검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인정보 해킹'통합검색 결과 입니다. (71건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

김종철 "해킹 사고 피해보상·구제는 방미통위 소관"

사이버 침해사고가 발생하면 과학기술정보통신부는 침해사고 전반을 살피고, 개인정보보호위원회는 개인정보 유출 문제를 맡는다. 방송미디어통신위원회는 사고 이후 이용자 피해보상과 구제를 책임진다. 구체적으로 방미통위는 사업자의 보상 조치가 이뤄지지 않거나 충분하지 않을 경우 사후적으로 관여할 수 있다는 입장이다. 조경태 국민의힘 의원은 22일 국회 과학기술정보방송통신위원회 국정감사에서 “통신사 쿠팡 티빙 해킹 사고 반복되고 있다”며 “과기정통부, 개인정보위 대응과 달리 방미통위는 이런 조치가 없다고 보인다”고 말했다. 김종철 방미통위원장은 “사후적인 이용자 보호 부분은 방미통위 소관이고 그 부분 충실하도록 노력하겠다”고 답했다. 조 의원은 “방미통위 설치법에 통신 규제와 이용자 보호 기능이 명시돼 있다”며 “해킹은 과기정통부 소관이고 개인정보 유출은 개보위 소관이라지만 피해는 이용자가 입는데 이용자보호 방미통위 적극적으로 나서야 한다”고 주문했다. 김 위원장은 “상황이 발생했을 때 이용자 편익을 사후적으로 관리하다 보니 대응이 없는 것처럼 보이지만, 그 부분에 대해 우리가 현재 대응책을 가지고 있고 약관을 보고 충실히 이행할 수 있도록 노력하겠다”고 답했다. 조 의원의 질의가 끝난 뒤 송기헌 과방위원장도 방미통위 역할에 대한 설명을 요구했다. 김 위원장은 “침해사고 자체는 과기정통부가 하고, 개인정보 유출은 개보위가 주관한다”면서 “침해사고가 있었고 사업자가 제대로 보상을 못하고 있다고 판단되면 관여할 수 있다”고 설명했다. 이어, “피해보상이 이뤄졌더라도 충분한 수준인지 살펴보는 것 역시 방미통위의 역할”이라고 덧붙였다.

2026.10.22 15:30박수형 기자

바른컴퍼니 "모바일 청첩장 개인정보 유출 가능성 모니터링"

10년 전 결혼과 관련된 개인 및 금융 정보를 무작위로 조회했을 수도 있는 사건이 생겼다. 10일 바른컴퍼니는 2016~2021년 해당 회사에 포함된 바른손카드·바른손몰·프리미어페이퍼·더카드·비핸즈카드에서 제작된 모바일 청첩장 개인 정보가 유출 가능성이 있어 모니터링을 진행 중이라고 밝혔다. 2025년 11~12월 해당 회사 데이터베이스에 불법적으로 접근해 청첩장을 조작했음에도 불구하고 1년 여가 흐른 2026년 10월 7일 해킹 사실을 인지했다. 불법적 접근이 일어난 데이터베이스에는 모바일청첩장에 담기는 개인 정보가 함께 있었다. 이름과 휴대전화번호, 이메일과 같은 개인 정보뿐만 아니라 예식 일시·장소, 주문번호, 신랑·신부의 혼주와 관련된 청첩장에 표기되는 모든 정보가 담긴 데이터베이스이다. 유출이 됐다면, 혼주 이름과 계좌번호를 악용한 보이스피싱이나 스미싱이 가능한 상태다. 또, 결혼뿐만 아니라 돌잔치 초대장 정보도 해당 데이터베이스에 있었다. 돌잔치 초대장의 아기 이름·생일에 관한 정보도 포함됐다. 바른컴퍼니는 "관계 기관에 신고했고 보안 취약점 점검과 삽입된 문자열 삭제, 청첩장 인증 코드 무효화를 진행할 예정"이라고 해명했다. 바른컴퍼니는 지난 4월부터 개인정보 처리 방침을 두 차례 변경했으며, 지난 6월에서야 개인정보보호와 관련된 인력을 배치했다. 바른컴퍼니와 관계된 청첩장 제작 사이트에서는 개인정보를 보유하는 기간을 '회원 탈퇴시'로 명시하고 있다. 그러나 청첩장에 포함된 예식 장소나 초대 문구, 혼주 계좌번호 등과 같은 정보를 어떻게 관리하고 어떻게 처리할 지에 대한 별도 지침은 없는 상태다. 장요석 바른컴퍼니 경영지원본부장은 14일 "당시 공격자가 같은 데이터베이스에 저장된 개인정보를 조회할 가능성이 있었으나, 당사가 당시 확인한 자료만으로는 실제 개인정보 조회·반출 여부를 확정할 수 없다"며 "규정 상 개인정보 유출 가능성을 알려야 해 고객에게 알린 것이며 유출 여부는 유관기관에서 파악할 것이고 회사도 모니터링 중"이라고 말했다.

2026.10.11 10:41손희연 기자

KB국민은행 업무용 시스템 해킹…119명 정보 유출

KB국민은행 직원 업무용 시스템이 해킹당하면서 고객 119명의 개인정보가 유출됐다. 2일 KB국민은행에 따르면 9월 30일 밤 직원용 모바일 업무지원시스템에 비정상적인 외부 접근이 있었으며, ▲이름 ▲전화번호 ▲주소 ▲암호화한 주민등록번호 등이 유출됐다. KB국민은행 측은 "고객 금융거래과 관련없는 시스템"이라면서 "유출된 정보는 고객별로 차이가 있는 것으로 파악했다"고 설명했다. 유출 사실을 인지한 이후, KB국민은행은 해당 서버 및 접근 경로를 원천 차단했다. KB국민은행은 이번 개인정보 유출로 인한 고객 피해가 발생할 경우 전액 보상할 계획이다. 정보가 유출된 고객에게 개별적으로 유출 사실을 통보했으며 2차 피해 예방법을 안내했다고 은행 측은 부연했다. KB국민은행은 "이번 상황을 매우 엄중히 받아들이고 있다"며 "추가 피해와 재발 방지를 위해 관련 프로세스 전체를 원점에서 점검하는 등 전사적 비상대응체계를 가동하고 있다"고 강조했다.

2026.10.02 14:10손희연 기자

온라인 강의 플랫폼 '라이브클래스' 해킹...개인정보 유출

온라인 강의 플랫폼 '라이브클래스'가 유출사고를 당하면서 피해가 확산하고 있다. 라이브클래스에 강의를 호스팅하던 개인 강사들도 피해를 떠안게 된 것이다. 온라인 강의 플랫폼 라이브클래스 운영사 퓨쳐스콜레(대표 신철헌)는 최근 외부 악의적인 공격으로 자사 시스템이 침해됐고, 개인정보가 유출됐다고 공지했다. 퓨처스콜레는 공지를 통해 "지난 15일 자체 보안 점검 과정에서 라이브클래스 서비스에 외부의 악의적인 공격으로 수강생 정보 조회 기능에 대한 무단 접근이 발생했다"며 "이 과정에서 지난 11일과 14일 양일간 고객 개인정보가 유출된 사실을 확인했다"고 밝혔다. 유출된 개인정보는 ▲고객 이름 ▲수강신청자명 ▲이메일 주소 ▲휴대전화 번호 ▲프로필 이미지 주소 ▲서비스 내부 식별번호 등이다. 카드 또는 계좌번호 등 결제정보나 비밀번호 등 계정정보는 유출되지 않은 것으로 파악된다. 퓨쳐스콜레는 유출 사실을 확인한 후 ▲무단 조회에 사용된 계정 정지 ▲수강생 정보 조회 기능 접근 권한 강화 ▲조회 기능 점검 및 보안 조치 ▲관계당국 유출신고 ▲경찰청 사이버 수사대 신고 등 보안 조치 및 관계기관 신고를 마쳤다. 퓨쳐스콜레가 운영하는 라이브클래스는 2018년 11월 론칭한 플랫폼으로, 여러 강사진의 강의를 수강생들에게 제공하기도 한다. 그러나 플랫폼의 역할을 하는 라이브클래스가 유출사고를 당하면서 강의를 위탁한 업체에서도 피해가 이어졌다. 정보보호 관련 교육 서비스를 제공하는 '시큐어멘토'는 최근 라이브클래스의 유출사고로 인해 회원 개인정보가 유출됐다고 공지했다. 시큐어멘토 측은 최근 공지사항을 통해 "시큐어멘토 사이트의 강의 운영을 위탁받아 처리하는 라이브클래스에서 외부 공격으로 인한 회원정보 유출 사고가 발생했다"고 공지했다. 영어 교육 서비스를 제공하는 '강지완's 4시간 오픽'도 최근 공지사항을 통해 "온라인 강의 운영에 이용하고 있는 플랫폼 라이브클래스에서 개인정보 유출 사고가 발생했다"며 "개별 유출 대상자 명단은 개인정보 보호를 이유로 '4시간 오픽'에 제공되지 않으며, 라이브클래스가 유출이 확인된 대상자에게 직접 안내하고 있다"고 밝혔다. 라이브클래스 외에도 온라인 교육 플랫폼을 노린 공격 시도는 또 한 번 발생했다. 온라인 교육 플랫폼을 운영하는 MKYU는공지를 통해 "지난 16일 권한 없는 외부 접속자가 관리자 계정을 이용해 당사 시스템에 접근해 회원정보 일부가 외부 다운로드한 사실이 확인됐다"며 "현재까지 확인된 유출 정보는 ▲아이디 ▲회원번호 ▲소속 ▲성별 ▲생년월일 ▲직업 ▲닉네임 ▲가입일 ▲최근접속일 ▲수강건수 ▲결제금액 등 정보가 포함돼 있다. 단 성명, 휴대전화 번호, 이메일 등은 정보가 암호화된 채 전체 내용을 확인할 수 없는 상태로 다운로드됐으며, 비밀번호나 카드번호, 계좌번호는 포함돼 있지 않다"고 밝혔다.

