한전 CCTV 비밀번호까지 노출됐다? 얼굴인증 정보는 왜 더 위험할까?
“비밀번호가 유출됐다면 바꾸면 되는 것 아닌가?”
개인정보 유출 소식을 들으면 흔히 이런 생각부터 합니다.
그런데 이번 한국전력 정보 노출 사건에는 비밀번호보다 더 까다로운 문제가 있습니다.
바로 사람의 얼굴을 이용해 본인임을 확인하는 안면인증 정보입니다.
2026년 10월 18일 공개된 국회 제출자료에 따르면 한전 직원 408명의 안면인증 정보와 CCTV 1만4,957대의 접속정보까지 외부에 노출된 것으로 나타났습니다.
일반적인 이름이나 전화번호뿐 아니라 청사 출입과 시설 감시에 사용하는 정보까지 포함됐다는 점에서 우려가 커졌습니다. (뉴스1 · 뉴시스)
※ 본문 이미지는 기사 이해를 돕기 위해 AI로 제작한 일러스트입니다. 실제 사진이 아니며, 인물·장소·상황의 표현은 실제와 일부 다를 수 있습니다.
그렇다고 유출된 비밀번호로 실제 CCTV에 접속했다거나, 누군가 다른 사람의 얼굴을 복제해 한전 건물에 출입했다는 사실이 확인된 것은 아닙니다.
정보가 노출됐다는 사실과 그 정보가 실제 범죄에 이용됐다는 사실은 구분해야 합니다.
그렇다면 이번 사건에서 정확히 어떤 정보가 노출됐고, 얼굴인증 정보는 왜 특별히 위험한 걸까요?
한전에서 정확히 어떤 정보가 노출됐을까?
이번 사건에서는 직원 신상정보와 보안시설에 접근하는 데 사용되는 정보가 함께 노출됐습니다.
10월 18일 국회 기후에너지환경노동위원회 소속 윤재옥 국민의힘 의원이 한전으로부터 제출받은 자료를 공개하면서 기존에 알려지지 않았던 정보가 드러났습니다.
확인된 주요 내용을 구분하면 다음과 같습니다.
| 구분 | 노출 규모 | 주요 내용 |
|---|---|---|
| 직원 개인정보 | 2만4,769명 | 이름, 소속, 사번, 전화번호, 이메일, 직위 등 |
| 안면인증 정보 | 408명 | 청사 출입에 사용하는 얼굴인증 관련 정보 |
| CCTV 접속정보 | 1만4,957대 | IP 주소, 아이디, 비밀번호 |
여기서 숫자를 잘못 이해하면 안 됩니다.
직원 개인정보 2만4,769명과 안면인증 정보 408명은 단순히 더해서 별도의 피해자 수로 계산할 수 없습니다. 안면인증 정보는 직원 개인정보와 겹칠 수 있는 항목입니다.
CCTV 1만4,957대 역시 사람의 수가 아니라 접속정보가 노출된 장비의 수를 의미합니다.
더 주의해서 봐야 할 것은 정보의 성격입니다.
이름과 전화번호는 개인을 특정하거나 사칭하는 데 악용될 수 있습니다. 반면 CCTV 아이디와 비밀번호는 조건에 따라 보안장비에 접근하는 수단으로 이용될 위험이 있습니다.
안면인증 정보는 본인 확인이라는 더 민감한 기능에 연결돼 있습니다.
세 가지가 모두 개인정보 또는 보안 문제이지만, 실제 위험은 서로 다릅니다.
얼굴인증 정보는 비밀번호와 무엇이 다를까?
비밀번호는 새로 만들 수 있지만 사람의 얼굴이라는 신체적 특징 자체는 마음대로 바꿀 수 없습니다.
이것이 얼굴인증 정보가 유출됐을 때 특별히 주의해야 하는 이유입니다.
얼굴인증은 우리가 스마트폰을 얼굴로 잠금 해제할 때 사용하는 기술과 기본 원리가 비슷합니다.
