ZDNet 검색 페이지

'개인정보 해킹'통합검색 결과 입니다. (33건)

넥슨 '메이플스토리' 해킹 후…범죄기록부 쓴 AI스페라

“제가 전에 다닌 직장 넥슨에서 게임 '메이플스토리' 사용자 개인정보 1천300만건이 유출됐습니다. 충격적이죠. 그래서 '인터넷프로토콜(IP) 범죄 기록부'를 만들기로 했습니다. 5년이나 개발했어요. 너무 오래 걸려서 동료와 투자자가 힘들어했습니다. 'IP 주소를 다 수집하겠다니 미친 짓'이라던 사람들이 이제 '대세'라고 평가하네요.” 강병탁 AI스페라 대표는 6일 서울 삼성동 그랜드인터컨티넨탈서울파르나스호텔에서 개최한 '공격 표면 관리(ASM·Attack Surface Management)와 위협 인텔리전스(TI·Threat Intelligence) 콘퍼런스'에서 이같이 밝혔다. AI스페라는 2017년 10월 문을 열었다. 2023년 4월에야 '크리미널(Criminal) IP'를 선보였다. 이후 국내외 50개사와 계약했다. 강 대표는 “빅데이터 양이 430페타바이트(PB)”라며 “서버는 900대, 날마다 바뀌는 정보는 40억~50억개”라고 말했다. 그는 “서버를 비롯한 정보기술(IT) 자산은 담당자가 아는 현황과 인터넷에 연결된 실제 숫자가 다르다”며 “잘 지키고 있다고 생각해도 ASM으로 살펴보면 그렇지 않다는 사실을 알게 된다”고 지적했다. 이어 “보안 담당자가 항상 모든 자산을 관리할 수는 없다”며 “위협에 미리 대응할 수 있는 ASM이 필요하다”고 주장했다. 또 “ASM은 스캔할 때 장애를 일으키지 않는다”며 “날마다 자동 수행해 결과를 알려준다”고 강조했다. AI스페라를 공동 창업한 김휘강 고려대 정보보호대학원 교수는 “한국 콘텐츠 사업의 적은 저작권 침해”라며 “불법 유포 사이트 '누누티비'가 대표적”이라고 소개했다. 그러면서 “크리미널 IP에 '드라마'를 검색하면 한국 드라마 안 볼 것 같은 나라의 불법 사이트에도 나온다”고 시범을 보였다. 이어 “요즘 우크라이나에서 이런 범죄가 많이 일어난다”며 “국제 공조하려고 해도 전쟁통이라 못하니까 취약하다”고 덧붙였다.

2025.03.06 16:51유혜진

중고거래 사기꾼 "토스 싫어, 다른 계좌로"…왜?

