검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인정보 해킹'통합검색 결과 입니다. (46건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

경찰 "쿠팡 관련 수사 18건 진행 중…개인정보 유출만 8건"

쿠팡을 둘러싼 각종 논란과 관련해 현재 경찰 수사가 총 18건 진행 중인 것으로 나타났다. 5일 경찰청 관계자는 기자간담회에서 현재 진행 중인 쿠팡 관련 수사 총 18건 중 쿠팡이 직접 고소한 사건은 1건이며, 나머지 17건은 쿠팡이 피고소인 신분으로 수사를 받고 있는 사건이라고 밝혔다. 사안별로 보면 개인정보 유출과 관련한 수사가 가장 많다. 전체 18건 가운데 8건이 개인정보 유출과 직접적으로 연관돼 있다. 최근 대규모 정보 유출 사태를 계기로 수사 범위가 확대되면서 관련 고소·고발이 잇따른 영향이다. 국회증언감정법 위반 혐의로 접수된 사건은 2건이다. 해당 사건에는 김범석 쿠팡Inc 의장과 박대준 대표가 포함돼 있으며, 해롤드 로저스 쿠팡 한국 임시대표와 관련된 국회증언감정법 위반 사건은 현재까지 접수되지 않은 상태다. 이 밖에 쿠팡 물류 현장과 관련한 과로사 의혹 수사가 3건, 블랙리스트 의혹 등 기타 사안이 5건으로 분류됐다. 다만 수사 건수에 대한 해석은 경찰 조직 내에서도 다소 엇갈린다. 서울경찰청은 개인정보 유출 사건과 관련해 2차 피해가 의심되는 사건 2건을 추가로 포함해 총 20건으로 보고 있는 반면, 경찰청 본청 차원에서는 이를 별도 사건으로 보지 않고 공식 집계를 18건으로 유지하고 있다. 경찰 관계자는 “본청 기준으로는 현재 18건이 수사 대상”이라며 “사안별로 수사 주체와 진행 단계가 다른 만큼 정확한 구분이 필요하다”고 설명했다.

2026.01.05 15:25안희정

쿠팡이 놓친 '세 개의 주머니'

제갈량은 익주로 들어가는 유비의 앞날에 세 번의 위기가 닥칠 것을 예견한다. 그래서 조운에게 세 개의 주머니를 건네며 “급할 때 하나씩 열되, 순서를 어기지 말라”고 말한다. 위기는 예고 없이 닥치지만, 대응은 미리 준비돼 있어야 한다는 뜻이다. 나관중 '삼국지연의'에 나오는 장면이다. 지난 한 달여 간 쿠팡 개인정보 유출 사태를 지켜보면서 위 장면이 교차돼 떠올랐다. 이번 쿠팡 보안 사고는 단순한 사고가 아니다. 위기 대응의 연속된 실패 사례에 가까워 보인다. 쿠팡은 여러 차례 위기를 피할 기회가 있었다. 하지만 그때마다 잘못된 선택으로 사태를 키웠다. 주머니를 손에 쥐고도 끝내 열어보지 않거나 외면한 모양새다. 쿠팡이 놓친 첫 번째 주머니는 사고 직후 초기 대응이다. 대규모 개인정보 유출은 기업의 신뢰를 뒤흔드는 중대 사안이다. 이때 가장 중요한 것은 사실관계의 투명한 공개와 책임 있는 사과다. 그러나 쿠팡의 초기 대응은 느렸고, 메시지는 모호했다. 이용자 안내도 한발 늦었다. 이용자들이 가장 궁금해하는 '어떤 조치를 취해야 하는지'에 대한 설명도 부족했다. 위기를 키우지 않기 위해 가장 먼저 열었어야 할 첫 번째 주머니를 쿠팡은 망설이다 놓쳤다. 두 번째는 국회 청문회와 공식 사과 자리였다. 이 때 쿠팡은 진정성 있는 태도만으로도 상황을 반전시킬 여지가 있었다. 그러나 쿠팡은 성실한 답변 대신 방어적인 태도로 일관했다. 국민적 의혹과 분노에 정면으로 응답하지 않았다. 급기야 한국 대표를 경질하고, 한국 사회의 정서와 규제 환경에 익숙하지 않은 미국 출신 인사를 임시 대표로 세우는 선택을 했다. 소통 부재 논란이 커지는 상황에서 '말이 더 안 통하는 구조'를 자초한 셈이다. 이는 위기를 관리하기는커녕, 오히려 새로운 불신의 불씨를 던진 결정이었다. 여기에 김범석 의장의 국회 청문회 출석 요구 불응은 결정타였다. 창업자이자 실질적 최고 책임자가 책임의 최전선에 서지 않겠다는 신호는 쿠팡이 이 사태를 어떻게 인식하고 있는지 그대로 드러냈다. 두 번째 주머니엔 '책임자 등판과 진정성 있는 사과'가 담겨 있어야 했다. 그러나 쿠팡은 이 역시 열지 않았다. 세 번째는 사태 수습의 마지막 카드, 즉 보상과 후속 조치였다. 하지만 이마저도 논란으로 이어졌다. 개인정보 유출 혐의자 발표를 정부와의 충분한 조율 없이 단독으로 진행하면서 또 다른 혼선을 낳았다. 보상안 역시 피해자들이 체감할 수 있는 수준과는 거리가 멀었다. 금액과 방식 모두에서 “이게 최선인가”라는 반응이 나왔고, 이용자들의 분노는 가라앉지 않았다. 마지막 주머니마저 허술하게 열어본 결과다. '삼국지연의'에서 제갈량이 건넨 주머니는 기적의 계책이 아니다. 상식적인 판단과 대응 순서 정도일 뿐이다. 처음에는 민심을 얻고, 그 다음 내부를 안정시키며, 마지막에는 물러날 줄 아는 선택. 쿠팡이 현명했다면, 혹은 곁에 냉정한 지략가 한 명만 있었더라도 이 사고는 지금과는 전혀 다른 국면이지 않았을까. 이번 개인정보 유출 사태는 불가항력적 재난이 아니었다. 위기를 조기에 관리할 수 있는 기회가 반복해서 주어졌고, 그때마다 쿠팡은 잘못된 판단을 내렸다. 그 결과, 단일 사고가 기업 문화와 책임 의식 전반을 묻는 문제로 확장됐다. 위기는 예견하지 못했더라도 대응만큼은 준비할 수 있었다.

2025.12.29 11:22백봉삼

쿠팡 "고객보상 방안 곧 발표...2차 피해 끝까지 막겠다"

