ZDNet 검색 페이지

'개보위'통합검색 결과 입니다. (75건)

예스24 또 속였나?..."1차 해킹 때 백업망도 랜섬웨어 감염"

랜섬웨어 감염으로 두 달 만에 서비스가 먹통됐던 예스24가 지난 첫 해킹 사고 때 백업망까지 랜섬웨어에 감염됐음에도 이를 숨긴 것으로 확인됐다. 랜섬웨어는 컴퓨터 시스템을 사용자가 사용하지 못하도록 만든 후 이를 볼모로 금전을 요구하기 위해 퍼뜨리는 악성 파일이다. 당시 회사는 “(랜섬웨어 해킹 피해를 입었지만) 서버 백업이 완료돼 있어 이를 바탕으로 복구작업을 진행하고 있다”고 밝혔지만, 실제로는 백업 데이터 접근이 어려웠거나 불가능했을 것으로 추정된다. 또 예스24는 피해 규모가 컸던 1차 해킹 사태 때는 보상안을 내놨지만, 이번 2차 피해 보상안 관련해서는 별다른 입장을 내지 않고 있다. 소비자 신뢰 회복을 약속했던 대표이사 공식 사과도 없었다. 회사 측은 "피해 보상과 관련해 현재 결정된 것은 없다"는 입장이다. 두 달만에 재발한 랜섬웨어 해킹 사고...7시간 만에 서비스 복구 예스24는 지난 11일 새벽 4시30분 경 랜섬웨어 방식의 해킹 공격으로 서비스 접속 장애가 약 7시간 가량 이어졌다. 홈페이지와 앱은 이날 오전 11시 30분경 다시 복구됐다. 불과 두 달 만에 예스24는 또다시 랜섬웨어 공격으로 홍역을 치뤘다. 이 때 예스24는 "혹시 모를 가능성에 대비해 시스템을 긴급 차단해 추가 피해를 방지하고 보안 점검 및 방어 조치를 시행하고 있다"며 공지했다. 또 "백업 데이터를 통해 서비스를 빠르게 복구 중"이라고 안내했다. 지난 6월 처음 랜섬웨어 공격을 받았을 당시 예스24는 5일 간 서버 장애를 겪었으며, 티켓 정보를 확인할 수 없었던 일부 공연의 경우 진행과 예매가 취소되며 이용자 불편을 초래했다. 도서 고객도 주문한 책을 제 기간에 받지 못했다. 2차 해킹 사태 복구 과정에 대해 예스24는 “랜섬웨어 공격이 있었고 동시에 이를 차단했다”며 “백업 데이터도 있었고, 문제가 없는지 점검하고자 서비스를 중단했다. 이후 점검을 거쳐 서비스를 재개하는 과정에서 시간이 소요된 것”이라고 설명했다. 백업 데이터로 복구하겠다더니…알고보니 업무망·서비스망·백업망 다 감염 이번 두 차례의 예스24 해킹 사고와 관련해 한국인터넷진흥원(KISA)은 실태 조사를 위해 현장조사를 벌이기도 했다. 구체적인 피해 원인과 범위 등은 아직 조사 중인 것으로 알려졌다. 다만 지난 1차 해킹 사고 당시 예스24 공식 입장과 대응에는 여전히 여러 의혹이 풀리지 않고 있다. 특히 백업 데이터가 있어 이를 바탕으로 서비스를 복구 중이라는 당시 회사 측 설명도 거짓이었던 것으로 보인다. 정부 측 설명에 따르면, 당시 예스24는 백업망까지 랜섬웨어에 감염돼 접근이 어려웠기 때문이다. 이번 해킹 사건 조사를 담당하는 과학기술정보통신부 관계자는 “이번 주 발생한 해킹 사건은 아직 조사 진행 중”이라며 “(1차 해킹 사태가 일었던) 6월에는 (해커가 예스24의) 업무망, 서비스망, 백업망까지 접근해 (랜섬웨어를) 감염시켰다”고 밝혔다. 이어 “백업이 있더라도 랜섬웨어에 감염시켜버리면 끝”이라며 “6월 해킹 사건 조사 과정에서 나왔던 보안 미비점에 대해 조치를 취하도록 이야기했고, 그 결과 이번에는 그쪽(백업망)까지는 감염이 안됐고 서비스망만 감염이 돼 빠르게 복구할 수 있었다”고 설명했다. 이는 당시 예스24가 내놓았던 주장과는 전혀 상반된다. 예스24는 지난 6월 12일 발표한 2차 사과문에서 “현재 조사 결과 주요 데이터 일체의 유출이나 유실이 발생하지 않았으며 정상적으로 보존된 상태임을 확인했다”며 “또한 서버 백업이 완료돼 있어 이를 바탕으로 복구 작업을 진행하고 있다”고 알렸다. 그러나 당시 보안·개발 전문가들은 백업 데이터가 있다면 서비스 재개가 그렇게 지연될 이유가 없다며, 예스24의 대응 방식과 느린 복구 속도에 의구심을 드러낸 바 있다. 예스24가 랜섬웨어 해킹 사건 해결 과정에서 거짓말 논란에 휩싸인 건 이번이 처음이 아니다. 앞선 6월 예스24는 랜섬웨어에 의한 해킹이라는 사실을 뒤늦게 알려 늑장대응으로 비판을 받기도 했으며 KISA와의 협업 사실은 KISA 측에서 전면 부인하며 거짓 해명 논란을 빚기도 했다. 이후 지원이 종료된 운영체제(OS) 사용이 랜섬웨어 감염의 원인으로 지목됐으며, 해커에게 수십억원에 달하는 비트코인을 주고 랜섬웨어 사태를 해결한 것이란 언론 보도가 나오기도 했다. 2차 해킹 피해 보상안은?…“공식적으로 나온 것 없어” 해킹 피해 이후 서버가 복구된 지 수일이 지났음에도 예스24는 이번 홈페이지, 앱 마비 사건에 대한 별다른 보상안을 제시하지 않고 있는 상황이다. 예스24 관계자는 보상안과 관련해 “공식적으로 나온 것은 없다”며 “통상적으로 공연은 오후에 많이 진행돼 이번에는 피해를 입은 공연이 없는 것으로 안다”고 답했다. 보상안 마련에 미온적인 반응을 보이는 것은 지난번 사태와는 대조된다. 지난 6월 사태에는 13일 서비스가 일부 복구된 후 3일이 지난 16일에 1차 보상안을 발표했다. 다음날인 17일에는 2차 보상안을 발빠르게 발표하기도 했다. 1차 보상안에는 무상 반품과 함께, 포인트 2천 점에 해당하는 출고 지연 보상, 공연을 제대로 관람하지 못한 고객을 대상으로 티켓 금액 120% 환불 등의 내용이 담겼다. 2차에는 전체 회원을 상대로 YES상품권 5천 원권과 크레마클럽 무료 이용권(30일) 지급 등의 보상안을 마련했다. 온라인 상품 구매 회원은 무료 배송 쿠폰 1장을, 이(e)북 구매 회원은 이(e)북 전용 YES상품권 5천원을 받았다. 예스24 과실 입증 시 보상받을 수 있다 예스24에서는 대책 마련에 미온적이지만, 보상받을 수 있는 가능성은 열려있다. 공정거래위원회 전자상거래 표준약관 제5조 2항에 따르면 전자상거래업체는 정보통신설비의 보수점검·교체 및 고장, 통신의 두절 등의 사유가 발생한 경우 서비스의 제공을 일시 중단할 수 있다고 규정하고 있다. 이같은 사유로 서비스 제공이 일시적으로 중단될 경우 이용자 또는 제3자가 입은 손해에 대해 배상해야 한다고 명시하고 있다. 다만, 전자상거래업체가 고의 또는 과실이 없음을 입증하면 보상을 하지 않아도 된다고 안내하고 있다. 예스24는 사업영역을 전자상거래로 신고한 상태다. 법무법인 위민 이주한 변호사는 “회사에서 피해를 방지하기 위해 어떤 장치를 해뒀는지와 어떤 절차를 수립했는지, 어떤 노력을 했는지에 대한 자료가 있다면 (공정위가) 노력했다고 판단할 수 있다”며 “그러나 시정을 해야함에도 불구하고 아무런 조치를 하지 않았다면 노력을 안했다고 볼 수 있다”고 말했다.

2025.08.14 17:22박서린

가명처리된 정보 활용, SKT는 무죄·스캐터랩은 유죄...왜?

