들어가며

구독자님, SKT 2,695만 건, 쿠팡 3,370만 건, 티빙, CU 택배까지. 올해 들어 개인정보 유출 통보가 끊이질 않고 있어요. 유출 후에는 스팸 전화가 오고, 피싱 문자가 오고, 잘 풀리면 거기서 끝나요.

그런데 얼마전 공개된 유출 사고 하나는, 그 '끝'이 완전히 달라요. 유엔 세계식량계획(WFP)의 가자지구 등록 앱이 해킹당해, 식량 배급을 받는 60만 가구의 이름, 신분증 번호, 전화번호, 그리고 거주 위치가 유출됐어요. 이 사람들이 사는 곳은 전쟁터예요. 유출된 주소가 표적이 될 수 있는 곳이에요.

결론부터 말씀드리면, 이건 단순한 보안 실패가 아니에요. "밥을 받으려면 이름을 대라"는 구조 자체가 만든 참사예요.

60만 가구의 위치가 해커에게 갔다

5월 14일, WFP의 자체등록 앱(SRA)이 해킹당했어요. 이 앱은 가자지구 주민들이 식량과 현금 지원을 받기 위해 직접 등록하는 시스템이에요. 신원을 인증하고 수혜 자격을 확인하는 과정에서 상당한 양의 개인정보가 수집돼요. 유출된 정보는 이름, 신분증 번호, 휴대전화 번호, 그리고 등록 시점에 기록된 동네 단위 거주 위치예요.

60만 가구라는 숫자가 어느 정도인지 감이 안 올 수 있어요. 가자지구 전체 인구의 약 77%에 해당해요. WFP는 매달 약 160만 명에게 밀가루, 고열량 비스킷, 영양 보충제, 현금을 배급하고 있어요. 실업률 80%, 인구 대부분이 원조 없이는 끼니를 해결할 수 없는 상황이에요. WFP는 세계 최대 인도주의 기구예요. 매년 1억 명 이상에게 식량을 제공하고 있고, 가자는 그중에서도 가장 긴급한 현장 중 하나예요.

이 사고에는 더 불편한 디테일이 있어요.

한 독립 보안 전문가가 WFP 팔레스타인 팀에 시스템 취약점을 경고한 날짜가 5월 12일이에요. 해킹이 발생하기 이틀 전이에요. 그런데 WFP가 수혜자들에게 유출 사실을 알린 건 5월 31일, 해킹으로부터 17일이 지난 뒤였어요. 내부고발자에 따르면, WFP는 그 사이에 위험 평가도 하지 않았고, 가자 주민들의 보안 위험을 완화하려는 노력도 보이지 않았다고 해요.

WFP는 텔레그램을 통해 "식량, 현금, 영양 보충 등 모든 프로그램은 정상적으로 계속된다"고 안내했어요. 등록 정보를 삭제하거나 재등록할 필요가 없다고도 했어요. 하지만 유출된 위치 데이터가 어디로 갔는지, 누가 접근했는지에 대해서는 아직 확인된 바가 없어요. 공격자의 신원도 밝혀지지 않았어요. 등록 플랫폼은 보안 강화를 위해 일시 중단된 상태이지만, 가자 주민들에게 "당신의 주소가 안전한지"에 대한 답은 아직 없는 셈이에요.

밥을 받으려면 이름을 대라. 인도주의 데이터 수집의 구조적 딜레마

이번 유출이 단순한 해킹 사고를 넘어서는 이유가 있어요. 데이터를 모으는 구조 자체에 문제의 뿌리가 있기 때문이에요.

WFP는 수혜자 관리 시스템 SCOPE^[1]​를 통해 전 세계 80개국에서 약 6,380만 건의 신원 정보를 관리하고 있어요. 지문, 홍채, 사진 같은 생체 데이터도 포함돼요. WFP는 2026년 팔레스타인에서 SCOPE를 전면 확대할 계획이었어요. 이번에 해킹당한 SRA는 SCOPE와 별도의 시스템이지만, 수집되는 데이터의 민감도는 크게 다르지 않아요.

그런데 이 거대한 데이터 인프라의 보안 상태는 어떨까요?

2017년 내부감사에서 이미 심각한 결함이 지적됐어요. 수혜자 동의 없이 개인정보를 수집하고 있었고, 데이터는 암호화 없이 복사되고 있었어요. 판정은 "주요 개선 필요(Major Improvement Needed)". 4년 후 2021년 감사에서도 동일한 판정이 반복됐어요. 특히 팔레스타인 사무소에 대한 2022년 감사에서는 "개인 데이터 수집과 관련된 위험이 내부 기술 역량 부족으로 평가되거나 완화되지 않았다"고 지적했어요.

