CJ 임직원 개인정보 유출 사건을 통해 내부자에 의한 정보 유출이 발생했을 때 기업이 확인해야 할 기록, 접근권한, 자료 보존과 합법적인 조사 범위를 살펴봅니다.
기업내부조사에서 살펴볼 정보 유출의 위험
2026년 8월 27일 경찰 발표를 인용한 보도에 따르면, CJ그룹 전 직원 A씨가 재직 당시 내부 관리 시스템에서 전·현직 임직원의 이름, 직급, 부서, 휴대전화번호, 사진 등을 빼내 텔레그램 채널에 유출한 혐의로 검찰에 송치됐습니다. 피해자는 약 330명으로 파악됐고 대부분 20~30대 여성이었습니다. 이번 사건이 눈에 띄는 이유는 외부 해킹보다 내부 접근 권한이 어떻게 사용됐는지가 핵심 쟁점으로 떠올랐기 때문입니다. 내부 사실확인을 생각할 때도 출발점은 누가 어떤 정보에 접근할 수 있었는지 확인하는 일입니다.
로그가 말해주는 것은 무엇인가
CJ는 유출 사실을 인지한 뒤 관련 자료를 분석해 외부 침입보다 내부 유출 가능성에 무게를 두고, 로그 기록 등을 토대로 전 직원을 특정한 것으로 전해졌습니다. 개인정보 안전조치 기준 역시 개인정보처리시스템의 접근 권한을 업무에 필요한 최소 범위로 부여하고 접속기록을 보관·점검하도록 규정하고 있습니다. 기업내부조사에서 중요한 것도 막연한 추측보다 권한 부여 내역, 접속 시점, 자료 반출 경로, 업무상 필요성이 서로 맞는지 차례로 대조하는 것입니다. 회사가 적법하게 보유한 자료를 어떤 범위에서 확인할 수 있는지부터 정리해야 합니다.
탐정이 회사 시스템을 마음대로 볼 수 있을까
그렇지 않습니다. 탐정이라는 이유만으로 기업 인트라넷, 통신자료, 수사기관 전산 등에 접근할 특별한 권한이 생기는 것은 아닙니다. 외부 조사자가 기업내부조사를 지원하더라도 회사가 적법하게 제공할 수 있는 자료와 정당한 권한 범위 안에서 사실관계를 정리해야 합니다. 계정 탈취, 해킹, 타인의 비밀번호 사용, 권한 없는 개인정보 조회 같은 방식은 조사라는 이름으로 정당화될 수 없습니다. 업무 범위를 확인하려면 시몬 주요업무 안내처럼 진행 가능한 영역과 제한되는 영역을 먼저 구분해 보는 것이 좋습니다.
Q&A 내부 직원이 의심되면 바로 조사하면 되나요
의심만으로 특정 직원을 범인처럼 단정하는 것은 위험합니다. 먼저 자료가 실제로 유출됐는지, 누가 해당 정보에 접근할 수 있었는지, 정상 업무 과정에서도 같은 조회가 발생할 수 있는지 살펴야 합니다. 기업내부조사는 특정인을 몰아가는 절차가 아니라 여러 가능성을 좁혀가는 과정에 가깝습니다. 특히 형사사건 가능성이 있다면 자료를 임의로 삭제하거나 편집하지 말고 원본성과 시간 정보를 보존하면서 법률 검토와 수사기관 신고 여부를 함께 판단할 필요가 있습니다.
사건 이후에 더 중요한 자료 보존
보도에 따르면 경찰은 국제 공조를 통해 해당 텔레그램 채널을 폐쇄하도록 조치하고 A씨 주거지를 압수수색하는 등 수사를 진행했습니다. 현재까지 딥페이크 성착취물 유포나 추가 정보 유출과 같은 2차 피해는 확인되지 않았다고 전해졌습니다. 그러나 실제 기업에서는 문제가 알려진 직후 계정을 없애거나 기록을 정리하다가 오히려 필요한 흔적까지 사라질 수 있습니다. 기업내부조사를 검토한다면 접속기록, 인사 권한 변경 이력, 업무용 기기와 관련 문서의 보존 범위를 먼저 정하고 필요한 경우 상담접수 안내를 통해 상황별 확인 범위를 검토할 수 있습니다.
기업이 배워야 할 것은 사람보다 구조입니다
이번 사건은 한 개인의 혐의만 바라보기보다 개인정보에 접근할 수 있는 구조가 얼마나 세밀하게 관리되고 있는지를 돌아보게 합니다. 접근 권한이 과도하게 넓지는 않은지, 퇴직·직무 변경 시 권한이 즉시 회수되는지, 비정상적인 조회가 기록으로 남고 점검되는지가 핵심입니다. 기업내부조사 역시 사건이 벌어진 뒤 책임자를 찾는 데만 머무르기보다 다시 같은 일이 생길 수 있는 취약한 지점을 함께 정리하는 방향이 바람직합니다. 사실관계 확인과 재발 방지 기준이 함께 서야 조사 결과도 조직 안에서 의미를 가질 수 있습니다.