검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개보위'통합검색 결과 입니다. (99건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

개보위 "프랙 언급 통신사와 정부기관 해킹 상황 파악중"

북한이나 중국계 해킹 조직으로 추정되는 '김수키'(Kimsuky)가 우리나라 국방부, 방첩사령부(DCC), 외교부, 대검찰청 같은 정부 기관과 KT와 LG유플러스 등 통신사를 지속적으로 해킹해왔다고 주장, 파장을 일으키고 있는 가운데 고학수 개인정보위(위원장 고학수) 위원장이 이 사건과 관련해 4일 기자간담회에서 "내부적으로 (김수키 보고서를) 검토 및 분석하는 작업을 하고 있다"고 밝혔다. 앞서 이 사건과 관련해 과기정통부는 지난 2일 오후 10시 52분 출입기자들에게 보도설명자료를 보내 "한국인터넷진흥원(KISA)과 두 통신사의 침해사고여부 확인을 위해 현장점검 및 관련 자료를 제출받아 정밀 포렌식 분석 중에 있다"면서 "통신사 침해사고 정황 이슈와 관련해 침해사고가 확인되는 경우 투명하게 공개하겠다"고 밝힌 바 있다. 과기정통부가 이날 보도자료가 아닌 보도설명자료를 낸 것은 같은 날 오후 8시 MBC가 뉴스데스크에서 역시 프랙 발표를 인용해 “KT와 LG유플러스에서도 해킹이 있었다고 정부가 잠정 결론 낸 사실이 확인됐지만, 두 통신사가 '해킹으로 볼 수 없다”고 버티면서 정밀조사는 진행되지 않고 있다“고 보도했기 때문이다. 과기정통부가 "정밀 포렌식 분석중"이라고 공식 밝힌 지 거의 이틀만에 개인정보보 관할 수장도 직접 나서 "신중히 들여다 보고 있다"고 언급한 것이다. 고 위원장은 프랙에 언급된 기업 및 기관들에게 연락해 어떤 상황인지 알려달라고 했다면서 "어떤 상황인지 파악중"이라고 말했다. 이어 위원회 내부적으로 상황이 파악된 다음에 어떤 후속작업을 취할지 판단하겠다면서 "아직 침해당했다고 신고를 한 곳은 없다. 실무차원에서 연락을 주고 받고 있는 중"이라고 덧붙였다. 기업이나 기관은 정보시스템 침해와 개인정보 유출을 인지하면 바로 KISA나 개보위에 신고해야 한다. 한편 개보위에 따르면, 서울YMCA가 개보위에 서한을 보내 KT와 LG유플러스의 개인정보유출 의혹에 대해 직접 조사하라고 요청했다. 이에 대해 고 위원장은 "실무선에서 1차적으로 상황 판단을 하고, 정말 본격적으로 바라볼 사안인지는, 일단 기초 자료가 파악이 되고 분석이 된 다음에 판단을 할 수 있다"고 설명했다.

2025.09.04 20:21방은주

공공기관, AI활용 시 개인정보 보호 강화···내일 시행

공공기관들이 인공지능(AI) 활용 사업을 추진할 때 사전에 개인정보보호 리스크를 식별하고 경감할 수 있는 구체적 기준이 마련됐다. 개인정보보호위원회(위원장 고학수, 이하 개인정보위)는 3일 제19회 전체회의를 개최하고 '개인정보 영향평가에 관한 고시' 개정안을 의결했다. 개정 고시는 이달 5일부터 시행한다. 개인정보 영향평가(이하 영향평가)는 개인정보 처리가 필요한 사업 추진 시 사전에 개인정보에 미치는 영향을 분석하고 개선방안을 수립해 개인정보 침해사고를 예방하는 제도다. 공공기관은 일정 규모 이상(①민감·고유식별정보 5만 명 이상 ②다른 개인정보파일과 연계 정보 50만 명 이상 ③개인정보 100만 명 이상) 개인정보 파일을 구축 및 운영하거나 변경할 경우 영향평가를 의무적으로 실시해야 한다. 현행 고시에는 인공지능 분야의 별도 기준이 없어, 인공지능을 도입·활용하는 공공기관들은 영향평가 시 개별적으로 평가항목을 개발해 반영해야 했다. 이에 기관 입장에서는 평가항목이 적정한지 여부를 알기 어려웠다. 이에 개인정보위는 고시 및 안내서를 개정해 ▲인공지능 시스템 학습 및 개발 ▲인공지능 시스템 운영 및 관리 등 2개 세부 평가분야를 신설했다. 먼저, '인공지능 시스템 학습 및 개발' 관련해서는 ①개인정보 처리시 적법한 법적 근거를 확보하고 있는지 ②민감정보·14세 미만 아동정보 등이 불필요하게 포함되지 않는지 ③AI 학습용 데이터의 보유 및 파기를 명확히 규정하고 있는지 등을 검토하도록 했다. 또 '인공지능 시스템 운영 및 관리' 관련해서는 ①AI 개발 및 운영주체 간 책임성 명확화 ②생성형 AI 서비스 제공시 허용되는 이용 방침(Acceptable Use Policy, AUP) 제공 ③생성형 AI 시스템의 부적절한 답변, 개인정보 유·노출에 대한 신고 기능 마련 등 정보주체 권리보장 방안 수립·시행을 주요 평가기준으로 제시했다. 평가항목은 그간 개인정보위에서 발간한 인공지능 맥락에서의 개인정보 보호법 적용을 위한 안내서들을 고려해 마련했다. 예커내, 인공지능 개발· 서비스를 위한 공개된 개인정보 처리 안내서('24.7.), 안전한 인공지능 데이터 활용을 위한 인공지능 프라이버시 리스크 관리모델('24.12.), 생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서('25.8.) 등이다. 상세한 평가항목은 '개인정보 영향평가 수행안내서'를 통해 구체적 해설·사례와 함께 공개되며, 개인정보위는 관련 기관·기업의 적용 사례 등 다양한 의견을 수렴해 평가항목을 지속적으로 개선해 나갈 계획이다. 아울러, 이번에 마련한 인공지능 분야 영향평가 기준은 공공기관 뿐 아니라 민간기업에서도 인공지능을 활용한 개인정보 처리시 잠재적인 위험성을 식별하고 경감하는 사전 예방적 개인정보 보호체계를 구축하는 데 유용한 참고자료로 활용될 수 있을 것으로 전망된다.