2026.09.21 17:20김기찬 기자

"개인정보 유출땐 큰 일"...과징금 10% 시대

중대하거나 반복적인 개인정보 유출사고 발생 시 관련 매출액의 10%까지 부과할 수 있는 개인정보보호법 개정안 시행이 3일 앞으로 다가왔다. 전문가들은 법 시행에 앞서 일부 아쉬움을 내비치면서도 기업들의 철저한 대비를 주문했다. 8일 개인정보보호위원회(개인정보위)에 따르면 징벌적 과징금 도입과 개인정보 보호책임자 역할 강화 및 개인정보보호 관리체계(ISMS-P) 인증제도 개선을 통한 개인정보 보호 책임 강화를 내용으로 하는 개인정보보호법 개정안이 오는 11일 시행될 예정이다. 기존 과징금 제도인 관련 매출액의 3% 이하의 기준과 비교하면 부과될 수 있는 최대 과징금 비율이 크게 높아진다. 과징금 부과는 ▲최근 3년간 고의 또는 중대한 과실로 위반행위를 반복한 경우 ▲고의 또는 중대한 과실로 대규모(1000만 명 이상) 피해를 초래한 경우 ▲시정명령 불이행으로 인한 개인정보 유출 등 사고가 발생한 경우 등에 해당한다. 과징금의 기준이 되는 매출액의 경우는 '직전 사업연도 매출액'과 '3년 평균 매출액' 중 높은 금액이 적용된다. 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액만을 기준으로 하던 것에서 직전 사업연도 매출액이 더 높은 경우 더 큰 금액이 반영된다. 개정안은 과징금 경감안도 담았다. 개인정보 보호를 위한 예산, 인력, 설비, 장치 등의 투자 및 운영 등이 이루어진 경우 과징금을 최대 40% 범위에서 감경해준다. 다만 고의 또는 중대한 과실, 즉 최대 10%까지 부과될 수 있을 만한 유출사고의 경우에는 투자 감경 대상에서 제외된다. 이 외에도 개정안에는 CPO 이사회 의결 및 개인정보위 신고 의무 구체화, 정보보호관리체계 및 개인정보보호관리체계(ISMS-P) 인증 의무 대상 구체화 등의 내용도 담고 있다. 정보보호 전문가들은 법 시행을 앞두고 일부 아쉬운 부분을 지목했다. 권헌영 고려대 정보보호대학원 교수는 "이번에 개정되는 개인정보보호법에 여전히 모호한 부분이 있다. 매출액이 어떻게 선정되는지 등이다"라며 "이같은 문제들은 지금 상황에서는 예측하기가 어렵고 추상적 범위가 많다"고 말했다. 권 교수는 이어 "유출사고에 대한 정부의 개입이 과도하다. 정부의 규제 방식으로 진행하는 것보다는 유출사고에 대한 법원에서의 손해배상액으로 결정하는 것이 더 바람직하다"면서 "과징금을 상향하는 식의 과징금 위주의 유출사고 대응은 현재 개인정보 이용 환경과는 걸맞지 않을 수 있다"고 진단했다. 그는 "과징금 규체 체계는 좀 더 과학적으로 운영될 필요가 있는데, 과징금이 상향됨에 따라 기업들의 고민은 깊어지고 소비자들은 만족할 만한 정보보호 서비스를 체감하지 못하고 있다"며 "심지어 유출사고가 발생해도 피해를 입은 소비자들의 손해배상금이 늘어나는 것도 아니기 때문에 과징금 위주의 정부 개입은 바람직하지 않아 보인다"고 강조했다. 최경진 가천대 법학과 교수는 "개인정보보호법 개정안의 핵심 내용인 매출액 10%의 징벌적 과징금에서 주목하고 있는 10%라는 기준보다, 유출사고가 발생한 기업에 얼마나 합리적이고 비례적인 책임을 물을 수 있느냐가 관건"이라며 "개인정보 유출 건수 규모뿐 아니라 여러 요소를 종합적이고 비례적으로 고려해 과징금을 산정해야 한다"고 말했다. 개정안에 대한 여러 아쉬움이 나오고 있는 상황이지만, 당장 기업들은 유출사고 발생 시 짊어져야 하는 부담은 크게 늘어난 상태다. 따라서 당장 대비해야 하는 만큼 전문가들은 정보보호의 기본을 충실히 지켜야 한다고 당부했다. 바른ICT연구소장을 맡고 있는 김범수 연세대 정보대학원 교수는 "과징금 부담이 크게 높아졌기 때문에 보안의 기본을 지키지 않았을 때 지는 리스크가 많아졌다"면서 "더 이상 예산이 없어서, 인력이 없어서 등의 이유는 통하지 않는다. 그간 미뤄뒀던 보안 투자나 인력을 확충해 보안의 기본을 지켜야 한다"고 제언했다.

2026.09.08 16:31김기찬 기자

티빙, 오늘부터 개인정보 유출 보상 신청 받는다

티빙이 7일부터 30일까지 개인정보 유출 피해 이용자 대상으로 보상 신청을 받는다. 보상은 이용자가 직접 신청해야 하며, 탈퇴 회원이 보상을 받기 위해 재가입해야 한다. 개인정보 유출 대상자는 티빙 홈페이지나 앱에 로그인한 뒤 '마이(MY)' 메뉴에서 대상 여부를 확인하고 본인 인증을 거쳐 신청할 수 있다. 보상은 ▲DB손해보험 해킹 피싱 안심보험 1년 무료 가입 ▲3개월간 프리미엄 시청 기능 ▲티빙 포인트 50P ▲엔터테인먼트 혜택 등이다. 보험은 사이버 금융사기 등의 피해를 최대 300만원까지 보장한다. 프리미엄 시청 기능은 3개월간 최대 4K 화질과 다운로드 400회, 최대 4대 동시 시청을 지원한다. 프리미엄 이용권 자체를 지급하는 것은 아니다. 티빙 포인트 50P는 5000원 상당이다. 엔터테인먼트 혜택은 웨이브 광고형 스탠다드 1개월 이용권과 CGV 콤보 5000원 할인 쿠폰 중 하나를 고를 수 있다. 보상은 다음 달 6일부터 순차 지급된다.

