이탈리아 개인정보보호청은 2년에 걸쳐 고객 계좌 3,573건에 대한 무단 접근을 탐지하지 못한 Intesa Sanpaolo에 3,180만 유로에 달하는 대규모 GDPR 벌금을 부과했습니다. 한편 유럽집행위원회 자체가 ShinyHunters 해킹 조직의 피해자가 되었으며, 이 조직은 Europa.eu 클라우드 시스템에서 350GB를 탈취했다고 주장합니다. 두 사건이 GDPR, DORA, NIS2 컴플라이언스에 의미하는 바를 정리했습니다.
이탈리아 개인정보보호청(Garante per la Protezione dei Dati Personali)은 3,180만 유로(3,600만 달러) 규모의 벌금을 이탈리아 최대 은행 중 하나이자 유로존 금융 대기업인 Intesa Sanpaolo SpA에 부과했으며, 그 사유로 "채택된 기술적·조직적 조치의 미흡함으로 인한 개인정보 보안상의 중대한 결함"이라고 밝혔습니다.
이 조사는 은행이 2024년 7월 공개한 데이터 유출 사건을 계기로 시작되었으며, 직원 1명이 무단으로 고객 3,573명의 계좌 정보에 접근했음을 밝혀냈습니다 — 2022년 2월부터 2024년 4월 사이, 2년이 넘는 기간입니다.
Garante는 다음과 같이 지적했습니다: "이러한 무단 접근이 내부 통제 시스템에 의해 탐지되지 않았으며, 이는 모니터링 및 예방 메커니즘의 중대한 취약점을 드러낸다." 은행의 운영 모델은 운영자가 전체 고객 기반을 완전히 무제한으로 조회할 수 있도록 허용했으며, 무단 접근을 방지하거나 식별할 적절한 통제가 없었습니다.
설상가상으로, 영향받은 고객 중에는 유명 공인들도 포함되어 있었으며, 규제 당국은 은행이 이들에게 강화된 접근 통제를 적용했어야 한다고 밝혔습니다. 영향받은 고객에 대한 은행의 침해 통지 역시 불완전하고 지연되었던 것으로 밝혀져, GDPR의 72시간 통지 요건을 위반했습니다.
이 사건은 DORA(디지털운영복원력법) 컴플라이언스에 있어 완벽한 폭풍과도 같습니다. 2025년 1월 17일부터 전면 적용 중인 DORA는 금융기관에 다음을 구체적으로 요구합니다:
3,180만 유로 규모의 벌금은 이탈리아 역사상 최대 규모의 GDPR 과징금 중 하나이며 , 명확한 신호를 보냅니다: 내부자 위협 탐지는 선택 사항이 아닙니다. DORA 하에서, 2년에 걸친 무단 데이터 접근을 탐지하지 못한 은행은 금융 감독 당국의 추가 규제 조치에 직면할 수 있으며, 여기에는 운영 제한이나 경영진 교체가 포함될 수 있습니다.
핵심 교훈: 접근 통제를 갖추는 것만으로는 충분하지 않습니다. 그것이 실제로 작동한다는 것을 — 그리고 이상 징후가 2년 후가 아니라 실시간으로 탐지된다는 것을 입증해야 합니다.
깊은 아이러니 속에서, 유럽집행위원회 — GDPR, NIS2, DORA, EU AI Act를 만든 바로 그 기관 — 는 자사의 Europa.eu 웹 포털이 ShinyHunters 해킹 조직에 침해되었다고 공개했습니다.
유명 사이버범죄 조직인 ShinyHunters는 350기가바이트가 넘는 데이터를 탈취했다고 주장하며, 여기에는 Amazon Web Services(AWS)에 호스팅된 유럽집행위원회 클라우드 시스템에서 나온 데이터베이스, 이메일, 내부 문서가 포함됩니다. 이 조직은 다크웹 유출 사이트에 데이터 샘플을 게시했습니다.
위원회 대변인 Thomas Regnier는 사건을 확인했지만 그 중대성을 축소하려 하며 다음과 같이 밝혔습니다:
위원회는 어떤 데이터에 접근당했는지, 몇 명의 사용자가 영향받을 수 있는지, 개인정보가 관련되었는지 여부를 구체적으로 밝히지 않았습니다.
이 아이러니는 사이버보안 업계에서도 놓치지 않고 있습니다. 유럽집행위원회는 27개 회원국 전체에 걸쳐 NIS2를 집행하는 책임을 진 기관입니다. NIS2 제23조에 따라 필수 기관은 다음을 이행해야 합니다:
EU 집행위원회가 자사 인프라조차 보안을 지키지 못한다면, 회원국과 민간 조직에 대해 어떻게 신뢰성 있게 NIS2 컴플라이언스를 집행할 수 있겠습니까? 이번 침해는 — 실제 심각도와 무관하게 — 유럽 전역에서 NIS2 집행이 전면 시행 첫 해에 접어드는 결정적 시점에 규제의 신뢰성을 훼손합니다.
Europa.eu가 AWS에서 운영된다는 사실은 지속적인 컴플라이언스 공백을 부각시킵니다: 공동 책임 모델입니다. AWS는 인프라를 보안하고, 고객(이 경우 위원회)은 구성, 접근 통제, 데이터를 보안합니다.
이러한 침해로 이어지는 흔한 클라우드 설정 오류:
Intesa Sanpaolo 벌금은 명확한 집행 선례를 세웁니다:
위원회 침해 사건은 어떤 조직도 안전하지 않다는 것을 보여줍니다:
이번 주 규제 압박에 더해, 헬스케어 IT 업체 CareCloud가 데이터 유출 사실을 공개했으며 이는 전자건강기록(EHR) 환경 중 한 곳에서 환자 데이터에 영향을 미쳤음을 SEC에 신고한 것입니다. 헬스케어 기관은 NIS2상 필수 기관으로 분류되며, 환자 건강 데이터는 GDPR 제9조에 따라 최고 수준의 보호를 받습니다 (개인정보의 특별 범주).
건강 데이터를 다루는 조직은 다음에 직면합니다:
| 규제 | 상태 | 다음 이정표 |
|---|---|---|
| NIS2 | 대부분의 회원국에서 집행 활발 | 2026년 2분기 BSI/ANSSI 감사 첫 물결 진행 중 |
| DORA | 2025년 1월 17일부터 전면 적용 중 | ESA 합동위원회가 첫 사고 보고서를 검토 중 |
| GDPR | 집행 강화 중(참조: 3,180만 유로 벌금) | EDPB의 AI 데이터 처리 가이드라인이 2026년 2분기 예정 |
| EU AI Act | 금지 관행 금지는 2025년 2월 2일부터 시행 중 | 고위험 AI 시스템 요건은 2026년 8월 2일 적용 |
| CRA | 사이버복원력법은 2024년 12월 발효 | 취약점 보고 의무는 2026년 9월 시작 |
KENSAI는 NIS2, DORA, GDPR 요건에 맞춰 여러분의 인프라를 지속적으로 모니터링합니다. 감사관이 발견하기 전에 컴플라이언스 공백을 찾아내십시오 — 자동화된 스캐닝, 실시간 경보, BSI 대응 보고서를 제공합니다.
무료 컴플라이언스 스캔 시작 →규제자가 피규제자가 되면 — 모두가 주목합니다.
KENSAI 보안 리서치 팀
2026년 3월 31일 — 06:00 CET