가명처리된 개인정보를 활용한 두 기업에 대해 법원이 서로 다른 판단을 내리면서, 개인정보보호법 해석의 기준과 일관성 관련해 의문이 제기된다. SK텔레콤은 가명정보를 본인 동의 없이 활용한 사례에서 법원의 정당성을 인정받았지만, 인공지능 챗봇 '이루다'를 개발한 스캐터랩은 같은 법 아래에서 위법 판결을 받았기 때문이다. 두 사례 모두 가명처리를 했다는 공통점이 있지만, 활용 목적과 식별 가능성 수준의 차이가 판결의 갈림길이 된 것으로 분석된다. 법원 "SK텔레콤은 식별 위험 낮아” vs "스캐터랩은 식별 가능성 존재" 정부는 지난 2020년 개인정보보호법을 개정해 가명 처리된 개인정보를 통계 작성, 과학적 연구, 공익적 기록 보존 등을 목적으로 하는 경우 본인 동의 없이도 활용하거나 제3자에게 제공할 수 있도록 허용했다. 디지털 경제 활성화를 위한 데이터 산업 육성이 입법 취지였다. 대법원은 지난 1일 SK텔레콤 가입자들이 제기한 '가명처리 중단' 소송에서 원고 청구를 기각했다. SK텔레콤이 가입자의 개인정보를 가명 처리해 제3자에게 제공한 행위가 개인정보보호법에 위반되지 않는다고 판단한 것이다. 재판부는 “SK텔레콤의 가명처리는 통계 작성과 연구 목적으로 이뤄졌으며, 개인정보에 대한 식별 위험성을 낮추는 방식”이라며 “가명정보의 활용은 사생활 침해 위험이 발생하는 일반적인 개인정보 처리와 구별된다”고 판시했다. 반면 1심 법원은 지난 6월 이루다 개발사 스캐터랩에 대해 개인정보보호법 위반으로 위자료를 배상하라고 판결했다. 스캐터랩 측은 가명 처리된 카카오톡 메시지를 활용했으며, 개발 목적이 과학적 연구라고 주장했지만 받아들여지지 않았다. 당시 재판부는 “스캐터랩의 가명처리는 특정 개인의 식별 가능성을 완전히 배제하지 못했다”며 “이루다 개발은 상업적 목적의 챗봇 제작으로, 개인정보보호법이 허용하는 과학적 연구에 해당하지 않는다”고 판단했다. 핵심 쟁점은 '식별 가능성'과 '목적의 정당성' 법률 전문가들은 두 사건 간 판결이 달라진 핵심으로 ▲가명처리 수준의 차이와 ▲활용 목적의 정당성 여부를 지적하고 있다. 구태언 법무법인 린 변호사는 “SK텔레콤은 적절한 방식으로 가명처리를 수행했고, 데이터 활용 목적도 법에서 정한 공익적 범위에 해당한다”며 “반면 스캐터랩은 가명처리가 불충분했고, 상업적 용도로 활용한 점에서 문제가 된 것”이라고 설명했다. 보안 업계 관계자도 “가명 처리했다고 해서 자동으로 식별 가능성이 사라지는 것은 아니다”라며 “가명정보와 원본 데이터를 연결할 수 있는 키가 존재할 경우 언제든지 개인을 특정할 수 있다”고 지적했다. 가명정보는 민감한 개인정보를 보호하면서도 산업·연구 목적으로 데이터를 활용할 수 있도록 하는 대안으로 주목받아 왔다. 그러나 처리 수준에 따라 사생활 침해 우려가 발생할 수 있고, 중소기업이 이를 감당하기 어려운 경우도 많아 제도적 보완 필요성이 제기된다. 고려대 정보보호대학원 권헌영 교수는 “가명정보라 하더라도 원칙적으로 동의 없이 제3자에게 제공되는 것은 위험 요소가 존재한다”며 “가명처리는 대규모 인프라를 갖춘 기업 중심으로 이뤄지고 있어, 일반 기업이 이를 제대로 수행하기는 쉽지 않다”고 말했다. 이어 “현재는 가명처리된 정보를 특정할 수 있다면 이를 활용한 주체가 개인정보를 수집한 것으로 간주한다”면서 “불법 활용을 막기 위해서는 민감정보를 별도 처리하거나, 정보 제공자가 명시적으로 제외를 요청할 수 있도록 제도를 정비할 필요가 있다”고 강조했다. 책임 있는 활용 위한 기술적·제도적 기준 필요 전문가들은 앞으로 가명정보의 안전한 활용을 위해 기술적 기준뿐 아니라, 사업자 책임·정보보호 가이드라인 강화 등 제도 전반의 재정비가 필요하다고 강조한다. 보안 업계에서는 '태깅 처리' 방식이 하나의 대안으로 제시되기도 한다. 정보에 키워드를 부여하고 원본과 분리된 상태로 데이터를 유통하면 원본 식별 가능성을 줄일 수 있다는 것이다. 업계 전문가는 "결국 개인정보 가명처리는 단순한 기술 문제가 아닌, 책임성과 투명성 확보의 문제라는 점에서 제도적 보완이 병행돼야 한다"며 "동일한 법 아래에서 전혀 다른 결론이 나오는 상황은 법 적용의 일관성과 예측 가능성을 떨어뜨리는 요인이 될 수도 있다"고 우려하기도 했다.

2025.08.06 15:55박서린

"슈퍼앱 DW, 접속기록 2년 보유해야"...개보위, 네이버 등에 권고

개인정보보호위원회(위원장 고학수)는 23일 제16회 전체회의를 열고, 슈퍼앱 등 주요 앱 서비스에 대한 사전 실태점검 결과를 심의, 의결했다. 이번 심의에서 개보위는 내부통제 강화와 보호법에 명시된 대로 '데이터웨어(DW)' 접속기록을 2년간 관리·점검할 것을 개선, 권고했다. 사전실태점검은 개인정보 보호 취약점을 선제적으로 점검해 침해 위험을 사전에 예방하는 제도로, 법위반사항 발견 시 시정권고, 처리실태 개선필요 판단 시 개선권고를 한다. 사전 점검을 한 '슈퍼앱'은 하나의 앱에서 검색, 쇼핑, 금융·결제, 기타 생활밀착형 기능 등 다양한 서비스를 제공하는 온라인 플랫폼이다. 슈퍼앱에서는 여러 사업자가 서로 연계돼있어 이용자의 개인정보가 충분한 설명이나 통제 없이 이전·공유될 우려가 있으며, 이로 인해 이용자가 슈퍼앱 내에서 자신의 개인정보 처리 흐름을 정확히 파악하기 어려울 수 있다는 우려가 제기돼 왔다. 또 슈퍼앱과 같은 다기능 플랫폼에서 축적한 데이터는 AI 학습 및 관련 서비스 개발에 핵심자원으로 활용될 가능성이 높다. 따라서 슈퍼앱에서 처리되는 개인정보 보호에 대한 안전한 관리의 요구가 커지고 있는 상황이다. 이에, 개인정보위는 카카오톡, 네이버, 쿠팡, 배달의민족, 당근 등 5개 앱 서비스에 대한 사전실태점검을 실시했고, 주요 점검 결과는 다음과 같다. 개선권고❶: 개인정보 이전·연계 지점 관리 강화 슈퍼앱은 응용 프로그램 인터페이스(application Programming Interface, API)와 데이터 분석저장소(Data Warehouse, DW) 등 두 방식으로 고객 개인정보를 처리자 간에 이전하거나 공유하고 있다. API는 서로 다른 서버 간 데이터를 주고받기 위해 일방이 호출하고 상대방이 응답하는 전송방식을 말한다. 예컨대, 슈퍼앱 내 A쇼핑이 사용자 결제요청을 처리할 때 API를 통해 B페이에 결제정보를 전송하는 것이다. 또 DW는 운영 서버(이용자측과 연동되어 직접 서비스를 제공하는 서버)와 구분, 별도 구축한 분석용 데이터베이스를 말한다. 예를 들어, 슈퍼앱 내 A쇼핑이 DW에 결제 내역 데이터가 저장되면, 데이터 분석가 등이 접속해 마케팅 대상 정보를 추출 및 분석하는 걸 말한다. 이와 관련, 개인정보위는 ▲API 등 개인정보의 외부 이전 경로 생성 및 배포 ▲DW 등 개인정보처리시스템에 접근 권한 부여 등 중요사항에 대해서는 소관 사업부서 자체적으로 수행할 것이 아니라 반드시 개인정보 보호담당부서 참여하에 결정될 수 있도록 내부통제를 강화할 것과 보호법에 명시된 대로 DW 접속기록을 2년간 관리·점검할 것을 개선권고 했다. 개선권고❷: 개인정보 처리의 적법성·투명성 및 정보주체 권리보호 강화 > 사업자들은 계약 이행 등에 필요한 개인정보 수집·이용·제공의 근거를 대부분 '필수 동의' 사항으로 명시하고 있다. 개인정보 보호법 상 이러한 경우는 정보주체 동의가 없어도 수집·이용할 수 있다. 대신, 해당 내용은 반드시 보호법규에 맞춰 개인정보처리방침 등을 통해 고지해야 한다. 사용자가 계약에 따른 서비스를 받기 위해 반드시 필요한 개인정보에 대해 동의를 받는 것은 사실상 불필요한 절차인데다, 동의 항목이 너무 많을 경우 자칫 사용자가 실제 동의가 필요한 항목을 제대로 확인하지 못할 소지가 있기 때문이다. 이에 개인정보위는 불필요한 동의 관행을 줄임으로써 개인정보 처리의 투명성을 높이고, 사용자의 실질적인 선택권을 보장하기 위해 서비스 가입시 계약 이행 등 필수 사항은 개인정보처리방침 등을 통해 고지하고, 이용자 동의가 필요한 항목에 대해서만 동의를 받아 처리하도록 개선권고했다. 아울러, 이용자 본인의 정보가 처리되는 범위를 결정할 수 있는 개인정보자기결정권 보장을 위해 ▲서비스 이용약관 등에 슈퍼앱의 서비스 목록을 명확히 안내하고 ▲개별 서비스를 탈퇴하는 기능을 마련하며 ▲개인정보 처리정지·삭제요구 절차를 알기 쉬운 방법으로 안내하도록 개선 권고했다. 사전 실태점검 의의 이번 사전 실태점검은 국민 대다수가 이용하는 슈퍼앱 서비스의 개인정보 처리 과정 전반을 선제적으로 살펴봄으로써, 국민 생활과 밀접한 서비스에서 발생할 수 있는 개인정보자기결정권 침해 위험을 사전에 차단하는 한편, 슈퍼앱 등을 통해 데이터를 활용하는 IT 기업 전반의 책임성 강화를 위한 내부통제 기준을 제시했다는 의의가 있다고 개보위는 설명했다. 개인정보위는 향후 이행점검 등 절차를 통해 이번 개선권고 사항이 제대로 준수되는 지를 지속적으로 확인해 나갈 계획이다.