쿠팡이 최근 발생한 개인정보 유출 사태 관련 용의자인 유출자를 특정했다면서, 고객 보상 방안을 조만간 별도로 발표하겠다고 약속했다. 이어 고객들에게 다시 한 번 고개를 숙였다. 쿠팡은 25일 “이번 개인정보 유출로 고객 여러분께 큰 걱정과 불편을 끼쳐드린 점에 대해 책임을 통감한다”면서 “사태 수습과 재발 방지를 위해 모든 역량을 동원하고 있으며, 고객 보상 방안도 곧 공식 안내할 예정”이라고 밝혔다. 이어 “정부기관 조사에 성실히 협조하는 한편, 2차 피해가 발생하지 않도록 끝까지 책임 있는 조치를 이어가겠다”며 “이번 사태를 계기로 개인정보 보호 체계를 전면 재점검하고 재발 방지 대책을 강구하겠다”고 강조했다. 아울러 “수많은 고객과 국민들께 심려를 끼쳐드린 점에 대해 다시 한 번 진심으로 사과드린다”고 거듭 사과했다. 유출자 특정·정보 회수 완료…“외부 전송 없어” 쿠팡에 따르면, 회사는 디지털 지문(digital fingerprints) 등 포렌식 증거를 토대로 고객 정보를 유출한 전직 직원을 특정, 유출에 사용된 모든 장치와 저장매체를 회수해 확보했다. 현재까지 조사 결과에 따르면 유출자는 단독으로 범행을 저질렀으며, 탈취한 내부 보안 키를 이용해 약 3천300만 명 고객 계정의 기본 정보에 접근했다. 다만 실제로 저장한 정보는 약 3천개 계정에 한정됐고, 해당 정보는 모두 삭제한 것으로 확인됐다. 저장된 정보에는 이름·이메일·전화번호·주소·일부 주문 정보가 포함됐으며, 공동현관 출입번호는 2천609개가 포함된 것으로 파악됐다. 결제정보·로그인 정보·개인통관고유번호 등 민감 정보는 접근·유출되지 않았고, 제3자에게 외부 전송된 사실도 없는 것으로 조사됐다. 쿠팡은 사건 초기부터 맨디언트·팔로알토 네트웍스·언스트앤영 등 글로벌 보안업체 세곳에 포렌식 조사를 의뢰해 조사를 진행했다. 회사 측은 “외부 전문기관의 분석 결과 역시 유출자의 진술과 일치하며, 추가 유출 정황은 발견되지 않았다”고 설명했다. 유출자는 개인 데스크톱 PC와 맥북에어 노트북을 사용해 고객 정보에 접근한 것으로 조사됐으며, 해당 PC와 하드디스크는 모두 제출돼 분석이 완료됐다. 맥북에어 노트북의 경우 증거 인멸을 시도해 하천에 투기했으나, 수색을 통해 회수됐고 일련번호도 유출자의 계정 정보와 일치한 것으로 확인됐다. 이번 쿠팡 발표와 관련, 과학기술정보통신부는 민관합동조사단에서 조사 중인 사항을 쿠팡이 일방적으로 대외에 알린 것에 대해 쿠팡에 강력히 항의했다고 밝혔다. 과기정통부는 "현재 민관합동조사단에서 정보유출 종류 및 규모, 유출경위 등에 대해 면밀히 조사 중에 있는 사항"이라면서 "쿠팡이 주장하는 사항은 민관합동조사단에 의해 확인되지 않았다"고 덧붙였다.

2025.12.25 18:00백봉삼

'쿠팡 사태' 후 더 교묘해졌다…연말 배송 조회 노린 스미싱 '빨간불'

연말 쇼핑 시즌을 앞두고 배송 조회를 노린 사이버 공격이 전 세계적으로 급증하고 있는 것으로 나타나 각별한 주의가 필요할 것으로 보인다. 16일 노드VPN의 '스레트 프로텍션 프로(Threat Protection Pro™)' 분석에 따르면, 지난 한 달간 우편·배송 서비스를 사칭한 악성 웹사이트가 전월 대비 86% 증가한 것으로 나타났다. 사이버 범죄자들은 배송 수요가 집중되는 시기를 노려 사칭 방식과 공격 수법을 더욱 정교하게 발전시키고 있다. 최근에는 AI를 활용해 실제 배송 안내 메시지와 거의 구분되지 않는 문구를 자동 생성하는 사례가 늘어나면서 소비자가 위협을 식별하기 더욱 어려워지고 있다. 노드VPN이 수집한 글로벌 브랜드 사칭 데이터를 보면 DHL이 가장 많이 사칭된 브랜드로 나타났다. 관련 악성 사이트는 불과 한 달 만에 206% 증가했다. 이어 DPD 그룹을 사칭한 사이트는 16% 증가했으며, 미국 우정공사(USPS)는 850%로 가장 가파른 증가율을 기록했다. 이러한 사이트는 ▲관세 미납 ▲주소 오류 ▲배송 보류 등 긴급 상황을 위장해 소비자의 불안감을 자극하고 링크 클릭을 유도하는 방식으로 진화하고 있다. 문자 기반 피싱인 '스미싱(Smishing)'도 빠르게 확산되는 모습이다. 노드VPN 조사에서 응답자의 38%가 배송 사기를 경험했다고 답했으며, 대부분 문자메시지를 통해 피해가 발생한 것으로 나타났다. 문자메시지는 이메일보다 열람률이 월등히 높아 사이버범죄자에게 유리한 공격 경로로 작용하고 있다. 미국 연방거래위원회(FTC) 자료에 따르면 문자 사기 피해 규모는 꾸준히 증가해 2024년 피해액은 총 4억7천만 달러로 집계됐다. 이는 2020년 대비 5배 이상 급증한 수치다. 한국 역시 글로벌 추세에서 예외가 아니다. 최근 약 3천370만 명의 개인정보가 유출된 쿠팡 사례는 ▲이름 ▲주소 ▲전화번호 등 실사용 정보를 기반으로 더욱 정교한 스미싱(Smishing)·피싱(Phishing) 공격이 구성될 수 있음을 보여준다. 특히 한국은 문자메시지와 메신저 기반 배송 알림 이용률이 높아 사칭 공격에 취약하다. 실제로 국내에서 유통되는 스미싱(Smishing) 메시지도 한국어 표현과 이용 행태에 맞게 빠르게 현지화되고 있다. 이에 노드VPN은 배송 알림을 받았을 때 메시지에 포함된 링크를 클릭하기보다 배송사의 공식 웹사이트나 앱에서 주문 정보를 직접 조회하는 것이 가장 안전하다고 조언했다. 최근 발신 번호나 URL을 실제와 유사하게 조작하는 스푸핑(Spoofing) 기법이 증가하고 있어 단순한 발신자 정보만으로 진위를 판별하기 어렵다는 점도 강조했다. 노드VPN 최고기술책임자(CTO) 마리우스 브리에디스는 "연말 쇼핑 성수기에 스미싱(Smishing)과 스푸핑(Spoofing) 기반의 배송 사기가 급증하는 가운데, 최근 쿠팡에서 수천만 명의 개인정보가 유출된 사례는 기본 정보만으로도 정교한 피싱이 가능해졌다는 사실을 다시 한 번 보여준다"며 "의심스러운 메시지의 링크를 클릭하지 않는 것은 물론 ▲강력한 비밀번호 설정 ▲2단계 인증 사용 ▲VPN 활용 등 기본적인 보안 수칙을 지키는 것이 무엇보다 중요하다"고 말했다.

