스웨덴의 IT 기업 Miljödata는 2025년 8월 사이버 공격을 받아 220만 명의 민감한 개인정보가 유출되었습니다. 이 회사는 스웨덴 지방자치단체의 80%가 사용하는 HR·근무환경 관리 소프트웨어를 제공하고 있어 피해 규모가 매우 컸습니다. 공격자는 1.5 비트코인(약 1억 9천만 원)의 몸값을 요구했으나 협상이 결렬되자 훔친 데이터를 다크웹에 공개했고, 유출된 정보에는 주민등록번호, 병가·재활 기록, 미성년자 학교 사건 기록 등이 포함되었습니다. 스웨덴 개인정보 감독기관 IMY는 Miljödata가 신규 소프트웨어 설치 검증과 실시간 침입 탐지 체계를 갖추지 않아 GDPR(유럽 일반 개인정보보호법) 제32조를 위반했다고 판단하여 약 2억 6천만 원(SEK 180만)의 과징금을 부과했습니다.
2025년 8월 25일 스웨덴 IT 기업 Miljödata가 사이버 공격을 받아 200개 이상 지역의 IT 서비스가 중단되고 220만 명의 개인정보가 탈취됐습니다. 공격자는 몸값 지급을 거부당하자 다크웹에서 'Datacarry'라는 이름으로 데이터를 공개했습니다.
주민등록번호, 연락처, 병가·재활 기록, 미성년자 학교 사건 정보 등 매우 민감한 데이터가 포함된 220만 명의 개인정보가 유출됐고, 스웨덴 지자체 80%의 HR 시스템 운영이 타격을 받았습니다.
신규 소프트웨어 설치 시 충분한 보안 검증을 수행하지 않았고, 침입 및 이상 행위를 탐지하는 자동화·실시간 모니터링 체계가 부재하여 GDPR 제32조(1)항을 위반했습니다.
스웨덴 개인정보 감독기관 IMY가 2025년 11월 조사를 개시하여 $183,000(SEK 180만) 과징금을 부과했으며, 공격과 연관된 2개 지자체 및 1개 광역 기관에 대한 추가 조사도 진행 중입니다.
다수 기관에 소프트웨어를 공급하는 벤더도 GDPR 위반 주체로 직접 제재받을 수 있으며, 실시간 침입 탐지와 소프트웨어 설치 검증 절차의 부재는 규제 당국이 명시적으로 지적하는 보안 결함입니다. 랜섬웨어 공격자는 예상 과징금보다 낮은 몸값을 제시해 피해 기업의 지급을 유도하는 전술을 씁니다.
본문
스웨덴 개인정보 감독기관 IMY(Integritetsskyddsmyndigheten)는 IT 시스템 공급업체 Miljödata에 $183,000(SEK 180만)의 과징금을 부과했습니다. 2025년 8월 발생한 침해 사고로 220만 명이 피해를 입었으며, 이는 부적절한 보안 조치에서 비롯된 것으로 확인되었습니다.
Miljödata는 스웨덴 지방자치단체의 80%가 사용하는 근무환경·HR 관리 시스템을 개발·공급하는 스웨덴 소프트웨어 기업입니다.
지난해 8월 25일, 이 회사는 사이버 공격을 받아 200개 이상 지역의 IT 서비스가 중단되고 주민들의 민감한 개인정보가 유출됐습니다.
공격자는 탈취한 정보의 유출을 막는 대가로 1.5 비트코인(당시 시가 약 $168,000)의 몸값을 요구했지만, 협상에 실패하자 'Datacarry'라는 이름으로 다크웹에 해당 정보를 공개했습니다.
유출된 정보에는 주민등록번호, 연락처, 병가·재활 기록, 심지어 미성년자와 관련된 학교 사건 정보까지 포함되어 있었습니다.
IMY는 2025년 11월 조사를 개시하여 보안상의 결함이 EU의 GDPR(일반 개인정보보호법)에 따른 회사의 의무를 위반하는지 여부를 검토했습니다.
기관은 이번 조사를 통해 회사가 신규 설치 소프트웨어에 대한 충분한 검증을 수행하지 않았고, 침입 및 의심스러운 활동을 탐지하기 위한 자동화된 실시간 모니터링 체계를 갖추지 않았음을 확인했습니다.
IMY는 발표문에서 "조사 결과, 이 회사는 자사가 처리하는 개인정보의 유형을 고려했을 때 충분히 높은 수준의 기술적·조직적 보안을 유지하지 못했다"고 밝혔습니다.
"회사는 신규 소프트웨어 설치 시 충분한 검증을 수행하지 않았으며, 침입 및 이상 활동을 탐지하기 위한 자동화된 실시간 시스템 모니터링을 갖추지 않았습니다."
이러한 과실은 GDPR 제32조(1)항 위반에 해당하며, 이에 따라 $183,000의 과징금이 부과되었습니다.
공격자들은 때때로 규제 과징금 부과 가능성을 이용해 피해 기업에 몸값 지급을 압박하기도 합니다. 침해 사고 시 예상되는 최종 비용보다 낮은 금액을 요구함으로써 피해 기업이 몸값을 지불하도록 유인하는 전략을 쓰는 것입니다.
IMY는 Miljödata에 대한 공격과 관련하여 2개 지자체 및 1개 광역 기관에 대한 조사도 별도로 개시했으며, 현재 진행 중이라고 밝혔습니다. 따라서 향후 추가 과징금이 부과될 수 있습니다.
AI 기반 공격에 대비한 보안 청사진 수립
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 중단해야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리 예약하기