2026.09.07 11:47박수형 기자

반복되는 대규모 개인정보 유출…역대 최대는 카드 3사 1억건

국내에서 수천만명에 이르는 대규모 개인정보 유출 사고가 끊이지 않고 있다. 2014년 카드 3사에서 1억건이 넘는 개인정보가 빠져나간 데 이어, 플랫폼과 통신사를 중심으로 대형 사고가 반복되고 있다. 여기에 이어 온라인동영상플랫폼(OTT) '티빙'의 개인정보 유출 사고에 대한 민관합동조사단의 조사 결과도 곧 발표될 예정인데, 실제 이용자 수를 훨씬 뛰어넘는 유출 건수로 알려져 주목된다. 정부는 앞서 8월 내에 티빙 조사 결과를 내놓겠다고 밝힌 가운데, 정부 발표 전 국회 등을 통해 약 2000만건 규모의 유출이 일어난 것으로 알려졌다. 1일 관련업계에 따르면, 티빙은 지난 6월 외부의 비인가 접근으로 이용자 개인정보가 유출된 사실을 확인했다. 정부는 사고 원인과 피해 규모 등을 파악하기 위해 민관합동조사단을 구성해 조사를 진행해왔다. 국내 개인정보 유출 사고 가운데 가장 큰 규모로 꼽히는 것은 2014년 카드 3사 사고다. 검찰 발표 기준 KB국민카드 5300만건, 롯데카드 2600만건, NH농협카드 2500만건 등 약 1억 400만건의 개인정보가 유출됐다. 이는 단일 사고 기준으로 현재까지 최대 규모다. 2011년 SK커뮤니케이션즈의 네이트 싸이월드 해킹도 대표적인 대규모 개인정보 유출 사고다. 개인정보보호위원회 출범 이전 개인정보 소관 부처인 옛 방송통신위원회 발표 기준 약 3500만명의 개인정보가 유출됐다. 국내 개인정보 보호 규제가 강화되는 분기점이 된 사건으로 평가된다. 최근에는 쿠팡 사고가 대표적인 대규모 유출로 꼽힌다. 민관합동조사단이 올해 2월 발표한 조사 결과에서 3367만 3817건의 개인정보가 유출된 것으로 집계됐다. 이후 6월 개인정보보호위원회 제재 처분에서는 피해 규모가 약 3755만명으로 제시됐다. 통신 분야에서는 SK텔레콤에서 대규모 개인정보 유출 사고가 발생했다. 2025년 7월 민관합동조사단 발표 기준 약 2696만건이었고, 이듬달 개인정보보호위원회 제재 처분에서는 약 2300만명으로 집계됐다. 대규모 개인정보 유출 사고의 규모를 비교할 때는 집계 기준에 따라 차이를 보이기도 한다. 실제 같은 사고라도 발표 기관이나 조사 단계에 따라 유출된 정보 건수와 실제 피해자 수가 다르게 나타나는 경우가 있기 때문이다. 이를테면 티빙의 경우 실제 이용자 수보다 많은 유출 규모로 전해졌는데 플랫폼 서비스는 한 이용자가 여러 개의 아이디를 보유할 수 있고 통신 서비스 역시 한 사람이 복수 회선을 이용할 수 있다. 아울러 탈퇴 휴면 계정의 포함 여부 등에 따라 유출된 계정 수와 실제 이용자 수 사이에도 차이가 발생할 수 있다. 앞서 최근 개인정보위에서 과징금 제재를 받은 KT 역시 민관합동조사단 결과에서는 2만 2227명의 개인정보가 유출된 것으로 파악됐다. 그러나 개인정보위 제재 처분에서 실제 유출 이용자는 1만 6647명으로 줄었다.

2026.09.01 17:37박수형 기자

29CM, 개인정보 16만건 유출…이름·전화번호 등

외부의 비정상적인 접근으로 무신사 29CM에서 15만 9000여 건의 고객 개인정보가 유출됐다. 유출 항목은 이름과 전화번호 등이며, 결제 정보 등은 포함되지 않았다. 무신사 29CM는 공식 홈페이지를 통해 “8월 27일 주문 정보를 조회하는 연동 기능(API)에 외부의 비정상적인 접근이 발생해 일부 고객들의 개인정보가 유출된 사실을 확인했다”고 공지했다. 회사 측은 문제를 확인한 즉시 해당 접근 경로를 차단하고, 사고 인지 직후 24시간 내 한국인터넷진흥원(KISA)와 개인정보보호위원회에 개인정보 유출 사실을 자진 신고했다. 이번에 유출된 항목은 이름 13만8841건, 이메일 주소·휴대전화번호·배송 정보 2만1011건 등 총 15만9852건이다. 무신사는 개인정보가 유출된 고객에게 구체적인 유출 항목과 2차 피해 예방을 위해 별도의 안내를 제공했으며, 공지사항 내에서 유출 내역을 확인할 수 있도록 했다. 해당 기능은 공지 게시일로부터 30일 간 이용 가능하다. 무신사는 유출 사고에서 결제 정보와 아이디·비밀번호 등 고객 계정정보는 유출 항목에 포함되지 않았다고 강조했다. 그러나 일부 고객정보가 유출된 만큼 2차 피해를 막기 위해 주문 내역을 언급하며 결제·환불·배송 오류를 안내하는 문자·전화·메일에 유의해줄 것을 당부했다. 아울러 29CM는 현재 정확한 피해 범위를 면밀히 확인하고 있으며 조사 결과를 바탕으로 보상 방안을 검토 중이라는 입장이다. 29CM 측은 “자사는 문자나 이메일로 비밀번호 또는 인증번호 입력을 요구하지 않는다”며 “다른 사이트와 동일한 비밀번호를 사용하고 있을 경우 비밀번호 변경을 권장한다”고 말했다. 이어 “배송 요청사항에 개인정보가 포함돼 있다면 즉시 변경해달라”면서 “이번 사안을 무겁게 받아들이고, 고객의 소중한 개인정보를 보다 안전하게 보호할 수 있도록 보안 시스템과 관리 체계를 철저히 재점검하고 재발 방지에 최선을 다하겠다”고 약속했다.

2026.08.31 11:13박서린 기자

"GA 보안 역량 강화"…'보험사-GA 정보보안 협의체' 발족

금융보안원이 보험업계와 정보보호 및 내부통제 역량 강화를 위해 힘을 합친다. 금융보안원은 지난 25일 금융감독원, 보험회사, 법인보험대리점(GA), 보험·GA협회 임직원 약 50명이 참석한 가운데 '보험사-GA 정보보안 협의체'를 여의도에서 발족했다고 밝혔다. 최근 미토스 등 공성능 AI를 통한 사이버 침해 위협이 고도화되는 반면 개인(신용) 정보가 고집적된 GA의 경우는 대형화·집중화되며 정보보호의 중요성은 더욱 커지는 추세다. 특히 상대적으로 보안이 취약한 제3자를 우회해 금융회사로 침투하는 공격도 늘어나는 추세로, 보험사와 GA를 아우르는 사이버 위협은 더욱 커지는 모양새다. 이에 협의체는 GA의 정보보안 수준을 높이고 제3자를 통해 금융권 중심으로 전이될 수 있는 보안 리스크를 선제적으로 협력해 예방·대응하겠다는 목표다. 금융보안원의 사원사로 가입한 GA에 대해서는 보안관제, 침해사고 예방 및 대응, 취약점 분석 및 평가, 모의해킹 등 서비스를 지원한다. 이날 협의체에서는 ▲협의체 발족 취지와 목표 ▲협의체 구성과 운영 방향 ▲기관별 역할 ▲핵심 추진 과제 등을 논의했다. 향후에도 금융보안원은 협의체를 중심으로 현장 밀착형 보안을 지원한다는 계획이다. 핵심 추진 과제로는 ▲GA 특화 보안 점검 기준 마련 ▲GA 대상 보안 컨설팅 ▲GA 현장점검 확대 ▲GA 최소 보안 기준 마련 ▲보안 미흡 사항 개선 강화 ▲보험 모집인 맞춤형 보안 교육 ▲모범사례 발굴 및 확산 등을 선정했다. 박상원 금융보안원장은 "해킹뿐 아니라 내부통제 미흡으로 인한 정보 유출 등 개인(신용)정보 관련 제3자의 보안 사고가 금융회사의 중요한 보안 리스크로 이어졌다"며 "보험-GA 정보보안 협의체를 통해 보험 회사의 관리가 자칫 소홀할 수 있는 제3자 업무 영역까지 금융권의 보안 강화를 체계적이고 종합적으로 지속 지원해 나갈 것"이라고 밝혔다.

