서울에서 공공 자전거를 빌려 본 사람이라면 따릉이 앱에 개인 정보를 입력해 본 기억이 있을 겁니다.
그 정보 중에는 이메일과 휴대폰 번호, 그리고 ‘체중’까지 있었습니다.
2024년 여름, 따릉이 회원 462만 명의 정보가 유출됐습니다.
그리고 그 사실은 한참 시간이 지난 26년 7월에야 개별 문자나 홈페이지 안내로 회원들에게 전해졌죠.
여기저기서 개인 정보 유출이 일어나는 요즘, 개인 정보 유출 이슈는 남 일 같지 않은 것 같습니다. 고객의 연락처와 구매 이력을 데이터로 쌓아 두는 기업이라면, 모두 같은 생각을 할 테니까요. ‘우리 회사가 보관한 고객 데이터는 안전한가?’, ‘우리 회사의 CRM 보안은 괜찮은가?’ 하는 생각 말이죠.
이메일·전화번호, 그리고 체중까지? 따릉이 유출 사고가 남긴 것
2024년 6월 28일부터 이틀 동안, 서울시 공공 자전거 따릉이의 회원 정보가 외부 공격으로 유출됐습니다. 빠져나간 항목은 아이디와 휴대폰 번호, 이메일 주소, 성별, 우편번호, 주소, 그리고 체중 같은 개인정보였습니다. 미성년자의 경우에는 보호자 휴대전화 번호와 생년월일, 성별까지 유출됐죠. 규모는 회원 462만 명에 달했습니다. 다행히 이름과 주민등록번호는 포함되지 않았습니다.
문제는 안내 시점입니다. 사고는 2024년에 벌어졌지만, 회원들이 이를 통지받은 것은 2026년이었습니다.
그사이 내 정보가 어디로 흘러갔는지 알 방법은 없었습니다. 서울시설공단은 뒤늦게 유출 사실을 알리고 30일 정기권으로 보상에 나섰죠.
여기서 짚고 넘어가고 싶은 것은 관리 주체의 잘잘못이 아닙니다. 누구나 이용하는 공공 서비스조차 이런 일을 겪는다는 사실입니다. 고객 데이터를 다루는 조직이라면 규모와 업종을 가리지 않고 같은 위험을 안고 있습니다. 따릉이 사고는 예외적인 사건이 아니라, 데이터를 보관하는 모든 곳이 마주한 현실을 보여준 것이기 때문입니다.
왜 ‘고객 데이터를 담는 CRM’이 보안이 핵심인가
기업은 마케팅과 영업 과정에서 생각보다 많은 개인정보를 모읍니다. 문의를 남긴 잠재 고객의 연락처, 상담 기록, 구매 이력, 웹사이트에서의 행동까지 차곡차곡 쌓이죠. 이 데이터가 모이는 곳이 바로 고객관계관리(CRM), 즉 고객 데이터를 다루는 운영 시스템입니다.
CRM은 그 자체로 대규모 개인정보가 모인 저장소입니다. 흩어져 있던 고객 정보를 한곳에 통합할수록 업무는 편해지지만, 그만큼 한 번 뚫렸을 때의 피해도 커집니다. 엑셀 파일 하나가 유출되는 것과, 수십만 명의 고객 데이터가 담긴 시스템이 뚫리는 것은 무게가 다르니까요. 따라서 고객 정보가 방대해질수록, CRM 보안이 곧 회사의 리스크 관리가 됩니다.
마케팅·영업 시스템에 쌓이는 개인정보의 종류
CRM에 담기는 정보는 대략 이렇습니다. 이름과 전화번호, 이메일 같은 연락처 정보, 회사와 직책 같은 인적 정보, 언제 무엇을 문의하고 구매했는지에 대한 상담·구매 이력, 그리고 어떤 페이지를 보고 어떤 메일을 열었는지 등의 웹 행동 로그입니다. 이 많은 정보 하나하나가 모두 개인정보입니다. 따라서, 이 정보들을 한 시스템에 모을 수 있다는 점이 CRM의 강점이자 위험 요소입니다.
유출 시 기업이 지는 책임 : 개인정보 보호법과 과징금
국내에서 개인정보를 다루는 기업은 법적으로 안전조치 의무를 집니다.