2025.12.16 14:22장유미

"쿠팡 사태 남 일 아니다"…플랫폼 업계 보안 전면 재점검

쿠팡에서 3천370만개에 달하는 고객 계정 정보가 무단으로 유출된 사실이 뒤늦게 확인되면서, 플랫폼 업계 전반의 개인정보 관리 체계가 도마 위에 올랐다. 배달·커머스 등 주요 서비스들이 수천만 명의 이용자 정보를 보유한 상황에서, 단일 기업의 사고를 넘어 '플랫폼 전반의 보안 리스크'를 점검해야 한다는 목소리가 커지고 있다. 수천만 명 데이터 쌓는 구조, 한 번 뚫리면 '연쇄 유출' 위험 3일 플랫폼 업계에 따르면 쿠팡 사태 이후 기업들은 내부 보안체계를 다시 점검하는 흐름을 보이고 있다. 개인정보 접근 권한 설정, 퇴사자 계정 차단, 접근기록 관리 절차 등 기본 구조를 전면적으로 검토하는 작업이 이어지고 있다는 설명이다. 플랫폼 기업은 사용자의 주소와 구매 이력, 위치 기반 데이터 등을 처리해 사고 발생 시 피해 범위가 급격히 커질 수 있다는 점이 큰 부담으로 작용한다. 단순한 정보에 그치지 않고 반복된 주문 패턴이나 결제 수단, 배송지 기록 등 생활 동선 정보까지 축적되는 구조여서 보유한 정보의 정밀도가 높다는 점도 위험성을 키운다. 특히 고객과 판매자, 배송망 등의 정보가 한 시스템 안에 결합돼 있어 정보가 연쇄적으로 노출될 수 있는 구조를 갖고 있다. “쿠팡만의 문제 아냐”…플랫폼 전반으로 확산되는 보안 점검 이런 상황에서 일부 플랫폼 기업들은 이용자 대상 보안 조치도 강화하고 있다. 지마켓은 최근 고객들에게 비밀번호 변경, 2단계 인증 설정, 환금성 상품 구매 시 본인 확인 강화 등 보안 권고를 발송했다. 타사 보안 사고로 도용·피싱 위험이 커진 만큼 로그인 보안을 강화해 달라는 내용이다. SSG닷컴은 해외·새로운 환경 로그인 알림 대상을 '로그인 알림 미동의' 고객까지 확대하고 비밀번호 변경 캠페인을 시작했고, 주의사항 안내도 추가했다. 회사 관계자는 “정기·수시 점검과 내부 통제를 지속 강화하고 있다”고 말했다. 네이버 역시 내부 보안체계를 다시 들여다보고 있다. 네이버 관계자는 "암호화 키 생성·보관·교체 절차를 업계 기준에 맞춰 운영하고 있으며, 키 접근 권한도 최소 권한 원칙에 따라 통제하고 있다"고 설명했다. 이 관계자는 “2단계 인증 기능도 지속 안내 중이며, 강화 방안을 검토하고 있다”고 덧붙였다. 배달의민족도 개인정보 접근 체계를 다시 확인하고 있다고 밝혔다. 회사 관계자는 “퇴사자 계정 차단이나 정보 접근 통제는 기업이라면 당연히 지켜야 하는 기본 절차”라며 “내부 인력이 고객 정보를 임의로 조회할 수 있는 구조가 아니다”라고 말했다. 이 관계자는 쿠팡 사태와 관련해 최근 개인정보 유출 우려가 커지면서 회사 내부 보안 체계를 다시 점검했다고 밝혔다. 무신사도 내부자 승인 절차를 핵심 통제 장치로 두고 있다고 설명했다. 무신사 관계자는 “고객 정보에 접근하려면 담당자라도 보안 최고관리자(CISO)의 승인 절차를 거쳐야 한다”며 “접근 기록은 모두 로그로 관리되고 있고, 쿠팡 사태 이후 내부 암호화 관리 체계도 재점검했다”고 말했다. 이 관계자에 따르면 무신사가 보유하고 있는 회원의 규모는 약 1천500만명에 이른다. 업계는 쿠팡 사태를 계기로 플랫폼 전반의 접근 권한 구조와 암호화 등 고객 개인정보 점검 기준 등이 다시 검증돼야 한다는 데 대체로 공감하고 있다. 한 업계 관계자는 “보유 정보량이 많은 플랫폼일수록 기본 절차가 조금만 흔들려도 사고가 크게 번질 수 있다”며 “이번 일을 계기로 내부 보안 프로세스를 다시 확인하는 기업이 점점 늘어날 것”이라고 말했다.

2025.12.03 17:58류승현

개인정보 유출 용의자는 중국인?…쿠팡 사태 의혹 짚어보니

쿠팡 대규모 개인정보 유출 사건 유력 용의자로 지목된 전 직원이 중국인이라는 의혹이 제기된 가운데, 경찰은 "수사가 필요하다"는 입장이다. 쿠팡 IT 인력의 절반 이상이 중국인이라는 의혹에 대해 회사 측은 이를 전면 부인했다. 2일 관련업계에 따르면 쿠팡은 지난달 18일 경찰에 개인정보 유출 피해를 확인했다는 신고를 접수했다. 당시 쿠팡은 4천500개의 고객 정보가 유출된 것으로 파악했으나, 후속 조사 결과 약 3천370만개가 무단 유출된 것으로 확인됐다. 이 과정에서 쿠팡이 밝힌 유출 정보는 이름, 이메일 주소, 배송지 주소록(입력한 이름, 전화번호, 주소), 일부 주문정보다. 회사는 어떤한 결제 정보, 신용카드 번호, 로그인 정보도 유출되지 않았다며 이용고객에게 계정 관련 조치를 취할 필요가 없다고 주장했다. 쿠팡 개인정보 유출 사고를 둘러싸고 제기된 의혹과 정부·경찰·회사 측 입장을 문답으로 정리했다. Q. 쿠팡 대규모 개인정보 유출 사건에서 정보가 유출된 기간은 얼마인가? A. 류제명 과학기술정보통신부 2차관: 공격식별 기간은 지난 6월 24일부터 11월 8일까지다. Q. 개인정보 유출 시점과 인지 시점 간 5개월의 간극이 있다. 뒤늦게 파악한 것인가? 개인정보 유출을 은폐한 것인가? A. 쿠팡 : 지난달 18일 약 4천500개 계정의 개인정보 유출 사실을 인지했다. 후속 조사 결과 고객 계정 약 3천370만개가 유출됐다는 것을 확인했다. 경찰: (개인정보 유출 사태 은폐, 축소 의혹과 관련해) 필요하면 수사하겠다. Q. 유출된 것으로 추정되는 3천370만개의 계정은 모두 현재 활동 중인가? A. 박대준 쿠팡 대표: 3천370만개의 계정에는 휴면, 탈퇴 회원 정보도 포함됐다. Q. 이번 사건의 발단이 된 개인정보 유출은 내부 소행인가? A. 쿠팡: 회사 시스템과 내부 네트워크망의 외부 침입 흔적은 없는 것으로 확인했다. 현재까지 조사에 따르면 해외 서버를 통해 무단으로 개인정보에 접근한 것으로 추정하고 있다. Q. 이번 사건의 유력 용의자(공격자)는 중국인인가? A. 류 차관: 현재 언급되는 공격자의 신상에 대한 정보는 경찰 수사로 확인이 필요하다. 확인이 필요한 미상자가 쿠팡 측에 메일을 보내 이메일, 배송지 등 3천만건의 개인정보 유출을 주장했다. 경찰 : 유력 용의자의 국적 등은 아직 확인할 수 없다. Q. 쿠팡이 받은 개인정보 유출 관련 협박 메일에는 어떤 내용이 담겼나? A. 박 대표: 용의자가 '자기가 이걸 어떻게 입수했고 취약점을 빨리 보완해라. 그렇지 않으면 폭로하겠다'라는 내용으로 메일을 보냈다. 브랜 메티스 쿠팡 정보보호최고책임자(CISO): 데이터를 자기가 취득해서 가지고 있다고 이메일로 이야기했다. 또 이 정보가 악용되지 않을 거라고 했다. Q. 대규모 개인정보를 유출한 직원은 쿠팡에서 인증 업무를 담당하던 담당자인가? A. 박 대표: (개인정보 유출 용의자로 지목된 직원은)인증 업무를 맡은 것이 아니라 인증 시스템을 개발하는 개발자였다. Q. 쿠팡 IT 인력 절반 이상이 중국이라는 의혹은 사실인가? 또 매니저의 90% 이상은 중국인으로 구성돼 있는가? A. 박 대표: 사실이 아니다. 한국인 비율이 압도적으로 많다. Q. 개인정보를 유출한 것으로 추정되는 직원은 개인인가? 팀인가? A. 박 대표: 단수나 복수라고 단정할 수는 없다. 수사 중이라 말할 수 없다. Q. 개인정보 유출 용의자로 지목된 직원은 어떤 방식으로 정보를 유출했나? A. 류 차관: 공격자는 로그인 없이 고객 정보를 여러 차례 비정상으로 접속해 유출했다. 이 과정에서 쿠팡 서버 접속 시 이용되는 인증용 토큰을 전자 서명하는 암호키가 사용됐다. Q. 이번 사건 용의자로 지목된 퇴직 직원의 권한은 어떻게 했나? A. 박 대표: 용의자 퇴직 후 권한을 말소했다. Q. 개인정보 유출 범위에 결제 정보, 신용카드 번호, 로그인 정보가 포함되지 않은 것이 맞는가? A. 과기정통부: 개인정보 유출 범위는 개인정보보호위원회가 확정한다. 개보위: 아직 쿠팡에서 개인정보가 무단으로 노출됐다는 사실을 신고한 정도로 인지하고 수사 중이다. Q. 결제 정보 등이 유출되지 않았다는데, 카드 정보 등을 바꾸지 않아도 되는가? A. 김승주 고려대 정보보호대학원 교수: 피해가 확산할 수 있기 때문에 결제 카드를 삭제하고, 카드와 쿠팡 로그인 비밀번호를 변경하는 게 좋다. Q. 개인통관고유부호(통관번호)와 공동 현관 출입문 비밀번호는 유출됐나? 쿠팡 : 현재까지 확인된 바로는 통관번호는 노출되지 않았고 공동 현관 출입문 비밀번호는 일부 포함됐다.