“사기 친 적 있는 계좌로 토스 사용자가 돈 보내려 하면 경고해 알려줍니다. 첫 피해자는 못 막더라도 두 번째부터는 막아야죠. 그래서 '당근(마켓)' 같은 중고 거래에서 사기꾼이 '토스로 보내지 말고 다른 계좌로 보내라'고 한다네요.” 지정호 비바리퍼블리카(토스) 정보보호최고책임자(CISO)는 6일 서울 삼성동 그랜드인터컨티넨탈서울파르나스호텔에서 열린 '공격 표면 관리(ASM·Attack Surface Management)와 위협 인텔리전스(TI·Threat Intelligence) 콘퍼런스'에서 이같이 밝혔다. 국내 정보보호 기업 AI스페라가 이 행사를 개최했다. 토스는 '사용은 간편하게, 보안은 강력하게'라는 지침을 시행한다. 2020년 7월 고객 피해 보상 안심 제도를 만들어 '지켜주지 못한 고객'에게 금전적 피해를 구제한다. 보안 인력은 50명이 넘는다. 지 CISO는 “지나가는 사람이 '잠깐 스마트폰 빌려달라' 하면 빌려주지 말아야 한다”며 “신분증 빌려주지 않듯 스마트폰은 더욱 안 된다”고 말했다. 그는 “매년 보이스피싱 탓에 수천억원 날아간다”며 “앱을 위·변조해 가짜 앱을 깔게 하고, 개인정보를 입력하면 정보를 빼내, 사용자가 송금하면 해커 계좌로 돈이 들어가게 한다”고 전했다. 지 CISO는 “최근 보안 사고는 내부 임직원에서부터 시작되는 일이 많다”며 “그럼에도 토스는 악성코드(랜섬웨어) 감염된 적이 전혀 없다”고 강조했다. 회사에서 개인 메일과 유해 사이트에 접속할 수 없고, 일하는 데 필요한 소프트웨어(SW)를 사주기에 불법 프로그램 쓸 일이 없다는 설명이다. 데이터센터를 2개 운영하는 토스는 보안 솔루션을 50가지 갖췄다. 지 CISO는 “정보 침해 사고가 터지면 빠르게 대응하려 준비한다”며 “'토스', '한국', '금융', '정보기술(IT)'을 떠올려 공격할 만한 북한이나 단체를 모의 상대로 삼아 훈련한다”고 언급했다. 이어 “공격 표면과 보호할 자산을 파악하는 기초에 충실해야 한다”고 덧붙였다. 임종인 대통령실 사이버특별보좌관 겸 고려대 정보보호대학원 명예교수도 이날 “살아남으려면 스스로 지켜야 한다”며 “ASM의 미래는 새로운 공격 표면을 포괄하고 다양한 보안 도구를 연계해 인공지능(AI)과 인간 역량이 결합하는 것”이라고 주장했다. 그러면서 “일론 머스크 테슬라·스페이스X 최고경영자(CEO)가 요즘 세계에서 가장 영향력 있는 인물이라 반도체 공장 같은 주요 자산이 우주로 갈 것”이라며 “공격 표면이 늘어날 텐데 가시적으로 알 수 있는 건 70%가 안 된다”고 부연했다.

