처리시스템의 접속기록은 법령상 1년 이상, 시스템 성격에 따라 2년 이상 보관 대상입니다.

비슷한 의심이 생겼을 때 확인 순서도 이 사례와 같습니다. 접근기록으로 범위를 정한 뒤 계정과 사람을 연결하는 기록을 대조하고 반출 여부는 PC와 메일 같은 별도 흔적으로 확인합니다. 어느 단계에서든 관련 장비와 기록의 원본 보존이 먼저입니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.