카메라로 얼굴을 촬영하고 눈·코·입의 위치와 얼굴 윤곽 등 개인을 구분할 수 있는 특징을 분석해 등록된 정보와 비교하는 방식입니다.
다만 얼굴인증 시스템이 실제로 저장하는 정보는 기술 방식에 따라 달라집니다.
일부 시스템은 얼굴 영상에서 추출한 특징정보를 저장하고, 다른 시스템은 원본 이미지나 추가 데이터를 함께 처리할 수 있습니다.
개인정보보호위원회는 이런 정보를 구분해 관리합니다.
| 구분 | 의미 |
|---|---|
| 생체인식 원본정보 | 얼굴 사진이나 영상처럼 인식에 이용되는 원본 데이터 |
| 생체인식 특징정보 | 얼굴 등에서 개인을 구별할 수 있는 특징을 추출해 만든 데이터 |
| 일반 비밀번호 | 사용자가 새 문자열로 변경할 수 있는 인증정보 |
개인정보보호위원회의 생체정보 보호 가이드라인은 얼굴·지문·홍채 등의 생체인식정보를 특별히 보호하도록 안내합니다. 특히 개인을 식별하기 위해 기술적으로 생성한 특징정보는 법령상 민감정보에 해당할 수 있습니다. (개인정보보호위원회)
그렇다면 얼굴인증 정보가 새어 나가면 평생 위험할까?
반드시 그렇다는 뜻은 아닙니다.
원본 얼굴의 특징을 바꾸기는 어렵지만, 시스템에 등록된 디지털 특징정보를 폐기하고 새로운 방식으로 등록하거나 추가 인증수단을 적용할 수는 있습니다.
실제 위험은 유출된 데이터의 종류, 암호화 상태, 인증 알고리즘, 다른 시스템에서 재사용할 수 있는지 등에 따라 달라집니다.
이번 한전 사건에서도 노출된 안면인증 정보가 원본 영상인지, 특징정보인지, 어떤 보호조치가 적용됐는지에 대한 기술적 세부 내용은 공개 보도만으로 확정하기 어렵습니다.
따라서 ‘408명의 얼굴을 누구나 복제할 수 있다’거나 ‘이제 얼굴인증을 사용할 수 없다’고 단정할 근거는 없습니다.
다만 실제 인증에 사용되는 데이터를 무단으로 확보했다면 일반 전화번호 노출보다 장기적인 보호조치가 복잡해질 수 있다는 점은 분명합니다.
CCTV 비밀번호가 노출됐다면 실제 영상도 볼 수 있을까?
비밀번호가 노출됐다고 해서 외부인이 반드시 CCTV 영상까지 볼 수 있는 것은 아닙니다.
CCTV에 접속하려면 장비에 도달할 수 있는 통신 경로가 있어야 합니다.
예를 들어 CCTV가 외부 인터넷에서 직접 접근할 수 없도록 분리된 내부망에 설치돼 있다면, 비밀번호를 알아도 접근이 차단될 수 있습니다.
반대로 외부에서 접속할 수 있는 장비인데 추가적인 접근통제가 부실하다면 유출된 계정정보가 심각한 위험으로 이어질 수 있습니다.
이번에 노출됐다고 알려진 정보는 다음 세 가지입니다.
- IP 주소: 네트워크에서 장비를 식별하는 주소
- 아이디(ID): 장비나 관리시스템에서 사용하는 계정
- 비밀번호: 해당 계정의 접근 권한을 확인하는 정보
이 세 가지를 함께 확보했다면 무단 접근 시도에 필요한 정보가 상당 부분 노출됐다고 볼 수 있습니다.
하지만 실제로 외부에서 접속할 수 있었는지, 영상 열람이나 설정 변경이 가능했는지는 별도 조사로 확인해야 합니다.
국회에 제출된 자료에 따르면 해당 해외 웹페이지의 접속 횟수와 다운로드 기록이 별도로 남아 있지 않아 누가 정보를 열람했는지 파악하기 어려운 상황입니다. (뉴스1)
따라서 현재 확인된 사실은 CCTV 접속정보가 외부에 노출됐다는 것입니다.