따라서 개인정보 보호법에서는 기업이 접근 통제, 암호화, 접속 기록 보관 같은 기술적·관리적 조치를 갖추도록 요구하고 있습니다.
그만큼 책임의 무게도 커졌습니다. 2023년 개정 개인정보 보호법이 시행되면서, 과징금 산정 기준이 ‘위반과 관련된 매출’에서 ‘전체 매출액’으로 바뀌었습니다. 이제 대규모 유출이 발생하면 전체 매출액의 최대 3%까지 과징금을 물 수 있게 된 거죠.
2025년 말에는 이 상한을 10%로 높이는 개정안이 국회 정무위를 통과하기도 했습니다.
이제 개인정보 유출의 처벌 수위를 더 올리는 방향으로 논의가 이어지고 있는 겁니다.
과징금만 문제가 아닙니다. 유출이 발생하면 정보 주체에게 통지하고 관계 기관에 신고할 의무도 따릅니다.
여기서 대응이 늦어질수록 부담은 더 커집니다.
결국, 개인정보 유출은 한 번의 사고로 끝나는 게 아니라 법적 책임과 재무적 부담, 그리고 신뢰의 손실까지 이어지는 중대 사고입니다.
그러니 고객 정보를 담는 CRM 보안은 선택이 아니라 관리의 문제라고 할 수 있습니다.
보안이 검증된 CRM을 고르는 5가지 기준
그렇다면 어떤 CRM이 ‘안전한 저장소’일까요?
특정 제품을 떠나, 여러 CRM을 비교해 고를 때 공통으로 확인해야 할 조건이 있습니다. 그 기준을 다섯 가지로 정리해 봤습니다.
① 국제 보안 인증 : SOC 2 Type 2, ISO 27001
SOC 2 Type 2는 외부 감사기관이 데이터 보안 통제 체계가 일정 기간 실제로 지켜졌는지 검증하는 국제 기준입니다. ISO 27001은 정보보안을 조직 차원에서 관리하는 국제 표준입니다. 두 인증 모두 한번 받고 끝나는 것이 아니라 주기적으로 갱신됩니다. CRM을 고를 때는 인증 보유 여부와 함께 최신 보고서를 요청해 확인하는 편이 좋습니다.
② 전송·저장 구간 암호화 : TLS, AES-256
데이터는 이동할 때도, 저장돼 있을 때도 암호화되어 있어야 합니다. 전송 중에는 TLS 1.2 이상으로 통신을 암호화하고, 저장할 때는 AES-256 같은 방식으로 데이터를 암호화하는지 확인합니다. 암호화가 돼 있으면 설령 데이터가 새어 나가도 그 내용을 읽기 어렵습니다.
③ 접근 통제 : 2단계 인증, SSO, 권한 관리
‘누가 무엇을 볼 수 있는지’를 통제하는 기능입니다. 2단계 인증(비밀번호에 더해 한 번 더 본인을 확인하는 절차)으로 계정 탈취를 막고, 싱글사인온(SSO)으로 접속을 일원화하며, 역할과 항목 단위로 열람 권한을 나눕니다. 내부 유출과 계정 도용을 막는 가장 기본적인 방어선입니다.
④ 데이터 삭제·동의 관리
고객이 ‘내 정보를 지워 달라’고 요청하면 실제로 완전히 지울 수 있어야 합니다. 마케팅 수신 동의를 받은 근거를 추적하고, 쿠키 동의를 지역 규정에 맞게 관리하는 기능도 필요합니다. 개인정보 파기 의무와 직접 연결되는 부분입니다.
⑤ 상시 점검 : 모의 침투, 가동률, 사고 대응
보안은 한 번 설정하고 끝나지 않습니다. 정기적인 모의 침투 테스트나 취약점 신고 프로그램으로 약점을 미리 찾고, 서비스가 얼마나 안정적으로 돌아가는지 가동률을 약속하며, 이상 접속을 감시하고 사고가 났을 때의 대응 체계를 갖췄는지 봅니다.
허브스팟은 이 기준을 어떻게 충족하나요?
앞의 다섯 기준을 실제 제품에 대입해 보겠습니다.