2025.03.06 16:12유혜진

"이렇게 하면 털린다"···GS리테일·듀오 해킹 사건 보니

최근 편의점·홈쇼핑 등을 거느린 대형 유통회사 GS리테일의 홈쇼핑 업체 GS샵에서 고객 개인정보 약 158만건이 유출되는 사고가 발생했다. 이보다 며칠 앞서 회원 수 3만명이 넘는 결혼정보업체 듀오에서도 해킹으로 회원 개인정보가 유출됐다. 유출 규모는 파악되지 않았지만, 업계 특성상 다양한 개인정보를 지니고 있을 것으로 추정된다. 잇달은 개인정보 유출과 해킹에 대해 1일 정보보호(보안) 전문가들은 "계정 비밀번호를 자주 바꾸는 한편 아이디·비밀번호 말고도 문자메시지(SMS)나 이중 인증 앱으로 한 번 더 까다롭게 해야 피해를 막을 수 있다"고 조언한다. GS샵의 경우, 지난해 6월 21일부터 이달 13일까지 웹사이트 해킹 공격으로 고객 개인정보가 유출된 정황을 확인했다고 회사는 밝혔다. 홈쇼핑 웹사이트를 통해 유출됐다고 추정되는 개인정보는 ▲이름 ▲성별 ▲생년월일 ▲연락처 ▲주소 ▲아이디 ▲이메일 ▲기혼 여부 ▲결혼기념일 ▲개인통관고유부호 총 10개 항목이다. 각자 입력한 정보에 따라 일부는 포함되지 않았을 수도 있고, 멤버십 포인트와 결제 수단 등 금융 정보는 유출되지 않았다. 특히 GS샵 해킹은 앞서 지난달 편의점 GS25를 통해 GS리테일 회원 9만여명의 개인정보 유출이 드러난 지 한 달여 만에 추가로 확인, 사태 심각성을 더 했다. GS리테일의 경우 지난해 12월 27일부터 지난달 4일까지 웹사이트 해킹 공격으로 이름, 성별, 생년월일, 주소, 연락처, 아이디, 이메일 등 7개 항목이 유출됐다. GS리테일의 경우 개인정보위원회 조사를 거쳐 추후 과징금 규모 등이 결정될 예정인데, 개인정보보호법에 따르면 같은 위반 행위 재발 시 가중 조항이 있다. 이정은 개인정보위 조사2과장은 "GS리테일의 경우가 가중에 해당하는 지는 조사해봐야 한다"고 말했다. GS리테일은 고객 정보 유출과 관련, 사실 인지 후 해킹을 시도한 인터넷프로토콜(IP)과 공격 패턴을 차단하고, GS홈쇼핑 사이트 계정에 로그인할 수 없게 잠금 처리했다. 또 최고 경영진이 참여하는 정보보호대책위원회를 꾸리겠다고 약속하는 한편 최신 정보보호 기술을 도입하고 보안 인력을 늘리겠다고 밝혔다. 듀오의 경우, 지난달 설 연휴 해킹 사고로 일부 고객의 개인정보가 유출됐음을 알아챘고, 유출 경위와 규모를 파악하고 있다. 듀오 회원은 3만5천340명이다. 결혼정보회사인 만큼 회원 ▲이름 ▲연락처 ▲주소 말고도 ▲소득 ▲자산 ▲가족 사항 등을 저장하고 있었을 가능성이 크다. 듀오는 홈페이지에 사과문을 올리고 전문 기관 도움을 받아 기술 조치를 취했다고 밝혔다. 또 주요 개인정보를 암호화해 보관하고 있었다며, 고객에게 안심하라고 일렀다. 이어 비슷한 사고가 다시 일어나지 않게 보안 상태와 시스템 취약점을 점검해 개선하겠다고 밝혔다. GS리테일은 해킹 기법 중 하나인 '크리덴셜 스터핑(Credential Stuffing)' 공격을 받았고, 듀오의 경우 해킹 기법이 알려지지 않았다. 보안 분야에서 25년 이상 일하고 있는 윤두식 이로운앤컴퍼니 대표는 두 회사 해킹에 대해 “아직 직접적인 원인이 밝혀지지 않은 상황이라 함부로 판단하기 어렵다”면서도 “듀오는 시스템이 해킹돼 개인정보가 유출됐을 가능성이 있다”고 말했다. 이로운앤컴퍼니는 인공지능(AI) 보안 수준을 높이는 서비스를 제공하는 회사다. 한국개인정보보호책임자(CPO)협의회장인 염흥열 순천향대 정보보호학과 명예교수는 “GS리테일이 다른 사이트에서 유출된 아이디와 비밀번호를 이용하는 크리덴셜 스터핑 공격을 받은 것 같다”며 “해커는 보안이 취약한 사이트의 아이디와 비밀번호로 다른 사이트를 로그인하는 데 쓴다”고 설명했다. 크리덴셜 스터핑은 이용자가 여러 사이트에서 같은 아이디와 비밀번호를 사용하는 것을 노린 해킹 기법이다. 보안 전문가들은 "매우 단순한 공격 방식이지만 해킹 효과가 커 해커들이 자주 사용하는 방법"이라고 전한다. 공격자는 다크웹에서 계정 정보를 많이 확보한 뒤 반복해 대입을 시도한다. 다른 사이트에서 이미 흘러 나간 아이디와 비밀번호가 악용된 만큼 비밀번호에만 의존해서는 위험하다고 전문가들은 지적했다. 염 교수는 “피싱·파밍 공격을 막을 수 있는 패스워드리스(Passwordless) 방식과 2개 이상 인증 요소를 동시에 사용하는 게 필요하다”며 “예를 들어 아이디·비밀번호와 문자메시지 인증을 동시에 적용하는 것”이라고 설명했다. 윤 대표도 “이중 인증을 지원하는 사이트에서는 반드시 이중 인증을 활성화해야 한다. 이 경우 해커가 내 아이디와 비밀번호로 로그인을 시도하더라도 이중 인증을 못해 정보를 빼낼 수 없다”고 밝혔다. 이어 “기업은 이중 인증을 도입하는 한편 이상 로그인 시도나 비정상적인 접근을 실시간으로 감지하고 대응하는 시스템을 구축해야 한다”며 “정기적으로 교육해 직원의 보안 의식을 높이고 사회공학적인 해킹 기법에 대비하는 능력을 키워야 한다”고 덧붙였다. 전문가들은 "원론적이지만 사용자는 번거롭더라도 사이트마다 비밀번호를 다르게 정하고, 주기적으로 비밀번호를 바꾸는 게 좋다"고 이구동성으로 지적하며 "IP 보안이나 2차 비밀번호 등의 보안 정책을 도입할 것을 기업에 권고하고 있지만, 사용자의 편리성 등 때문에 잘 안 이뤄지고 있다"고 짚었다. 실제 크리덴셜 스터핑을 예방하려면 비밀번호는 최소 8자리 이상으로, 또 영어와 특수문자, 숫자 등 3종류 이상 조합으로 만드는 게 좋다. 여기에 나만의 비밀번호 작성 규칙을 만들고 오랫동안 방문하지 않은 사이트는 탈퇴해야 한다. 듀오는 피해를 방지하기 위해 발신자를 알 수 없는 이메일이나 메시지 링크를 열지 말고 지우는 한편 로그인 비밀번호를 바꾸라고 고객에게 권했다. GS리테일도 비밀번호를 변경하라고 당부했다. 개인통관고유부호 유출이 의심되면 관세청 개인통관고유부호 발급 사이트에서 개인통관고유부호 사용 정지를 요청하거나 재발급 받을 수 있다고 안내했다. 관세청 홈페이지에 도용 신고할 수도 있다. 개인정보가 유출돼 손해 입었다면 개인정보분쟁조정위원회에 분쟁 조정을 신청할 수 있다.

