지난 몇 년간 저희는 민감한 데이터가 잘못된 손에 넘어가지 않도록 관리하는 것이 얼마나 중요한지 꾸준히 강조해 왔습니다. 중고 판매자들이 약속대로 데이터를 삭제하는지 확인하는 일부터 스마트폰에서 개인 데이터를 보호하는 요령까지, Ontrack은 오늘날 가장 중요한 이슈 중 하나로 모든 개인 데이터의 보호를 꼽고 있습니다.
이러한 배경에서 저희는 데이터 삭제 및 모바일 기기 진단 분야의 업계 표준인 Blancco Technology Group과 협력하여, 온라인에서 판매되는 중고 저장 장치에 잔여 데이터가 흔히 남아 있는지 조사하게 되었습니다.
조사 대상 드라이브
미국, 영국, 독일, 핀란드의 eBay에서 총 159개의 드라이브를 구매했습니다. 드라이브는 삼성, 델(Dell), 시게이트(Seagate), HP, 히타치(Hitachi) 등 주요 브랜드의 SSD와 HDD가 혼합되어 있었습니다. 구매 조건은 Blancco 제품으로 초기화되지 않았다는 것뿐이었습니다.
개인 데이터 복구 과정
업계 최고 수준의 솔루션과 자체 데이터 복구 도구를 활용해 159개 드라이브 전수를 이미징하고 분석하여 잔여 데이터의 존재 여부를 확인했습니다. 잔여 데이터가 발견되면 Ontrack 엔지니어가 복구 작업을 진행하고, 해당 데이터에 이전 소유자의 개인 식별 정보(PII)가 포함되어 있는지까지 파악했습니다.
조사 결과
전체 기기의 42%에서 민감한 잔여 데이터가 발견되었으며, 15%는 개인 식별 정보를 포함하고 있었습니다. 즉, 분석한 20개의 드라이브 중 최소 3개에는 개인 정보가 그대로 남아 있었던 셈입니다!
실제로 발견된 개인 식별 정보의 예는 다음과 같습니다.
- 정부기관 높은 수준의 보안 등급을 보유한 소프트웨어 개발자의 드라이브 — 가족 여권·출생증명서 스캔본, 이력서, 재정 기록 포함
- 대학생의 학술 자료와 연계된 이메일 주소
- 주요 여행사의 사내 이메일 아카이브 5GB
- 화물·운송 회사의 데이터 3GB — 배송 정보, 운행 일정, 트럭 등록 내역이 담긴 문서 포함
- 음반 매장의 회사 정보 — 사진 32,000장 포함
- 학교 데이터 — 학생 이름과 성적이 담긴 사진 및 문서 포함
특히 우려되는 점은, 드라이브를 판매한 모든 중고 판매자가 '적절한 데이터 삭제 절차를 거쳤다'며 어떠한 데이터도 남아 있지 않을 것이라고 보장했다는 사실입니다.
이는 판매자들이 데이터 삭제의 중요성은 충분히 인식하고 있으면서도, 실제로 사용하는 방법이 명백히 부적절하다는 심각한 문제를 보여줍니다.
이번 조사가 주는 시사점
그렇다면 이번 조사에서 무엇을 배울 수 있을까요? 하드 드라이브, 휴대폰, 노트북 등 오래된 기기를 되팔는 것은 합리적인 선택처럼 보이지만, 현실적으로는 원치 않는 사람에게 개인 데이터를 노출시킬 위험이 상당합니다. 개인 데이터가 잘못된 손에 들어가면 판매자 본인뿐 아니라 가족, 고용주, 지인들에게도 심각한 피해로 이어질 수 있습니다. 최근 몇 년간 사이버 범죄가 우려스러울 정도로 급증한 만큼, 개인 데이터를 안전하게 지키는 일은 그 어느 때보다 중요해졌습니다.
동시에 이번 조사는 올바른 데이터 삭제 방법에 대한 혼란이 만연하다는 점도 드러냅니다. 모든 판매자가 데이터가 영구 삭제되었다고 명확히 밝혔지만, 실제 결과는 전혀 달랐습니다. 요즘은 온라인에서 손쉽게 구매할 수 있는 데이터 복구 도구가 매우 많기 때문에, 올바른 삭제 절차를 따르지 않으면 사이버 범죄자가 개인 데이터를 복구해 갈 위험은 언제든 현실이 될 수 있습니다.