경성솔루션이 국내 기업의 도입을 지원해 온 허브스팟(HubSpot)을 예로 들면, 공식 보안 문서에 다음과 같이 정리돼 있습니다.
- 국제 인증: SOC 2 Type 2 보고서를 보유하고, 공개용 SOC 3 보고서를 제공합니다. 클라우드 인프라는 ISO 27001 인증을 갖춘 환경에서 운영됩니다.
- 암호화: 전송 구간은 TLS 1.2 또는 1.3과 2,048비트 이상의 키로, 저장 구간은 AES-256으로 암호화합니다. 비밀번호도 해시로 저장합니다.
- 접근 통제: 2단계 인증을 제공하고, 엔터프라이즈 등급에서 SSO(SAML)를 지원하며, 사용자 역할과 항목 단위로 권한을 나눕니다.
- 데이터 관리: 요청 시 데이터를 영구 삭제하는 기능, 마케팅 소통의 법적 근거 추적, 지역별 쿠키 동의 배너를 제공합니다.
- 상시 점검: Bugcrowd 기반의 취약점 신고·모의 침투 프로그램을 운영하고, 구독 서비스에 대해 월 99.95%의 가동률을 약속합니다. 유럽(프랑크푸르트) 데이터센터 옵션도 있습니다.
도입 현장에서 보면, 이런 기능이 ‘있다’라는 것과 ‘제대로 설정돼 있다’라는 것은 다릅니다.
권한을 너무 넓게 열어 두거나, 관리자 계정에 2단계 인증을 걸어 두지 않은 채 쓰는 경우가 적지 않기 때문입니다.
경성솔루션은 파트너로서 권한 구조와 2단계 인증, 데이터 접근 범위를 회사 상황에 맞게 잡아 주고 있습니다. 물론, 어떤 솔루션도 100% 안전을 보장하지는 않습니다. 인증과 사양은 갱신되므로, 최신 보고서는 파트너사에 직접 요청해 확인하는 것이 정확합니다.
국내 기업이 지금 점검해야 할 체크리스트
아래 6가지 질문에만 답해 봐도, 우리 회사 데이터의 보안 수준이 대략 보입니다.
☐ 우리 CRM의 SOC 2 또는 ISO 27001 인증 여부를 최근 12개월 안에 확인했는가
☐ 저장된 고객 데이터가 암호화돼 있는가
☐ 관리자 계정에 2단계 인증이 걸려 있는가
☐ 퇴사자의 접근 권한이 즉시 회수되는가
☐ 고객의 개인정보 삭제 요청을 처리할 절차가 있는가
☐ 이상 접속이나 사고를 감지하고 대응할 체계가 있는가
여섯 개 중 ‘아니오’가 하나라도 있다면, 그 부분이 지금 점검할 지점입니다.
유출 사고의 진짜 비용은 과징금이 아닙니다. 한 번 무너진 고객의 신뢰는 되돌리기 어렵기 때문이죠.
AI 시대에도 고객 데이터가 곧 경쟁력인 지금, 보안이 검증된 CRM을 선택하는 일은 방어를 위한 지출이 아니라,
고객과의 신뢰를 위한 투자나 마찬가지입니다.
만약 우리 회사가 쓰는 시스템의 보안 수준이 궁금하다면,
허브스팟 온보딩 단계에서 권한과 데이터 보호 설정을 함께 점검해 볼 수 있습니다.
만약 고민이 된다면 미팅을 신청해 보세요.
30분 ~ 1시간 무료 미팅을 통해 무엇이 가능하고 어려운지 분명히 나눠 말씀드리겠습니다.
경성솔루션은 무조건 다 된다는 무모한 약속은 하지 않습니다.
정확한 진단을 바탕으로 ‘솔직한 제안’을,
남들에게도 똑같이 제공하는 일괄적인 설명이 아니라 우리 조직만의 정답을 찾아드립니다.
함께 읽으면 좋은 글
► 우리 회사 CRM 비교 검토 가이드 (허브스팟·세일즈포스·조호)
► AI 시대 CRM 트렌드 — 왜 허브스팟·세일즈포스가 더 강해지는가
► 허브스팟 도입 문의