2025.12.02 16:37박서린

박대준 쿠팡 "수사선상 오른 중국 직원은 인증 시스템 개발자"

박대준 쿠팡 대표가 가입자 개인정보 유출 사건 관련해 수사 선상에 오른 퇴사한 중국 국적 직원에 대해 "인증 시스템을 만드는 개발자였다"고 설명했다. 박 대표는 2일 국회 과학기술정보방송통신위원회 현안보고에서 신성범 국민의힘 의원의 질문에 이같이 답했다. 박 대표는 개발팀 구성 관련 질의에 “개발 조직은 한 사람이 모든 역할을 맡는 구조가 아니다”라며 “여러 개발자가 팀을 이뤄 기능을 분담하고 있다”고 말했다. 다만 “수사 중인 사안이라 구체적인 역할과 책임 범위에 대해서는 언급하기 어렵다”고 덧붙였다. 이준석 개혁신당 의원은 개인정보 유출자가 조선족인지 중국인인지 물었다. 쿠팡에서 유출된 정보가 보이스피싱에 쓰일 수 있어, 유출자가 정보를 범죄조직에 팔았는지 여부를 알기 위해서 질의한다고 하면서다. 박 대표는 “현재 수사가 진행 중”이라며 말을 아꼈다. 이어 이 의원이 “범죄 조직으로 넘어갔다고 볼만한 피해사례 등 근거가 지금 현재 있느냐”고 묻자 박 대표는 “아직까지는 없는 것으로 파악하고 있다”고 답했다. 브랜 메티스 쿠팡 정보보호최고책임자(CISO) 또한 말을 아끼며 "현재 경찰 조사가 진행 중이기 때문에 답변드릴 수 없는 점 양해해 달라”고 말했다.

2025.12.02 14:33안희정

무인양품 日온라인스토어 주문자 개인정보 유출

무인양품 일본 온라인스토어에서 개인정보가 유출된 것으로 나타났다. 씨넷재팬에 따르면, 아스쿨의 랜섬웨어 감염으로 무인양품이 상품 배송을 위해 해당 업체에 넘겨준 고객 정보가 외부로 유출됐을 가능성이 떠올랐다고 회사 측이 공식 발표했다. 무인양품은 온라인스토어를 운영하면서 아스쿨로지스트가 제공하는 물류 서비스를 이용해왔다. 유출 가능성이 점쳐지는 개인정보는 온라인 스토어에서 구매한 고객의 배송 업무와 관련된 출하 배송 데이터다. 주소, 이름, 전화번호, 주문 상품 정보 등이 포함된다. 현재 아스쿨 측이 피해 상세를 분석 중이며, 유출이 발생했을 가능성이 있는 기간은 조사가 진행 중이라 아직 특정되지 않았다.

2025.11.17 09:47박수형

"대기업 노린 랜섬웨어 늘었다…24시간 내에 신고해야"

"데이터를 암호화하고 이를 인질로 금전 등을 요구하는 랜섬웨어(Ransomware)공격이 과거에는 영세 중소기업이나 지역 제조업체를 대상으로 이뤄졌다면, 최근에는 대기업이나 중견기업 등 이용자 규모가 100만~200만명이 넘는 기업을 대상으로 이뤄지고 있다" 박용규 한국인터넷진흥원(KISA) 위협분석단장은 1일 최근 랜섬웨어 공격 동향에 대해 이같이 밝혔다. 박 단장은 최근 KISA에서 운영하고 있는 침해신고와 유출신고의 차이에 대해 소개하며 최근 침해사고 건수가 전년 동기 대비 15% 늘었고, 침해사고 유형별로 보면 절반 이상이 랜섬웨어 등 서버 해킹 형식으로 공격이 진행됐다고 밝혔다. 이처럼 랜섬웨어 등 침해사고가 빈번해짐에 따라 지난해 정보통신망법이 개정됐고, 침해사고를 미신고하거나 뒤늦게 신고하는 문제점을 개선하기 위해 침해사고의 신고 기준이 명확해졌다고 설명했다. 기존에는 침해사고가 발생하면 '즉시' 신고하도록 규정돼 있었으나, 즉시의 기준이 모호했던 만큼 '24시간 이내 최초 신고', '24시간 이내 보완신고' 등으로 구체화했다. 박 단장은 "침해사고와 유출신고는 비슷하면서도 다른데, 해킹이나 디도스 공격에 의해 침해사고가 발생된 경우에는 24시간 이내에 KISA에 신고해야 하는 의무"라며 "침해사고 외에도 개인정보 유출까지 확인된 경우에는 24시간 이내에 KISA에 신고하고 72시간 이내에 개인정보 유출신고를 해야 한다"고 강조했다. 그는 이어 "침해사고는 발생하지 않았지만 개인정보만 유출된 경우에는 72시간 이내에 개인정보 유출 신고만 하면 된다"면서 "KISA는 신고가 접수되면 사고 증적 확보, 침해사고 분석, 대응 및 조치는 물론 재발방지 등의 조치까지 진행한다"고 설명했다. 아울러 박 단장의 설명에 따르면 KISA는 중소기업이나 영세한 기업들의 경우 침해사고가 발생해도 대기업 대비 보안 역량이 떨어지기 때문에 사전에 다크웹이나 위협헌팅 프로그램을 통해 침해사고 현황을 면밀히 모니터링하고 있다. 자체탐지를 통해 침해사고가 확인되면 피해 기업에 KISA를 통한 신고를 안내한다. 박 단장은 "KISA가 이같은 노력을 하고 있지만 침해사고를 당한 기업 입장에서는 대외 이미지가 나빠질 것을 우려해 여전히 신고를 꺼려하는 경우가 많다"며 "기업이 신고를 하지 않으면 KISA 측에서 강제로 신고할 수 있는 법적 강제성도 없는 구조적인 문제도 해결이 되지 않고 있는데, 침해사고 발생 시 빠르게 신고하고 조치받을 수 있어야 한다"고 당부했다. 한편 침해사고에는 데이터를 탈취해 포럼 등을 통한 판매는 물론 탈취한 데이터를 암호화하는 식의 랜섬웨어까지 유형이 다양하다. 하지만 디페이스(홈페이지 위·변조) 공격 등 데이터 탈취가 목적이 아니라 자신의 해킹 실력을 과시하기 위한 침해사고 등은 KISA의 대응 체계에서 사전에 탐지되지 않을 가능성도 있다. 박 단장은 이같은 기자의 질문에 "기본적으로 KISA가 어떤 다크웹에 접속해서 유출 사실을 확인하게 되면 KISA도 침해 행위를 한 것으로 법적 판단이 이뤄질 수 있다"며 "그래서 여러 업무를 하고 있는 국내외 업체들과 인텔리전스 체계를 운영하고 있고, 각 국에서 확보되지 않은 다양한 정보들이 있을 수 있기 때문에 최대한 여러 국가 및 기관·기업과의 네트워킹을 통해 사전에 정보를 수입하고 있다"고 설명했다.