2025.07.24 12:00방은주

"AI기술 활용 보이스피싱 사기 막아”

개인정보보호위원회(위원장 고학수)는 9일 제15회 전체회의를 열고 엘지유플러스(LG U+), 케이티(KT)의 '금융사 연계 보이스피싱 탐지 서비스'에 대한 사전적정성 검토 결과를 심의, 의결했다. 사전적정성 검토 신청 내용 두 통신사는 자사 가입자의 전화 수발신 내역 데이터를 활용해 보이스피싱 의심번호를 예측(수사기관이 적발한 범죄이용 전화번호 뿐 아니라 아직 적발하지 못한 전화번호에서 걸려오는 전화사기 가능성까지 미리 예측)하고 이를 금융사의 이상거래 탐지·차단에 이용하는 서비스를 출시하기에 앞서 개인정보위에 사전적정성 검토를 신청했다. 신청내용을 살펴보면, 먼저 각 통신사는 수사기관 등으로부터 공유받은 보이스피싱 전화번호의 통화·문자 수발신 패턴(이하 통화패턴:수발신일시, 통화 착신여부, 종료시간 등 패턴. 통화·문자 내용은 미포함)을 학습한 인공지능(AI) 모형을 개발하고, 보이스피싱 전화번호와 통화패턴이 극히 유사한 다른 전화번호들을 분류해 '보이스피싱 의심번호 데이터베이스(DB)'를 구축하게 된다. 금융사는 보이스피싱 피해 의심 상황(예: 이상거래탐지시스템(FDS) 탐지) 발생 시 해당 고객이 최근 보이스피싱 의심번호와 통화한 적이 있는지 여부를 통신사에 조회하며, 이를 참고하여 실제 보이스피싱으로 판단되는 경우(이하 '정탐지') 거래 차단 등의 조치를 취한다. 더불어, 통신사가 보이스피싱 의심번호를 잘못 탐지(이하 '오탐지')해 금융사가 정상 거래로 처리한 경우, 그러한 정·오탐지 결과를 통신사에 회신해 추후 인공지능 모델 개선 등에 활용하게 된다. 참고로 통신사·금융사 간 조회·회신은 기존에 금융사와 시스템을 연계해 둔 중계사(코리아크레딧뷰로)를 경유해 이뤄진다. 검토 결과 개인정보위는 이용자 보호 강화와 개인정보 오남용 방지를 위한 방안을 사업자 측에 제시,협의했고, 서비스 개시 후 실제 이행여부를 점검할 예정이다. 우선 첫째, 이번 서비스를 보이스피싱 피해 예방 목적으로만 운영하고, 이와 관련된 개인정보 처리 개요를 이용자가 명확히 인지할 수 있도록 통신사와 금융사의 개인정보처리방침을 통해 고지하도록 했다. 둘째, 통신사는 중계사와 개인정보 처리위탁 계약을 체결하고, 보이스피싱 의심번호 데이터베이스(DB)가 해당 업무를 위해서만 안전하게 처리되는지 여부를 관리·감독하도록 했다. 셋째, 금융사는 고객의 금융사기 노출위험 판단이 필요한 상황에서만 보이스피싱 의심번호 데이터베이스(DB)를 조회하고, 이 정보를 다른 목적으로 활용하지 않게 했다. 또 당해 금융거래를 차단 또는 허용할지 판단해 통신사에게 정·오탐지 결과를 회신할 의무가 있다는 내용의 계약을 통신사(또는 중계사)와 체결하도록 했다. 이번 심의·의결 의의 이번 의결로 다수 금융기관이 국내 이동통신 3사를 대상으로 보이스피싱 의심번호 조회 서비스를 이용할 수 있게 돼 대다수 국민이 보다 고도화된 금융사기 피해 예방 서비스를 받을 수 있게 됐다는 점에서 의미가 있다고 개보위는 밝혔다. 개인정보위는 앞으로도 사전적정성 검토제를 통해 개인정보 처리 환경에 적합한 법 적용 방안을 마련함으로써 개인정보 침해 요소를 선제적으로 예방하는 한편, 인공지능(AI) 등 신서비스·신기술 기획 과정에서 현장의 불확실성을 해소하고 개인정보의 안전한 활용을 적극 지원할 계획이다.

2025.07.10 12:00방은주

개인정보보호법 위반 비와이앤블랙야크 과징금 13억9100만원

개인정보보호위원회(위원장 고학수)는 9일 제15회 전체회의를 열고 개인정보 보호 법규를 위반한 비와이엔블랙야크와 한국토픽교육센터에 총 14억 1400만 원의 과징금과 270만 원의 과태료를 부과하고, 공표 명령을 하기로 의결했다. 비와이엔블랙야크는 의류 용품 등 제조·판매 서비스를 운영하고 있고, 한국토픽교육센터는 온라인 교육 콘텐츠 서비스를 운영하고 있다. 비와이엔블랙야크:과징금 13억 9100만 원 부과, 공표 명령 해커는 2025년 3월 1일부터 4일까지 4일간 비와이엔블랙야크가 운영하는 웹사이트에 에스큐엘(SQL) 삽입 공격을 시도해 관리자 계정 정보(아이디, 비밀번호)를 탈취했다. 이후 해커는 탈취한 계정 정보로 관리자 페이지에 로그인 후 이용자 34만2253명의 개인정보(이름, 성별, 생년월일, 휴대폰 번호, 주소 일부(동·호수 등)를 내려받아 탈취했다. 에스큐엘(SQL, Structured Query Language) 삽입 공격은 웹사이트 취약점을 이용해 악의적인 에스큐엘(SQL, 데이터베이스 명령어)문이 실행되게 함으로써 데이터베이스를 비정상적으로 조작하는 공격 기법이다. 개인정보위 조사 결과, 비와이엔블랙야크는 웹사이트를 개설한 2021년 10월부터 에스큐엘(SQL) 삽입 공격 취약점에 대한 점검·조치를 소홀히 했다. 재택근무 등의 사유로 외부에서 관리자 페이지에 접속이 가능하도록 운영하면서 아이디, 비밀번호 외 안전한 인증수단을 적용하지 않은 사실이 확인됐다. 이에 따라 개인정보위는 비와이엔블랙야크에 과징금 13억 9100만 원과 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다. 한국토픽교육센터:과징금 2300만 원 및 과태료 270만 원 부과, 공표 명령 해커는 2024년 3월 12일 한국토픽교육센터가 운영하는 웹사이트에 에스큐엘(SQL) 삽입 공격을 시도해 데이터베이스(DB) 내 이용자 8만4085명(중복 포함)의 개인정보(아이디, 비밀번호(암호화), 이름, 생년월일, 성별, 연락처, 휴대폰 번호, 이메일, 주소 등이며, 유출 항목별 유출 건수는 상이함) 탈취 후 텔레그램에 공개했다. 개인정보위 조사 결과, 한국토픽교육센터는 운영 중인 웹사이트에 에스큐엘(SQL) 삽입 공격을 방지하기 위한 취약점 점검 및 조치를 소홀히 했고, 개인정보처리시스템에 대한 개인정보취급자의 접속기록을 보관·관리하지 않은 사실이 확인됐다. 아울러, 개인정보 유출을 인지하고 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다. 이에 따라 개인정보위는 한국토픽교육센터에 과징금 2300만 원 및 과태료 270만 원을 부과하고, 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다. 이번 조사·처분 의의 디지털 전환 가속화로 재택근무 등이 많아지며 외부접속을 허용하는 사례가 크게 늘고 있어, 권한 있는 사용자인지를 판별하기 위해서는 아이디/비밀번호 외 안전한 추가적 인증수단의 적용이 어느 때보다 중요해졌다. 또, 에스큐엘(SQL) 삽입 공격은 널리 알려진 기본적인 해킹 수법임에도 이를 예방하기 위한 보안조치가 소홀할 경우 대규모 개인정보 유출 사고로 이어질 수 있는 만큼 개인정보처리자는 웹 취약점 점검 등 보안대책을 강화하는 등 각별한 주의가 필요하다고 개보위는 밝혔다.