실제 CCTV 영상이 외부로 전송됐거나 누군가 카메라를 조작했다는 사실까지 확인된 것은 아닙니다.
이 차이를 구분해야 피해 범위를 정확히 판단할 수 있습니다.
한전은 왜 처음에 안면인증 정보 노출을 알리지 않았을까?
이번 논란은 정보 노출 자체뿐 아니라 처음에는 공개하지 않았던 정보가 뒤늦게 알려졌다는 점에서도 커졌습니다.
한전은 처음 사고를 설명할 당시 직원들의 이름과 소속, 연락처 등의 노출 사실을 알리면서 주민등록번호와 같은 고유식별정보와 민감정보는 포함되지 않았다고 설명했습니다.
그런데 이후 안면인증 정보와 CCTV 접속정보까지 노출된 것으로 확인되면서 발표 경위를 둘러싼 논란이 생겼습니다.
시간순으로 정리하면 다음과 같습니다.
| 날짜 | 주요 경과 |
|---|---|
| 10월 1일 | 한전, 외부 웹페이지의 직원 개인정보 노출 인지 |
| 10월 4일 | 직원 개인정보 노출 사실과 초기 조사 결과 설명 |
| 10월 8일 | 한전 측 설명에 따르면 추가 확인된 정보를 관련 직원에게 안내하고 정정·추가 공지 |
| 10월 18일 | 윤재옥 의원이 확보한 자료를 통해 안면인증·CCTV 접속정보 노출 규모가 집중 보도됨 |
여기서 한전의 입장도 살펴봐야 합니다.
국회 측은 왜 문제를 제기했을까?
윤재옥 의원은 직원의 얼굴인증 정보와 CCTV 비밀번호까지 노출됐는데도 최초 발표에 이런 내용을 포함하지 않은 것은 사고의 심각성을 축소한 처사라고 비판했습니다.
국가 핵심 전력시설을 운영하는 공기업이라면 보안 사고의 내용과 피해 범위를 더욱 투명하게 공개해야 한다는 취지입니다. (뉴시스)
한전은 어떻게 해명했을까?
한전은 고의로 정보를 숨겼다는 의혹을 반박했습니다.
최초 확인 당시에는 직원의 일반 개인정보 노출 사실을 파악했고, 이후 2차 분석 과정에서 안면인증 정보 등의 추가 노출 사실을 확인했다는 설명입니다.
한전은 추가 확인 이후 해당 직원에 대한 개별 통지, 홈페이지 공지, 개인정보보호위원회 추가 신고 등 필요한 절차를 이행했다고 밝혔습니다. (한국일보)
따라서 현재의 쟁점은 단순히 처음 발표에 특정 정보가 없었다는 사실을 넘어섭니다.
한전이 언제 어느 수준까지 노출 정보를 파악했는지, 추가 확인 이후 얼마나 신속하고 충분하게 신고·통지했는지가 중요합니다.
고의적 은폐 여부는 확인된 자료와 조사 결과를 바탕으로 판단해야 하며, 현재 제기된 의혹만으로 확정할 수는 없습니다.
협력업체의 계정 공유 문제도 이번 사고와 관련이 있을까?
한전 내부 감사에서 협력업체 관련 보안위반 사례가 반복적으로 적발된 것은 사실이지만, 그것이 이번 정보 노출 사고의 직접적인 원인이라고 확정된 것은 아닙니다.
이번 보도에서 함께 알려진 내용 가운데 눈길을 끄는 것이 과거 감사 결과입니다.
2024년부터 2026년까지 한전이 실시한 8차례 특정감사에서 설계 권한이 없는 협력업체 직원들이 한전 직원의 아이디와 비밀번호를 이용해 내부 시스템에 접속한 사례가 확인됐습니다.