2025.09.01 11:00김기찬

SKT 역대 최대 1348억원 과징금…부과 근거는

대규모 해킹 사태를 일으킨 SK텔레콤이 유출 사실 신고 이후 4개월여 만에 개인정보보호위원회(개보위)로부터 과징금을 부과받았다. 과징금 및 과태료 규모는 각각 1347억9100만원, 과태료 960만원이다. 개보위는 28일 정부서울청사에서 제18회 전체회의 결과 브리핑을 열고, 개인정보 보호 법규를 위반한 SKT에 대해 과징금 1347억9100만원과 과태료 960만원을 부과한다고 밝혔다. 이는 개보위과 부과한 과징금 중 역대 최대 규모다. 개보위는 또 전반적인 시스템 점검 및 안전조치 강화, 전사적인 개인정보 거버넌스 체계 정비 등 재발 방지를 위한 시정조치(안)를 의결했다. 고학수 개보위 위원장은 브리핑 현장에서 "해커가 SKT 내부망에 침투해 개인정보를 유출한 통신, 인프라 영역에 대한 개인정보 보호 관리·감독이 매우 허술하게 이뤄지고 있었다는 점을 확인했다"며 "이에 SKT에 대해 과징금 및 과태료 부과와 함께 향후 개인정보 보호 강화를 위해 개인정보보호책임자(CPO)가 실질적인 역할과 책임을 다할 수 있도록 체계를 정비하는 한편 재발 방지 대책을 수립해 시행할 것에 대해 시정 명령했다"고 밝혔다. 개보위는 지난 4월 22일 SKT가 비정상적 데이터 외부 전송 사실을 인지하고 유출 신고를 하면서 한국인터넷진흥원(KISA)와 함께 집중조사 태스크포스(TF)를 구성하고 조사에 착수했다. TF는 개보위 조사관 4인과 사내변호사 및 회계사 3인, KISA 조사관 7인 등으로 구성됐다. TF는 현장 조사, 서면조사 및 디지털 증거 수집 등을 통해 SKT 주요 개인 정보처리시스템 대상 유출 여부 규모 등에 대해 집중 조사했다. "해커, 탈취한 계정정보로 관리자 권한 획득…악성코드 심어" 개보위는 이번 사고가 이동통신 이용에 필요한 IMSI 및 유심 인증키가 대규모로 유출됨에 따라 이동통신 서비스의 신뢰도가 저하되고 사회적 불안감이 확산되는 등 국민 생활에 중대한 악영향을 줬다고 판단했다. TF 조사 결과에 따르면 SKT가 제공하는 이동통신 서비스의 핵심 역할을 하는 다수 시스템에 대한 해킹으로 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함, 중복 제거)의 휴대전화 번호를 비롯해 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종의 정보가 유출된 것으로 확인됐다. 유출 경위를 보면 해커는 지난 2021년 8월 SKT 내부망에 최초 침투해 원격 접속한 관리망에서 평문으로 저장된 계정정보를 획득했다. 개보위에 따르면 해커들은 최소 2365대의 서버를 공격해 평문으로 저장된 4899개의 ID 및 패스워드를 탈취해 간 것으로 확인됐다. 해커는 획득한 계정을 이용해 코어망 서버에 접속했고, 더티카우(DirtyCow)라는 취약점을 활용해 운영OS 관리자 권환을 획득했다. 이후 홈가입자서버(HSS) 데이터베이스(DB)에 악성프로그램인 'BPFDoor'를 설치했다. 또 지난 2022년 6월 통합고객인증시스템(ICAS) 내에 악성 프로그램을 설치해 추가 거점을 확보하면서 공격을 시작했다. ICAS는 SKT가 운영하는 티월드(Tworld) 등 사내 서비스 및 인가된 협력사 대상 SKT 가입자의 가입 상태, 정보 및 가입 상품 조회용 API를 제공하는 시스템이다. 해커는 지난 4월 18일 설치해 놓은 악성프로그램을 이용해 외부에서 HSS DB에 명령어를 입력했고, DB에 저장된 이용자 개인정보를 조회해 파일로 추출한 뒤 압축해 외부로 유출했다. 유출 규모는 9.82GB다. 공격받은 ICAS 서버에는 이용자의 이름, 생년월일, 주소, 이메일, 단말기 식별번호(IMEI) 등이 임시 저장돼 있었던 것으로 전해졌다. "개인정보 암호화 없이 평문 저장…불법 침입에 매우 취약" 문제는 이같은 개인정보를 SKT가 암호화하지 않고 평문으로 저장하고 있었다는 점이다. 이에 해커가 유심 복제에 사용할 수 있는 유심 인증키 등을 원본 그대로 확보할 수 있었던 것으로 확인됐다. 평문으로 유출된 유심 인증키는 총 2614만4363건이다. 심지어 SKT는 2022년 유심 복제 등의 이슈가 제기되면서 다른 통신사가 유심 인증키를 암호화해 저장하고 있는 것을 확인했음에도 적절한 조치를 취하지 않아 비판을 피하기 어려워 보인다. 이 외에도 내부 관리 계획 수립·시행 및 점검 소홀, 접속 기록 미보관 등 안전조치의무를 준수하지 않은 데다 SKT가 자체 마련한 내부 규정마저도 다수 위반한 것으로 알려졌다. 뿐만 아니라 지난 4월19일 HSS DB에 저장된 데이터가 외부로 전송된 사실을 확인해 개인정보 유출 사실을 인지했음에도 72시간 내에 유출된 이용자를 대상으로 유출 사실을 통지하지 않았다. 관련법상 개인정보 유출 사고 시 1000명 이상의 정보주체에 관한 개인정보가 유출됐을 경우, 유출 사실을 알게 된 날부터 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고해야 한다. 이에 개보위는 지난 5월2일 SKT에 즉시 유출통지를 진행할 것을 긴급 의결했음에도 불구하고, SKT는 유출 '가능성'에 대해 통지를 실시하는 데 그쳤다. 이후 7월28일이 돼서야 유출 '확정'으로 통지를 실시하는 등 개인정보 유출 시 이용자 피해 예방을 위해 보호법에서 규정한 최소한의 의무조차 이행하지 않았다고 개보위는 지적했다. 개보위는 SKT가 기본적인 접근통제조치도 이행하지 않아 인터넷과 내부망 사이의 보안 운영 환경이 매우 취약한 상태로 관리·운영되고 있었다고 밝혔다. 인터넷망(국내·외)에서 SKT 내부 관리망 서버로의 접근이 제한없이 허용되고 있었던 것이다. 이 외에도 SKT는 침입탐지 시스템의 이상행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 해 유출 사고를 사전에 방지할 기회마저 놓쳤다는 것이 개보위의 판단이다. SKT 내 개인정보보호책임자(CPO)의 역할도 사실상 '반쪽'이었다. 개보위에 따르면 SKT는 CPO의 역할을 IT 영역(Tworld 등 웹·앱 서비스)에 한정되도록 구성·운영했다. 이에 이번 유출 사고가 발생한 인프라 영역은 CPO가 개인정보 처리 실태조차 파악하지 못하는 등 CPO의 관리·감독이 사실상 이루어지지 않았다. 개보위 "SKT 계기로 개인정보 보호 예산·인력 투자 강화돼야" 이번 처분에 앞서 개인정보위는 조사 결과 및 처분 방향에 대해 위원들간 충실한 논의 및 의견수렴을 위해 총 네 차례의 사전 검토회의를 거쳤고, 전날 전체회의 때 사업자가 출석해 의견 개진 및 질의·응답 등을 거친 후 최종 처분안을 확정했다고 밝혔다. 향후 개보위는 유사 사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리 및 감독을 더욱 강화하고, 개인정보 안전관리 체계 강화 방안을 마련해 내달 초 발표할 예정이다. 고학수 위원장은 "이번 SKT 해킹 사태를 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"며 "나아가 데이터 경제 시대 CPO와 전담 조직이 기업 경영에서 차지하는 역할과 중요성을 제고해 개인정보 보호 체계가 한층 강화되는 계기가 되길 바란다"고 말했다. SKT 측은 "이번 결과에 무거운 책임감을 갖고 있으며, 모든 경영활동에 있어 개인정보 보호를 핵심 가치로 삼고 고객 정보 보호 강화를 위해 만전을 기할 것"이라면서도 "다만 조사 및 의결 과정에서 당사 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감이다. 향후 의결서 수령 후에 내용을 면밀히 검토해 입장을 정리할 예정"이라고 밝혔다. 다음은 브리핑 현장에서 고학수 위원장과의 일문일답. - 과징금 규모를 선정하게 된 경위는 "과징금 규모 선정은 전체 매출액에서부터 출발한다. 사건과 관련이 없는 매출액을 제외한 후 과징금 고시에 마련된 구체적인 기준에 따라 기준금액을 정하게 된다. 기준금액 결정 이후 중대성 판단을 하는데, 조정 절차를 거쳐 과징금을 최종 결정하게 된다. SKT의 연결 재무제표상 매출은 17조원 정도 되는데, 개인고객이 아닌 법인 고객 등 관련 없는 매출을 제외하고 기준금액을 결정했고, 중대성은 '매우 중대함'으로 결정됐다." - SKT 측 CPO의 역할이 제한적이었던 배경은 무엇인가. "SKT가 CISO를 새로 영입했고 회사 내부에서 조직 개편을 일부 한 것으로 확인됐다. 이런 개편은 현재도 진행 중이며, 조사 과정에서 파악된 CPO 관련 문제는 IT 전반을 다루는 부서와 인프라 네트워크 인프라 부서 사이의 역할구분이 실질적으로 있었다는 것이다. CPO가 네트워크 인프라도 확인할 수 있긴 했지만, 제한적으로만 보는 업무 관행이 있었던 것 같다" - 27일 진행된 전체회의에서 SKT는 어떤 입장을 밝혔나. "기존에는 SKT가 문제 상황이 발생하긴 했지만 회사가 할 수 있는 합리적인 선에서 적극적인 소명을 했다. 27일 전체회의에서는 '사실 문제가 있었던 것이 많고, 아쉽고 죄송스럽게 생각한다'면서 '개보위와 훨씬 더 적극적으로 소통하겠다'는 입장을 밝혔다" - 과징금 규모가 적지 않다 보니 SKT가 행정 소송에 나설 것 같은데, 이와 관련한 개보위 입장은 무엇인가. "소송 여부는 개보위가 예단할 사안이 아니다. 다만 조사하고 처분하는 과정에서 TF를 꾸려서 진행했는데, TF에 투입된 인력이 이례적으로 많았다. 조사 전문가뿐 아니라 법률회계 전문가 등이 투입돼서 전체적인 조사를 꼼꼼히 진행해 처리했다." - 27일 전체회의에서 위원들은 어떤 반응을 보였나. "SKT가 꽤 오랜 기간 전반적으로 취약한 상태였음에도 불구하고 조치를 할 수 있는 계기를 계속해서 놓쳐왔던 부분에서 위원들이 답답함을 느꼈다. 국민 절반이 사용하는 통신사인데 매우 중대한 정보의 성격의 개인정보가 유출됐고, SKT가 관리를 못했다는 문제의식이 강했다" - SKT 해킹 사태가 처음 불거졌을 당시 유심 복제에 대한 우려가 컸다. 개보위는 유심복제가 가능하다고 판단했는가. "과거에는 유심 복제가 수월했으나, 이상징후 탐지(FDS) 기술과 더불어 유심보호 서비스 등이 고도화되면서 현시점에서 유심 복제는 거의 불가능하다고 본다." - 다른 기업이 해킹 사고를 당했을 때 SKT와 비슷한 수위로 처벌할 것인가. "모든 사건마다 독특한 특징이 있다. 일관성있게 법을 적용하는 것은 너무나 당연하지만 개별 사건의 특수성도 고려돼야 한다."