2025.07.10 12:00방은주

개보위, AI개발·활용用 개인정보 처리 안내서 곧 마련

인공지능(AI) 대전환이라는 시대적 흐름에 발맞춰, 신기술 발전에 걸맞게 개인정보 보호 체계를 선진화하기 위해 민관이 함께 머리를 맞댔다. 개인정보보호위원회(위원장 고학수)는 8일 오후 서울 서초구 소재 '서울 AI 허브'에서 민간 전문가 및 유관 부처 관계자 등이 참석한 가운데 '인공지능 프라이버시 민·관 정책협의회' 제4차 전체회의를 개최했다. 이날 협의회는 '인공지능 프라이버시 리스크 진단 및 인증 방안 연구'와 '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(안)'에 대해 논의했다. 개인정보위는 이번 전체회의 논의를 통해 제시된 시민단체, 관계부처, 전문가들의 의견을 반영해 '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서'를 7월 말까지 마련할 계획이다. '인공지능 프라이버시 민·관 정책협의회'는 학계, 법조계, 산업계, 시민단체 등 인공지능 분야 차세대 전문가 30여 명으로 구성된 조직으로 2023년 10월 발족했다. 인공지능 발전은 국민 일상에 편의성과 혁신을 안겨주고 있지만, 지속 가능한 발전이 되기 위해서는 기술이 초래하는 개인정보 침해 위험 등 잠재적 부작용을 예방하고 완화할 수 있는 제도적 안전장치가 필요한 실정이다. 이에, 개인정보위는 작년 12월 '인공지능(AI) 프라이버시 리스크 관리 모델'을 통해 인공지능 모델에 내재한 프라이버시 리스크 관리 절차와 리스크 유형 및 경감 조치 등을 안내한 바 있다. 또 이를 체계적으로 진단 및 측정할 수 있는 기준 제시는 후속 과제로 유보, 현재 국내 인공지능 환경에 적합한 사전적·예방적 관점의 구체적 안전관리 체계 구축 방안을 다방면에서 검토하고 있다. 이번 전체회의에서 김병필 카이스트 교수(정책협의회 1분과장)는 인공지능 프라이버시 리스크에 대한 구체적 진단 및 인증 방안을 제언했다. 김 교수는 “지금 인공지능은 멀티 에이전트 시스템으로 빠르게 나아가고 있다.”면서 “변화하는 환경 속에서 발전한 기술을 활용하면서도 충실하게 개인정보를 보호하기 위해 민‧관이 함께 지혜를 모으는 것이 꼭 필요하다"고 밝혔다. 산업계와 학계 중심으로 논의한 프라이버시 리스크 진단의 최신 기술 및 우수 사례를 비교‧분석한 결과와 인공지능에 내재된 프라이버시 리스크를 체계적으로 진단 및 평가할 수 있는 프레임워크 구축 방안 등에 대한 관점을 공유했다. 개인정보위는 이날 민간 전문가 및 관계부처 등에서 제시한 의견을 검토 및 반영하고, 또 후속 정책연구를 추진해 향후 인공지능 프라이버시 리스크에 대한 체계적 진단‧평가 체계 기반 마련을 위한 구체적인 방법론을 도출할 계획이다. 아울러, '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(안)'에 대해서도 논의했다. 최근 생성형 인공지능 기술이 급속히 발전하면서 일상과 사회 전반으로 빠르게 확산되고 있다. 특히, 공공·민간의 많은 기관에서 생성형 인공지능을 도입해 각 분야에 적합한 인공지능 서비스를 개발·운영하는 등 인공지능 전환이 가속화하면서 개인정보 처리와 보호 관점에서 복잡한 법적·기술적 이슈가 제기되고, 프라이버시 측면에서도 위험이 커지고 있다. 예컨대, 과거에는 정보주체 동의나 계약 등에 따라 개인정보를 수집·이용했다면, 인공지능 환경에서는 데이터 확보 경로와 처리 흐름이 복잡해져 개인정보 처리의 적법 근거가 불명확해지는 추세라고 개보위는 설명했다. 이에 개인정보위는 인공지능 기술 및 서비스를 개발하거나 고도화하는 기관의 법적 불확실성을 해소하고, 개인정보 처리의 적법성, 안전성 등 개인정보 보호의 핵심 원칙을 확보하기 위해 생성형 인공지능 기술에 특화한 개인정보 보호 기준, 안전장치, 프라이버시 내부관리체계 등에 대한 명확한 기준을 마련해 왔다. 이번 안내서에는 생성형 인공지능의 수명주기 각 단계에서 개인정보 처리 및 보호를 위해 고려해야 할 적법성과 안전성 확보 기준 등을 소개, 현장의 법적 불확실성을 최소화하고, 생성형 인공지능 개발 및 활용에 개인정보 보호 관점이 체계적으로 반영될 수 있게 했다. 특히, 이런 내용들이 단순한 추상적 권고에 그치지 않고 실무 현장에 곧바로 적용될 수 있게 ▲생성형 인공지능 관련 개인정보 보호법 주요 내용 ▲인공지능 개인정보 처리 안내서 ▲조사·처분 등 집행 사례 ▲규제샌드박스 등 혁신지원 사례를 포함한 그간의 정책적 경험을 활용, 인공지능 개발·구현 단계에 맞춰 도출한 개인정보 처리 및 보호 관련 고려 사항을 알기 쉽게 안내했다. 또 미국, 영국, 유럽연합(EU) 등 주요국 최신 정책자료를 참고해 국제 흐름도 반영했다고 덧붙였다. 고학수 개인정보위 위원장은 “안전한 가드레일 구축은 신뢰할 수 있는 인공지능 발전의 선결 조건이며, 이러한 전제를 바탕으로 '인공지능 혁신을 위한 프라이버시'와 '프라이버시를 위한 인공지능 혁신'이라는 두 과제가 상호 발전적인 관계 속에서 기술 수용성과 사회적 신뢰를 높이는 기제가 될 수 있을 것”이라면서 “앞으로도 개인정보위는 인공지능 3대 강국 도약을 지원하기 위해 공공과 민간에 축적한 고가치 데이터가 안전하고 책임감 있게, 나아가 사회‧경제적으로 '최적'으로 활용할 수 있게 합리적이고 유연한 정책 설계 노력을 지속하고 관련 기반을 마련해 나가겠다"고 밝혔다.

2025.07.08 15:00방은주

개보위 "공공기관들 개인정보 평가 준비 이렇게 하세요"

개인정보보호위원회(위원장 고학수)는 4일 오후 2시 서울시 양재동 aT센터에서 중앙부처, 지방자치단체, 공공기관의 개인정보 보호 업무 담당자 400여 명을 대상으로 '2025년 공공기관 개인정보 보호수준 평가' 대한 현장 설명회를 개최한다. 이번 평가는 '개인정보 보호법' 제11조의2('24년 3월 시행)에 따라 공공기관의 개인정보 관련 법령상 의무 사항 준수 여부 뿐 아니라, 개인정보 보호를 위한 기관의 노력 등을 평가하는 제도다. 설명회는 보호수준 평가에 대한 대상 기관의 이해를 높이고, 개인정보 보호 역량을 제고하기 위한 자리다. 설명회는 총 2부로 구성했다. 1부에서는 '개인정보 영향평가' 제도의 설명과 제도 개선 사항, 기관의 대응 방향을 안내하고 2부에서는 '보호수준 평가' 운영계획과 절차, 평가지표, 우수사례에 대한 안내 및 질의응답을 진행한다. 개인정보위는 현장 설명회에 참석하기 어려운 평가 대상기관 담당자들을 위해 온라인 설명회도 두 차례(1차 6.24./2차 7.8.) 진행한다. 지난 1차(6.24.) 온라인 설명회에는 700여 명이 참석했다. 이후에는 7월 11일 대전 지역을 시작으로 인천(7.14), 광주(7.29), 강원(7.31) 전국 4개 지역에서 권역별 컨설팅을 개최한다. 아울러 8월까지 신규기관, 지난해 미흡기관 등 80여 개 기관을 직접 방문하는 맞춤형 컨설팅도 추진한다.

2025.07.03 21:23방은주

개보위, 개인정보 유출 샌드위치 전문점 써브웨이 조사 착수

개인정보보호위원회(위원장 고학수)는 개인정보 유출로 물의를 빚은 샌드위치 전문점 써브웨이 인터내셔날 비브이(이하 써브웨이)에 대해 조사에 착수했다고 1일 밝혔다. 구체적인 유출 경위 및 피해규모, 사업자의 안전조치 의무 준수 여부 등을 확인한다. 법 위반 발견 시 관련 법령에 따라 처분할 예정이라고 덧붙였다. 써브웨이는 앞서 개인정보 유출로 26일부터 조사를 받고 있는 한국파파존스와 동일하게 홈페이지 URL 주소의 뒷자리 숫자 변경 시 다른 고객의 주문정보(연락처, 주문내역 등)가 별도의 인증절차 없이 확인이 가능한 상태로 운영된 것으로 알려졌다. 두 사건 모두 홈페이지 주소의 파라미터 변조가 원인인 만큼, 각 사업자들은 접근제어 및 권한 검증, URL 주소 관리, 안전한 세션 처리 등 홈페이지 운영에 세심한 주의가 필요하다고 개보인정보위는 밝혔다. 한편 개인정보위는 주문·배달 과정에서 개인정보 처리가 필수적으로 수반되는 식·음료 분야에 대해 전반적인 개인정보 처리실태 조사를 진행하고 있다. 하반기에 조사결과를 발표할 예정이다.