이와 관련된 조치 결과는 다음과 같습니다.
| 구분 | 인원·금액 |
|---|---|
| 징계 | 114명 |
| 경고 | 1,037명 |
| 주의 | 760명 |
| 신분상 조치 합계 | 1,911명 |
| 협력업체 위약금 | 총 9억500만 원 |
이 수치는 이번 개인정보 노출로 새롭게 징계를 받은 인원이라는 뜻이 아닙니다. 2024~2026년 기존 감사에서 적발된 보안위반 관련 조치 규모입니다. (뉴시스)
직원 계정을 다른 사람이 사용하는 것이 왜 위험할까?
회사 시스템은 계정마다 접근할 수 있는 자료와 수행 가능한 업무를 구분하는 것이 일반적입니다.
그런데 직원의 계정을 협력업체 관계자가 공유하면 실제 누가 접속했는지 구별하기 어려워질 수 있습니다.
예를 들어 직원 A의 아이디로 외부인이 로그인해 자료를 열람했다면 시스템 기록에는 A의 계정으로 접속한 사실이 남을 수 있습니다.
실제 이용자를 확인하려면 추가적인 접속 기록과 관리 절차가 필요합니다.
이런 문제는 한전만의 특수한 현상이라기보다 여러 조직에서 관리해야 하는 대표적인 보안 위험입니다.
다만 이번 정보 노출 사건의 원인은 별도로 조사하고 있습니다.
한전은 관계 기관과 함께 협력업체를 통한 정보 유출 가능성과 외부 해킹 가능성 등을 조사하고 있는 것으로 보도됐습니다. (한국일보)
기존에 계정 공유가 적발됐다는 이유만으로 이번 사건 역시 협력업체 직원이 일으켰다고 결론 내릴 수는 없습니다.
그렇지만 과거부터 지적된 보안 관리 취약점이 충분히 개선됐는지는 조사 과정에서 살펴봐야 할 문제입니다.
국민의 전기 사용이나 고객 개인정보에도 문제가 생길까?
현재까지 공개된 정보만으로 한전 고객 개인정보가 유출됐다거나 전력공급 시스템이 공격받았다고 판단할 근거는 없습니다.
한전은 10월 초 최초 설명에서 직원 정보와 고객정보는 별도 시스템으로 관리하고 있으며, 고객정보는 이번 노출 대상에 포함되지 않았다고 밝혔습니다. (글로벌이코노믹)
이번에 추가로 알려진 CCTV 접속정보와 안면인증 정보 역시 청사 출입과 시설 감시에 관한 정보입니다.
전기를 공급하는 송배전 운영시스템 자체가 공격받았다는 사실과는 구분해야 합니다.
한전은 발전소에서 만들어진 전기를 송전·배전망을 통해 국민에게 전달하는 핵심 역할을 맡고 있습니다.
전력시설의 보안이 중요한 것은 사실이지만, 시설 감시용 CCTV의 접속정보 노출이 곧바로 전력망 제어권 탈취나 정전으로 이어지는 것은 아닙니다.
보안장비와 실제 전력설비 운영시스템 사이의 연결 관계, 접근권한, 망 분리와 통제 수준 등을 확인해야 합니다.
그렇다고 우려를 가볍게 볼 수는 없습니다.
시설 보안에 관한 정보는 다른 약점과 결합될 경우 추가적인 침입 시도에 이용될 수 있기 때문입니다.
현재 확인된 피해를 과장하지 않으면서도 실제로 추가 피해가 없었는지 검증하는 것이 필요한 이유입니다.
한전은 어떤 조치를 하고 있고, 앞으로 무엇을 확인해야 할까?
한전은 노출된 데이터를 무력화하기 위한 전담 대응을 진행하고 있으며 CCTV 아이디와 비밀번호를 전량 변경하는 등 후속 조치를 실시하고 있다고 밝혔습니다.
또한 국정원, 기후에너지환경부, 개인정보보호위원회, 경찰 등 관계 기관과 원인을 조사하고, 전사적인 정보보안 강화 대책을 마련하겠다는 입장입니다. (한국일보 · 뉴시스)
그러나 CCTV 비밀번호를 바꾸는 것만으로 사건 전체가 해결되는 것은 아닙니다.