2026.08.26 13:06김기찬 기자

[단독] 작년 국내 21곳 해킹 애슐리우드, 성형외과 10만건 개인정보 또 탈취

국내 성형외과, 컴퓨터학원 등 국민 일상생활과 밀접한 소규모 웹사이트 3곳에서 탈취된 회원 개인정보가 다크웹 불법 해킹 포럼에서 판매된 정황이 포착됐다. 이 데이터를 탈취한 해커는 지난해 말에도 총 21곳의 국내 소규모 웹사이트를 연쇄적으로 해킹한 바 있다. 18일 본지 취재를 종합하면 '애슐리우드2022(Ashelywood2022)'라는 닉네임의 해커가 불법 해킹 포럼 '다크포럼스(Darkforums)'에 지난 6월 6일~7일간 3곳의 국내 소규모 웹사이트 내부에 저장된 회원 개인정보를 탈취해 판매 중인 것으로 파악됐다. 해당 웹사이트 3곳은 ▲서울시 청담동에 위치한 성형외과 웹사이트 '청담유성형피부센터' ▲중학생 대상 인터넷 강의 사이트 '쎄다아카데미' ▲컴퓨터 학원 웹사이트 '씨스꿀컴퓨터스쿨' 등이다. 애슐리우드2022 해커는 불법 해킹 포럼에 해당 웹사이트 내 저장된 개인정보로 보이는 소스코드 대시보드를 샘플로 게시, 포럼 내에서 활동하는 다른 해커에게 개인정보를 판매하는 중이다. 다크포럼스에 해커가 업로드한 웹사이트는 총 4곳이었으나, 나머지 한 곳의 웹사이트는 현재 접속이 불가능한 상태이며, 샘플로 업로드한 데이터에도 개인정보는 포함되지 않은 것으로 나타났다. 애슐리우드2022가 업로드한 샘플데이터를 보면 성형외과의 경우 10만 건의 회원정보가 유출됐다. 유출된 항목을 보면 ▲ID ▲비밀번호(암호화) ▲이름 ▲닉네임 ▲이메일 ▲휴대전화번호 ▲생년월일 등이다. 중학생 대상 인터넷 강의 사이트는 15만건의 회원 정보가 유출됐으며 ▲ID ▲비밀번호 ▲이름 ▲닉네임 ▲학교명 ▲학년 ▲성별 ▲학습 단계 ▲로그인 중복 확인 키 ▲로그인 IP ▲휴대전화 번호 등을 샘플 데이터로 업로드했다. 컴퓨터 학원의 경우 7GB에 해당하는 200만건의 고객 정보가 유출됐다. 유출 항목은 ▲ID ▲이메일 ▲휴대전화 번호 ▲은행 및 계좌번호 ▲결제 금액 등이 유출됐다. 애슐리우드2022는 지난해 말에도 총 21곳에 달하는 국내 소규모 웹사이트를 공격해 회원 개인정보를 탈취, 판매한 바 있다. 당시에도 국내 대학, 병원, 학원, 쇼핑몰 등 소규모 웹사이트가 공격을 당했다. 3곳 웹사이트를 분석한 한 보안 전문가는 "3곳 웹사이트 중 일부는 지난해 말에도 이미 동일한 내용으로 다크웹 마켓에서 유통된 바 있는 데이터이며, 최근 애슐리우드2022라는 해커가 재확산하고 있는 것으로 보인다"며 "한국 PHP(웹 서버 범용 프로그래밍 언어) 서버를 대상으로 스캔성 개인정보 탈취를 하는 것으로 보인다"고 말했다.

2026.08.18 18:48김기찬 기자

"쿠팡, 10만원씩 배상하라"…개인정보 유출 3755만명 보상길 열릴까

지난해 쿠팡 대규모 개인정보 유출 사태로 피해를 입은 소비자에게 1인당 10만 원을 배상하라는 결정이 나오면서 쿠팡의 셈법이 복잡해질 전망이다. 소송전으로 비화하면 인당 배상 청구 가능 금액이 수백만 원대로 늘어날 수 있고, 그렇다고 조정안을 받아들이기에는 대상자 수가 많아 재정적 부담으로 다가올 수 있어서다. 11일 한국소비자원에 따르면, 소비자분쟁조정위원회는 지난달 31일 쿠팡의 개인정보 유출로 인한 집단분쟁조정사건을 두고 회사가 신청인들에게 현금 10만원 혹은 쿠팡캐시 10만원을 배상하라고 결정했다. 쿠팡 회원의 성명과 이메일, 주소 등 일반적인 개인정보뿐만 아니라 공동현관 비밀번호와 주문내역 등 사생활과 밀접한 정보까지 유출된 점이 핵심 근거로 작용했다. 이번 집단분쟁조정을 신청한 소비자들은 50명으로, 이들은 지난해 12월 쿠팡의 개인정보 유출 사고에 따른 손해배상을 요구하면서 집단분쟁조정을 신청한 바 있다. 3조 넘는 배상액...조정안 거부할 수도 이번 사건에 눈길이 쏠리는 이유는 지난해 11월 발생한 쿠팡 개인정보 유출 사고에 따른 피해자 손해배상 책임을 인정한 첫 사례여서다. 나아가 쿠팡이 조정안을 수락할 경우 다른 피해자들도 배상받을 수 있는 길이 열리기 때문이다. 위원회는 쿠팡의 조정결정 수락 시 조정절차에 참여하지 않은 피해자들에게도 동일한 보상이 이뤄질 수 있도록 보상계획서 제출 등 관련 절차를 진행할 방침이다. 절차가 현실화되면 쿠팡이 지급해야 하는 총 배상액은 개인정보가 유출된 3755만명에 대해 10만원씩 총 3조8000억원 수준이다. 다만, 현행법상 소비자원의 조정은 강제력이 없다는 점이 한계다. 이로 인해 SK텔레콤 등도 위원회의 결정에 자발적인 피해 구제 노력이 반영되지 않았다며 조정안을 거부했다. SK텔레콤과 같이 조정안을 거부하면 민사소송 밖에 구제 방법이 남지 않게 된다. 쿠팡 집단분쟁조정 대리인을 맡은 이철우 IT 전문 변호사는 회사가 조정안을 받아들이지 않으면 회사에 대한 공동 소송에 나선다는 계획이다. 이 과정에서 추가로 소송 참여자를 모집하는 등의 방안도 검토한다. 이 변호사는 “최종적으로 조정 불성립 시 '소비자 소송지원 신청'을 할 수 있다. 해당 방안이 받아들여지면 소비자원의 지원을 받아 단체 소송에 나설 것”이라며 “추가로 원고를 모집하거나 소장을 직접 공개해 나홀로 소송을 유도하는 방향으로 나아갈 것”이라고 말했다. 법률 전문가들 “대상자 많아 부담” VS “배상액 더 커질수도” 쿠팡이 이번 조정안을 받아들일지는 법률 전문가들 사이에서도 의견이 분분하다. 익명을 요청한 한 변호사는 “1인당 배상액 자체가 적다고 하더라도 대상이 되는 정보 주체의 수가 많으면 기업 입장에서는 분쟁 조정에 응하는 것이 상당히 부담스럽다”며 “그 파급효과가 엄청나기 때문”이라고 말했다. 익명을 요청한 또 다른 법조계 관계자는 “쿠팡이 영업이익에서 대규모 적자를 기록한 상황에서 보상안까지 지급하기에는 만만치 않다”면서 “이미 쿠폰으로 일정 금액을 배상했고, 소비자원의 결정이 구속력이 있지 않다보니 과징금에 대한 행정소송결과까지 보고 결론을 내리지 않겠냐”고 했다. 김성진 K&L 파트너스 대표변호사는 “쿠팡 캐시로 보상할 수 있다면 회사 입장에서는 비용은 지출하되 매출로 다시 가져갈 수 있다”며 “현금성 지급을 하면서도 손해를 최소화할 수 있는 법적 근거까지 얻는다는 점에서 보면 쿠팡에 유리한 내용”이라고 풀이했다. 그러면서 “(현행법에서는) 개인정보 처리자의 고의 또는 과실로 인해 개인정보가 유출 됐을 경우 300만원 이하 범위에서 손해액을 배상 청구할 수 있다고 규정하고 있다”면서 “법원 판결로 10만원이 아닌 그 이상이 나오면 지출 비용은 기하급수적으로 늘어날 수 있다”고 짚었다. 소비자원, 결정서 송달 아직…이르면 내달 중순 결론 쿠팡은 이번 결정서 송달 후 15일 안에 수락 여부를 결정해야 한다. 그러나 소비자원이 아직 결정서를 보내지 않아, 실질적인 수용 여부는 내달 중순에 나올 것으로 예상된다. 한국소비자원 관계자는 “통상적으로 결정일부터 결정서 송달까지 최소 1개월가량이 걸린다”며 “아직 결정서를 보내지 않아 향후 보상 계획서 제출 등의 일정을 짐작해서 말하긴 어렵다”고 답했다. 쿠팡은 위원회의 결정 수용 여부에 대해 “조정안을 받아본 후 면밀히 검토하겠다”는 입장이다.