2025.09.04 12:00방은주

SKT 역대 최대 1348억원 과징금…부과 근거는

대규모 해킹 사태를 일으킨 SK텔레콤이 유출 사실 신고 이후 4개월여 만에 개인정보보호위원회(개보위)로부터 과징금을 부과받았다. 과징금 및 과태료 규모는 각각 1347억9100만원, 과태료 960만원이다. 개보위는 28일 정부서울청사에서 제18회 전체회의 결과 브리핑을 열고, 개인정보 보호 법규를 위반한 SKT에 대해 과징금 1347억9100만원과 과태료 960만원을 부과한다고 밝혔다. 이는 개보위과 부과한 과징금 중 역대 최대 규모다. 개보위는 또 전반적인 시스템 점검 및 안전조치 강화, 전사적인 개인정보 거버넌스 체계 정비 등 재발 방지를 위한 시정조치(안)를 의결했다. 고학수 개보위 위원장은 브리핑 현장에서 "해커가 SKT 내부망에 침투해 개인정보를 유출한 통신, 인프라 영역에 대한 개인정보 보호 관리·감독이 매우 허술하게 이뤄지고 있었다는 점을 확인했다"며 "이에 SKT에 대해 과징금 및 과태료 부과와 함께 향후 개인정보 보호 강화를 위해 개인정보보호책임자(CPO)가 실질적인 역할과 책임을 다할 수 있도록 체계를 정비하는 한편 재발 방지 대책을 수립해 시행할 것에 대해 시정 명령했다"고 밝혔다. 개보위는 지난 4월 22일 SKT가 비정상적 데이터 외부 전송 사실을 인지하고 유출 신고를 하면서 한국인터넷진흥원(KISA)와 함께 집중조사 태스크포스(TF)를 구성하고 조사에 착수했다. TF는 개보위 조사관 4인과 사내변호사 및 회계사 3인, KISA 조사관 7인 등으로 구성됐다. TF는 현장 조사, 서면조사 및 디지털 증거 수집 등을 통해 SKT 주요 개인 정보처리시스템 대상 유출 여부 규모 등에 대해 집중 조사했다. "해커, 탈취한 계정정보로 관리자 권한 획득…악성코드 심어" 개보위는 이번 사고가 이동통신 이용에 필요한 IMSI 및 유심 인증키가 대규모로 유출됨에 따라 이동통신 서비스의 신뢰도가 저하되고 사회적 불안감이 확산되는 등 국민 생활에 중대한 악영향을 줬다고 판단했다. TF 조사 결과에 따르면 SKT가 제공하는 이동통신 서비스의 핵심 역할을 하는 다수 시스템에 대한 해킹으로 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함, 중복 제거)의 휴대전화 번호를 비롯해 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종의 정보가 유출된 것으로 확인됐다. 유출 경위를 보면 해커는 지난 2021년 8월 SKT 내부망에 최초 침투해 원격 접속한 관리망에서 평문으로 저장된 계정정보를 획득했다. 개보위에 따르면 해커들은 최소 2365대의 서버를 공격해 평문으로 저장된 4899개의 ID 및 패스워드를 탈취해 간 것으로 확인됐다. 해커는 획득한 계정을 이용해 코어망 서버에 접속했고, 더티카우(DirtyCow)라는 취약점을 활용해 운영OS 관리자 권환을 획득했다. 이후 홈가입자서버(HSS) 데이터베이스(DB)에 악성프로그램인 'BPFDoor'를 설치했다. 또 지난 2022년 6월 통합고객인증시스템(ICAS) 내에 악성 프로그램을 설치해 추가 거점을 확보하면서 공격을 시작했다. ICAS는 SKT가 운영하는 티월드(Tworld) 등 사내 서비스 및 인가된 협력사 대상 SKT 가입자의 가입 상태, 정보 및 가입 상품 조회용 API를 제공하는 시스템이다. 해커는 지난 4월 18일 설치해 놓은 악성프로그램을 이용해 외부에서 HSS DB에 명령어를 입력했고, DB에 저장된 이용자 개인정보를 조회해 파일로 추출한 뒤 압축해 외부로 유출했다. 유출 규모는 9.82GB다. 공격받은 ICAS 서버에는 이용자의 이름, 생년월일, 주소, 이메일, 단말기 식별번호(IMEI) 등이 임시 저장돼 있었던 것으로 전해졌다. "개인정보 암호화 없이 평문 저장…불법 침입에 매우 취약" 문제는 이같은 개인정보를 SKT가 암호화하지 않고 평문으로 저장하고 있었다는 점이다. 이에 해커가 유심 복제에 사용할 수 있는 유심 인증키 등을 원본 그대로 확보할 수 있었던 것으로 확인됐다. 평문으로 유출된 유심 인증키는 총 2614만4363건이다. 심지어 SKT는 2022년 유심 복제 등의 이슈가 제기되면서 다른 통신사가 유심 인증키를 암호화해 저장하고 있는 것을 확인했음에도 적절한 조치를 취하지 않아 비판을 피하기 어려워 보인다. 이 외에도 내부 관리 계획 수립·시행 및 점검 소홀, 접속 기록 미보관 등 안전조치의무를 준수하지 않은 데다 SKT가 자체 마련한 내부 규정마저도 다수 위반한 것으로 알려졌다. 뿐만 아니라 지난 4월19일 HSS DB에 저장된 데이터가 외부로 전송된 사실을 확인해 개인정보 유출 사실을 인지했음에도 72시간 내에 유출된 이용자를 대상으로 유출 사실을 통지하지 않았다. 관련법상 개인정보 유출 사고 시 1000명 이상의 정보주체에 관한 개인정보가 유출됐을 경우, 유출 사실을 알게 된 날부터 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고해야 한다. 이에 개보위는 지난 5월2일 SKT에 즉시 유출통지를 진행할 것을 긴급 의결했음에도 불구하고, SKT는 유출 '가능성'에 대해 통지를 실시하는 데 그쳤다. 이후 7월28일이 돼서야 유출 '확정'으로 통지를 실시하는 등 개인정보 유출 시 이용자 피해 예방을 위해 보호법에서 규정한 최소한의 의무조차 이행하지 않았다고 개보위는 지적했다. 개보위는 SKT가 기본적인 접근통제조치도 이행하지 않아 인터넷과 내부망 사이의 보안 운영 환경이 매우 취약한 상태로 관리·운영되고 있었다고 밝혔다. 인터넷망(국내·외)에서 SKT 내부 관리망 서버로의 접근이 제한없이 허용되고 있었던 것이다. 이 외에도 SKT는 침입탐지 시스템의 이상행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 해 유출 사고를 사전에 방지할 기회마저 놓쳤다는 것이 개보위의 판단이다. SKT 내 개인정보보호책임자(CPO)의 역할도 사실상 '반쪽'이었다. 개보위에 따르면 SKT는 CPO의 역할을 IT 영역(Tworld 등 웹·앱 서비스)에 한정되도록 구성·운영했다. 이에 이번 유출 사고가 발생한 인프라 영역은 CPO가 개인정보 처리 실태조차 파악하지 못하는 등 CPO의 관리·감독이 사실상 이루어지지 않았다. 개보위 "SKT 계기로 개인정보 보호 예산·인력 투자 강화돼야" 이번 처분에 앞서 개인정보위는 조사 결과 및 처분 방향에 대해 위원들간 충실한 논의 및 의견수렴을 위해 총 네 차례의 사전 검토회의를 거쳤고, 전날 전체회의 때 사업자가 출석해 의견 개진 및 질의·응답 등을 거친 후 최종 처분안을 확정했다고 밝혔다. 향후 개보위는 유사 사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리 및 감독을 더욱 강화하고, 개인정보 안전관리 체계 강화 방안을 마련해 내달 초 발표할 예정이다. 고학수 위원장은 "이번 SKT 해킹 사태를 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"며 "나아가 데이터 경제 시대 CPO와 전담 조직이 기업 경영에서 차지하는 역할과 중요성을 제고해 개인정보 보호 체계가 한층 강화되는 계기가 되길 바란다"고 말했다. SKT 측은 "이번 결과에 무거운 책임감을 갖고 있으며, 모든 경영활동에 있어 개인정보 보호를 핵심 가치로 삼고 고객 정보 보호 강화를 위해 만전을 기할 것"이라면서도 "다만 조사 및 의결 과정에서 당사 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감이다. 향후 의결서 수령 후에 내용을 면밀히 검토해 입장을 정리할 예정"이라고 밝혔다. 다음은 브리핑 현장에서 고학수 위원장과의 일문일답. - 과징금 규모를 선정하게 된 경위는 "과징금 규모 선정은 전체 매출액에서부터 출발한다. 사건과 관련이 없는 매출액을 제외한 후 과징금 고시에 마련된 구체적인 기준에 따라 기준금액을 정하게 된다. 기준금액 결정 이후 중대성 판단을 하는데, 조정 절차를 거쳐 과징금을 최종 결정하게 된다. SKT의 연결 재무제표상 매출은 17조원 정도 되는데, 개인고객이 아닌 법인 고객 등 관련 없는 매출을 제외하고 기준금액을 결정했고, 중대성은 '매우 중대함'으로 결정됐다." - SKT 측 CPO의 역할이 제한적이었던 배경은 무엇인가. "SKT가 CISO를 새로 영입했고 회사 내부에서 조직 개편을 일부 한 것으로 확인됐다. 이런 개편은 현재도 진행 중이며, 조사 과정에서 파악된 CPO 관련 문제는 IT 전반을 다루는 부서와 인프라 네트워크 인프라 부서 사이의 역할구분이 실질적으로 있었다는 것이다. CPO가 네트워크 인프라도 확인할 수 있긴 했지만, 제한적으로만 보는 업무 관행이 있었던 것 같다" - 27일 진행된 전체회의에서 SKT는 어떤 입장을 밝혔나. "기존에는 SKT가 문제 상황이 발생하긴 했지만 회사가 할 수 있는 합리적인 선에서 적극적인 소명을 했다. 27일 전체회의에서는 '사실 문제가 있었던 것이 많고, 아쉽고 죄송스럽게 생각한다'면서 '개보위와 훨씬 더 적극적으로 소통하겠다'는 입장을 밝혔다" - 과징금 규모가 적지 않다 보니 SKT가 행정 소송에 나설 것 같은데, 이와 관련한 개보위 입장은 무엇인가. "소송 여부는 개보위가 예단할 사안이 아니다. 다만 조사하고 처분하는 과정에서 TF를 꾸려서 진행했는데, TF에 투입된 인력이 이례적으로 많았다. 조사 전문가뿐 아니라 법률회계 전문가 등이 투입돼서 전체적인 조사를 꼼꼼히 진행해 처리했다." - 27일 전체회의에서 위원들은 어떤 반응을 보였나. "SKT가 꽤 오랜 기간 전반적으로 취약한 상태였음에도 불구하고 조치를 할 수 있는 계기를 계속해서 놓쳐왔던 부분에서 위원들이 답답함을 느꼈다. 국민 절반이 사용하는 통신사인데 매우 중대한 정보의 성격의 개인정보가 유출됐고, SKT가 관리를 못했다는 문제의식이 강했다" - SKT 해킹 사태가 처음 불거졌을 당시 유심 복제에 대한 우려가 컸다. 개보위는 유심복제가 가능하다고 판단했는가. "과거에는 유심 복제가 수월했으나, 이상징후 탐지(FDS) 기술과 더불어 유심보호 서비스 등이 고도화되면서 현시점에서 유심 복제는 거의 불가능하다고 본다." - 다른 기업이 해킹 사고를 당했을 때 SKT와 비슷한 수위로 처벌할 것인가. "모든 사건마다 독특한 특징이 있다. 일관성있게 법을 적용하는 것은 너무나 당연하지만 개별 사건의 특수성도 고려돼야 한다."

2025.08.28 12:47김기찬

개보위, SKT 제재안 27일 상정…과징금 얼마나?

개인정보보호위원회(위원장 고학수)는 대규모 고객 유심(USIM) 정보 유출 사고가 발생한 SK텔레콤(SKT)에 대한 제재안을 오는 27일 전체회의에 상정하기로 했다고 21일 밝혔다. 전체회의는 비공개로 열린다. 이날 결론이 나면 개인정보위는 별도 브리핑을 통해 결과를 설명할 예정이다. 앞서 개보위는 지난 4월 SKT로부터 개인정보 유출 신고를 받은 뒤 조사에 착수한 바 있다. 이후 4개월여 조사를 거쳐 이번 전체회의가 열리는 것이다. 조사 과정동안 개보위는 SKT가 개인정보를 유출한 이후 고객 통지를 제대로 했는지, 외부 침입 차단 등 안전조치 의무를 준수했는지 등을 중점적으로 점검했다. 개보위는 대부분의 조사 절차를 마치고 지난달 말 SKT에 처분 사전통지를 했다. '개인정보보호위원회의 조사 및 처분에 관한 규정'에 따르면 예정된 처분에 대해 개보위 조사관은 사전통시서를 당사자에 통지해야한다. 사전통지서에는 처분 원인 및 내용, 적용 법령, 의견 제출 기한 등이 포함된 것으로 알려졌다. 고학수 개보위 위원장은 이달 초 열린 '생성형 인공지능 프라이버시 오픈 세미나'에서 SKT 제재와 관련해 "법과 원칙에 따라 엄정하게 처분할 것"이라고 언급한 바 있다. 개인정보보호 당국이 엄정 처분을 예고한 만큼 제재 수위에 대한 관심은 더욱 높아지는 모양새다. 개인정보보호법에 따르면 과징금은 매출액 3% 이내에서 부과할 수 있다. 고시 기준에 따라 가중·감경 사유들을 전반적으로 고려 후 개인정보위 전체회의를 열어 제재 수준을 정하게 된다. SKT의 지난해 매출액은 17조9406억원이다. 이 중 무선통신사업 매출액은 약 12조7700억원으로, 최대 3%에 해당하는 약 3800억원대의 과징금이 부과될 것이라는 관측도 나온다. 다만 SKT가 개인정보 유출 사실을 자발적으로 신고하고 피해자 구제와 재발 방지 대책도 내놨던 만큼 감경 사유로 적용돼 과징금 수위는 이보다 낮아질 가능성도 크다. 지난달 과학기술정보통신부(과기정통부)가 발표한 SKT 침해사고 최종 조사결과에 따르면 총 28대가 공격을 받았고, 악성코드 33종이 발견돼 조치가 완료됐다. 유출된 정보는 9.82GB(기가바이트) 규모의 유심 정보 25종과 가입자 식별번호(IMSI) 기준 2천696만건이다. 과기정통부는 SKT 해킹 사태가 SKT의 계정정보 관리 부실과 2022년 2월 있었던 침해사고에 대한 대응 미흡 등에 원인이 있다고 봤다. 아울러 계정 비밀번호 관리 강화, 주요 정보 암호화, 정보보호관리체계(거버넌스) 강화, 정보보호 인력 및 예산 확대 등의 재발방지 대책을 마련할 것을 강조했다.