2025.08.28 12:47김기찬

데이터법정책학회, 해킹-개인정보 유출 법적 이슈 살피는 세미나 연다

한국데이터법정책학회는 오는 21일 웨스틴조선호텔에서 해킹과 개인정보 유출에 따른 정보통신망법, 개인정보보호법, 민법, 행정법 등의 분야에 대한 법적 이슈과 과제를 살피는 세미나를 개최한다. 이경호 고려대 정보보호대학원 교수와 같은 대학원 박종수 교수가 해킹의 기술적 이슈와 법적 이슈에 대한 세미나 발제를 맡았다. 발제에 이어지는 토론에는 손승우 부회장을 좌장으로 정원준 한국법제연구원 AI법제팀장, 법무법인 지평의 신용우 변호사, 김화 이화여대 법학전문대학원 교수, 김장 법률사무소의 박종국 변호사, 김태오 창원대 법학과 교수, 김기범 성균관대학교 과학수사학과 교수가 참여한다. 이성엽 회장은 “최근 급증하고 있는 해킹으로 인한 개인정보 유출로 인해 다양한 기술적, 법적 이슈가 제기되고 있는 상황에서 대안을 제시하는 의미 있는 세미나가 될 것”이라고 말했다.

2025.08.14 14:39박수형

다크웹에 잡코리아·알바몬 개인정보가?...회사 "사실무근"

다크웹에서 15만 건에 달하는 잡코리아·알바몬 이용자 개인정보가 판매되고 있다는 의혹이 제기되자 회사 측은 내부 조사 결과 사실이 아니라며 의혹을 전면 부인했다. 9일 플랫폼업계에 따르면 최근 잡코리아·알바몬 이용자 개인정보로 추정되는 데이터가 다크웹을 통해 판매되고 있다는 소식이 나왔다. 해커는 ▲이름 ▲전화번호 ▲이메일 ▲생년월일 주소 등 주요 개인정보를 포함해 약 15만 건의 데이터를 확보했다고 주장했다. 게시글에는 일부 계정 정보가 담긴 예시 파일이 함께 첨부된 것으로 알려졌다. 잡코리아와 알바몬은 이같은 의혹에 대해 사실무근이라는 입장이다. 잡코리아 관계자는 “해당 사안에 대해 내부적으로 조사한 결과 15만 건에 달하는 개인정보는 유출되지 않은 것으로 확인됐다”며 “해커가 근거없는 주장을 한 것으로 보고 있다”고 말했다. 이어 “지난 5월 개인정보 유출 사고 이후 추가적인 피해 사례는 없는 것으로 확인했다”면서 “보안도 계속해서 강화하고 있다”고 덧붙였다. 앞서 알바몬은 지난 5월 해킹 공격으로 임시저장 이력서 2만2천 여건상의 정보 유출 정황을 확인해 개인정보보호위원회에 자진신고한 바 있다. 이로 인해 알바몬은 개인정보 유출 피해자에 10만원 상당의 보상을 지급하기도 했다.

2025.07.09 17:19박서린

일주일만에 사과한 김석환·최세라 예스24 대표..."다시 신뢰 쌓겠다"

해킹 피해로 약 닷새 간 먹통이 된 예스24의 두 대표가 뒤늦게 사과의 뜻을 내비쳤다. 보안 체계를 원점에서 재점검하고, 보상안 마련에도 힘쓰겠다고 약속했다. 온라인 서점 플랫폼 예스24는 얼마 전 전사 시스템 마비를 일으킨 랜섬웨어 공격 사태에 대해 16일 최고경영자(CEO) 명의로 공식 사과했다. 예스24는 지난 9일 외부 해커의 랜섬웨어 공격으로 인해 도서 구매, eBook 열람, 공연 티켓 예매 등 주요 서비스가 전면 중단되는 초유의 사태를 겪었다. 그로부터 약 일주일이 지나서야 김석환·최세라 공동 대표는 사과문을 통해 “서비스 장애로 불편을 겪은 고객, 협력사, 그리고 모든 분들께 깊이 머리 숙여 사과드린다”고 말했다. 이어 “이번 사고의 책임은 전적으로 예스24에 있으며, 고객의 신뢰를 다시 얻기 위해 끝까지 책임지겠다”고 약속했다. 예스24에 따르면 이번 사고는 외부의 악의적인 랜섬웨어 공격에 의해 발생했다. 이에 회사 측은 "해커의 반응 감시 및 추가 공격 가능성으로 초기 대응과 정보 공개에는 신중을 기할 수밖에 없었다"고 해명했다. 이어 “정보 공개가 늦어진 점도 결국은 저희 책임”이라며 사과했다. 현재 예스24는 도서 및 음반, 문구, eBook 구매, 티켓 예매 등 핵심 기능은 대부분 복구된 상태이며, 리뷰 등 일부 서비스는 순차 복원 중이다. 예스24는 서비스 중단으로 불편을 겪은 고객들을 위해 서비스 유형별 보상 기준을 마련하고 있으며, 오늘 중 1차 보상안을 공지할 예정이다. 추가 보상안 역시 홈페이지를 통해 지속 안내한다는 계획이다. 김석환·최세라 예스24 대표는 "플랫폼의 기본은 신뢰며, 보안이 그 신뢰의 핵심"이라면서 "예스24는 정부 유관기관 및 외부 보안 전문가들과 함께 사고 원인을 조사하고 있으며, 보안 체계를 원점에서 재정비하고 전면 개편에 나서겠다"고 밝혔다. 또 "외부 보안 자문단 도입, 보안 예산 증액, 제도 개선 논의 참여 등 전사적 차원의 조치를 약속한다"면서 "이번 사고를 끝까지 책임지고, 더 안전한 디지털 생태계 조성에 앞장서겠다"고 덧붙였다.