2025.07.01 22:41방은주

AI시대 개인정보보호는?...개보위, 3차 미래포럼 개최

개인정보보호위원회(위원장 고학수)는 24일 서울 명동 소재 포스트타워에서 제3차 '2025 개인정보 미래포럼'을 개최했다. 이 행사는 개인정보 분야 의제를 선제적으로 논의하고, 산업계·시민사회 등 현장의견을 수렴하는 '개인정보 정책 토론의 장'이다. 학계·법조계·산업계·시민사회 등 전문가 40명으로 구성됐다. 올해 2월과 4월 포럼 의제였던 '신산업 현장의 프라이버시 리스크 관리'(1~2차 포럼)에 이어 이번 포럼에서는, '인공지능시대 개인정보 보호'를 의제로 발제와 토론을 진행했다. 첫 번째 발제를 맡은 이종규 티사이언티픽(TSCIENTIFIC) 이사는 자연어 처리 모델(컴퓨터가 인간의 언어를 이해, 생성, 조작할 수 있도록 하는 인공지능 기술)에 기반한 인공지능을 활용해 채팅 등 비정형(대화형) 텍스트 속에서 개인정보를 실시간으로 탐지하고 비식별화하는 기술 등을 소개했다. 이 회사는 AI를 이용한 개인정보보호전문기업으로 1998년 8월 설립됐다. 이어 두 번째 발제를 한 김기태 UPSDATA(주) 대표는 실시간으로 생성되는 데이터에 포함된 개인정보를 인공지능을 활용해 비식별 처리하면서 데이터 유용성을 확보하는 기술 연구 성과를 공유했다. 이는 위험 상황에서의 범죄신고 및 응급 상황에서 환자 건강정보를 가정용 건강기기에서 의료기관으로 전송하는 경우 등 실시간으로 데이터를 수집·분석하는 과정에서의 시간지연과 정보손실을 최소화하는 장점이 있다. 개인정보위는 이날 포럼에서 제안된 의견을 반영해 신기술·신산업 혁신에 친화적인 환경 기반을 구축해 나갈 계획이다. 개인정보위는 디지털 환경에서 개인정보를 보호하며 데이터를 자유롭게 활용할 수 있도록 개인정보 보호 강화 및 활용 기술에 대한 연구개발(R&D)을 지원하고 있다. 오는 8월 개최 예정인 제4차 개인정보 미래포럼도 '인공지능 시대 개인정보 보호'를 의제로 진행하며, 인공지능 신뢰성 제고를 위한 개인정보보호 강화기술 등을 논의할 예정이다.

2025.06.24 16:00방은주

"개보위, 싱크탱크 역할 개인정보보호원 신설해야"

"싱크탱크 역할을 하는 개인정보보호원을 신설하고 개인정보보호 기금도 만들어야 합니다." 최경진 가천대 교수(한국인공지능법학회장)은 18일 국회도서관 소회의실 지하 1층에서 열린 '인공지능 시대 개인정보 거버넌스 강화를 위한 대토론회'에서 기조 발제를 하며 AI시대를 맞아 바람직한 거버넌스상으로 이 같은 방안을 제시했다. 이날 행사는 박지원, 이헌승, 강준현, 김현 국회의원과 국회입법조사처, 개인정보보호협회, 개인정보전문가협회, 한국인터넷진흥원이 공동 주최했다. 현재 개인정보보호에 관한 최상위 정부 조직은 2000년 8월 발족한 개인정보보호위원회다. 장관급 부처이지만 위원회고, 인력과 예산이 50여 정부중앙부처중 가장 작다. 이어 최 교수는 AI시대 바람직한 거버넌스로 전문부처 전환과 독립위원회 강화 두 방안 중 독립위원회 강화 방안을 더 좋아한다면서 "개인정보위 위원회 확대와 개인정보분쟁조정위원회 역할 강화, 개인정보통합증진센터 신설 등도 필요하다고" 덧붙였다. 개인정보분쟁조정위원회 역할 강화와 관련해 "정보주체 피해 구제는 미미한데 과징금만 때리는 것으론 부족하다. 그러면 국민은 그래서 뭐?라고 묻는다"면서 각 지역에 개인정보 통합권익증진센터 신설도 필요하다고 말했다. 개인정보보호기금 신설과 관련해서는 "과징금을 열심히 받고 있는데, 어디로 가는지 모르는게 아니라, 과징금을 기반으로 기금을 만들어야 한다. 출연도 들어와야 하고, 1차 기금 사용처는 피해 구제고 2차는 민원을 돕는 거다. 더 나아가, 크게 보면, 개인정보 처리 절차를 바꿔야 하는데, (기금을 사용해) 연구개발도 해야 하고, 기술도 활용해야 한다"고 밝혔다. 또 최 교수는 개인정보 개념에 대해 "커질 가능성이 있다. 더 이상 개인정보가 아닌게 없다. 어디까지 확장할 지 고민해야한다. 일본은 옵트아웃이 원칙이라 완충 지대를 만들어놨다"면서 "개인정보냐 아니냐의 이분법적 접근은 곤란하다. 이런 접근법은 시간이 갈 수록 법과 현실과의 괴리를 초래한다"고 지적했다. 보안산업계는 제로트러스트가 화두다. 제로트러스트는 아무도, 특히 기존과 달리 내부자도 믿지 말고 보안에 이중, 삼중 장치를 하라는 개념이다. 모든 곳에서 보안 사고가 일어날 수 있으니 경계하라는 의미다. 최 교수는 "제로트러스트에도 프라이버시는 포기할 수 없다"면서 "(정보호) 활용이냐 보호냐?는 끊임없이 추구하는 동적 개념이다. 균형점을 찾는게 바람직한 거버넌스"라고 짚었다. "AI시대에 맞는 새로운 거버넌스 정립이 필요하다"면서 유연성 있는 체계를 주문하며 "자율구제프레임워크를 개인정보에서도 강조해야 할 때가 왔다"고 밝혔다. 개인정보보호법과 관련한 여러 법도 언급하며 "위치정보법과 정보통신망법중 본인확인기관 부분은 당장 개보위가 가져와도 될 듯 하다"고 주장했다. 단 개보위가 모든 영역을 다 관여 못하고, 또 너무 마서면 다른 부처의 위축을 부른다면서 "(개인정보에 관한한) 왕형님처럼 있으면서 원칙 해석과 기준을 제시해야 한다"면서 "특히 깨어서 늘 긴장감을 주는 어웨어니스(awareness)가 중요하다. 개보위가 깨어있으려면 전문성과 인력 증원 등도 필요하다"고 강조했다. 이어 거버넌스 방향은 배의 평형수처럼 결국 균형이라면서 "정보주체를 위한 등대(세이프가드) 역할과 처리자입장에서는 개보위 지침을 잘 지키면 되는, 신뢰를 주는, 안전망 같은, 이 두 역할을 (개보위가) 해야 한다"고 주문했다. 최 교수에 앞서 기조발표를 한 최영진 성대 인공지능융합원 교수(전 개인정보위원회 부위원장)은 '개인정보 거버넌스의 역사적 변화와 시사점'을 주제로 발표를 했다. 우리나라와 미국 등 선진국의 개인정보보호법 연혁을 보면 미국은 첫 출발이 1974년이다(프라이버시 액트). OECD는 1980년, UN은 1990년, 우리나라는 1994년 만든 대한민국 공공기관 개인정보법이 시작이다. 최영진 교수는 "우리나라가 시작은 미국보다 20년 정도 늦었지만 2011년 이후에는 비슷한 수준이다"면서 "이는 우리가 전산화는 늦었지만 정보화는 앞섰기 때문"이라고 해석했다. 우리나라 개인정보보호법은 2011년 3월 처음 제정, 현재까지 일곱차례 개정했다. 최영진 교수는 이 중 2015년, 2020년, 2023년 개정이 중요하다고 설명했다. 2015년(3차) 개정엔 침해요인 평가 신설과 기본계획 담당 부처가 행자부에서 보호위로 바뀌었다. 또 2020년(6차) 개정은 사실상 전부 개정으로 중앙행정기관으로 개인정보위 신설과 개인정보위에 조사처분 권한을 부여하는 한편 정보통신망법 개인정보 규정 통합을 담았다. 가명정보 개념 신설과 데이터결합 근거 규정 마련도 이때 이뤄졌다. 2023년(7차) 개정때는 마이데이터의 전송요구권 신설과 프로파일링 거부권 신설, 국외 이전 조항 정비, 이동형 영상기기 관련 규정 신설 등이 이뤄졌다. 최영진 교수는 개인정보보호위원회 전망과 과제에 대해 6가지를 제시했다. 첫째, 개인정보 관련 법은 세계적으로 점차 활용이 강화되는 방향으로 이동 둘째, 안전한 활용을 위한 기술적, 제도적 조치의 중요성 증대 셋째, 개인정보 관련 규제 합리화 및 위원회의 전문성 강화 넷째, 인공지능 시대의 가치있는 데이터(개인정보 포함 데이터) 다섯째, 개인정보의 안전한 활용 보장 여섯째, 개인정보보호위원회의 정책, 규제기관으로서의 역량 강화 필요 등이다.

2025.06.18 17:53방은주

네이버, 스마트스토어 판매자 정보 유출 의혹 부인

스마트스토어 판매자 정보가 다크웹에서 파일 형태로 거래되고 있다는 보도가 나오자 네이버가 해킹 흔적은 전혀 없었다고 해명했다. 17일 네이버는 입장문을 통해 “자사는 통신판매중개업자로서 비슷한 형태의 온라인 커머스 사업자와 마찬가지로 현행법상 스마트스토어 판매자의 사업자 정보를 소비자에게 제공할 법적 의무가 있다”고 밝혔다. 이어 “보도된 스마트스토어 판매자 정보는 법령에 따라 공개된 사업자 정보로서 제3자에 의해 수집된 것으로 보인다”며 “자체 점검 결과 자사 시스템 내 이용자 개인정보 데이터베이스(DB) 침해 정황 등 해킹 흔적은 전혀 없는 것으로 파악됐다”고 강조했다. 또 “이와 같은 제3자에 의한 정보 수집을 막기 위해 판매자 정보 확인 시 자동입력 방지 기능을 도입하고 판매자 정보가 포함된 URL 주소에 무작위 문자열을 삽입하는 등 접근 차단 등의 조치를 시행하고 있다”고 설명했다. 향후 추가적으로 크롤링 탐지 강화, 정보 접근 제어 고도화 등의 조치를 지속적으로 확대하겠다고도 했다. 끝으로 네이버는 “현재까지 해당 정보의 유통으로 인한 피해는 접수된 바 없으나, 개인정보보호위원회와 한국인터넷진흥원(KISA)과 긴밀히 협조해 해당 정보 유통으로 인한 피해가 발생하지 않도록 만전을 기하겠다”고 약속했다.