2025.08.21 13:58김기찬

예스24 또 속였나?..."1차 해킹 때 백업망도 랜섬웨어 감염"

랜섬웨어 감염으로 두 달 만에 서비스가 먹통됐던 예스24가 지난 첫 해킹 사고 때 백업망까지 랜섬웨어에 감염됐음에도 이를 숨긴 것으로 확인됐다. 랜섬웨어는 컴퓨터 시스템을 사용자가 사용하지 못하도록 만든 후 이를 볼모로 금전을 요구하기 위해 퍼뜨리는 악성 파일이다. 당시 회사는 “(랜섬웨어 해킹 피해를 입었지만) 서버 백업이 완료돼 있어 이를 바탕으로 복구작업을 진행하고 있다”고 밝혔지만, 실제로는 백업 데이터 접근이 어려웠거나 불가능했을 것으로 추정된다. 또 예스24는 피해 규모가 컸던 1차 해킹 사태 때는 보상안을 내놨지만, 이번 2차 피해 보상안 관련해서는 별다른 입장을 내지 않고 있다. 소비자 신뢰 회복을 약속했던 대표이사 공식 사과도 없었다. 회사 측은 "피해 보상과 관련해 현재 결정된 것은 없다"는 입장이다. 두 달만에 재발한 랜섬웨어 해킹 사고...7시간 만에 서비스 복구 예스24는 지난 11일 새벽 4시30분 경 랜섬웨어 방식의 해킹 공격으로 서비스 접속 장애가 약 7시간 가량 이어졌다. 홈페이지와 앱은 이날 오전 11시 30분경 다시 복구됐다. 불과 두 달 만에 예스24는 또다시 랜섬웨어 공격으로 홍역을 치뤘다. 이 때 예스24는 "혹시 모를 가능성에 대비해 시스템을 긴급 차단해 추가 피해를 방지하고 보안 점검 및 방어 조치를 시행하고 있다"며 공지했다. 또 "백업 데이터를 통해 서비스를 빠르게 복구 중"이라고 안내했다. 지난 6월 처음 랜섬웨어 공격을 받았을 당시 예스24는 5일 간 서버 장애를 겪었으며, 티켓 정보를 확인할 수 없었던 일부 공연의 경우 진행과 예매가 취소되며 이용자 불편을 초래했다. 도서 고객도 주문한 책을 제 기간에 받지 못했다. 2차 해킹 사태 복구 과정에 대해 예스24는 “랜섬웨어 공격이 있었고 동시에 이를 차단했다”며 “백업 데이터도 있었고, 문제가 없는지 점검하고자 서비스를 중단했다. 이후 점검을 거쳐 서비스를 재개하는 과정에서 시간이 소요된 것”이라고 설명했다. 백업 데이터로 복구하겠다더니…알고보니 업무망·서비스망·백업망 다 감염 이번 두 차례의 예스24 해킹 사고와 관련해 한국인터넷진흥원(KISA)은 실태 조사를 위해 현장조사를 벌이기도 했다. 구체적인 피해 원인과 범위 등은 아직 조사 중인 것으로 알려졌다. 다만 지난 1차 해킹 사고 당시 예스24 공식 입장과 대응에는 여전히 여러 의혹이 풀리지 않고 있다. 특히 백업 데이터가 있어 이를 바탕으로 서비스를 복구 중이라는 당시 회사 측 설명도 거짓이었던 것으로 보인다. 정부 측 설명에 따르면, 당시 예스24는 백업망까지 랜섬웨어에 감염돼 접근이 어려웠기 때문이다. 이번 해킹 사건 조사를 담당하는 과학기술정보통신부 관계자는 “이번 주 발생한 해킹 사건은 아직 조사 진행 중”이라며 “(1차 해킹 사태가 일었던) 6월에는 (해커가 예스24의) 업무망, 서비스망, 백업망까지 접근해 (랜섬웨어를) 감염시켰다”고 밝혔다. 이어 “백업이 있더라도 랜섬웨어에 감염시켜버리면 끝”이라며 “6월 해킹 사건 조사 과정에서 나왔던 보안 미비점에 대해 조치를 취하도록 이야기했고, 그 결과 이번에는 그쪽(백업망)까지는 감염이 안됐고 서비스망만 감염이 돼 빠르게 복구할 수 있었다”고 설명했다. 이는 당시 예스24가 내놓았던 주장과는 전혀 상반된다. 예스24는 지난 6월 12일 발표한 2차 사과문에서 “현재 조사 결과 주요 데이터 일체의 유출이나 유실이 발생하지 않았으며 정상적으로 보존된 상태임을 확인했다”며 “또한 서버 백업이 완료돼 있어 이를 바탕으로 복구 작업을 진행하고 있다”고 알렸다. 그러나 당시 보안·개발 전문가들은 백업 데이터가 있다면 서비스 재개가 그렇게 지연될 이유가 없다며, 예스24의 대응 방식과 느린 복구 속도에 의구심을 드러낸 바 있다. 예스24가 랜섬웨어 해킹 사건 해결 과정에서 거짓말 논란에 휩싸인 건 이번이 처음이 아니다. 앞선 6월 예스24는 랜섬웨어에 의한 해킹이라는 사실을 뒤늦게 알려 늑장대응으로 비판을 받기도 했으며 KISA와의 협업 사실은 KISA 측에서 전면 부인하며 거짓 해명 논란을 빚기도 했다. 이후 지원이 종료된 운영체제(OS) 사용이 랜섬웨어 감염의 원인으로 지목됐으며, 해커에게 수십억원에 달하는 비트코인을 주고 랜섬웨어 사태를 해결한 것이란 언론 보도가 나오기도 했다. 2차 해킹 피해 보상안은?…“공식적으로 나온 것 없어” 해킹 피해 이후 서버가 복구된 지 수일이 지났음에도 예스24는 이번 홈페이지, 앱 마비 사건에 대한 별다른 보상안을 제시하지 않고 있는 상황이다. 예스24 관계자는 보상안과 관련해 “공식적으로 나온 것은 없다”며 “통상적으로 공연은 오후에 많이 진행돼 이번에는 피해를 입은 공연이 없는 것으로 안다”고 답했다. 보상안 마련에 미온적인 반응을 보이는 것은 지난번 사태와는 대조된다. 지난 6월 사태에는 13일 서비스가 일부 복구된 후 3일이 지난 16일에 1차 보상안을 발표했다. 다음날인 17일에는 2차 보상안을 발빠르게 발표하기도 했다. 1차 보상안에는 무상 반품과 함께, 포인트 2천 점에 해당하는 출고 지연 보상, 공연을 제대로 관람하지 못한 고객을 대상으로 티켓 금액 120% 환불 등의 내용이 담겼다. 2차에는 전체 회원을 상대로 YES상품권 5천 원권과 크레마클럽 무료 이용권(30일) 지급 등의 보상안을 마련했다. 온라인 상품 구매 회원은 무료 배송 쿠폰 1장을, 이(e)북 구매 회원은 이(e)북 전용 YES상품권 5천원을 받았다. 예스24 과실 입증 시 보상받을 수 있다 예스24에서는 대책 마련에 미온적이지만, 보상받을 수 있는 가능성은 열려있다. 공정거래위원회 전자상거래 표준약관 제5조 2항에 따르면 전자상거래업체는 정보통신설비의 보수점검·교체 및 고장, 통신의 두절 등의 사유가 발생한 경우 서비스의 제공을 일시 중단할 수 있다고 규정하고 있다. 이같은 사유로 서비스 제공이 일시적으로 중단될 경우 이용자 또는 제3자가 입은 손해에 대해 배상해야 한다고 명시하고 있다. 다만, 전자상거래업체가 고의 또는 과실이 없음을 입증하면 보상을 하지 않아도 된다고 안내하고 있다. 예스24는 사업영역을 전자상거래로 신고한 상태다. 법무법인 위민 이주한 변호사는 “회사에서 피해를 방지하기 위해 어떤 장치를 해뒀는지와 어떤 절차를 수립했는지, 어떤 노력을 했는지에 대한 자료가 있다면 (공정위가) 노력했다고 판단할 수 있다”며 “그러나 시정을 해야함에도 불구하고 아무런 조치를 하지 않았다면 노력을 안했다고 볼 수 있다”고 말했다.

2025.08.14 17:22박서린

가명처리된 정보 활용, SKT는 무죄·스캐터랩은 유죄...왜?

가명처리된 개인정보를 활용한 두 기업에 대해 법원이 서로 다른 판단을 내리면서, 개인정보보호법 해석의 기준과 일관성 관련해 의문이 제기된다. SK텔레콤은 가명정보를 본인 동의 없이 활용한 사례에서 법원의 정당성을 인정받았지만, 인공지능 챗봇 '이루다'를 개발한 스캐터랩은 같은 법 아래에서 위법 판결을 받았기 때문이다. 두 사례 모두 가명처리를 했다는 공통점이 있지만, 활용 목적과 식별 가능성 수준의 차이가 판결의 갈림길이 된 것으로 분석된다. 법원 "SK텔레콤은 식별 위험 낮아” vs "스캐터랩은 식별 가능성 존재" 정부는 지난 2020년 개인정보보호법을 개정해 가명 처리된 개인정보를 통계 작성, 과학적 연구, 공익적 기록 보존 등을 목적으로 하는 경우 본인 동의 없이도 활용하거나 제3자에게 제공할 수 있도록 허용했다. 디지털 경제 활성화를 위한 데이터 산업 육성이 입법 취지였다. 대법원은 지난 1일 SK텔레콤 가입자들이 제기한 '가명처리 중단' 소송에서 원고 청구를 기각했다. SK텔레콤이 가입자의 개인정보를 가명 처리해 제3자에게 제공한 행위가 개인정보보호법에 위반되지 않는다고 판단한 것이다. 재판부는 “SK텔레콤의 가명처리는 통계 작성과 연구 목적으로 이뤄졌으며, 개인정보에 대한 식별 위험성을 낮추는 방식”이라며 “가명정보의 활용은 사생활 침해 위험이 발생하는 일반적인 개인정보 처리와 구별된다”고 판시했다. 반면 1심 법원은 지난 6월 이루다 개발사 스캐터랩에 대해 개인정보보호법 위반으로 위자료를 배상하라고 판결했다. 스캐터랩 측은 가명 처리된 카카오톡 메시지를 활용했으며, 개발 목적이 과학적 연구라고 주장했지만 받아들여지지 않았다. 당시 재판부는 “스캐터랩의 가명처리는 특정 개인의 식별 가능성을 완전히 배제하지 못했다”며 “이루다 개발은 상업적 목적의 챗봇 제작으로, 개인정보보호법이 허용하는 과학적 연구에 해당하지 않는다”고 판단했다. 핵심 쟁점은 '식별 가능성'과 '목적의 정당성' 법률 전문가들은 두 사건 간 판결이 달라진 핵심으로 ▲가명처리 수준의 차이와 ▲활용 목적의 정당성 여부를 지적하고 있다. 구태언 법무법인 린 변호사는 “SK텔레콤은 적절한 방식으로 가명처리를 수행했고, 데이터 활용 목적도 법에서 정한 공익적 범위에 해당한다”며 “반면 스캐터랩은 가명처리가 불충분했고, 상업적 용도로 활용한 점에서 문제가 된 것”이라고 설명했다. 보안 업계 관계자도 “가명 처리했다고 해서 자동으로 식별 가능성이 사라지는 것은 아니다”라며 “가명정보와 원본 데이터를 연결할 수 있는 키가 존재할 경우 언제든지 개인을 특정할 수 있다”고 지적했다. 가명정보는 민감한 개인정보를 보호하면서도 산업·연구 목적으로 데이터를 활용할 수 있도록 하는 대안으로 주목받아 왔다. 그러나 처리 수준에 따라 사생활 침해 우려가 발생할 수 있고, 중소기업이 이를 감당하기 어려운 경우도 많아 제도적 보완 필요성이 제기된다. 고려대 정보보호대학원 권헌영 교수는 “가명정보라 하더라도 원칙적으로 동의 없이 제3자에게 제공되는 것은 위험 요소가 존재한다”며 “가명처리는 대규모 인프라를 갖춘 기업 중심으로 이뤄지고 있어, 일반 기업이 이를 제대로 수행하기는 쉽지 않다”고 말했다. 이어 “현재는 가명처리된 정보를 특정할 수 있다면 이를 활용한 주체가 개인정보를 수집한 것으로 간주한다”면서 “불법 활용을 막기 위해서는 민감정보를 별도 처리하거나, 정보 제공자가 명시적으로 제외를 요청할 수 있도록 제도를 정비할 필요가 있다”고 강조했다. 책임 있는 활용 위한 기술적·제도적 기준 필요 전문가들은 앞으로 가명정보의 안전한 활용을 위해 기술적 기준뿐 아니라, 사업자 책임·정보보호 가이드라인 강화 등 제도 전반의 재정비가 필요하다고 강조한다. 보안 업계에서는 '태깅 처리' 방식이 하나의 대안으로 제시되기도 한다. 정보에 키워드를 부여하고 원본과 분리된 상태로 데이터를 유통하면 원본 식별 가능성을 줄일 수 있다는 것이다. 업계 전문가는 "결국 개인정보 가명처리는 단순한 기술 문제가 아닌, 책임성과 투명성 확보의 문제라는 점에서 제도적 보완이 병행돼야 한다"며 "동일한 법 아래에서 전혀 다른 결론이 나오는 상황은 법 적용의 일관성과 예측 가능성을 떨어뜨리는 요인이 될 수도 있다"고 우려하기도 했다.

