한국남부발전이 도입한 AI OCR 이메일 필터를 통해 텍스트 기반 DLP의 사각지대와 업무과실 개인정보 유출 30%의 구조를 분석한다.
개인정보 유출 사고라고 하면 대부분 해킹부터 떠올린다. 그런데 개인정보보호위원회가 집계한 2024년 유출 신고 307건 가운데 해킹은 56%(171건)였고, 업무과실이 30%(91건)로 그 다음을 차지했다. 시스템을 뚫는 공격자가 아니라 발송 버튼을 누른 직원의 손끝에서 유출이 시작된 사례가 열 건 중 세 건꼴이라는 뜻이다. 한국남부발전이 지난 7월부터 시범 운영에 들어간 이메일 필터링 솔루션은 바로 이 지점, '실수로 인한 유출' 중에서도 기존 보안 시스템이 놓치던 사각지대를 겨냥한다.
기업과 공공기관이 오랫동안 써온 DLP(Data Loss Prevention, 정보 유출 방지) 시스템은 메일 본문과 첨부파일 안의 문자열을 검사해 주민등록번호·계좌번호 같은 패턴이 있으면 발송을 막는 방식으로 작동한다. 문제는 이 검사가 '텍스트로 인식되는 데이터'에만 적용된다는 점이다. 스캔한 신청서, 스마트폰으로 찍은 서류 사진, 화면을 캡처한 이미지는 컴퓨터 입장에서 문자가 아니라 픽셀 덩어리다. DLP 엔진이 아무리 정교해도 그 안에 주민등록번호가 적혀 있다는 사실 자체를 읽어낼 방법이 없다.
엘세븐시큐리티가 한국남부발전에 구축한 'OCR MailFilter'는 이 지점을 건드린다. 메일을 실제로 발송하기 전, 본문과 첨부파일을 AI 기반 OCR(광학 문자 인식) 엔진으로 먼저 훑어 이미지 속 문자를 텍스트로 추출한다. 그렇게 뽑아낸 텍스트에서 개인정보 패턴이 발견되면 발송을 그 자리에서 보류하고 팝업으로 알린다. 엘세븐시큐리티 권영우 이사는 "이미지 속 개인정보는 사람 눈으로 놓치기 쉬운 영역"이라고 설명했는데, 이는 정확한 지적이다. 문서를 스캔해 첨부할 때 발신자는 파일 이름과 수신자만 확인하지, 이미지 내부에 어떤 개인정보가 박혀 있는지까지 매번 육안으로 검토하지는 않는다.
주목할 부분은 이 시스템이 발송을 '무조건 차단'하지 않는다는 설계다. 민감정보가 감지되면 수정하거나 암호화하도록 유도하는 데 그친다. 업무를 마비시키지 않으면서 실수만 걸러내겠다는 절충이다.
한국남부발전은 LNG와 신재생에너지(특히 해상풍력) 사업을 확대하는 에너지 공기업으로, 다수의 협력사·기자재 공급업체와 상시로 문서를 주고받는다. 개인정보처리방침을 공개 운영하고 있고, 정보보호 경영체계 인증도 갖추고 있다. 이런 조직일수록 오가는 문서의 절대량이 많고, 그만큼 스캔본·사진 첨부가 실수로 새 나갈 기회도 늘어난다.
시점도 우연이 아니다. 개인정보보호위원회 통계에서 공공기관의 유출 신고는 2023년 41건에서 2024년 104건으로 늘었다. 신고 기준이 되는 법 개정(2023년 9월 개인정보보호법 개정) 영향이 커서 이 증가폭 전체를 실제 사고 급증으로 단정할 수는 없지만, 신고 대상이 넓어졌다는 것 자체가 공공기관 입장에서는 "이전엔 놓쳤던 유출도 이제는 걸린다"는 의미다. 감지되는 사고가 늘어난 환경에서, 사람이 놓치는 영역을 기계가 대신 걸러주는 도구의 수요가 커지는 흐름은 자연스럽다.
이미지 속 민감정보를 OCR로 잡아내는 접근 자체는 국내 발명품이 아니다. 마이크로소프트는 Purview DLP에 OCR 기능을 넣어 오피스 문서·PDF에 삽입된 이미지에서 신용카드번호·주민번호류 패턴을 탐지하며, 이미지 1,000건 검사당 별도 과금하는 종량제로 운영한다. 포스포인트(Forcepoint) DLP 역시 OCR API로 스캔 문서·팩스·스마트폰 촬영 이미지의 텍스트를 뽑아 기존 DLP 정책에 그대로 적용하는데, 손글씨나 10도 이상 기울어진 이미지는 인식하지 못하는 한계가 명시돼 있다.
즉 "이미지 속 개인정보를 OCR로 잡는다"는 기술 방향 자체는 글로벌 벤더들이 이미 상용화한 표준에 가깝다. 한국남부발전 사례가 보여주는 건 새로운 기술이 아니라, 국내 공공기관이 이 표준을 자체 조달 체계 안으로 들여오기 시작했다는 확산의 신호다. 다만 해외 제품의 과금 구조(건당 종량제)나 인식 한계(각도·손글씨)를 그대로 국내 공공 조달에 적용하면 예산·운영 부담이 달라질 수 있어, 국산 솔루션이 이 틈을 파고든 맥락으로 읽힌다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.