2025.06.17 20:53박서린

약속 시점 어긴 예스24…서비스 완전 정상화 언제?

랜섬웨어에 감염돼 홍역을 치렀던 인터넷 서점 예스24가 약속한 기한이 지났음에도 모든 기능을 복구하지 못했다. 상품 상세와 카트·결제 등 일부 기능 정상화와 더불어, 피해보상액 산정까지 해결해야 할 과제가 산적해 있다. 16일 예스24 홈페이지에 접속하면 도서 및 음반·DVD, 문구·기프트, 이(e)북 상품 구매, 크래마클럽 서비스, 주문 결제, 1:1 문의, 티켓 서비스에 한해 이용 가능하다고 안내하고 있다. 또 홈페이지 먹통 사태 전에 이미 주문한 도서도 정상적으로 배송되고 있다. 다만, 지난 13일과 마찬가지로 사락, 채널예스, 미리보기·미리듣기를 포함한 상품 상세, 업체 배송을 포함한 카트·결제, 주요 서비스 중 일부 등은 여전히 이용할 수 없다. 최초로 홈페이지가 복귀된 뒤 이틀 동안 이(e)북 상품 구매, 크레마클럽 서비스만 복구됐다. 이는 당초 약속했던 시점보다 정상화가 더뎌지고 있는 것이다. 앞서 예스24는 2차 입장문에서 “사태 해결까지 늦어도 이달 15일 이내로 정상화가 예상된다”고 언급한 바 있다. 예스24 관계자는 “완전한 서비스 재개 일정은 섣불러 말씀드리기가 어렵다”며 “기존에 주문했던 책들은 순차적으로 배송되고 있고, 이미 수령한 고객도 있는 걸로 알고 있다”고 말했다. '시스템 장애'라던 늑장 대응에 거짓 해명까지 이용자 불편을 불러온 예스24 홈페이지, 앱 먹통 사태가 처음 시작된 것은 일주일 전인 지난 9일 새벽 4시경이다. 당시 예스24는 홈페이지와 앱에 접속 불가로 도서 주문, 티켓 예매 등 온라인 서비스 전반을 이용할 수 없게 되자 공지사항을 통해 “시스템 장애로 인한 접속 오류”라고 강조한 바 있다. 사건이 해결될 기미가 보이지 않았던 와중에 최수진 국민의힘 의원이 국회에서 예스24 홈페이지, 앱 먹통 사고가 시스템 상의 문제가 아닌 랜섬웨어에 의한 공격이라고 밝히면서 늑장 대응이라는 질타를 받기도 했다. 얼마 후 예스24는 랜섬웨어에 의한 공격을 공식화하며 “한국인터넷진흥원(KISA) 등과 함께 사고 원인 분석, 피해 사실 여부 파악에 최선을 다하고 있다”고 주장했다. 그러자KISA는 예스24가 기술지원에 동의하지 않아 협력하고 있지 않다며 예스24와 상반된 입장을 내놓은 바 있다. 양측의 의견 차로 혼란을 빚으면서 예스24는 거짓 해명 논란에 휩싸이기도 했다. 분석가들이 지난 10일과 11일 예스24 본사로 2차례 방문했으나 상황을 예스24로부터 구두로 공유받은 것 외 추가적으로 확인하거나 협력해 조사한 것이 없다는 것이 KISA 측 설명이었다. 늑장 대응에 더해 거짓 해명으로 지적받자 예스24는 소통 과정에서 혼선으로 생긴 오류라며 “10, 11일 2차례 KISA 방문 후 어느정도 상황이 정리되면 본격적으로 협력을 논의한 상태였다. 이 부분에 대해 별도의 기술지원 신청 없이도 조사에 착수됐다고 이해한 것”이라고 해명했다. 또 “13일 오후 중 도서, 티켓 등 일부 서비스를 개재할 예정”이라며 “이후 전자책을 포함한 그 외의 서비스들도 순차적으로 이용 가능할 것으로 예상된다”며 거듭 사과했다. 복구 지연, 시스템 또는 데이터 문제에 '무게' 이후 지난 13일 예상한 시점에 맞춰 홈페이지가 열리면서 예스24 일부 서비스는 이용 가능해졌지만, 서비스 완전 복구가 지연되면서 나머지 서비스의 정상화 시점은 오리무중이다. 랜섬웨어로 인한 피해 규모가 어느 정도인지 명확하지 않아 복구 시점을 가늠하기 어렵다는 게 업계 전문가 견해다. 여기에 좌석번호가 확인되지 않아 공연에 입장하지 못했던 건을 포함해 홈페이지, 앱이 먹통되며 발생한 피해보상액 산정, 보상 시점에 대한 문제도 산적해있다. 뿐만 아니라 개인정보보호위원회가 조사에 착수하면서 개인정보 유출에 대한 우려에서도 자유로울 수 없다. 염흥열 순천향대 정보보호학과 교수는 “보통 인터넷 기업들은 서비스가 중단되더라도 몇 시간, 최대 하루 이내에 서비스가 복구되도록 설계 목표치를 잡고 있다. 5일이나 서비스가 중단된 것은 굉장히 이례적인 일”이라고 말했다. 이어 “복구 지연에는 여러 이유가 있을 수 있는데, 시스템 자체가 망가졌을 수도 있고 데이터가 망가졌을 수도 있다. 그 중에서도 데이터가 망가졌을 가능성이 크다”며 “여러 경우가 있어 (정확한 서비스 재개 시점을) 단정하기는 어렵다”고 덧붙였다. 예스24에 기술 지원을 제공하고 있는 KISA 관계자도 “조사 중인 사안으로 복구 시점을 예측하기는 어렵다”고 답했다.

2025.06.16 16:28박서린

개보위, 한국연구재단 조사...해킹당해 개인정보 12만건 유출

개인정보보호위원회(위원장 고학수)는 해킹에 따른 한국연구재단의 개인정보유출에 대해 조사에 착수했다고 13일 밝혔다. 앞서 한국연구재단은 학술 및 연구개발 활동 지원을 위한 '온라인논문투고시스템'(JAMS, Journal and Article Management system)에서 취약점 해킹 공격으로 약 12만 건의 개인정보 유출이 있었다며 개인정보위에 12일 오후 4시경 신고했다. 유출된 개인정보는 성명, 생년월일, 연락처, 이메일주소, 계정 ID 등이다. JAMS에 등록된 개별 학회는 약 1600여곳이다. 이에 개인정보위는 "자료제출 요구, 현장 조사 등을 통해 구체적인 유출 경위 및 피해 규모, 안전조치 의무 및 유출 통지·신고 의무 등 '개인정보 보호법' 준수 여부를 조사할 것이며 법 위반 사항이 확인되는 경우, 관련 법령에 따라 처분할 예정"이라고 밝혔다. 한국연구재단은 전 학문분야를 아우르는 국가 기초연구지원시스템의 효율화 및 선진화를 목적으로 한국연구재단법에 따라 2009년 6월 26일 설립된 연구관리 전문기관이다. 국내에서 유일하게 인문사회와 이공계를 아우르는 모든 학문 분야를 지원하고 있다. 올 2월 기준 예산은 8조 4천여억원이다. 한국연구재단은 14일 오전 9시 현재 홈페이지에 개인정보 유출 사실을 공지하지 않은 상태다. 보통 민간은 해킹을 당하면 개인정보위에 신고하고, 또 그 사실을 홈페이지에 공지한다. 이에 대해 한국연구재단은 "즉시 JAMS 홈페이지(JAMS PORTAL) 및 JAMS에 등록된 약 1600여개의 개별 학회 홈페이지를 통해 사과문을 공지했다. 이후에는 사과문 알림창을 통해 해킹 피해 조회 서비스도 추가로 제공하고 있다"면서 "JAMS를 이용하는 학회 및 회원에게 보다 신속하고 정확하게 안내하기 위해 재단 홈페이지가 아닌 해당 홈페이지를 통해 즉시 공지했다"고 설명했다. 한편 한국연구재단은 전산실 이전 작업을 오는 7월 18~20일 진행할 예정이다. 이에, 이 시기에 정보시스템 접속 불가와 일부 기능 사용이 불가하다고 홈페이지에 공지해 놓았다.