2025.08.06 15:55박서린

"슈퍼앱 DW, 접속기록 2년 보유해야"...개보위, 네이버 등에 권고

개인정보보호위원회(위원장 고학수)는 23일 제16회 전체회의를 열고, 슈퍼앱 등 주요 앱 서비스에 대한 사전 실태점검 결과를 심의, 의결했다. 이번 심의에서 개보위는 내부통제 강화와 보호법에 명시된 대로 '데이터웨어(DW)' 접속기록을 2년간 관리·점검할 것을 개선, 권고했다. 사전실태점검은 개인정보 보호 취약점을 선제적으로 점검해 침해 위험을 사전에 예방하는 제도로, 법위반사항 발견 시 시정권고, 처리실태 개선필요 판단 시 개선권고를 한다. 사전 점검을 한 '슈퍼앱'은 하나의 앱에서 검색, 쇼핑, 금융·결제, 기타 생활밀착형 기능 등 다양한 서비스를 제공하는 온라인 플랫폼이다. 슈퍼앱에서는 여러 사업자가 서로 연계돼있어 이용자의 개인정보가 충분한 설명이나 통제 없이 이전·공유될 우려가 있으며, 이로 인해 이용자가 슈퍼앱 내에서 자신의 개인정보 처리 흐름을 정확히 파악하기 어려울 수 있다는 우려가 제기돼 왔다. 또 슈퍼앱과 같은 다기능 플랫폼에서 축적한 데이터는 AI 학습 및 관련 서비스 개발에 핵심자원으로 활용될 가능성이 높다. 따라서 슈퍼앱에서 처리되는 개인정보 보호에 대한 안전한 관리의 요구가 커지고 있는 상황이다. 이에, 개인정보위는 카카오톡, 네이버, 쿠팡, 배달의민족, 당근 등 5개 앱 서비스에 대한 사전실태점검을 실시했고, 주요 점검 결과는 다음과 같다. 개선권고❶: 개인정보 이전·연계 지점 관리 강화 슈퍼앱은 응용 프로그램 인터페이스(application Programming Interface, API)와 데이터 분석저장소(Data Warehouse, DW) 등 두 방식으로 고객 개인정보를 처리자 간에 이전하거나 공유하고 있다. API는 서로 다른 서버 간 데이터를 주고받기 위해 일방이 호출하고 상대방이 응답하는 전송방식을 말한다. 예컨대, 슈퍼앱 내 A쇼핑이 사용자 결제요청을 처리할 때 API를 통해 B페이에 결제정보를 전송하는 것이다. 또 DW는 운영 서버(이용자측과 연동되어 직접 서비스를 제공하는 서버)와 구분, 별도 구축한 분석용 데이터베이스를 말한다. 예를 들어, 슈퍼앱 내 A쇼핑이 DW에 결제 내역 데이터가 저장되면, 데이터 분석가 등이 접속해 마케팅 대상 정보를 추출 및 분석하는 걸 말한다. 이와 관련, 개인정보위는 ▲API 등 개인정보의 외부 이전 경로 생성 및 배포 ▲DW 등 개인정보처리시스템에 접근 권한 부여 등 중요사항에 대해서는 소관 사업부서 자체적으로 수행할 것이 아니라 반드시 개인정보 보호담당부서 참여하에 결정될 수 있도록 내부통제를 강화할 것과 보호법에 명시된 대로 DW 접속기록을 2년간 관리·점검할 것을 개선권고 했다. 개선권고❷: 개인정보 처리의 적법성·투명성 및 정보주체 권리보호 강화 > 사업자들은 계약 이행 등에 필요한 개인정보 수집·이용·제공의 근거를 대부분 '필수 동의' 사항으로 명시하고 있다. 개인정보 보호법 상 이러한 경우는 정보주체 동의가 없어도 수집·이용할 수 있다. 대신, 해당 내용은 반드시 보호법규에 맞춰 개인정보처리방침 등을 통해 고지해야 한다. 사용자가 계약에 따른 서비스를 받기 위해 반드시 필요한 개인정보에 대해 동의를 받는 것은 사실상 불필요한 절차인데다, 동의 항목이 너무 많을 경우 자칫 사용자가 실제 동의가 필요한 항목을 제대로 확인하지 못할 소지가 있기 때문이다. 이에 개인정보위는 불필요한 동의 관행을 줄임으로써 개인정보 처리의 투명성을 높이고, 사용자의 실질적인 선택권을 보장하기 위해 서비스 가입시 계약 이행 등 필수 사항은 개인정보처리방침 등을 통해 고지하고, 이용자 동의가 필요한 항목에 대해서만 동의를 받아 처리하도록 개선권고했다. 아울러, 이용자 본인의 정보가 처리되는 범위를 결정할 수 있는 개인정보자기결정권 보장을 위해 ▲서비스 이용약관 등에 슈퍼앱의 서비스 목록을 명확히 안내하고 ▲개별 서비스를 탈퇴하는 기능을 마련하며 ▲개인정보 처리정지·삭제요구 절차를 알기 쉬운 방법으로 안내하도록 개선 권고했다. 사전 실태점검 의의 이번 사전 실태점검은 국민 대다수가 이용하는 슈퍼앱 서비스의 개인정보 처리 과정 전반을 선제적으로 살펴봄으로써, 국민 생활과 밀접한 서비스에서 발생할 수 있는 개인정보자기결정권 침해 위험을 사전에 차단하는 한편, 슈퍼앱 등을 통해 데이터를 활용하는 IT 기업 전반의 책임성 강화를 위한 내부통제 기준을 제시했다는 의의가 있다고 개보위는 설명했다. 개인정보위는 향후 이행점검 등 절차를 통해 이번 개선권고 사항이 제대로 준수되는 지를 지속적으로 확인해 나갈 계획이다.

2025.07.24 12:00방은주

"AI기술 활용 보이스피싱 사기 막아”

개인정보보호위원회(위원장 고학수)는 9일 제15회 전체회의를 열고 엘지유플러스(LG U+), 케이티(KT)의 '금융사 연계 보이스피싱 탐지 서비스'에 대한 사전적정성 검토 결과를 심의, 의결했다. 사전적정성 검토 신청 내용 두 통신사는 자사 가입자의 전화 수발신 내역 데이터를 활용해 보이스피싱 의심번호를 예측(수사기관이 적발한 범죄이용 전화번호 뿐 아니라 아직 적발하지 못한 전화번호에서 걸려오는 전화사기 가능성까지 미리 예측)하고 이를 금융사의 이상거래 탐지·차단에 이용하는 서비스를 출시하기에 앞서 개인정보위에 사전적정성 검토를 신청했다. 신청내용을 살펴보면, 먼저 각 통신사는 수사기관 등으로부터 공유받은 보이스피싱 전화번호의 통화·문자 수발신 패턴(이하 통화패턴:수발신일시, 통화 착신여부, 종료시간 등 패턴. 통화·문자 내용은 미포함)을 학습한 인공지능(AI) 모형을 개발하고, 보이스피싱 전화번호와 통화패턴이 극히 유사한 다른 전화번호들을 분류해 '보이스피싱 의심번호 데이터베이스(DB)'를 구축하게 된다. 금융사는 보이스피싱 피해 의심 상황(예: 이상거래탐지시스템(FDS) 탐지) 발생 시 해당 고객이 최근 보이스피싱 의심번호와 통화한 적이 있는지 여부를 통신사에 조회하며, 이를 참고하여 실제 보이스피싱으로 판단되는 경우(이하 '정탐지') 거래 차단 등의 조치를 취한다. 더불어, 통신사가 보이스피싱 의심번호를 잘못 탐지(이하 '오탐지')해 금융사가 정상 거래로 처리한 경우, 그러한 정·오탐지 결과를 통신사에 회신해 추후 인공지능 모델 개선 등에 활용하게 된다. 참고로 통신사·금융사 간 조회·회신은 기존에 금융사와 시스템을 연계해 둔 중계사(코리아크레딧뷰로)를 경유해 이뤄진다. 검토 결과 개인정보위는 이용자 보호 강화와 개인정보 오남용 방지를 위한 방안을 사업자 측에 제시,협의했고, 서비스 개시 후 실제 이행여부를 점검할 예정이다. 우선 첫째, 이번 서비스를 보이스피싱 피해 예방 목적으로만 운영하고, 이와 관련된 개인정보 처리 개요를 이용자가 명확히 인지할 수 있도록 통신사와 금융사의 개인정보처리방침을 통해 고지하도록 했다. 둘째, 통신사는 중계사와 개인정보 처리위탁 계약을 체결하고, 보이스피싱 의심번호 데이터베이스(DB)가 해당 업무를 위해서만 안전하게 처리되는지 여부를 관리·감독하도록 했다. 셋째, 금융사는 고객의 금융사기 노출위험 판단이 필요한 상황에서만 보이스피싱 의심번호 데이터베이스(DB)를 조회하고, 이 정보를 다른 목적으로 활용하지 않게 했다. 또 당해 금융거래를 차단 또는 허용할지 판단해 통신사에게 정·오탐지 결과를 회신할 의무가 있다는 내용의 계약을 통신사(또는 중계사)와 체결하도록 했다. 이번 심의·의결 의의 이번 의결로 다수 금융기관이 국내 이동통신 3사를 대상으로 보이스피싱 의심번호 조회 서비스를 이용할 수 있게 돼 대다수 국민이 보다 고도화된 금융사기 피해 예방 서비스를 받을 수 있게 됐다는 점에서 의미가 있다고 개보위는 밝혔다. 개인정보위는 앞으로도 사전적정성 검토제를 통해 개인정보 처리 환경에 적합한 법 적용 방안을 마련함으로써 개인정보 침해 요소를 선제적으로 예방하는 한편, 인공지능(AI) 등 신서비스·신기술 기획 과정에서 현장의 불확실성을 해소하고 개인정보의 안전한 활용을 적극 지원할 계획이다.