안면인증 정보는 비밀번호와 성격이 다르고, 노출된 정보가 어디까지 복제되거나 보관됐는지도 별도로 확인해야 하기 때문입니다.
앞으로는 다음과 같은 부분이 중요합니다.
- 유출 원인 확인: 외부 해킹인지, 내부 관리 문제인지, 협력업체 등 다른 경로의 문제인지 명확히 밝혀야 합니다.
- 노출 정보의 세부 확인: 얼굴인증 정보가 어떤 형태로 저장됐고 어느 정도 보호돼 있었는지 확인해야 합니다.
- 접속 위험 차단: CCTV 비밀번호 변경뿐 아니라 외부 접근 가능성과 계정 권한도 함께 점검해야 합니다.
- 2차 피해 조사: 실제 정보 다운로드나 보안장비 무단 접속 정황이 있었는지 추가 증거를 확보해야 합니다.
- 재발 방지: 직원과 협력업체 계정 공유, 자료 접근권한, 외부 반출 관리가 개선됐는지 확인해야 합니다.
여기서 한 가지 더 생각해 볼 문제가 있습니다.
한전은 2026년 4월 내부 감사보고서에서 공공기관인 자사의 고객정보나 주요 전력망 정보가 외부로 유출될 경우 일반 민간기업보다 더 큰 비난과 책임을 감당해야 할 수 있다는 취지로 경고한 것으로 보도됐습니다.
그로부터 약 6개월 뒤 대규모 직원 정보 노출 사고가 알려졌다는 점은 보안 관리 체계의 실효성을 다시 확인해야 할 이유가 됩니다. (조선일보)
이번 사건에서 확인할 것은 비밀번호를 얼마나 빨리 바꿨는지만이 아닙니다.
과거부터 드러난 취약점이 왜 반복됐는지, 중요 정보가 외부에 노출되지 않도록 하는 관리 체계가 실제로 작동하고 있었는지까지 살펴봐야 합니다.
[결론] 이 뉴스, 이렇게 이해하면 됩니다
2026년 10월 18일 공개된 자료를 통해 한국전력 직원 408명의 안면인증 정보와 CCTV 1만4,957대의 접속정보가 외부에 노출된 사실이 알려졌습니다.
일반 개인정보뿐 아니라 청사 출입과 시설 감시에 쓰이는 정보까지 포함됐다는 점이 이번 사건의 특징입니다.
얼굴인증 정보는 일반 비밀번호와 달리 개인의 신체적 특징에 기반합니다. 따라서 유출된 데이터의 형태와 보호 상태에 따라 보다 복잡한 대응이 필요할 수 있습니다.
CCTV 접속정보 역시 위험할 수 있지만, 비밀번호 노출만으로 실제 영상이 유출됐거나 장비가 무단 조작됐다고 단정해서는 안 됩니다.
한전이 사고를 고의로 은폐했다는 의혹도 현재로서는 제기된 주장과 한전의 반론을 구분해 판단해야 합니다.
이번 사건의 핵심은 중요한 보안정보가 노출됐다는 사실, 실제 악용 범위는 아직 확인이 필요하다는 사실, 그리고 그 위험을 제대로 차단했는지 검증해야 한다는 점입니다.
앞으로 조사 결과에서 실제 유출 경로와 정보의 확산 범위, 추가 침해 여부가 어디까지 밝혀지는지 살펴볼 필요가 있습니다.
한전 개인정보 유출, 핵심 질문으로 한눈에 정리
Q. 한전 개인정보 유출 사건은 언제 발생했나요?
한전은 2026년 10월 1일 직원 개인정보가 외부 웹페이지에 노출된 사실을 인지했다고 밝혔습니다. 10월 18일에는 안면인증 정보와 CCTV 접속정보가 함께 노출됐다는 내용이 국회 제출자료를 통해 집중 보도됐습니다.