2025.06.16 17:45백봉삼

예스24 해킹 피해 난린데 경영진들은 어디 숨었나

온라인 서점 예스24가 랜섬웨어 해킹 공격으로 인해 5일째 서비스 중단 상태다. 접속 오류로 시작된 공지는 곧 해킹 사실로 번복됐고, 정부기관과의 기술 협력 여부를 두고도 입장이 오락가락했다. 사태가 장기화되면서 예스24는 보안 기술적 취약성뿐 아니라, 조직의 위기 대응력과 정보 투명성이 얼마나 부족한지 적나라하게 확인시켜줬다. 그럼에도 회사 경영진들은 언론 홍보대행사 뒤에 숨어 사고에 대한 사과 한마디 없다. 예스24는 한세그룹 창업주 김동녕 회장의 장남인 김석환 한세예스24홀딩스 대표(부회장)와 전문경영인 최세라 대표가 이끄는 각자 대표 체제다. 지난 9일 새벽 시작된 서비스 장애는 첫날만 해도 단순한 시스템 문제로 여겨졌다. 하지만 10일 최수진 의원실을 통해 '랜섬웨어 공격' 사실이 드러나자 예스24는 뒤늦게 이를 인정했다. 해킹 사실을 축소하거나 감추려 했다는 의혹이 불거지는 대목이다. 복구 과정 역시 의문투성이다. 예스24는 “한국인터넷진흥원(KISA) 등과 협력 중”이라 밝혔지만, 정작 KISA는 "기술 지원을 받기 위한 동의를 받지 못했다"며 공개 반박하기도 했다. 두 차례나 사고 분석 인력을 보냈음에도 예스24는 간단한 설명만 제공했을 뿐, 피해 규모나 감염 범위조차 제대로 공유하지 않았다는 것이다. 기술 지원 요청은 12일에야 이뤄졌다. 개인정보 보호 문제도 심상치 않다. 예스24는 초기 “개인정보 유출은 없다”고 단정했지만, 개인정보보호위원회 조사에서는 '비정상적인 회원 정보 조회' 정황이 포착됐다. 이후에는 “유출 정황은 없지만, 유출이 확인되면 개별 연락하겠다”는 식으로 말을 교묘히 바꿨다. 백업 데이터와 암호화 저장 등 기술적 조치가 있었더라도, 해커가 최고 권한을 가진 상황에서 개인정보 유출 가능성을 완전히 배제하기는 어렵다. 더 큰 문제는 복구 작업의 더딘 속도다. 예스24는 15일까지는 시스템 정상화를 예상한다고 밝혔지만 전문가들은 백업 시스템마저 손상됐을 가능성과, 민감한 정보 일부분을 다크웹에 올리거나 거래하는 등 2차 피해를 완전히 예방하기는 어렵다는 의견이다. 예스24는 2천만 명 이상의 회원을 보유한 국내 대표 온라인 서점이다. 공연 티켓, 전자책, 중고서적 등 이용자들의 생활과 밀접한 서비스들을 다루는 플랫폼이라는 점에서 이번 사태는 단순한 일회성 사고로 끝날 문제가 아니다. 특히 예스24는 이미 2016년, 2020년 개인정보 유출로 과태료를 부과받은 전례까지 있다. 복구는 시간 문제일 수 있지만, 무너진 신뢰를 복구하는 일은 그보다 훨씬 어렵다. 위기 때 드러나는 기업의 태도야말로 브랜드 자산의 본질이다. 지금 필요한 건 빠른 복구뿐 아니라, 투명하고 책임 있는 정보 공개와 사과, 그리고 피해자 중심의 합리적인 보상이다. 예스24 경영진들이 뒤로 숨어 누구에게 위임할 일이 아니다.

2025.06.13 09:26백봉삼

"25달러에 남의 계좌 털었다"…해커 양산하는 피싱키트, 메신저 거래 '활발'

피싱 공격을 실행할 수 있는 '피싱 키트(Phishing Kit)'가 메신저를 통해 저렴한 가격에 판매되면서 사이버 범죄가 빠른 속도로 확산되고 있는 것으로 나타났다. 악성코드 공격과 데이터 유출 같은 보안 사고가 급증하는 원인으로 지목된 만큼 이에 따른 피해가 커지지 않도록 각별한 주의와 대책 마련이 요구되고 있다. 12일 노드VPN에 따르면 '피싱 키트'는 현재 다크웹이나 텔레그램 같은 메신저 앱에서 25달러(한화 약 3만5천원) 이하로 쉽게 구매할 수 있게 되면서 사이버 범죄자들의 주요 도구로 자리잡았다. 피싱 키트는 드래그 앤 드롭 방식의 웹사이트 제작 도구, 이메일 템플릿, 연락처 리스트 등이 포함된 사전 제작형 악성 패키지다. 전문적인 기술이나 지식이 없어도 실제와 유사한 피싱 사이트를 제작할 수 있어 개인정보를 탈취하거나 데이터를 암호화하고 나아가 랜섬웨어 공격까지 감행할 수 있다. 피싱 키트는 신원 도용, 계좌 탈취, 악성코드 유포 등 다양한 사이버 범죄에 악용되며 감염된 기기는 완전히 통제 당할 수 있다. 최근에는 이러한 공격이 더욱 조직화되면서 '피싱 서비스(PhaaS, Phishing-as-a-Service)' 플랫폼까지 등장하고 있다. PhaaS는 호스팅부터 피해자 타깃팅까지 공격의 전 과정을 대행하는 방식으로, 피싱을 하나의 사업처럼 운영할 수 있게 만들어 사이버 위협을 더욱 확대하고 있다. 노드VPN의 조사에 따르면 2024년 사이버 범죄자들이 가장 많이 사칭한 사이트는 구글, 페이스북, 마이크로소프트였다. 특히 이들 사이트를 모방한 가짜 URL은 계정 정보를 탈취하는 주요 수단으로 활용됐으며 작년 한 해 동안에만 8만5천 건 이상의 가짜 구글 URL이 발견됐다. 황성호 노드VPN 지사장은 "피싱 공격은 민감한 정보에 접근하는 사이버 범죄자들의 가장 흔하고 효과적인 수단 중 하나"라며 몇 가지 예방 수칙을 권장했다. 먼저 의심스러운 링크는 철자나 주소를 꼼꼼히 확인하고 무료 동영상 사이트는 악성코드나 개인정보 추적기가 숨어 있을 수 있어 이용을 자제하는 것이 좋다. 계정 보안을 위해 다중 인증(MFA)을 설정하고, 스팸 메일이나 의심스러운 제안∙긴급 요청이 담긴 이메일은 발신자를 확인한 뒤 신중하게 검토해야 한다. 또 파일을 다운로드 하기 전에는 반드시 악성코드 검사를 실시하고 개인정보 추적을 방지하기 위해 차단 도구를 사용하는 것이 바람직하다. 마지막으로 기기 소프트웨어를 항상 최신 상태로 유지해 보안 취약점을 사전에 차단하는 것이 중요하다. 황 지사장은 "피싱 키트와 PhaaS(서비스형 피싱)는 기술력이 없는 사람도 손쉽게 강력한 사이버 공격을 할 수 있게 만들어 범죄 진입 장벽을 크게 낮췄다"며 "이로 인해 사이버 범죄자는 빠르게 늘어나고 있다"고 강조했다. 이어 "공격 방식 또한 점점 더 다양해지고 있다"며 "소비자들은 이전보다 훨씬 더 경각심을 가지고 보안에 주의해야 한다"고 덧붙였다.