2025.07.10 12:00방은주

개인정보보호법 위반 비와이앤블랙야크 과징금 13억9100만원

개인정보보호위원회(위원장 고학수)는 9일 제15회 전체회의를 열고 개인정보 보호 법규를 위반한 비와이엔블랙야크와 한국토픽교육센터에 총 14억 1400만 원의 과징금과 270만 원의 과태료를 부과하고, 공표 명령을 하기로 의결했다. 비와이엔블랙야크는 의류 용품 등 제조·판매 서비스를 운영하고 있고, 한국토픽교육센터는 온라인 교육 콘텐츠 서비스를 운영하고 있다. 비와이엔블랙야크:과징금 13억 9100만 원 부과, 공표 명령 해커는 2025년 3월 1일부터 4일까지 4일간 비와이엔블랙야크가 운영하는 웹사이트에 에스큐엘(SQL) 삽입 공격을 시도해 관리자 계정 정보(아이디, 비밀번호)를 탈취했다. 이후 해커는 탈취한 계정 정보로 관리자 페이지에 로그인 후 이용자 34만2253명의 개인정보(이름, 성별, 생년월일, 휴대폰 번호, 주소 일부(동·호수 등)를 내려받아 탈취했다. 에스큐엘(SQL, Structured Query Language) 삽입 공격은 웹사이트 취약점을 이용해 악의적인 에스큐엘(SQL, 데이터베이스 명령어)문이 실행되게 함으로써 데이터베이스를 비정상적으로 조작하는 공격 기법이다. 개인정보위 조사 결과, 비와이엔블랙야크는 웹사이트를 개설한 2021년 10월부터 에스큐엘(SQL) 삽입 공격 취약점에 대한 점검·조치를 소홀히 했다. 재택근무 등의 사유로 외부에서 관리자 페이지에 접속이 가능하도록 운영하면서 아이디, 비밀번호 외 안전한 인증수단을 적용하지 않은 사실이 확인됐다. 이에 따라 개인정보위는 비와이엔블랙야크에 과징금 13억 9100만 원과 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다. 한국토픽교육센터:과징금 2300만 원 및 과태료 270만 원 부과, 공표 명령 해커는 2024년 3월 12일 한국토픽교육센터가 운영하는 웹사이트에 에스큐엘(SQL) 삽입 공격을 시도해 데이터베이스(DB) 내 이용자 8만4085명(중복 포함)의 개인정보(아이디, 비밀번호(암호화), 이름, 생년월일, 성별, 연락처, 휴대폰 번호, 이메일, 주소 등이며, 유출 항목별 유출 건수는 상이함) 탈취 후 텔레그램에 공개했다. 개인정보위 조사 결과, 한국토픽교육센터는 운영 중인 웹사이트에 에스큐엘(SQL) 삽입 공격을 방지하기 위한 취약점 점검 및 조치를 소홀히 했고, 개인정보처리시스템에 대한 개인정보취급자의 접속기록을 보관·관리하지 않은 사실이 확인됐다. 아울러, 개인정보 유출을 인지하고 정당한 사유 없이 72시간을 경과해 유출 통지한 사실도 확인됐다. 이에 따라 개인정보위는 한국토픽교육센터에 과징금 2300만 원 및 과태료 270만 원을 부과하고, 처분받은 사실을 운영 중인 홈페이지에 공표할 것을 명령했다. 이번 조사·처분 의의 디지털 전환 가속화로 재택근무 등이 많아지며 외부접속을 허용하는 사례가 크게 늘고 있어, 권한 있는 사용자인지를 판별하기 위해서는 아이디/비밀번호 외 안전한 추가적 인증수단의 적용이 어느 때보다 중요해졌다. 또, 에스큐엘(SQL) 삽입 공격은 널리 알려진 기본적인 해킹 수법임에도 이를 예방하기 위한 보안조치가 소홀할 경우 대규모 개인정보 유출 사고로 이어질 수 있는 만큼 개인정보처리자는 웹 취약점 점검 등 보안대책을 강화하는 등 각별한 주의가 필요하다고 개보위는 밝혔다.

2025.07.10 12:00방은주

개보위, AI개발·활용用 개인정보 처리 안내서 곧 마련

인공지능(AI) 대전환이라는 시대적 흐름에 발맞춰, 신기술 발전에 걸맞게 개인정보 보호 체계를 선진화하기 위해 민관이 함께 머리를 맞댔다. 개인정보보호위원회(위원장 고학수)는 8일 오후 서울 서초구 소재 '서울 AI 허브'에서 민간 전문가 및 유관 부처 관계자 등이 참석한 가운데 '인공지능 프라이버시 민·관 정책협의회' 제4차 전체회의를 개최했다. 이날 협의회는 '인공지능 프라이버시 리스크 진단 및 인증 방안 연구'와 '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(안)'에 대해 논의했다. 개인정보위는 이번 전체회의 논의를 통해 제시된 시민단체, 관계부처, 전문가들의 의견을 반영해 '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서'를 7월 말까지 마련할 계획이다. '인공지능 프라이버시 민·관 정책협의회'는 학계, 법조계, 산업계, 시민단체 등 인공지능 분야 차세대 전문가 30여 명으로 구성된 조직으로 2023년 10월 발족했다. 인공지능 발전은 국민 일상에 편의성과 혁신을 안겨주고 있지만, 지속 가능한 발전이 되기 위해서는 기술이 초래하는 개인정보 침해 위험 등 잠재적 부작용을 예방하고 완화할 수 있는 제도적 안전장치가 필요한 실정이다. 이에, 개인정보위는 작년 12월 '인공지능(AI) 프라이버시 리스크 관리 모델'을 통해 인공지능 모델에 내재한 프라이버시 리스크 관리 절차와 리스크 유형 및 경감 조치 등을 안내한 바 있다. 또 이를 체계적으로 진단 및 측정할 수 있는 기준 제시는 후속 과제로 유보, 현재 국내 인공지능 환경에 적합한 사전적·예방적 관점의 구체적 안전관리 체계 구축 방안을 다방면에서 검토하고 있다. 이번 전체회의에서 김병필 카이스트 교수(정책협의회 1분과장)는 인공지능 프라이버시 리스크에 대한 구체적 진단 및 인증 방안을 제언했다. 김 교수는 “지금 인공지능은 멀티 에이전트 시스템으로 빠르게 나아가고 있다.”면서 “변화하는 환경 속에서 발전한 기술을 활용하면서도 충실하게 개인정보를 보호하기 위해 민‧관이 함께 지혜를 모으는 것이 꼭 필요하다"고 밝혔다. 산업계와 학계 중심으로 논의한 프라이버시 리스크 진단의 최신 기술 및 우수 사례를 비교‧분석한 결과와 인공지능에 내재된 프라이버시 리스크를 체계적으로 진단 및 평가할 수 있는 프레임워크 구축 방안 등에 대한 관점을 공유했다. 개인정보위는 이날 민간 전문가 및 관계부처 등에서 제시한 의견을 검토 및 반영하고, 또 후속 정책연구를 추진해 향후 인공지능 프라이버시 리스크에 대한 체계적 진단‧평가 체계 기반 마련을 위한 구체적인 방법론을 도출할 계획이다. 아울러, '생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서(안)'에 대해서도 논의했다. 최근 생성형 인공지능 기술이 급속히 발전하면서 일상과 사회 전반으로 빠르게 확산되고 있다. 특히, 공공·민간의 많은 기관에서 생성형 인공지능을 도입해 각 분야에 적합한 인공지능 서비스를 개발·운영하는 등 인공지능 전환이 가속화하면서 개인정보 처리와 보호 관점에서 복잡한 법적·기술적 이슈가 제기되고, 프라이버시 측면에서도 위험이 커지고 있다. 예컨대, 과거에는 정보주체 동의나 계약 등에 따라 개인정보를 수집·이용했다면, 인공지능 환경에서는 데이터 확보 경로와 처리 흐름이 복잡해져 개인정보 처리의 적법 근거가 불명확해지는 추세라고 개보위는 설명했다. 이에 개인정보위는 인공지능 기술 및 서비스를 개발하거나 고도화하는 기관의 법적 불확실성을 해소하고, 개인정보 처리의 적법성, 안전성 등 개인정보 보호의 핵심 원칙을 확보하기 위해 생성형 인공지능 기술에 특화한 개인정보 보호 기준, 안전장치, 프라이버시 내부관리체계 등에 대한 명확한 기준을 마련해 왔다. 이번 안내서에는 생성형 인공지능의 수명주기 각 단계에서 개인정보 처리 및 보호를 위해 고려해야 할 적법성과 안전성 확보 기준 등을 소개, 현장의 법적 불확실성을 최소화하고, 생성형 인공지능 개발 및 활용에 개인정보 보호 관점이 체계적으로 반영될 수 있게 했다. 특히, 이런 내용들이 단순한 추상적 권고에 그치지 않고 실무 현장에 곧바로 적용될 수 있게 ▲생성형 인공지능 관련 개인정보 보호법 주요 내용 ▲인공지능 개인정보 처리 안내서 ▲조사·처분 등 집행 사례 ▲규제샌드박스 등 혁신지원 사례를 포함한 그간의 정책적 경험을 활용, 인공지능 개발·구현 단계에 맞춰 도출한 개인정보 처리 및 보호 관련 고려 사항을 알기 쉽게 안내했다. 또 미국, 영국, 유럽연합(EU) 등 주요국 최신 정책자료를 참고해 국제 흐름도 반영했다고 덧붙였다. 고학수 개인정보위 위원장은 “안전한 가드레일 구축은 신뢰할 수 있는 인공지능 발전의 선결 조건이며, 이러한 전제를 바탕으로 '인공지능 혁신을 위한 프라이버시'와 '프라이버시를 위한 인공지능 혁신'이라는 두 과제가 상호 발전적인 관계 속에서 기술 수용성과 사회적 신뢰를 높이는 기제가 될 수 있을 것”이라면서 “앞으로도 개인정보위는 인공지능 3대 강국 도약을 지원하기 위해 공공과 민간에 축적한 고가치 데이터가 안전하고 책임감 있게, 나아가 사회‧경제적으로 '최적'으로 활용할 수 있게 합리적이고 유연한 정책 설계 노력을 지속하고 관련 기반을 마련해 나가겠다"고 밝혔다.