경고는 반복됐지만, 대응은 없었어요. 쿠팡의 JWT 키가 5개월간 회수되지 않은 것처럼, WFP의 데이터 보호 결함도 수년간 방치됐어요. 규모와 맥락은 다르지만, "경고를 무시하는 조직 문화"라는 뿌리는 동일해요.

여기에 또 하나의 논란이 있어요. WFP는 2019년에 미국 군사·정보 분야 데이터 분석 기업 팔란티어(Palantir)와 4,500만 달러 규모의 파트너십을 체결했어요. 팔란티어의 기술이 WFP의 데이터 통합 플랫폼(DOTS)을 뒷받침하고 있어요. 문제는, 팔란티어가 미국 CIA, ICE(이민세관집행국), 군 정보기관과도 긴밀하게 일하는 기업이라는 점이에요. 최근에는 미국 정부의 불법체류자 추적 시스템에 3천만 달러 계약을 체결하기도 했어요. 유엔 인권보고서는 팔란티어를 이스라엘 점령을 지탱하는 "제노사이드 경제"의 일부로 지목했어요.

디지털 인권 단체 액세스 나우(Access Now)는 "인도주의 기구가 군사 연계 기술 기업과 협력하면 국제법상 보호 지위를 잃을 위험이 있다"고 경고했어요. 같은 기술이 식량 배급 최적화에도, 이민자 추적에도 쓰인다는 건, 인도주의와 감시 사이의 경계가 기술 인프라 수준에서 이미 허물어지고 있다는 뜻이에요.

그런데 이렇게까지 데이터를 모으는 이유가 뭘까요? 구조는 단순해요. 기부금을 받으려면 "몇 명에게 얼마를 배급했는지" 증명해야 하고, 그 증명을 위해 수혜자 데이터가 필요해요. 정확한 배급을 위해 중복 등록을 걸러내려면 생체 데이터까지 필요해지고요. 기부자는 데이터를 요구하지만, 그걸 지키는 보안 예산까지 지원하는 경우는 드물어요. 밥을 주려면 이름을 알아야 하고, 이름을 모으면 누군가 훔쳐가고, 훔쳐간 이름이 무기가 될 수 있는... 이 악순환이 인도주의 데이터의 구조적 딜레마예요.

전쟁터에서 데이터는 무기가 된다

이 유출이 특히 위험한 이유는, 데이터의 주인이 분쟁 한가운데 있는 사람들이라는 점이에요.

가자지구에서는 식량 배급을 받으려다 목숨을 잃는 일이 실제로 벌어지고 있어요. 유엔 자료에 따르면, 지금까지 수백 명의 팔레스타인 주민이 WFP 식량 배급 과정에서 사망했어요. 이런 환경에서 60만 가구의 거주 위치가 유출됐다는 건, 그 데이터가 수혜자의 물리적 안전을 위협하는 데 쓰일 수 있다는 뜻이에요.

이런 일이 처음은 아니에요. 분쟁 지역에서 인도주의 데이터가 유출되거나 전용된 사례는 반복되고 있고, 매번 가장 큰 피해는 데이터를 제출한 수혜자들에게 돌아갔어요.

2022년 1월, 적십자국제위원회(ICRC) 서버가 해킹당해 분쟁과 재난으로 가족을 잃은 51만 5천 명의 데이터가 유출됐어요. ICRC는 이를 국가 수준의 공격으로 분석했어요. 2023년에는 노르웨이난민위원회(NRC)도 사이버 공격을 받아 수혜자 데이터베이스가 침해됐어요. 2021년 아프가니스탄에서는 미군이 남기고 간 생체인식 장비(HIIDE)를 탈레반이 노획했어요. 장비 안에는 미군에 협력한 아프간인들의 홍채, 지문, 거주지가 들어 있었어요. 같은 해 유엔난민기구(UNHCR)는 로힝야 난민의 생체 데이터를 본인 동의 없이 미얀마 정부에 공유한 사실이 드러났어요. 그 미얀마 정부는 로힝야를 탄압한 당사자였고요. 패턴은 반복되지만 구조는 바뀌지 않아요.

그리고 바로 지금, 가자에서는 또 다른 압력이 진행 중이에요. WFP 유출이 공개되기 8일 전인 5월 20일, 이스라엘 대법원은 가자와 서안지구에서 활동하는 국제 구호단체 19곳에 현지 팔레스타인 직원 명단 제출을 의무화하는 판결을 내렸어요. 국경없는의사회(MSF), 옥스팜, 노르웨이난민위원회 등이 "직원이 보복 대상이 될 수 있다"며 거부했지만, 법원은 "보안 심사는 국가의 핵심 주권"이라며 30일 시한을 줬어요. 불응 시 가자와 서안지구에서의 활동이 즉각 중단돼요.