2026.08.11 17:46박서린 기자

공공 자전거 '따릉이' 유출 규모 462만명…30일 정기권 제공 보상

서울시설공단(이사장 한국영)이 서울시 공공 자전거 '따릉이' 회원 정보 유출 사고와 관련해 경찰청·개인정보보호위원회와 협의를 거쳐 개인별 유출 항목을 확정했다. 21일부터 유출 대상 시민 약 462만명에게 개별 문자 등으로 안내를 시작했다. 안내 문자에는 개인별 실제 유출 항목(아이디, 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 우편번호, 주소, 보호자 휴대전화 번호·생년월일·성별)과 유출 경위, 피해 예방 수칙이 담겼다. 실제 유출 항목은 가입 시점과 경로에 따라 회원마다 다를 수 있다. 서울시설공단은 관련 조례에 의거, 개인정보가 유출된 이용 시민에게 따릉이 30일 정기권(1시간 이용 쿠폰, 5000원 상당)을 일괄 제공하는 보상을 실시한다. 보상 쿠폰은 다음달 중 따릉이 앱을 통해 지급되며 3개월 이내에 사용 가능하다. 이미 정기권을 보유하고 있는 회원의 경우에는 기존 이용권 기간 만료 후 3개월 안에 사용할 수 있다. 앞서 서울시설공단은 2024년 6월 디도스 공격으로 전산 장애를 입었고, 올해 초 유출 사실이 밝혀졌다. 당시만 하더라도 유출 규모, 경위, 항목 등이 결정되지 않았으나 수사 결과 관련 내용이 밝혀졌다. 구체적으로 2024년 6월 28일~29일, 따릉이 시스템의 보안 취약점을 이용한 외부 사이버 공격에 의해 개인정보가 유출됐다. 해당 사실은 올해 2월 서울 경찰청 사이버수사과 수사 과정에서 확인됐다. 이후 현재까지 경찰수사 결과 제3자 유출이나 개인정보 유통 및 판매에 따른 추가 피해 정황은 확인되지 않은 상황이다. 한편 서울시설공단은 서울시와 합동으로 '비상대응센터'를 가동해 유출사고를 총괄 대응한다는 방침이다. 또 외부 보안 전문기관을 통한 정밀 점검 및 웹 취약점 보완 조치를 완료하고, 이상 접속 모니터링 강화, 보안 진단 및 모의침투 테스트의 정례화를 추진할 계획이다.

2026.07.21 15:10김기찬 기자

개보위, 쿠팡 사태 '총제적 관리 실패' 결론…근거는

지난해 대규모 개인정보 유출 사건을 일으킨 쿠팡 사건에 대해 개인정보보호위원회가 회사의 총체적인 보안 관리 실패로 결론지었다. 인증수단의 미흡한 관리 체계와 소홀한 접근 통제, 조사 방해, 탈퇴 회원의 자료 미파기 등을 근거로 들었다. 이와 함께 개보위는 쿠팡에 대한 고발도 병행한다. 지난해 11월 사고 관련 증거 자료 보전을 명령했지만 5개월 분량의 웹 접속 기록을 수동으로 삭제하고, 자동 삭제 시스템 역시 중단시키지 않은 사실이 확인됐기 때문이다. 개보위는 11일 서울 종로구 정부서울청사에서 쿠팡 제재안 관련 브리핑을 열고 안전조치 및 의무 위반 및 법적 근거 없는 개인정보 수집 등에 대해 과징금 6246억8100만원, 과태료 1680만원을 부과했다. 회사의 물류를 담당하는 쿠팡풀필먼트서비스(CFS)에도 과징금 2억4800만원을 내렸다. 개인정보 수집·이용 및 민간정보 처리 제한 위반 사실을 확인하면서다. 인증수단 관리 미흡·조사 방해·회원 자료 미파기가 이유 개보위는 인증수단을 안전하게 관리하지 않고, 불법적인 접근·침해사고 방지를 위한 접근 통제를 소홀히 했다는 점을 총체적 보안 관리 실패로 본 이유로 꼽았다. 쿠팡이 운영하는 토큰 기반 인증체계는 전자서명 검증만으로 인증을 허용하는 방식으로, 서명에 사용되는 키 관리 실패 시 전체 회원 계정에 대한 무단 접근을 허용할 수 있다는 점에서 엄격한 운영·관리가 필요하지만 이를 소홀히 했다는 것이다. 해커가 퇴사를 했음에도 서명키를 즉시 갱신하거나 폐기하지 않는 등 인증 서명키를 안전하게 관리하지 않은 것도 영향을 미쳤다. 해커가 공격하는 과정에서 과도한 트래픽 이상과 비정상 접속이 다수 있었음에도 회사는 해커의 협박 메일을 받은 고객 민원 접수 전까지 이상행위를 인지하지 못했다. 개인정보가 포함된 페이지에 대한 차단 임계치 설정이 미흡하고, 이상행위에 대한 별도 상세 분석을 수행하지 않아 사전에 유출사고를 차단할 수 있는 기회도 놓친 것으로 확인됐다. 여기에 올해 1월 30일 회원 약 16만명의 개인정보가 추가 유출됐고 이를 인지했음에도 법령이 정한 72시간이 경과한 2월 5일에서야 유출 사실을 통지했다. 유출된 배송지 정보에 쿠팡 회원이 아닌 정보주체의 개인정보가 존재해 이를 통지할 것을 촉구했음에도 이를 이행하지 않은 것도 하나의 요인이다. 해킹에 대한 자체적인 조사 당시 결과를 홈페이지에 공개할 때 개인정보보호책임자(CPO)를 의사결정 과정에서 배제하고 관련 정보를 공유하지 않아 직무수행 권한을 무력화한 것도 원인으로 작용했다. 자료 폐기 등을 통해 개보위의 조사도 방해를 받았다. 회원정보는 탈퇴 후 90일이 경과하면, 주소·계좌번호는 즉시 파기하도록 하는 내부 규정이 있었음에도 246만5592건은 파기 하지 않아 실제 유출로 이어졌다. 탈퇴회원의 계좌번호 31만8499건을 즉시 파기하지 않고, 탈퇴 후 90일이 경과한 71만7865명의 개인정보도 별도의 발송용 DB에서 파기하지 않은 점도 드러났다. 개보위 "쿠팡 고발 진행…자료보전명령 미이행" 개보위는 이번 사안에 대해 쿠팡에 대한 고발을 진행하기로 했다. 송경희 개보위원장은 "조사를 개시하고 자료보전명령을 내렸는데도 이후 (자료가) 삭제된 적이 있었다"며 "자동 삭제 시스템도 중단시키지 않아 다시 한 번 삭제되는 일이 있어 조사를 어렵게 했다"고 설명했다. 아울러, 개보위는 이번 결정에서 쿠팡 측 의견도 일부 반영됐으며, 국내와 국외 사업자의 차별은 없었다고 강조했다. 송 위원장은 "제안된 의견에 대해서는 사실 여부를 면밀하게 확인하고 조사 결과와도 대비해 여러번 확인하는 과정을 거쳤다"며 "물론 사실과 부합하는 부분은 감안된 것이 있다"고 말했다. 쿠팡이 피해 회복과 관련된 일부 프로그램을 진행했다는 점도 가중·감경에 반영됐다. 개보위 관계자는 "심의에 고려하기 위해서는 쿠팡에서 시행하는 프로그램이 어느 정도로 이용됐는지가 정확하게 확인되는 게 중요하다"며 "쿠팡이 답변을 하지 않아 정확히 얼마가 집행됐는지는 확인이 안되고 있는 상황이지만 종합적으로는 판단에 일부 고려가 됐다"고 덧붙였다. 앞서 쿠팡은 개인정보가 유출된 이용자를 대상으로 쿠팡 플랫폼과 쿠팡 이츠에 각각 5000원, 쿠팡 럭스와 트래블에 2만원씩 총 5만원의 쿠폰을 지급한 바 있다. 안전 강화·정보 유출 통지 등 명령…"불복 시 적극 대응" 시사 개보위는 과징금·과태료와 유사 사고 재발방지를 위한 안전조치 강화, 회원이 아닌 정보주체 대상 유출 통지 실시, CPO 실질적 역할 보장 등을 시정 명령했다. 또한 탈퇴회원 개인정보 처리 체계와 관련해 개선을 권고하며 3개월 이내 시행·조치 결과를 확인할 예정이다. 쿠팡이 부과받은 과징금과 과태료가 역대 최대치로 나오면서 회사는 사과와 함께 "지난해 데이터 유출 사태와 관련 2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못했다"며 유감스럽다는 의사를 표현했다. 또 "쿠팡 파트너스는 다른 글로벌 기업들과 동일한 제휴 모델을 사용해 고객 데이터를 보호하고 적법하게 운영하고 있다"며 "개보위로부터 공식 의결서를 수령한 후 법적 절차를 통해 사실관계가 명확하게 규명되기를 기대한다"고 강조했다. 이같은 쿠팡의 후속 조치에 개보위는 불복할 경우 적극 대응하겠다는 입장이다. 송 위원장은 "만약 소송이 제기된다면 적극적으로 대응하겠다"며 "처분은 법과 원칙에 근거해 매우 면밀한 검토와 충분한 숙고 끝에 내려진 타당한 처분"이라고 밝혔다. 쿠팡은 파트너스 프로그램을 통한 타사 온라인 활동 기록 무단 수집을 두고 "비의도적이다. 자연적으로 적재가 됐다"고 항변했으나 인터넷 통신 규약상 자연적으로 적재할 수 있는 형태가 아니라고 봤다. 특히, 기기 식별자를 회원들 브라우저에 설치해 이를 바탕으로 타사의 웹·앱의 온라인 기록들을 쿠팡 서버에 들어왔을 때 회원 식별번호와 결합해 의도적으로 데이터베이스(DB)에 쌓아놨다는 점이 충분히 의도성이 있다는 설명이다. 개보위 관계자는 "이 DB를 나중에 쿠팡이 일정하게 조회한 사실도 확인했기에 이를 위법하다고 본 것"이라고 부연했다.