2025.07.08 15:00방은주

개보위 "공공기관들 개인정보 평가 준비 이렇게 하세요"

개인정보보호위원회(위원장 고학수)는 4일 오후 2시 서울시 양재동 aT센터에서 중앙부처, 지방자치단체, 공공기관의 개인정보 보호 업무 담당자 400여 명을 대상으로 '2025년 공공기관 개인정보 보호수준 평가' 대한 현장 설명회를 개최한다. 이번 평가는 '개인정보 보호법' 제11조의2('24년 3월 시행)에 따라 공공기관의 개인정보 관련 법령상 의무 사항 준수 여부 뿐 아니라, 개인정보 보호를 위한 기관의 노력 등을 평가하는 제도다. 설명회는 보호수준 평가에 대한 대상 기관의 이해를 높이고, 개인정보 보호 역량을 제고하기 위한 자리다. 설명회는 총 2부로 구성했다. 1부에서는 '개인정보 영향평가' 제도의 설명과 제도 개선 사항, 기관의 대응 방향을 안내하고 2부에서는 '보호수준 평가' 운영계획과 절차, 평가지표, 우수사례에 대한 안내 및 질의응답을 진행한다. 개인정보위는 현장 설명회에 참석하기 어려운 평가 대상기관 담당자들을 위해 온라인 설명회도 두 차례(1차 6.24./2차 7.8.) 진행한다. 지난 1차(6.24.) 온라인 설명회에는 700여 명이 참석했다. 이후에는 7월 11일 대전 지역을 시작으로 인천(7.14), 광주(7.29), 강원(7.31) 전국 4개 지역에서 권역별 컨설팅을 개최한다. 아울러 8월까지 신규기관, 지난해 미흡기관 등 80여 개 기관을 직접 방문하는 맞춤형 컨설팅도 추진한다.

2025.07.03 21:23방은주

개보위, 개인정보 유출 샌드위치 전문점 써브웨이 조사 착수

개인정보보호위원회(위원장 고학수)는 개인정보 유출로 물의를 빚은 샌드위치 전문점 써브웨이 인터내셔날 비브이(이하 써브웨이)에 대해 조사에 착수했다고 1일 밝혔다. 구체적인 유출 경위 및 피해규모, 사업자의 안전조치 의무 준수 여부 등을 확인한다. 법 위반 발견 시 관련 법령에 따라 처분할 예정이라고 덧붙였다. 써브웨이는 앞서 개인정보 유출로 26일부터 조사를 받고 있는 한국파파존스와 동일하게 홈페이지 URL 주소의 뒷자리 숫자 변경 시 다른 고객의 주문정보(연락처, 주문내역 등)가 별도의 인증절차 없이 확인이 가능한 상태로 운영된 것으로 알려졌다. 두 사건 모두 홈페이지 주소의 파라미터 변조가 원인인 만큼, 각 사업자들은 접근제어 및 권한 검증, URL 주소 관리, 안전한 세션 처리 등 홈페이지 운영에 세심한 주의가 필요하다고 개보인정보위는 밝혔다. 한편 개인정보위는 주문·배달 과정에서 개인정보 처리가 필수적으로 수반되는 식·음료 분야에 대해 전반적인 개인정보 처리실태 조사를 진행하고 있다. 하반기에 조사결과를 발표할 예정이다.

2025.07.01 22:41방은주

AI시대 개인정보보호는?...개보위, 3차 미래포럼 개최

개인정보보호위원회(위원장 고학수)는 24일 서울 명동 소재 포스트타워에서 제3차 '2025 개인정보 미래포럼'을 개최했다. 이 행사는 개인정보 분야 의제를 선제적으로 논의하고, 산업계·시민사회 등 현장의견을 수렴하는 '개인정보 정책 토론의 장'이다. 학계·법조계·산업계·시민사회 등 전문가 40명으로 구성됐다. 올해 2월과 4월 포럼 의제였던 '신산업 현장의 프라이버시 리스크 관리'(1~2차 포럼)에 이어 이번 포럼에서는, '인공지능시대 개인정보 보호'를 의제로 발제와 토론을 진행했다. 첫 번째 발제를 맡은 이종규 티사이언티픽(TSCIENTIFIC) 이사는 자연어 처리 모델(컴퓨터가 인간의 언어를 이해, 생성, 조작할 수 있도록 하는 인공지능 기술)에 기반한 인공지능을 활용해 채팅 등 비정형(대화형) 텍스트 속에서 개인정보를 실시간으로 탐지하고 비식별화하는 기술 등을 소개했다. 이 회사는 AI를 이용한 개인정보보호전문기업으로 1998년 8월 설립됐다. 이어 두 번째 발제를 한 김기태 UPSDATA(주) 대표는 실시간으로 생성되는 데이터에 포함된 개인정보를 인공지능을 활용해 비식별 처리하면서 데이터 유용성을 확보하는 기술 연구 성과를 공유했다. 이는 위험 상황에서의 범죄신고 및 응급 상황에서 환자 건강정보를 가정용 건강기기에서 의료기관으로 전송하는 경우 등 실시간으로 데이터를 수집·분석하는 과정에서의 시간지연과 정보손실을 최소화하는 장점이 있다. 개인정보위는 이날 포럼에서 제안된 의견을 반영해 신기술·신산업 혁신에 친화적인 환경 기반을 구축해 나갈 계획이다. 개인정보위는 디지털 환경에서 개인정보를 보호하며 데이터를 자유롭게 활용할 수 있도록 개인정보 보호 강화 및 활용 기술에 대한 연구개발(R&D)을 지원하고 있다. 오는 8월 개최 예정인 제4차 개인정보 미래포럼도 '인공지능 시대 개인정보 보호'를 의제로 진행하며, 인공지능 신뢰성 제고를 위한 개인정보보호 강화기술 등을 논의할 예정이다.

2025.06.24 16:00방은주

"개보위, 싱크탱크 역할 개인정보보호원 신설해야"

"싱크탱크 역할을 하는 개인정보보호원을 신설하고 개인정보보호 기금도 만들어야 합니다." 최경진 가천대 교수(한국인공지능법학회장)은 18일 국회도서관 소회의실 지하 1층에서 열린 '인공지능 시대 개인정보 거버넌스 강화를 위한 대토론회'에서 기조 발제를 하며 AI시대를 맞아 바람직한 거버넌스상으로 이 같은 방안을 제시했다. 이날 행사는 박지원, 이헌승, 강준현, 김현 국회의원과 국회입법조사처, 개인정보보호협회, 개인정보전문가협회, 한국인터넷진흥원이 공동 주최했다. 현재 개인정보보호에 관한 최상위 정부 조직은 2000년 8월 발족한 개인정보보호위원회다. 장관급 부처이지만 위원회고, 인력과 예산이 50여 정부중앙부처중 가장 작다. 이어 최 교수는 AI시대 바람직한 거버넌스로 전문부처 전환과 독립위원회 강화 두 방안 중 독립위원회 강화 방안을 더 좋아한다면서 "개인정보위 위원회 확대와 개인정보분쟁조정위원회 역할 강화, 개인정보통합증진센터 신설 등도 필요하다고" 덧붙였다. 개인정보분쟁조정위원회 역할 강화와 관련해 "정보주체 피해 구제는 미미한데 과징금만 때리는 것으론 부족하다. 그러면 국민은 그래서 뭐?라고 묻는다"면서 각 지역에 개인정보 통합권익증진센터 신설도 필요하다고 말했다. 개인정보보호기금 신설과 관련해서는 "과징금을 열심히 받고 있는데, 어디로 가는지 모르는게 아니라, 과징금을 기반으로 기금을 만들어야 한다. 출연도 들어와야 하고, 1차 기금 사용처는 피해 구제고 2차는 민원을 돕는 거다. 더 나아가, 크게 보면, 개인정보 처리 절차를 바꿔야 하는데, (기금을 사용해) 연구개발도 해야 하고, 기술도 활용해야 한다"고 밝혔다. 또 최 교수는 개인정보 개념에 대해 "커질 가능성이 있다. 더 이상 개인정보가 아닌게 없다. 어디까지 확장할 지 고민해야한다. 일본은 옵트아웃이 원칙이라 완충 지대를 만들어놨다"면서 "개인정보냐 아니냐의 이분법적 접근은 곤란하다. 이런 접근법은 시간이 갈 수록 법과 현실과의 괴리를 초래한다"고 지적했다. 보안산업계는 제로트러스트가 화두다. 제로트러스트는 아무도, 특히 기존과 달리 내부자도 믿지 말고 보안에 이중, 삼중 장치를 하라는 개념이다. 모든 곳에서 보안 사고가 일어날 수 있으니 경계하라는 의미다. 최 교수는 "제로트러스트에도 프라이버시는 포기할 수 없다"면서 "(정보호) 활용이냐 보호냐?는 끊임없이 추구하는 동적 개념이다. 균형점을 찾는게 바람직한 거버넌스"라고 짚었다. "AI시대에 맞는 새로운 거버넌스 정립이 필요하다"면서 유연성 있는 체계를 주문하며 "자율구제프레임워크를 개인정보에서도 강조해야 할 때가 왔다"고 밝혔다. 개인정보보호법과 관련한 여러 법도 언급하며 "위치정보법과 정보통신망법중 본인확인기관 부분은 당장 개보위가 가져와도 될 듯 하다"고 주장했다. 단 개보위가 모든 영역을 다 관여 못하고, 또 너무 마서면 다른 부처의 위축을 부른다면서 "(개인정보에 관한한) 왕형님처럼 있으면서 원칙 해석과 기준을 제시해야 한다"면서 "특히 깨어서 늘 긴장감을 주는 어웨어니스(awareness)가 중요하다. 개보위가 깨어있으려면 전문성과 인력 증원 등도 필요하다"고 강조했다. 이어 거버넌스 방향은 배의 평형수처럼 결국 균형이라면서 "정보주체를 위한 등대(세이프가드) 역할과 처리자입장에서는 개보위 지침을 잘 지키면 되는, 신뢰를 주는, 안전망 같은, 이 두 역할을 (개보위가) 해야 한다"고 주문했다. 최 교수에 앞서 기조발표를 한 최영진 성대 인공지능융합원 교수(전 개인정보위원회 부위원장)은 '개인정보 거버넌스의 역사적 변화와 시사점'을 주제로 발표를 했다. 우리나라와 미국 등 선진국의 개인정보보호법 연혁을 보면 미국은 첫 출발이 1974년이다(프라이버시 액트). OECD는 1980년, UN은 1990년, 우리나라는 1994년 만든 대한민국 공공기관 개인정보법이 시작이다. 최영진 교수는 "우리나라가 시작은 미국보다 20년 정도 늦었지만 2011년 이후에는 비슷한 수준이다"면서 "이는 우리가 전산화는 늦었지만 정보화는 앞섰기 때문"이라고 해석했다. 우리나라 개인정보보호법은 2011년 3월 처음 제정, 현재까지 일곱차례 개정했다. 최영진 교수는 이 중 2015년, 2020년, 2023년 개정이 중요하다고 설명했다. 2015년(3차) 개정엔 침해요인 평가 신설과 기본계획 담당 부처가 행자부에서 보호위로 바뀌었다. 또 2020년(6차) 개정은 사실상 전부 개정으로 중앙행정기관으로 개인정보위 신설과 개인정보위에 조사처분 권한을 부여하는 한편 정보통신망법 개인정보 규정 통합을 담았다. 가명정보 개념 신설과 데이터결합 근거 규정 마련도 이때 이뤄졌다. 2023년(7차) 개정때는 마이데이터의 전송요구권 신설과 프로파일링 거부권 신설, 국외 이전 조항 정비, 이동형 영상기기 관련 규정 신설 등이 이뤄졌다. 최영진 교수는 개인정보보호위원회 전망과 과제에 대해 6가지를 제시했다. 첫째, 개인정보 관련 법은 세계적으로 점차 활용이 강화되는 방향으로 이동 둘째, 안전한 활용을 위한 기술적, 제도적 조치의 중요성 증대 셋째, 개인정보 관련 규제 합리화 및 위원회의 전문성 강화 넷째, 인공지능 시대의 가치있는 데이터(개인정보 포함 데이터) 다섯째, 개인정보의 안전한 활용 보장 여섯째, 개인정보보호위원회의 정책, 규제기관으로서의 역량 강화 필요 등이다.