구호단체들의 우려는 추상적인 게 아니에요. 유엔 자료에 따르면, 2023년 10월 이후 가자에서 133명 이상의 NGO 직원이 사망했어요. 구호단체들은 법원에 대안을 제시했어요. 독립적인 제재 심사, 기부자 감사 기반 검증 시스템 같은 방식으로 직원 명단을 직접 넘기지 않으면서도 보안 요건을 충족할 수 있다고요. 하지만 법원은 이를 받아들이지 않았어요.

구호단체의 법정 진술이 이 상황을 정확하게 요약해요.

해킹으로 유출되고, 정부에 의해 요구되고, 기부자에 의해 수집이 강제되는 인도주의 데이터는 지금 세 방향에서 동시에 압력을 받고 있어요. 예일대 기술인권 전문가 나다니엘 레이먼드의 표현대로, 세계에서 가장 취약한 사람들의 가장 민감한 데이터를, 쇼핑몰 경비원 수준의 예산으로 지키고 있는 것이 이 분야의 현실이에요.

오스왈드의 시선

기술 경영 전략을 수립해온 경험에서 보면, 데이터 수집은 모든 조직의 '시장 진입 필수 조건'처럼 취급돼요. 기업에게 고객 데이터는 성장 엔진이고, 인도주의 기구에게 수혜자 데이터는 기부금 확보의 근거예요. 구조가 같아요. 쿠팡이 퇴직자 JWT 키 하나를 회수하지 않아 3,370만 건이 유출된 것과, WFP가 9년간 감사 경고를 무시한 것의 뿌리도 같아요. 데이터 수집은 매출 또는 생존과 직결되니까 최우선이지만, 데이터 보호는 당장 수치로 안 보이니까 뒤로 밀리는 거예요.

하지만 저는 이번 사건을 보면서, 진짜 물어야 할 질문은 보안 예산이 아니라 수집 자체의 필요성이라고 생각해요.

ICRC는 2022년 해킹 이후, 중앙집중형 생체 데이터 저장을 의도적으로 피하는 전략을 택했어요. WFP와 ICRC는 같은 위험에 노출되어 있지만, 대응이 갈렸어요. ICRC는 "덜 모으자"는 쪽으로, WFP는 여전히 "더 잘 지키자"는 쪽으로 가고 있어요. 팔란티어와의 파트너십도 그 연장선이에요.

GTM 전략을 다루면서 수없이 봐온 패턴이 있어요. 수집은 쉽고, 보호는 비싸고, 유출된 데이터를 되돌리는 건 불가능하다는 거예요. 한국에서는 스팸이 오지만, 전쟁터에서는 생명이 위험해져요. "이 데이터를 꼭 모아야 하는가?"라는 질문을 수집 전에 던지는 조직만이, 유출 이후의 참사를 피할 수 있어요. 애초에 안 모으면 안 털린다.

마치며

정리하면 이래요.

하나, WFP 가자 해킹은 2017년부터 반복된 경고를 무시한 결과예요. 기술 부족이 아니라 우선순위의 실패예요.

둘, 인도주의 데이터는 지금 세 방향에서 동시에 위협받고 있어요. 해킹으로 유출되고, 정부에 의해 요구되고, 기부자에 의해 수집이 강제돼요.

셋, "보안을 강화하자"보다 한 단계 앞선 질문이 필요해요. "이 데이터를 정말 모아야 하는가?"

우리는 쿠팡 유출 후 스팸 전화를 받았어요. 가자의 60만 가구는 자신의 주소가 어디로 갔는지도 모른 채, 내일의 배급을 기다리고 있어요.

💬 구독자님은 "도움을 받기 위해 개인정보를 내야 하는 구조"에 대해 어떻게 생각하시나요? 댓글로 의견을 들려주세요.

참고자료 & 더 읽기

핵심 출처

배경 지식

필자 안광섭은 세종대학교 경영학과 교수이자 OBF(Oswarld Boutique Consulting Firm) 리드 컨설턴트이다. 대학에서 경영데이터 관리, 비즈니스 애널리틱스 등 통계 및 데이터 분석을 가르치는 한편, 현장에서는 GTM 전략과 인공지능 전략 컨설팅을 이끌며 기술과 비즈니스의 접점을 설계하고 있다. AI 대화 시스템의 기억 아키텍처(HEMA) 연구로 학술 논문을 발표했으며, 매일 글로벌 AI 논문을 큐레이션하는 Daily Arxiv 프로젝트를 운영하고 있다. 고려대학교 기술경영전문대 석사과정와 KMBA을 졸업했다. 지은 책으로 《생각을 맡기는 사람들: 호모 브레인리스》가 있다.