2026.06.11 13:32박서린 기자

개보위, 10일 쿠팡 제재안 심의…역대 최대 과징금 나올까

지난해 11월 대규모 개인정보 유출 사건이 발생한 쿠팡에 대한 과징금 수위가 오는 10일 결정된다. 역대 최대 수준 과징금이 현실화될지 관심이 쏠린다. 개인정보보호위원회는 오는 10일 전체 회의를 열고 쿠팡의 제재안을 심의할 예정이다. 앞서 과학기술정보통신부 민관합동조사단은 지난 2월 쿠팡 유출 사고 조사 결과를 발표한 바 있다. 이때 유출된 이용자 성명, 이메일 주소를 포함한 개인정보는 3367만3817건 수준이다. 개보위는 지난 4월 쿠팡에 개인정보보호법 위반 사항과 예정 처분 내용 등을 담은 사전통지서를 발송했다. 이후 쿠팡은 의견 제출 기한 연장을 요청한 후 의견서를 제출했고 개보위는 이를 검토해온 것으로 알려졌다. 이번 전체회의에서 개보위는 쿠팡의 개인정보보호법 위반 여부와 과징금 부과 등 제재 수위를 논의한다. 구체적인 과징금 액수와 처분 내용을 위원들의 심의를 거쳐 최종 확정될 예정이다. 업계에서는 유출 규모와 대응 과정 등을 고려하면 '역대급' 과징금이 부과될 수 있다고 보고 있다. 현행법에서는 개인정보 유출 사고 발생 시 매출액의 최대 3% 범위 내에서 과징금을 부과할 수 있도록 규정하고 있는데, 지난해 쿠팡의 매출액은 345억 달러(약 52조 1813억원)으로 부과 가능한 최대 과징금은 1조5000억원대다. 지금까지는 지난해 발생한 SK텔레콤의 유심 정보 유출 사고에 역대 최대 과징금이 부과됐다. 당시 SK텔레콤을 상대로 부과된 과징금 규모는 1348억원 가량이다. 다만, 쿠팡이 행정소송을 통해 불복할 가능성도 배제할 수 없다. SK텔레콤은 올해 1월 과징금 관련 행정 소송을 제기한 바 있다.

2026.06.09 15:06박서린 기자

CU편의점 택배 온라인 회원 개인정보 유출

CU편의점 온라인 회원 개인정보가 유출됐다. 6일 유통업계에 따르면 BGF네트웍스는 홈페이지 공지와 문자를 통해 신원 미상 해커가 4일 15시 30분경 시스템에 무단 접근해 고객 개인정보를 유출한 정황을 확인했다고 밝혔다. 회사 측은 유출 대상이 온라인 회원 고객 정보에 한정되며, 고객이 택배 발송 과정에서 입력한 수하인 등 제3자 정보는 포함되지 않았다고 안내했다. 유출된 정보는 아이디(ID), 비밀번호, 이름, 생년월일, 성별, CI, 주소, 이메일, 휴대전화 번호 등으로 파악됐다. BGF네트웍스는 사고를 인지한 직후 공격 IP를 차단하고 이상 징후 모니터링을 강화했으며, 보안 정책 전반에 대한 점검과 개선 작업을 진행 중이라고 설명했다. 아울러 개인정보보호위원회와 한국인터넷진흥원(KISA) 등 관계기관에 해당 사실을 즉시 신고하고 긴밀히 협력하고 있다고 밝혔다. 회사 측은 고객들에게 출처가 불분명한 전화나 문자메시지에 주의하고, 문자 내 URL 링크는 함부로 클릭하지 말 것을 당부했다. 또한 동일한 비밀번호를 다른 서비스에서도 사용하고 있다면 즉시 변경해 달라고 요청했다. 이와 함께 회사를 사칭해 금융정보 등을 요구하는 행위에 각별히 유의해 달라고 강조했다. BGF네트웍스는 "고객 정보를 안전하게 보호하지 못한 점에 대해 깊이 책임을 느낀다"며 "재발 방지를 위해 보안 시스템 전반을 재점검하고 관련 대책을 강화하겠다"고 밝혔다.

2026.06.06 13:23안희정 기자

개보위, '유출사고' 티빙 조사 착수

개인정보보호위원회(개인정보위)가 해킹으로 개인정보가 유출된 티빙에 대한 유출사고 조사에 착수했다. 개인정보위는 지난 3일 오전 2시경 티빙으로부터 개인정보 유출 신고를 접수해 조사에 착수했다고 4일 밝혔다. 앞서 온라인동영상서비스(OTT) 'TVING'을 운영하는 티빙은 지난 2일 이용자 개인정보를 저장하고 있는 데이터베이스(DB)에 외부 비인가 접근을 통한 개인정보 유출 사고를 당했다. 현재까지 유출된 데이터는 ▲이용자 아이디 ▲이름 ▲생년월일 ▲성별 ▲중복가입 확인정보 ▲연계정보 ▲휴대전화번호 ▲이메일 ▲환불계좌번호 ▲비밀번호 등이다. 일부 항목의 경우 암호화된 채 유출된 것으로 파악된다. 현행 법에 따르면 유출사고를 당한 기업은 72시간 내로 개인정보위 등 관계기관에 신고해야 한다. 개인정보위는 자료제출 요구, 현장 조사 등을 통해 구체적인 유출 경위, 피해 규모, 안전조치 의무 및 유출 통지·신고 의무 등 개인정보보호법 준수 여부를 조사한다는 방침이다. 법 위반 사항이 발견되면 관련 법령에 따라 엄정히 처분할 예정이다.