2025.06.14 09:20방은주

예스24, 이제야 KISA에 'SOS'…서비스 정상화 계획대로 될까

홈페이지, 앱 먹통 사태가 계속되고 있는 인터넷 서점 예스24가 사고 나흘이 지나서야 한국인터넷진흥원(KISA)에 협력을 요청했다. 해킹을 당한 직후 기술지원 요청을 하지 않고, 4일 차에 접어들어서야 협력한 배경에 관심이 쏠린다. 12일 KISA에 따르면 이날 오전 예스24는 KISA에 홈페이지, 앱 접속 불능 사고에 대한 기술지원을 요청했다. KISA 관계자는 “오전 11시에서 11시 30분 사이 예스24가 기술지원을 요청했다”며 “기술지원을 요청함에 따라 지금 원인을 분석 중”이라고 말했다.이어 “원인 조사는 피해 확산, 재발 방지에 초점이 맞춰질 것”이라고 덧붙였다. 예스24가 KISA에 기술 지원을 요청한 것은 이번 사태가 발생한지 나흘만이다. 앞선 지난 9일 새벽 4시 예스24는 랜섬웨어의 공격으로 홈페이지와, 앱 접속이 불가능해지면서 도서 주문부터 공연 예매, 이(e)북 열람까지 주요 서비스 전반이 모두 마비됐다. 당초 예스24는 이번 사건과 관련해 “시스템 장애”라는 입장을 고수했으나 랜섬웨어에 의한 장애라는 사실이 알려지자 뒤늦게 해킹 사실을 인정해 빈축을 산 바 있다. 예스24 실책은 또 있다. 이후 발표한 사과문에서 “KISA 등과 함께 사고 원인 분석, 피해 사실 여부 파악에 최선을 다하고 있다”고 했으나 이는 사실이 아니었다. KISA가 “예스24와 협력해 조사한 사실이 없다”고 반박문을 내면서 예스24 발표는 거짓 해명으로 드러났다. 사고 파악을 위해 예스24 본사로 KISA 분석가들이 두 차례 방문했음에도 기술지원에 동의하지 않다가, 사건이 장기화되자 부랴부랴 기술지원에 동의한 것이 아니냐는 의문도 나온다. 예스24가 지난 11일 저녁 낸 2차가 입장문에서 밝힌대로, 오늘 2시 30분경 일부 공연 제작사의 공연 현장 입장처리 시스템이 복구되기 시작했다. 뮤지컬 '매디슨 카운티의 다리', '구텐버그'의 제작사 쇼노트는 공식 인스타그램을 통해 “예스24 예매자 정보가 복구돼 신분증 지참 혹은 예매 내역, 개인정보 확인으로 티켓 수령이 가능하다”고 안내했다. 이에 예스24가 주장대로 도서 등 주요 서비스가 하루 이틀 내 순차적으로 복구될지 여부에도 이목이 쏠린다. 회사 측은 늦어도 15일까지 모든 시스템을 복구하겠다고 밝혔었다. 예스24 관계자는 “판매 페이지, 좌석 등을 확인해야 공연에 입장할 수 있어 공연 기획사가 볼 수 있는 페이지가 가장 먼저 열렸다”며 “나머지 서비스의 복구는 명확한 시간을 장담하기 어렵다”고 말했다.

2025.06.12 15:47박서린

개인정보 유출 전북대 6.2억, 이대 3.3억 과징금

개인정보보호위원회(위원장 고학수)는 11일 개최한 제13회 전체회의에서 개인정보를 유출해 개인정보 보호법(이하 '보호법')을 위반한 전북대학교와 이화여자대학교에 총 9억 6600만 원의 과징금과 540만 원의 과태료를 부과하고 시정명령, 공표명령 및 징계권고를 하기로 의결했다고 밝혔다. 개인정보 유출에 따른 피해 규모 등을 고려해 전북대학교(32만여 명 유출)는 6억 2300만 원, 이화여자대학교(8만 3천여 명 유출)는 3억 4300만 원의 과징금을 각각 부과했다. 개인정보위는 개인정보 유출 신고에 따라 조사한 결과, 이들 대학의 학사정보시스템에 구축 당시부터 취약점이 존재해 왔고, 일과 시간 외 야간 및 주말에는 외부의 불법 접근을 탐지해 차단하는 모니터링이 제대로 이뤄지지 않는 등 '개인정보 보호법'에 따른 안전조치 의무를 소홀히 한 사실을 확인했다. 대학별 위반 내용과 처분 결과는 다음과 같다. ■ 전북대학교 2024년 7월 28일~29일 이틀간 해커가 에스큐엘(SQL) 인젝션(데이터베이스 명령어 주입) 및 파라미터(입력값) 변조 공격으로 전북대학교 학사행정정보시스템에 침입해 32만여 명의 개인정보(주민등록번호 28만여 건 포함)를 탈취했다. 'SQL 인젝션'은 데이터베이스 명령어를 악의적으로 조작해 서버를 오작동시킴으로써 접근권한 없는 정보를 열람 또는 변조하는 공격 방식이다. 또 '파라미터 변조'는 웹 애플리케이션에서 입력된 데이터 검증 로직의 취약점을 악용해 입력값 조작을 통해 개인정보를 탈취하는 해킹 기법을 말한다. 개인정보위 조사 결과, 해커는 학사행정정보시스템의 비밀번호 찾기 페이지에 존재하는 취약점을 악용해 학번 정보를 입수한 후 학적정보 조회 페이지 등에서 약 90만 회의 파라미터 변조 및 무작위 대입을 통해 전북대학교 학생 및 평생교육원 홈페이지 회원 총 32만여 명의 개인정보에 접근한 것으로 파악됐다. 해당 취약점은 2010년 12월 시스템 구축 당시부터 존재했다. 아울러 전북대학교는 기본적 보안 장비는 갖추고 있었으나 외부 공격에 대한 대응이 미흡했고, 특히 일과시간 외에는 모니터링을 소홀히 한 결과 주말‧야간에 발생한 비정상적 트래픽 급증 현상을 2024년 7월 29일 오후에야 뒤늦게 인지한 것으로 나타났다. 이에 따라 개인정보위는 전북대학교에 총 6억 2300만 원의 과징금과 540만 원의 과태료를 부과하면서 이를 대학 홈페이지에 공표하도록 명하는 한편, 모의해킹 등 취약점 점검을 강화하고 상시 모니터링 체계를 구축하도록 시정명령 함과 동시에 책임자에 대한 징계도 권고했다. ■ 이화여자대학교 2024년 9월 2일~3일 이틀간 해커가 시스템의 데이터베이스(DB) 조회 기능 취약점을 악용한 파라미터 변조 공격(개인정보 조회 시, 세션값(사용자 식별값)과 조회 대상 정보가 불일치하는 경우에도 파라미터(학번) 변조를 통해 다른 사용자의 개인정보 조회가 가능한 취약점 존재)으로 이화여자대학교 통합행정시스템에 침입해 8만 3천여 명의 주민등록번호를 포함한 개인정보를 탈취했다. 개인정보위 조사 결과, 해커는 통합행정시스템에 접근하여 약 10만 회의 파라미터 변조 및 무작위 대입을 통해 이화여자대학교 학부생 및 학부 졸업생 8만 3천여 명의 개인정보를 탈취한 것으로 드러났다. 이화여자대학교 역시 이러한 취약점이 2015년 11월 시스템 구축 당시부터 존재해 왔던 것으로 나타났으며, 기본적인 보안 체계는 갖추고 있었으나 외부 공격(예: 동일한 아이피(IP)에서 타인의 개인정보를 반복적으로 조회 시도하는 경우 등)에 대한 대응이 미흡했고, 특히 일과시간 외에는 주말‧야간 모니터링을 소홀히 하는 등 외부의 불법적인 접근 통제 조치가 미흡했던 것으로 밝혀졌다. 이에 따라 개인정보위는 이화여자대학교에 총 3억 4300만 원의 과징금을 부과하면서 이를 대학 홈페이지에 공표하도록 명하는 한편, 모의해킹 등 취약점 점검을 강화하고 상시 모니터링 체계를 구축하도록 시정명령 함과 동시에 책임자에 대한 징계를 권고했다. ■이번 조사‧처분 의의 대학의 경우 대개 생성규칙이 단순한 '학번' 등을 기준으로 개인정보를 관리하고 있어 파라미터(입력값) 변조 공격에 취약한 측면이 있고, 대규모 고유식별정보를 처리하고 있어 유출 사고 발생 시 정보주체의 막대한 피해가 예상된다. 이에 따라 파라미터 변조 공격에 대비하고, 외부의 불법적인 접근 시도를 24시간 철저히 모니터링하는 등 각별한 주의가 필요하다. 개인정보위는 최근 대학에서 개인정보 유출 사고가 잇따르는 점을 감안해 교육부에 “전국 대학 학사정보관리시스템의 개인정보 관리가 강화될 수 있도록 전파해 줄 것과 관련 내용을 대학 평가 등에 반영될 수 있도록 검토해 줄 것”을 요청할 예정이다. 실제 지난해부터 올해 5월말까지 전국 대학에서 21건의 개인정보 유출 신고가 발생했다.

2025.06.12 12:00방은주

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위, 매달 현장 상담서 마이데이터·AI규정 설명

개인정보보호위원회는 29일 부산 해운대구 가명정보활용지원센터에서 '찾아가는 개인정보 현장 상담'을 실시했다. 지난달 서울에 이어 두 번째다. 개인정보위는 올해 추진할 가명정보와 마이데이터 제도 개선 방향, '개인정보보호법' 상 인공지능(AI) 특례 규정 등을 설명했다. 법령 해석 사례와 더불어 개인정보 보호 방안과 지난달 시행된 마이데이터 서비스 제도를 안내했다. 개인정보위는 '안전지킴이'도 두고 있다. 개인정보 보호 분야에서 실무 경험과 전문성을 쌓은 퇴직공무원이 안전지킴이로 활동한다. 이들은 온라인에 유·노출된 개인정보와 불법 유통 게시물을 탐지하고, 개인정보를 보호하는 데 어려움을 겪는 스타트업·소상공인을 상담한다. 개인정보위는 연말까지 매달 전국 7개 권역에서 찾아가는 상담을 하기로 했다. 5월(서울), 6월(대구), 7월(강원), 8월(인천), 9월(서울), 10월(대구), 11월(전북), 12월(대전) 등으로 계획했다.