2025.06.12 11:03장유미

"AI 발달로 나도 모르게 개인정보 불법 수집"

'인공지능(AI)이 발달해 나도 모르게 개인정보를 불법으로 수집하게 됐다'는 기업이나 기관 개인정보처리자에게 위법 기준이 제시됐다. 권헌영 고려대 정보보호대학원 교수는 28일 서울 삼성동 코엑스에서 열린 '개인정보 보호 페어(PIS FAIR) 2025'에서 '인공지능과 개인정보 처리의 주요 쟁점 대응 방안'을 발표했다. 권 교수는 “AI 시대에 개인정보 이용 방식도 바뀌고 있다”며 “정보 주체가 누군지 모르는 상황이었지만 AI로 누군지 식별돼 버리면 개인정보처리자는 불법을 저지르게 된다”고 말했다. 그러면서 AI 시대 저절로 수집되는 개인정보를 보호하는 방법을 안내했다. 우선 공개된 개인정보를 수집·이용할 수 있는 기준을 지키면 된다. 공공의 이익, 처리 필요성 등이다. 가명정보도 방안 중 하나지만 실효성은 적다고 평가된다. 권 교수는 “한국에서는 가명정보도 개인정보로 취급해 개인정보보호법으로 규제한다”며 “가명으로 처리하는 이유는 수집 목적 아닌 이유로 쓰려는 것인데, 수집 목적 아닌 이유로 쓰려면 동의 받아야 해서 이 과정이 돌고 돈다”고 짚었다. AI로 세상이 바뀌었지만 관행을 이어가는 일은 올바르지 않다고 봤다. 권 교수는 “첨단 기술을 활용해 개인정보를 쓰면서도 동의서 받는 법적 체계는 옛날식”이라며 “종이로 서명하면 사람이 부인하지 않을 거라 생각하고, 디지털로 서명하면 나중에 부정할까 봐 그러는 것 같다”고 분석했다. 그는 “정보 주체로부터 '당신의 개인정보를 이렇게 쓰겠습니다'라며 수집 동의 받는다”며 “최근 문제는 안 받아도 될 동의까지 받는 점”이라고 지적했다. 이어 “다른 목적으로 쓸 때에만 개인정보 제공 동의를 받으면 된다”며 “버스에 타 교통카드 찍을 때마다 '나는 누구고, 어디서 타서 어디에 내릴 테니 개인정보 내는 데 동의한다'고는 안 한다”고 설명했다.

2025.05.28 15:37유혜진

SKT 유심 해킹이후 유출 개인정보 악용 보이스피싱 시도 기승

SK텔레콤(SKT) 유심 해킹 사고 이후 유출된 개인정보를 악용한 보이스피싱 시도가 여전히 활발히 이어지고 있는 것으로 나타났다. 인공지능(AI) 보안 전문기업 에버스핀(대표 하영빈)은 악성앱 탐지 솔루션 '페이크파인더(FakeFinder)'를 통해 확인된 최근 2~3주간의 모니터링 내부 보고서를 분석한 결과, 사태 초기와 동일한 공격 패턴이 반복적으로 포착되고 있다고 26일 밝혔다. 에버스핀은 앞서 지난 8일 'SKT 해킹으로 인한 사회적 혼란을 악용한 피싱 시도가 급증하고 있다'며 관련 사례를 최초로 공개한 바 있다. 당시 '피해구제국''SK쉴더스' 등을 사칭한 악성앱이 원격제어 앱과 함께 설치돼 10분 만에 피해자 기기에 침투하는 시나리오가 실제 포착되며 주목받았다. 에버스핀은 이후 약 2주간 추가로 수집된 패턴을 분석한 결과, 동일한 방식의 악성앱 유포가 지속해서 발생하고 있으며, 기존과 유사한 사회공학적 접근 방식으로 설치가 반복되고 있다고 전했다. 실제로 5월 1~2주차 탐지 내역에서도 기존과 같은 AnyDesk·알집·사칭 앱 순으로 설치된 로그가 여러 차례 확인됐다. 특히 이번 모니터링에서는 '스마트세이프''한국소비자원' 등 기관명을 사칭한 악성앱도 새로 발견됐다. '한국소비자원' 사칭 앱은 SKT 사태 직후인 5월 초 탐지 빈도가 급격히 상승한 것으로 나타났다. 해킹사태 이후 이를 구제해 준다며 접근해 설치된 것으로 추정된다. 에버스핀 관계자는 “과거에도 유사 명칭 악성앱은 꾸준히 탐지된 바 있지만, 최근 수치는 명백히 특정 이슈에 편승한 조직적 유포로 해석된다”고 설명했다. 악성앱들은 단순한 정보 수집을 넘어 전화 가로채기·추가 악성앱 설치 유도 등 복합적인 기능을 수행하며 피해자 본인이 공격 사실을 인지하기 어려운 점이 특징이다. 에버스핀 관계자는 “현재 관련 악성앱·설치 패턴에 대한 정보를 유관기관과 실시간 공유하며 피해로 이어지지 않도록 면밀히 모니터링 중”이라며 “보이스피싱은 사회적 이슈에 따라 빠르게 진화하는 만큼, 지속적인 주의와 경각심이 무엇보다 중요하다”고 강조했다. 한편, 에버스핀은 이러한 추이를 빠르게 감지할 수 있었던 배경으로 '페이크파인더'가 국내 53개 주요 금융사 앱에 In-App SDK 형태로 내장돼 있고 약 4천300만 금융 사용자의 기기를 실시간으로 보호하고 있기 때문이라고 설명했다. 페이크파인더는 KB국민은행·카카오뱅크·우리카드 등과 연동된 클라우드 기반 플랫폼을 통해 국내에서 가장 방대한 악성앱 데이터를 실시간으로 수집 및 분석하고 있다. 에버스핀은 특히 SKT 해킹 이후 급증한 금융 피싱 사고의 확산을 선제적으로 막기 위해, 페이크파인더를 도입한 금융사 중 한 곳에서라도 악성앱이 탐지될 경우, 해당 기기 정보를 실시간으로 다른 금융사와 공유해 사전 차단할 수 있도록 하는 'RTAS(Real-time Threat Alarm Service)' 확산에도 나설 계획이다.

2025.05.26 11:05주문정

코인베이스, 개인정보 유출 고객에게 5500억원 보상

미국 암호화폐 거래소 코인베이스가 개인정보를 유출 당한 이용자에게 4억 달러(약 5500억원)까지 돌려주겠다고 나섰다. 23일(현지시간) 미국 잡지 와이어드에 따르면 코인베이스는 '보상 비용으로 많게는 4억 달러가 들 것'이라고 미국 증권거래위원회(SEC)에 보고했다. 지난주 코인베이스는 해킹당해 소비자 이름, 주소, 이메일 주소, 전화번호, 신분증 정보 등이 빠져나갔다고 밝혔다. 해커가 수집한 고객 정보로 연락해 코인베이스라고 사칭한 뒤 '암호화폐를 나눠주겠다'고 속이려 했다고 코인베이스는 설명했다. 또 해커가 이용자 개인정보를 빼내기 위해 내부 직원을 매수했다며 내부자는 시스템 접근 권한을 악용했다고 전했다.

2025.05.24 08:27유혜진

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

Prev 1 2 3 Next