2025.06.18 17:53방은주

네이버, 스마트스토어 판매자 정보 유출 의혹 부인

스마트스토어 판매자 정보가 다크웹에서 파일 형태로 거래되고 있다는 보도가 나오자 네이버가 해킹 흔적은 전혀 없었다고 해명했다. 17일 네이버는 입장문을 통해 “자사는 통신판매중개업자로서 비슷한 형태의 온라인 커머스 사업자와 마찬가지로 현행법상 스마트스토어 판매자의 사업자 정보를 소비자에게 제공할 법적 의무가 있다”고 밝혔다. 이어 “보도된 스마트스토어 판매자 정보는 법령에 따라 공개된 사업자 정보로서 제3자에 의해 수집된 것으로 보인다”며 “자체 점검 결과 자사 시스템 내 이용자 개인정보 데이터베이스(DB) 침해 정황 등 해킹 흔적은 전혀 없는 것으로 파악됐다”고 강조했다. 또 “이와 같은 제3자에 의한 정보 수집을 막기 위해 판매자 정보 확인 시 자동입력 방지 기능을 도입하고 판매자 정보가 포함된 URL 주소에 무작위 문자열을 삽입하는 등 접근 차단 등의 조치를 시행하고 있다”고 설명했다. 향후 추가적으로 크롤링 탐지 강화, 정보 접근 제어 고도화 등의 조치를 지속적으로 확대하겠다고도 했다. 끝으로 네이버는 “현재까지 해당 정보의 유통으로 인한 피해는 접수된 바 없으나, 개인정보보호위원회와 한국인터넷진흥원(KISA)과 긴밀히 협조해 해당 정보 유통으로 인한 피해가 발생하지 않도록 만전을 기하겠다”고 약속했다.

2025.06.17 20:53박서린

약속 시점 어긴 예스24…서비스 완전 정상화 언제?

랜섬웨어에 감염돼 홍역을 치렀던 인터넷 서점 예스24가 약속한 기한이 지났음에도 모든 기능을 복구하지 못했다. 상품 상세와 카트·결제 등 일부 기능 정상화와 더불어, 피해보상액 산정까지 해결해야 할 과제가 산적해 있다. 16일 예스24 홈페이지에 접속하면 도서 및 음반·DVD, 문구·기프트, 이(e)북 상품 구매, 크래마클럽 서비스, 주문 결제, 1:1 문의, 티켓 서비스에 한해 이용 가능하다고 안내하고 있다. 또 홈페이지 먹통 사태 전에 이미 주문한 도서도 정상적으로 배송되고 있다. 다만, 지난 13일과 마찬가지로 사락, 채널예스, 미리보기·미리듣기를 포함한 상품 상세, 업체 배송을 포함한 카트·결제, 주요 서비스 중 일부 등은 여전히 이용할 수 없다. 최초로 홈페이지가 복귀된 뒤 이틀 동안 이(e)북 상품 구매, 크레마클럽 서비스만 복구됐다. 이는 당초 약속했던 시점보다 정상화가 더뎌지고 있는 것이다. 앞서 예스24는 2차 입장문에서 “사태 해결까지 늦어도 이달 15일 이내로 정상화가 예상된다”고 언급한 바 있다. 예스24 관계자는 “완전한 서비스 재개 일정은 섣불러 말씀드리기가 어렵다”며 “기존에 주문했던 책들은 순차적으로 배송되고 있고, 이미 수령한 고객도 있는 걸로 알고 있다”고 말했다. '시스템 장애'라던 늑장 대응에 거짓 해명까지 이용자 불편을 불러온 예스24 홈페이지, 앱 먹통 사태가 처음 시작된 것은 일주일 전인 지난 9일 새벽 4시경이다. 당시 예스24는 홈페이지와 앱에 접속 불가로 도서 주문, 티켓 예매 등 온라인 서비스 전반을 이용할 수 없게 되자 공지사항을 통해 “시스템 장애로 인한 접속 오류”라고 강조한 바 있다. 사건이 해결될 기미가 보이지 않았던 와중에 최수진 국민의힘 의원이 국회에서 예스24 홈페이지, 앱 먹통 사고가 시스템 상의 문제가 아닌 랜섬웨어에 의한 공격이라고 밝히면서 늑장 대응이라는 질타를 받기도 했다. 얼마 후 예스24는 랜섬웨어에 의한 공격을 공식화하며 “한국인터넷진흥원(KISA) 등과 함께 사고 원인 분석, 피해 사실 여부 파악에 최선을 다하고 있다”고 주장했다. 그러자KISA는 예스24가 기술지원에 동의하지 않아 협력하고 있지 않다며 예스24와 상반된 입장을 내놓은 바 있다. 양측의 의견 차로 혼란을 빚으면서 예스24는 거짓 해명 논란에 휩싸이기도 했다. 분석가들이 지난 10일과 11일 예스24 본사로 2차례 방문했으나 상황을 예스24로부터 구두로 공유받은 것 외 추가적으로 확인하거나 협력해 조사한 것이 없다는 것이 KISA 측 설명이었다. 늑장 대응에 더해 거짓 해명으로 지적받자 예스24는 소통 과정에서 혼선으로 생긴 오류라며 “10, 11일 2차례 KISA 방문 후 어느정도 상황이 정리되면 본격적으로 협력을 논의한 상태였다. 이 부분에 대해 별도의 기술지원 신청 없이도 조사에 착수됐다고 이해한 것”이라고 해명했다. 또 “13일 오후 중 도서, 티켓 등 일부 서비스를 개재할 예정”이라며 “이후 전자책을 포함한 그 외의 서비스들도 순차적으로 이용 가능할 것으로 예상된다”며 거듭 사과했다. 복구 지연, 시스템 또는 데이터 문제에 '무게' 이후 지난 13일 예상한 시점에 맞춰 홈페이지가 열리면서 예스24 일부 서비스는 이용 가능해졌지만, 서비스 완전 복구가 지연되면서 나머지 서비스의 정상화 시점은 오리무중이다. 랜섬웨어로 인한 피해 규모가 어느 정도인지 명확하지 않아 복구 시점을 가늠하기 어렵다는 게 업계 전문가 견해다. 여기에 좌석번호가 확인되지 않아 공연에 입장하지 못했던 건을 포함해 홈페이지, 앱이 먹통되며 발생한 피해보상액 산정, 보상 시점에 대한 문제도 산적해있다. 뿐만 아니라 개인정보보호위원회가 조사에 착수하면서 개인정보 유출에 대한 우려에서도 자유로울 수 없다. 염흥열 순천향대 정보보호학과 교수는 “보통 인터넷 기업들은 서비스가 중단되더라도 몇 시간, 최대 하루 이내에 서비스가 복구되도록 설계 목표치를 잡고 있다. 5일이나 서비스가 중단된 것은 굉장히 이례적인 일”이라고 말했다. 이어 “복구 지연에는 여러 이유가 있을 수 있는데, 시스템 자체가 망가졌을 수도 있고 데이터가 망가졌을 수도 있다. 그 중에서도 데이터가 망가졌을 가능성이 크다”며 “여러 경우가 있어 (정확한 서비스 재개 시점을) 단정하기는 어렵다”고 덧붙였다. 예스24에 기술 지원을 제공하고 있는 KISA 관계자도 “조사 중인 사안으로 복구 시점을 예측하기는 어렵다”고 답했다.