2026.06.04 15:09김기찬 기자

쿠팡 개인정보 유출 조사 마무리…개인정보위 "곧 결정"

3367만명의 개인정보를 유출한 쿠팡에 대한 제재 수위가 이르면 내달 결정될 것으로 보인다. 송경희 개인정보보호위원회 위원장은 지난 12일 정부서울청사에서 열린 정책브리핑에서 “쿠팡에 대한 조사를 다 마무리했다”면서 “조사 결과에 대한 사전 통지를 보냈고, 사업자 의견 제출을 받고 있다”고 말했다. 그러면서 “지금 사업자가 제출한 의견을 받아서 검토 중이고, 검토가 완료되면 개인정보위 전체 회의에서 의결하도록 하겠다”며 “단계가 빠르게 진행되고 있다”고 덧붙였다. 개인정보위 규정에 따르면 조사관은 조사 결과보고서를 바탕으로 처분 내용을 당사자에게 사전통지해야 하며, 당사자는 14일 이상의 기간 내 의견을 제출할 수 있다. 이와 관련해 쿠팡은 개인정보위에 보낸 의견서에서 전반적인 처분 방향에 동의하기 어렵다는 취지의 의견을 견지한 것으로 알려졌다. 현행 개인정보보호법상 과징금은 직전 3개년 평균 매출의 최대 3%까지 부과할 수 있다. 한국 쿠팡 모회사 쿠팡Inc의 지난해 매출은 약 49조원으로 3%를 단순 계산하면 법정 최대 과징금 규모는 대략 1조5000억원 수준이 될 전망이다. 쿠팡Inc의 경우 매출 대부분이 한국에서 발생하고 있다. 개인정보위 전체 회의는 이달 13일과 27일 예정돼 있지만 13일 회의에는 해당 안건이 상정되지 않으면서 내달 중 결과가 나온다는데 힘이 실린다.

2026.05.13 09:52박서린 기자

"내 정보는 공공재? 포기 금물"…유출 데이터에도 '수명' 있다

"대기업 개인정보 유출 사고 이후 흔히들 '내 정보는 이미 공공재'라며 더 이상 보안에 신경 쓰지 않는 경우가 많습니다. 하지만 다크웹 등에 유출된 정보도 유통 수명이 있어 일정 시간이 지나면 활용성이 떨어집니다. 따라서 정보가 유출되더라도 포기하지 않고 빠른 초기 대응에 나선다면 충분히 추가 피해를 막을 수 있습니다." 6일 제럴드 카술리스 노드 시큐리티 글로벌 대외협력 부문 부사장은 서울 중구 더 플라자 호텔에서 최근 잇따르는 개인정보 유출 사태에 대해 이같이 조언했다. 그는 "이미 뚫렸다는 식의 수동적인 태도를 버리고, 능동적이고 적극적인 개인 보안 조치로 연쇄 피해의 고리를 끊어내야 한다"고 강조했다. 기업 개인정보 유출, 고도화된 '맞춤형 피싱' 무기로 악용 카술리스 부사장은 최근 보안 위협 양상이 근본적으로 바뀌고 있다고 진단했다. 과거에는 랜섬웨어처럼 시스템을 직접 공격하는 방식이 주를 이뤘다면, 이제는 개인을 겨냥한 사회공학적 공격이 중심으로 이동했다는 설명이다. 특히 AI 기술이 접목되면서 피싱과 사칭 공격이 실제와 구분하기 어려울 정도로 정교해졌다고 봤다. 이 같은 변화의 핵심 배경 중 하나로 기업 데이터 유출 사고를 꼽았다. 유출된 개인정보, 계정 정보, 이메일 등이 다크웹 등을 통해 유통되며 공격자에게 넘어가고 이를 기반으로 특정 개인을 겨냥한 맞춤형 공격이 가능해졌다는 것이다. 그는 "기업에서 발생한 데이터 유출이 개인을 직접 겨냥하는 공격으로 이어지는 구조가 만들어졌다"며 "이제는 기업 보안 사고를 개인과 무관한 문제로 볼 수 없다"고 말했다. 특히 유출된 정보는 한 번으로 끝나지 않고 반복적으로 악용된다는 점을 강조했다. 대표적인 방식이 '크리덴셜 스터핑'이다. 유출된 아이디와 비밀번호를 다른 서비스에 반복 입력해 계정을 탈취하는 방식으로, 여러 사이트에서 비밀번호를 재사용할수록 피해 위험이 커진다. 스팸 넘어선 치명적 피해…명의 도용부터 대출 사기까지 연쇄 타격 사이버 공격으로 인한 개인 피해도 단순한 스팸 증가 수준을 넘어섰다. 가장 큰 위험은 금융 피해다. 해커가 탈취한 개인정보를 활용해 피해자 명의로 대출을 실행하거나 계좌 자금을 인출하는 사례가 발생하고 있다. 또 신원 도용 피해도 확산되고 있다. 공격자는 유출된 정보를 기반으로 피해자를 사칭해 계정을 개설하거나 각종 서비스에 접근하며, 이 과정에서 추가 범죄로 이어질 수 있다. 이메일이나 SNS 계정 탈취 이후 지인을 대상으로 한 2차 사기로 이어지는 경우도 적지 않다. 카술리스 부사장은 "한 번 유출된 정보는 여러 범죄 조직을 거치며 계속 활용된다"며 "이메일 계정에서 시작된 침해가 금융, SNS, 업무 계정까지 확산될 수 있다"고 설명했다. 유출 데이터에도 '수명' 있다…수동적 체념 버리고 '상시 보안' 나서야 이 같은 환경 변화 속에서 개인 보안의 중요성도 커지고 있다. 카술리스 부사장은 "보안은 더 이상 기업이나 전문가만의 영역이 아니다"라며 "개인이 자신의 데이터와 기기를 직접 보호해야 하는 시대"라고 말했다. 특히 한국이 글로벌 해커들의 주요 타깃으로 떠오르고 있다고 진단했다. 기술 발전 속도에 비해 개인 보안 인식이 상대적으로 낮다는 점이 이유로 지목됐다. 미국과 유럽은 반복된 피해를 겪으며 개인 보안 인식이 자리 잡은 반면, 한국은 높은 IT 인프라에도 불구하고 여전히 기업 보안이나 무료 백신에 의존하는 경향이 강하다는 분석이다. 이에 보안 관행에 빈틈이 있는 한국 시장으로 공격이 이동하고 있다는 설명이다. 카술리스 부사장은 대응 방안으로 기본적인 보안 습관을 강조했다. 그는 "다크웹 유출 확인 시 비밀번호를 즉시 변경하고, 동일하거나 유사한 암호를 사용하는 모든 계정을 점검해야 한다"며 "이중 인증 적용은 필수"라고 설명했다. 또 "로그인 상태를 유지하는 쿠키 세션이 탈취되면 비밀번호 없이도 계정 접근이 가능하다"며 "중요 서비스는 반드시 로그아웃하고 쿠키를 주기적으로 삭제해야 한다"고 덧붙였다. 특히 카술리스 부사장은 "한 번 데이터가 탈취됐다고 해서 영구적으로 악용되는 것이 아니라 일정 시간이 지나면 실효성이 떨어져 소멸한다"며 "이미 유출된 공공재라고 포기할 것이 아니라 빠른 초기 대응으로 문제가 악화되는 것을 방지하는 것이 핵심"이라고 강조했다. 이어 "노드VPN은 단순한 IP 우회 도구를 넘어 AI 시대 개인과 기기를 보호하는 종합 보안 플랫폼으로 진화했다"며 "한국 시장의 보안 인식 제고를 위한 교육과 지원을 강화하겠다"고 말했다.