Q. 한전 직원 몇 명의 개인정보가 노출됐나요?
10월 18일 공개된 자료에 따르면 직원 2만4,769명의 개인정보가 노출된 것으로 나타났습니다. 별도로 직원 408명의 안면인증 정보도 노출 항목에 포함됐습니다.
Q. CCTV 1만4,957대가 모두 해킹당했다는 뜻인가요?
아닙니다. 1만4,957대의 CCTV와 관련된 IP 주소, 아이디, 비밀번호 등이 노출됐다는 뜻입니다. 모든 장비에 실제 무단 접속이 이뤄졌다는 의미는 아닙니다.
Q. 얼굴인증 정보가 유출되면 얼굴 자체를 바꿔야 하나요?
그렇지 않습니다. 시스템에 등록된 인증 데이터를 폐기하거나 새로운 인증수단을 적용하는 방식으로 위험을 줄일 수 있습니다. 다만 얼굴의 신체적 특징 자체는 일반 비밀번호처럼 변경할 수 없습니다.
Q. 한전이 유출 사실을 고의로 숨긴 건가요?
국회 측에서는 최초 발표에 중요 정보가 빠졌다는 점을 비판했습니다. 한전은 2차 분석에서 추가 노출을 확인했고 신고와 통지 절차를 이행했다며 은폐 의혹을 반박했습니다. 고의적 은폐 여부가 확정된 것은 아닙니다.
Q. 이번 사고로 한전 고객정보도 유출됐나요?
현재 공개된 조사·보도에서 고객정보 유출은 확인되지 않았습니다. 한전은 직원정보와 고객정보를 별도 시스템으로 관리한다고 설명했습니다.
Q. 한전 CCTV 비밀번호는 모두 바뀌었나요?
한전은 CCTV 아이디와 비밀번호의 전량 변경을 포함한 후속 조치를 실시하고 있다고 밝혔습니다. 실제 변경 작업이 모두 완료됐는지는 후속 확인이 필요합니다.
Q. 협력업체가 이번 정보 유출의 원인인가요?
아직 확정되지 않았습니다. 과거 협력업체 관련 계정 공유와 보안위반 사례가 적발된 사실은 있지만, 이번 유출의 직접적인 원인인지는 별도의 조사 대상입니다.
Q. 이번 사건으로 정전이 발생할 가능성이 확인됐나요?
현재까지 공개된 정보만으로 전력운영시스템 침해나 정전 피해가 확인됐다고 볼 근거는 없습니다. CCTV 등 시설보안 정보의 노출과 실제 전력망 제어시스템 침해는 구분해야 합니다.
오늘 뉴알남이 풀어드린 이슈, 이해에 도움이 되셨나요? 🙂 앞으로도 뉴스 속 궁금증을 쉽고 명쾌하게 풀어드리기 위해 노력하겠습니다!
주요 출처
한전 정보 노출 규모와 국회 제출자료
뉴스1 — 한전 직원 안면인증·CCTV 비밀번호도 노출…기존 발표서 빠져
뉴시스 — 한전 안면인증 정보·CCTV 비번까지 노출…은폐 의혹에 추가 확인 후 신고
조선일보 — 한전 안면인증·CCTV 정보 노출 관련 국회 자료 보도
사고 초기 경과·한전 해명과 대응
글로벌이코노믹 — 한전 직원 2만4000명 개인정보 노출, 10월 4일 초기 발표
한국일보 — 한전 안면인증·CCTV 비밀번호 유출, 2차 분석과 후속 조치
생체인식정보의 기술적·법적 특성
함께 읽으면 좋은 글
개인정보 유출에서 가장 주의해야 할 2차 피해는 무엇일까?
한전 사건에서는 직원의 신상정보와 시설 보안정보가 문제가 됐습니다. 과거 대규모 서비스 계정정보 유출 사건과 비교하면 노출된 정보의 종류에 따라 위험과 대응 방법이 얼마나 달라지는지 이해할 수 있습니다.