2025.06.16 16:28박서린

개보위, 한국연구재단 조사...해킹당해 개인정보 12만건 유출

개인정보보호위원회(위원장 고학수)는 해킹에 따른 한국연구재단의 개인정보유출에 대해 조사에 착수했다고 13일 밝혔다. 앞서 한국연구재단은 학술 및 연구개발 활동 지원을 위한 '온라인논문투고시스템'(JAMS, Journal and Article Management system)에서 취약점 해킹 공격으로 약 12만 건의 개인정보 유출이 있었다며 개인정보위에 12일 오후 4시경 신고했다. 유출된 개인정보는 성명, 생년월일, 연락처, 이메일주소, 계정 ID 등이다. JAMS에 등록된 개별 학회는 약 1600여곳이다. 이에 개인정보위는 "자료제출 요구, 현장 조사 등을 통해 구체적인 유출 경위 및 피해 규모, 안전조치 의무 및 유출 통지·신고 의무 등 '개인정보 보호법' 준수 여부를 조사할 것이며 법 위반 사항이 확인되는 경우, 관련 법령에 따라 처분할 예정"이라고 밝혔다. 한국연구재단은 전 학문분야를 아우르는 국가 기초연구지원시스템의 효율화 및 선진화를 목적으로 한국연구재단법에 따라 2009년 6월 26일 설립된 연구관리 전문기관이다. 국내에서 유일하게 인문사회와 이공계를 아우르는 모든 학문 분야를 지원하고 있다. 올 2월 기준 예산은 8조 4천여억원이다. 한국연구재단은 14일 오전 9시 현재 홈페이지에 개인정보 유출 사실을 공지하지 않은 상태다. 보통 민간은 해킹을 당하면 개인정보위에 신고하고, 또 그 사실을 홈페이지에 공지한다. 이에 대해 한국연구재단은 "즉시 JAMS 홈페이지(JAMS PORTAL) 및 JAMS에 등록된 약 1600여개의 개별 학회 홈페이지를 통해 사과문을 공지했다. 이후에는 사과문 알림창을 통해 해킹 피해 조회 서비스도 추가로 제공하고 있다"면서 "JAMS를 이용하는 학회 및 회원에게 보다 신속하고 정확하게 안내하기 위해 재단 홈페이지가 아닌 해당 홈페이지를 통해 즉시 공지했다"고 설명했다. 한편 한국연구재단은 전산실 이전 작업을 오는 7월 18~20일 진행할 예정이다. 이에, 이 시기에 정보시스템 접속 불가와 일부 기능 사용이 불가하다고 홈페이지에 공지해 놓았다.

2025.06.14 09:20방은주

예스24, 이제야 KISA에 'SOS'…서비스 정상화 계획대로 될까

홈페이지, 앱 먹통 사태가 계속되고 있는 인터넷 서점 예스24가 사고 나흘이 지나서야 한국인터넷진흥원(KISA)에 협력을 요청했다. 해킹을 당한 직후 기술지원 요청을 하지 않고, 4일 차에 접어들어서야 협력한 배경에 관심이 쏠린다. 12일 KISA에 따르면 이날 오전 예스24는 KISA에 홈페이지, 앱 접속 불능 사고에 대한 기술지원을 요청했다. KISA 관계자는 “오전 11시에서 11시 30분 사이 예스24가 기술지원을 요청했다”며 “기술지원을 요청함에 따라 지금 원인을 분석 중”이라고 말했다.이어 “원인 조사는 피해 확산, 재발 방지에 초점이 맞춰질 것”이라고 덧붙였다. 예스24가 KISA에 기술 지원을 요청한 것은 이번 사태가 발생한지 나흘만이다. 앞선 지난 9일 새벽 4시 예스24는 랜섬웨어의 공격으로 홈페이지와, 앱 접속이 불가능해지면서 도서 주문부터 공연 예매, 이(e)북 열람까지 주요 서비스 전반이 모두 마비됐다. 당초 예스24는 이번 사건과 관련해 “시스템 장애”라는 입장을 고수했으나 랜섬웨어에 의한 장애라는 사실이 알려지자 뒤늦게 해킹 사실을 인정해 빈축을 산 바 있다. 예스24 실책은 또 있다. 이후 발표한 사과문에서 “KISA 등과 함께 사고 원인 분석, 피해 사실 여부 파악에 최선을 다하고 있다”고 했으나 이는 사실이 아니었다. KISA가 “예스24와 협력해 조사한 사실이 없다”고 반박문을 내면서 예스24 발표는 거짓 해명으로 드러났다. 사고 파악을 위해 예스24 본사로 KISA 분석가들이 두 차례 방문했음에도 기술지원에 동의하지 않다가, 사건이 장기화되자 부랴부랴 기술지원에 동의한 것이 아니냐는 의문도 나온다. 예스24가 지난 11일 저녁 낸 2차가 입장문에서 밝힌대로, 오늘 2시 30분경 일부 공연 제작사의 공연 현장 입장처리 시스템이 복구되기 시작했다. 뮤지컬 '매디슨 카운티의 다리', '구텐버그'의 제작사 쇼노트는 공식 인스타그램을 통해 “예스24 예매자 정보가 복구돼 신분증 지참 혹은 예매 내역, 개인정보 확인으로 티켓 수령이 가능하다”고 안내했다. 이에 예스24가 주장대로 도서 등 주요 서비스가 하루 이틀 내 순차적으로 복구될지 여부에도 이목이 쏠린다. 회사 측은 늦어도 15일까지 모든 시스템을 복구하겠다고 밝혔었다. 예스24 관계자는 “판매 페이지, 좌석 등을 확인해야 공연에 입장할 수 있어 공연 기획사가 볼 수 있는 페이지가 가장 먼저 열렸다”며 “나머지 서비스의 복구는 명확한 시간을 장담하기 어렵다”고 말했다.

2025.06.12 15:47박서린

개인정보 유출 전북대 6.2억, 이대 3.3억 과징금

개인정보보호위원회(위원장 고학수)는 11일 개최한 제13회 전체회의에서 개인정보를 유출해 개인정보 보호법(이하 '보호법')을 위반한 전북대학교와 이화여자대학교에 총 9억 6600만 원의 과징금과 540만 원의 과태료를 부과하고 시정명령, 공표명령 및 징계권고를 하기로 의결했다고 밝혔다. 개인정보 유출에 따른 피해 규모 등을 고려해 전북대학교(32만여 명 유출)는 6억 2300만 원, 이화여자대학교(8만 3천여 명 유출)는 3억 4300만 원의 과징금을 각각 부과했다. 개인정보위는 개인정보 유출 신고에 따라 조사한 결과, 이들 대학의 학사정보시스템에 구축 당시부터 취약점이 존재해 왔고, 일과 시간 외 야간 및 주말에는 외부의 불법 접근을 탐지해 차단하는 모니터링이 제대로 이뤄지지 않는 등 '개인정보 보호법'에 따른 안전조치 의무를 소홀히 한 사실을 확인했다. 대학별 위반 내용과 처분 결과는 다음과 같다. ■ 전북대학교 2024년 7월 28일~29일 이틀간 해커가 에스큐엘(SQL) 인젝션(데이터베이스 명령어 주입) 및 파라미터(입력값) 변조 공격으로 전북대학교 학사행정정보시스템에 침입해 32만여 명의 개인정보(주민등록번호 28만여 건 포함)를 탈취했다. 'SQL 인젝션'은 데이터베이스 명령어를 악의적으로 조작해 서버를 오작동시킴으로써 접근권한 없는 정보를 열람 또는 변조하는 공격 방식이다. 또 '파라미터 변조'는 웹 애플리케이션에서 입력된 데이터 검증 로직의 취약점을 악용해 입력값 조작을 통해 개인정보를 탈취하는 해킹 기법을 말한다. 개인정보위 조사 결과, 해커는 학사행정정보시스템의 비밀번호 찾기 페이지에 존재하는 취약점을 악용해 학번 정보를 입수한 후 학적정보 조회 페이지 등에서 약 90만 회의 파라미터 변조 및 무작위 대입을 통해 전북대학교 학생 및 평생교육원 홈페이지 회원 총 32만여 명의 개인정보에 접근한 것으로 파악됐다. 해당 취약점은 2010년 12월 시스템 구축 당시부터 존재했다. 아울러 전북대학교는 기본적 보안 장비는 갖추고 있었으나 외부 공격에 대한 대응이 미흡했고, 특히 일과시간 외에는 모니터링을 소홀히 한 결과 주말‧야간에 발생한 비정상적 트래픽 급증 현상을 2024년 7월 29일 오후에야 뒤늦게 인지한 것으로 나타났다. 이에 따라 개인정보위는 전북대학교에 총 6억 2300만 원의 과징금과 540만 원의 과태료를 부과하면서 이를 대학 홈페이지에 공표하도록 명하는 한편, 모의해킹 등 취약점 점검을 강화하고 상시 모니터링 체계를 구축하도록 시정명령 함과 동시에 책임자에 대한 징계도 권고했다. ■ 이화여자대학교 2024년 9월 2일~3일 이틀간 해커가 시스템의 데이터베이스(DB) 조회 기능 취약점을 악용한 파라미터 변조 공격(개인정보 조회 시, 세션값(사용자 식별값)과 조회 대상 정보가 불일치하는 경우에도 파라미터(학번) 변조를 통해 다른 사용자의 개인정보 조회가 가능한 취약점 존재)으로 이화여자대학교 통합행정시스템에 침입해 8만 3천여 명의 주민등록번호를 포함한 개인정보를 탈취했다. 개인정보위 조사 결과, 해커는 통합행정시스템에 접근하여 약 10만 회의 파라미터 변조 및 무작위 대입을 통해 이화여자대학교 학부생 및 학부 졸업생 8만 3천여 명의 개인정보를 탈취한 것으로 드러났다. 이화여자대학교 역시 이러한 취약점이 2015년 11월 시스템 구축 당시부터 존재해 왔던 것으로 나타났으며, 기본적인 보안 체계는 갖추고 있었으나 외부 공격(예: 동일한 아이피(IP)에서 타인의 개인정보를 반복적으로 조회 시도하는 경우 등)에 대한 대응이 미흡했고, 특히 일과시간 외에는 주말‧야간 모니터링을 소홀히 하는 등 외부의 불법적인 접근 통제 조치가 미흡했던 것으로 밝혀졌다. 이에 따라 개인정보위는 이화여자대학교에 총 3억 4300만 원의 과징금을 부과하면서 이를 대학 홈페이지에 공표하도록 명하는 한편, 모의해킹 등 취약점 점검을 강화하고 상시 모니터링 체계를 구축하도록 시정명령 함과 동시에 책임자에 대한 징계를 권고했다. ■이번 조사‧처분 의의 대학의 경우 대개 생성규칙이 단순한 '학번' 등을 기준으로 개인정보를 관리하고 있어 파라미터(입력값) 변조 공격에 취약한 측면이 있고, 대규모 고유식별정보를 처리하고 있어 유출 사고 발생 시 정보주체의 막대한 피해가 예상된다. 이에 따라 파라미터 변조 공격에 대비하고, 외부의 불법적인 접근 시도를 24시간 철저히 모니터링하는 등 각별한 주의가 필요하다. 개인정보위는 최근 대학에서 개인정보 유출 사고가 잇따르는 점을 감안해 교육부에 “전국 대학 학사정보관리시스템의 개인정보 관리가 강화될 수 있도록 전파해 줄 것과 관련 내용을 대학 평가 등에 반영될 수 있도록 검토해 줄 것”을 요청할 예정이다. 실제 지난해부터 올해 5월말까지 전국 대학에서 21건의 개인정보 유출 신고가 발생했다.

2025.06.12 12:00방은주

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

Prev 1 2 3 4 5 Next