2026.04.06 12:01남혁우 기자

[쿠팡 사태⑥] 보안 전문가들 "기본도 안 지킨 인재" 한목소리

"보안 교과서에 나와 있는대로 기본을 지켰으면 생기지 않았을 문제가 생겼다. (쿠팡 사태는) 이로 인한 '인재(人災)'다." 과학기술정보통신부가 10일 쿠팡 침해사고 민·관합동조사단 조사 결과를 발표한 가운데, 이와 관련해 권헌영 고려대 정보보호대학원 교수는 이같이 진단했다. 권 교수는 "쿠팡을 비롯해 지난해 발생한 대형 침해사고의 경우 공격의 방식이나 경로가 달라졌을 뿐이지 기본을 지켰으면 생기지 않았을 문제였다"며 "기업이 보안을 전략·경영적 관점에서 대하고, 수익과 효율성만 추구할 것이 아니라 안전과 신뢰를 앞세워야 할 필요가 있다"고 강조했다. 보안 전문가 "쿠팡, 정보보호 미흡" 한 목소리 보안 전문가들은 이번 쿠팡 침해사고를 두고 여러 미흡한 점이 있다고 설명했다. 염흥열 순천향대 정보보호학과 교수는 "퇴사자에 대한 권한 말소는 기본 중의 기본인데 지켜지지 않은 측면이 있다"며 "개발망하고 운영망은 엄격하게 분리돼 있어야 하는데, 퇴사한 개발자가 운영망에 접근 가능한 서명키를 갖고 있었다는 것은 이런 원칙이 지켜지지 않았다고 봐야 한다"고 설명했다. 기업이 침해사고를 당하면 침해당한 데이터는 역설적이게도 공격 징후를 포착하고 예방하기 위한 중요한 데이터가 된다. 그러나 조사단 결과에 따르면 쿠팡은 자료보전 명령에도 불구하고 약 5개월 분량의 웹 접속 기록이 삭제되고, 애플리케이션 접속기록도 약 일주일 간 삭제하는 등 위법 사항도 포착됐다. 이와 관련해 박기웅 세종대 정보보호학과 교수는 "공격자들이 어떤 기법을 사용했는지 파악하는 데 정말 중요한 정보가 되는 침해 데이터를 방치 및 삭제했다는 점에서 아쉬움이 남는다. 과태료 등 부정적인 영향을 우려해 이런 데이터를 숨길 수밖에 없었던 게 안타깝다"고 밝혔다. 박 교수는 이어 "이번 쿠팡 사태를 보면서 '사이버보안 보험' 체계 마련의 필요성이 대두되는 사건으로 보인다"며 "싱가포르의 경우 침해사고를 당하면 사이버보안 보험사가 보상액을 지급하는 체계가 마련돼 있다. 이에 보험사가 가입 기업에 지속적으로 보안 체계를 고도화할 것을 주문하는 등 정보보호 측면에서 선순환되는 구조가 구축돼 있다. 다만 아직 우리나라는 이런 체계가 잡혀 있지 않기 때문에 활성화를 위한 논의도 필요해 보인다"고 제언했다. 이용준 극동대 해킹보안학과 교수는 "전직 개발자가 퇴직 후 자동화된 해킹 프로그램으로 3000만 건이 넘는 데이터를 유출한 사건은 내부자 보안에 실패한 대표적인 사례"라며 "가장 안전하게 보호돼야 하는 서명키를 갖고 해킹 프로그램을 제작하고 서명키를 교체하지 않은 것은 ISMS-P, 쿠팡 자체 규정도 어긋나 있는 기초적인 보안관리가 되지 않았다"고 평가했다. 이 교수는 이어 "ISMS-P 인증을 받은 쿠팡에서 내부자 보안 실패, 사고조사 절차 부실 등을 고려할때 정부도 실효성 있는 강화된 ISMS-P, 과징금 현실화 등 고려해야 한다"면서 "또한 개인정보 유출로 인한 과징금 또는 내부 정보보안 부실에 대한 과실 책임을 피하기 위해 자료보전 명령을 내렸음에도 지키지 않은 것으로 보인다. 향후 행정명령 미준수 시 과징금을 현실화하고 핵심 로그, 증거를 신속히 선별 압수수색하는 방안이 필요해 보인다"고 강조했다. "공격 징후 모니터링 노력 부족" 민관합동조사단이 공격자 PC 저장장치를 포렌식 분석한 결과, 공격자가 정보 수집 및 외부 서버 전송이 가능한 공격 스크립트를 작성한 것으로 확인됐다. 공격자가 자동으로 쿠팡 내부에 저장된 개인정보를 수집·전송했을 수 있다는 것이다. 이와 관련해 염흥열 교수는 "외국에서 공격 접근이 있었을 텐데, 이에 대한 모니터링도 미흡했다"며 "특히 조사 결과에 따르면 공격자 PC 저장장치를 포렌식 분석한 결과 외부 서버 전송이 가능한 공격 스크립트를 작성한 것이 확인되는데, 스크립트에 대한 이상행위 탐지 및 대응이 부족했다. 글로벌 기업이라는 쿠팡이 글로벌 수준에 걸맞는 보안 관리 체계는 마련돼 있지 않았다고 볼 수 있다"고 평가했다. 이용준 교수는 공격 징후를 사전에 포착할 수 없었냐는 질문에 "공격자 내부 소프트웨어 개발자이기 때문에 쿠팡 서명키를 통해 인증 기능 취약점을 이용한 점, 특정 IP에 집중되지 않도록 2313개 IP로 우회한 점, 지난해 4월부터 11월까지 접속을 분산한 점 등은 보안 정보 및 이벤트 관리(SIEM) 등 솔루션에서 비정상 징후로 탐지하기 어려운 패턴"이라면서도 "쿠팡 보안담당자가 비정상 징후 분석을 위한 정기적이고 전문적인 노력을 하였는지가 핵심인데, 쿠팡 전반적 내부 보안 부실을 고려할때 비이상징후 탐지에 노력이 부족하지 않았을까 추정된다"고 밝혔다.

2026.02.10 19:25김기찬 기자

[쿠팡 사태④] 3367만건 유출·1억4천만건 조회…유출-조회 차이는

쿠팡 침해사고 조사 결과에서 3367만여 건 '유출', 1억4천만여 회 '조회'라는 두 가지 수치가 함께 제시되면서 그 차이를 놓고 혼란이 일었다. 조사단은 “조회 역시 유출로 본다”는 입장을 분명히 하면서, 추후 개인정보보호위원회가 개별 정보를 모두 분리해서 유출 규모를 발표할 예정이라고 했다. 10일 과학기술정보통신부는 정부서울청사에서 민관합동조사단 조사 결과를 발표하며 "조회하는 순간 개인정보는 이미 통제권 밖으로 나가기 때문에 조회는 곧 유출"이라고 명확히 했다. 그럼에도 불구하고 조사 결과에는 '유출'과 '조회'가 나뉘어 제시됐다. 조사단에 따르면 3367만여 건 유출로 명시된 수치는 '내정보 수정' 페이지에서 확인된 성명과 이메일을 기준으로 산정됐다. 해당 페이지는 한 번 접속할 때마다 한 명의 성명과 이메일이 명확하게 노출되며, 접속기록(로그) 상에서도 개별 계정을 식별할 수 있어 정확한 건수 산정이 가능했다는 설명이다. 반면 배송지 목록 페이지의 경우 상황이 다르다. 이 페이지에는 계정 소유자 본인 외에도 가족·지인 등 제3자의 성명, 전화번호, 주소, 마스킹된 공동현관 비밀번호 정보가 함께 포함돼 있다. 한 계정당 최대 20개까지 배송지를 등록할 수 있다. 조사단은 이 페이지가 1억4800만 회 이상 조회된 사실을 확인했지만, 페이지 안에 포함된 개인정보의 정확한 개별 건수를 현 단계에서 산정하기는 어렵다고 말했다. 이에 따라 조사단은 해당 페이지에 몇 번 접근했는지를 기준으로 조회 횟수를 발표했고, 이 조회 역시 개인정보 유출로 본다고 설명했다. 조사단 측은 “배송지 목록 페이지는 한 번 조회될 때마다 유출되는 개인정보의 개수가 사람마다 다르다”며 “이 안에 들어 있는 개별 정보를 모두 분리해 산정하는 작업은 개인정보보호위원회에서 최종적으로 판단할 사안”이라고 말했다. 조사단은 “조회라고 해서 책임이 가벼워지거나, 유출만 처벌 대상이 되는 것은 아니다”라며 “정보통신망법상으로는 조회와 유출을 모두 유출로 보고 있다”고 강조했다. 다만 개인정보보호법에 따른 유출 규모 확정과 과징금 산정은 개인정보보호위원회 소관이라고 덧붙였다. 조사단은 “조회·유출이라는 표현은 기술적 사실을 설명하기 위한 구분일 뿐, 법적 책임을 나누기 위한 구분은 아니다”라며 “최종적인 개인정보 유출 규모는 개인정보보호위원회의 판단을 기다려야 한다”고 밝혔다.

2026.02.10 16:50안희정 기자

Prev 1 2 3 4 Next