2025.04.29 16:56유혜진

"AI 학습 정보 수집 때도 처리방침 투명하게 공개"

정부가 기관이나 기업들이 소비자들의 개인정보를 인공지능(AI) 학습에 활용할 경우에도 처리 방침을 투명하게 밝히도록 권고했다. 개인정보보호위원회는 28일 서울 강남구 한국과학기술회관에서 '개인정보 처리 방침 작성 지침 설명회'를 열고 이같이 밝혔다. 기관이나 기업들은 개인정보보호법 제30조에 따라 개인정보 처리 방침을 투명하게 작성 및 공개해야 한다. 개인정보보호위원회는 이 조항을 AI 학습에도 적용하도록 권고했다. 임종철 개보위 서기관은 "기관이나 기업이 AI 학습용 정보를 소비자로부터 수집해 이용한다면 어떤 식으로 투명하게 할 것인지 기준을 개인정보 처리 방침에 명시하길 권한다”고 말했다. 그는 정보주체 동의 없이 처리할 수 있는 개인정보 항목과 동의가 필요한 항목도 소개했다. 회원 서비스 운영이나 판매 상품을 사후 처리(AS)하기 위해 상담하는 등 계약 체결·이행에 관한 사항은 동의 없이 처리할 수 있다. 하지만 민감정보, 고유식별정보, 개인정보 제3자 제공의 경우 계약을 체결·이행하는 일이더라도 동의를 받아야 처리할 수 있다. 소비자에게는 개인정보 관련 고충을 직접 처리하는 부서 연락처를 알려주거나, 개인정보책임자(CPO)가 책임지고 고충을 처리하는 고객센터 등 유관 부서 연락처를 공개하도록 했다. CPO 소속 부서 연락처만 기재하면 됐던 기존 규정을 좀 더 강화한 것이다. 개인정보 처리 방침 공개 방식은 좀 더 다양화했다. 이에 따라 사업자 홈페이지 첫 화면 말고도 '서비스 메뉴', '설정', '회원가입', '로그인 영역' 등에 처리 방침을 표시해도 된다. 임 서기관은 “모바일 앱 환경이 다양해져서 공개 방식을 고쳤다”며 “기존에는 반드시 홈페이지 첫 화면 아래에 처리 방침을 공개해 맨 밑으로 화면을 내려야 이를 볼 수 있었다”고 강조했다. 행태 정보를 수집·이용·제공한다거나 소비자가 거부하는 방법을 알리는 요령도 안내했다. 이동일 개보위 사무관은 “사업자는 인터넷 쿠키와 맞춤형 광고를 차단하는 방법 등 정보 주체가 거부권을 행사할 방법을 제시해야 한다”며 “웹브라우저에 저장된 쿠키 삭제, 제3자 쿠키 삭제, 모든 쿠키 삭제 등 단계별로 맞춤형 광고를 차단할 수 있다”고 설명했다. 이날 설명회에는 공공·민간 부문 개인정보처리자 400명이 참석했다.

2025.04.29 16:05유혜진

[기고] 대한민국이 AI 강국으로 가는 길, 데이터 활용의 딜레마를 넘어

개인정보보호위원회가 주관해 상정하고 지난 2월 국가인공지능위원회가 심의해 채택한 '인공지능(AI) 데이터 확충 및 개방 확대방안'은 AI 시대를 맞아 우리나라가 경쟁력을 갖추기 위한 본격적인 첫걸음이라고 할 수 있다. 국가인공지능위원회는 이 방안을 채택하면서 AI 기반의 디지털 전환이 가속화되는 시대에 대응하고 AI 경쟁력을 높이기 위한 양질의 데이터를 보다 많이 확보하며 이를 적극적으로 활용할 수 있는 정책 마련을 목표로 삼았다. 이 의안에서 무엇보다 주목할 점은 AI 정책의 최상위 거버넌스 기구인 국가인공지능위원회가 AI 발전을 위해 데이터 접근이 필수적이라는 점을 공식적으로 인정했다는 것이다. 이는 데이터 활용을 둘러싼 사회적 인식과 정책 방향에 중요한 전환점이 될 수 있다. 다만 보다 중요한 과제는 이 방안의 취지를 뒷받침할 수 있는 구체적이고 실행력 있는 후속 정책을 신속히 마련한 후 실제 집행으로 이어가는 일이다. 이 과정에서 AI 모델이 실제로 어떻게 설계되고 학습되는지를 이해하는 것이 필수적이다. 산업 현장과 기술의 현실을 충분히 고려하지 않은 채 이론에만 머무는 논의는 오히려 과도한 규제나 비현실적인 기준으로 이어져 혁신을 저해할 위험이 있다. 이번 의안은 AI가 학습에 필요한 데이터를 활용할 때 정보주체의 '동의'만을 유일한 법적 근거로 삼지 않겠다는 취지를 담고 있다. 이는 동의를 받기 어려운 현실적인 제약과 형식적인 동의가 오히려 개인정보 보호를 약화시킬 수 있다는 문제의식에서 출발한 것이다. 동의 외에도 정당한 이익, 공익 목적, 가명정보 활용 등 다양한 법적 근거를 합리적으로 마련하면 데이터 활용의 유연성을 높이고 AI 혁신의 기반도 한층 더 강화할 수 있다. 결국 어떤 대안을 채택하고 그 기준을 어떻게 설계하느냐에 따라 한국 사회가 나아갈 AI 시대의 방향은 크게 달라질 것이다. '계약의 필요성(제15조 제1항 제4호)'과 '정당한 이익(같은 항 제6호)'은 개인정보보호법상 동의에만 의존하기 어려운 현실을 보완할 수 있는 중요한 법적 근거다. 지난해 12월 개인정보보호위원회가 공개한 개인정보 처리 통합 안내서에서도 이 두 근거의 적용 범위를 넓히려는 방향성을 확인할 수 있다. 이 방향성은 데이터 활용의 현실성과 기술 발전의 속도를 함께 고려하려는 시도의 일환이라고 볼 수 있다. AI 학습에는 필연적으로 대규모 데이터의 활용이 요구되며 이를 뒷받침하려면 기술적 맥락과 사회적 현실을 반영한 유연한 법적 근거가 필요하다. 그런 점에서 '계약의 필요성'과 '정당한 이익'의 적극적인 해석과 적용은 앞으로의 AI 정책과 데이터 활용 논의에서 핵심적인 역할을 하게 될 것이다. AI 모델의 발전은 이제 단순한 IT 기술의 문제가 아니라 국가 경제 전반의 경쟁력과 대한민국 사회 전체의 이익과 직결된 과제가 됐다. 기업들은 경쟁력 있는 AI 기술을 학습하고 고도화하는 일을 생존 전략의 일부로 받아들이고 있으며 일반 국민 역시 AI 기술을 통해 보다 나은 서비스를 누릴 기회를 기대하고 있다. 한국 사회의 현실을 제대로 반영하는 AI 기술을 개발하기 위해서는 국내 이용자에 기반한 데이터가 필수적이다. 우리의 언어, 지리, 문화적 맥락을 반영하지 못하는 기술은 결과적으로 편향되거나 차별적인 판단을 내릴 수밖에 없다. 이러한 문제는 AI가 우리의 일상 속으로 깊이 들어오고 있는 지금 중대한 사회적 문제로 부상하고 있다. 결국 해답은 데이터 접근성의 획기적 확대에 있다. 이미 세계 각국은 데이터 주도권 확보를 위한 경쟁에 돌입했다. 유럽 개인정보보호이사회(EDPB)는 AI 학습을 위한 적법 근거로 '정당한 이익'을 명시했고 일본은 개인정보보호법 개정을 통해 일정한 요건 하에서는 동의 없이도 AI 학습 데이터 활용을 허용하는 방안을 추진 중이다. 이제 우리도 더 이상 논의를 미룰 수 없다. AI 시대에 걸맞은 구체적이고 실행 가능한 법적 기준을 마련해야 할 때다. 데이터 활용과 개인정보 보호는 대립하는 개념이 아니라 조화를 이뤄야 할 정책 목표다. 이를 위한 정교한 설계가 절실하다. 이 중요한 전환점에서 가장 필요한 것은 현장의 현실을 반영한 제도다. 기술을 직접 개발하고 데이터를 다루는 이들의 목소리를 반영하지 못한 규제는 결국 우리 스스로의 경쟁력을 제약하는 결과를 낳게 된다. AI 강국을 향한 우리의 여정이 규제의 그늘 속에 가로막힐 수 있다는 지적에 귀를 기울어야 할 것이다.

2025.04.14 17:17조경식

'블랙야크' 보안 뚫렸다...개인정보 34만 건 유출

의류 브랜드 BYN블랙야크의 회원 34만 명 개인 정보가 유출됐다. 회사는 이번 사고로 소비자들에게 피해가 가지 않도록 최선을 다하겠다는 입장을 냈다. 6일 블랙야크에 따르면, 이번 정보 유출은 지난 4일 해커에 의한 홈페이지 공격을 통해 발생했다. 유출된 개인정보 항목은 ▲이름(닉네임) ▲성별 ▲생년월일 ▲휴대전화 번호 ▲주소 뒷부분 등이다. 블랙야크는 본 사안을 인지한 직후 사고 원인을 파악했고, 해당 IP와 불법 접속 경로를 차단한 뒤 취약점을 점검해 보안 조치했다고 말했다. 개인정부 유출 등으로 인해 손해가 발생한 경우 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있다. 회사는 “개인정보 유출로 인해 심려를 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 “유출로 인한 피해가 발생하지 않도록 최선을 다하겠다”고 했다.

2025.03.06 20:00류승현

지금 뜨는 기사

이시각 헤드라인

"나만 맞아"...SNS 필터 버블·양극화, 사실상 못 고친다

브레이즈 "AI는 선택적 투자나 유행 아닌 마케팅 기본값"

예스24 또 속였나?..."1차 해킹 때 백업망도 랜섬웨어 감염"

블룸버그 "트럼프 행정부, 인텔에 지분 투자 검토"

ZDNet Power Center