2025.03.01 13:24유혜진

[보안리더] 염흥열 CPO협의회장 "개인정보 지키면서 활용하는 PET 주목"

“기업에서 개인정보가 유출되면 전체 매출액의 최대 3%를 과징금으로 내야 합니다. 다만, 전체 매출액에서 위반 행위와 관련이 없는 매출액을 제외합니다. 매우 중요한 개인정보가 빠져나갔으니 벌을 받는 셈이죠. 그만큼 기업이나 기관의 개인정보보호책임자(CPO) 어깨가 무겁습니다.” 염흥열 한국개인정보보호책임자협의회장은 최근 서울 강남에서 지디넷코리아와 만나 “개인정보보호책임자 모임이 이제 막 첫발을 떼었다”며 이같이 말했다. 개인정보보호책임자는 영어로 CPO(Chief Privacy Officer)라고 부른다. CPO는 조직에서 개인정보 보호 계획을 세우고 시행하는 책임을 진다. 개인정보 처리 실태를 조사하고, 개인정보가 새어 나가지 않도록 내부 통제 시스템을 만든다. 기업과 공공기관 등에서 개인정보 처리를 책임질 CPO를 정해야 한다. 소상공인기본법에 따른 소상공인은 사업주 또는 대표자가 CPO가 된다. 이들이 모인 한국CPO협의회는 지난해 9월 출범했다. 112개 기업과 기관의 CPO들이 개인정보 보호 정책을 나누며 활동하고 있다. 부회장사는 21개다. LG유플러스, 우아한형제들(배달의민족), 카카오, 쿠팡, 삼성서울병원, 국립암센터, SK텔레콤, 한국전력공사, 삼성전자, 기아, 비바리퍼블리카(토스), KB국민은행, 국민건강보험공단, 넷마블, 한국교통안전공단, LG전자, 현대자동차, 삼성화재, 메타코리아(페이스북), KT, 한국인터넷진흥원이다. 염 회장은 순천향대 정보보호학과 명예교수이기도 하다. 전자공학과 교수로 지내다 2001년 정보보호학과를 만들었다. 한국정보보호학회 명예회장과 더불어 국제전기통신연합 전기통신표준화부문(ITU-T) 전기통신자문반(TSAG) 부의장도 맡고 있다. 아래는 염 회장과의 일문일답. -개인정보가 유출되면 CPO는 어떤 제재를 받나? “기업에서 개인정보가 유출되면 전체 매출액의 3%까지 과징금으로 내야 한다. 전체 매출액에서 위반 행위와 관련 없는 매출액은 제외되지만, 관련 없다는 사실을 기업이 자료로 입증해야 한다. 2020년 이래 카카오 등 국내 기업과 구글·메타 등 많은 해외 기업이 한국에서 수십억~수백억원 과징금을 부과 받은 적 있다. 유럽연합(EU)에서는 기업의 국내외 전체 매출액의 최대 4%를 과징금으로 물게 한다. 한국은 이보다 약한 편이다. 그래도 기업은 몇백만원 과태료보다 부담이라는 입장이다. 그만큼 CPO 역할이 중요하다. 공공기관·비영리법인·비영리단체 등은 매출액을 산정하지 않는다. 정확하게 매길 수 없어서다. '법인세법'에 의한 소득이 없으면 위반 행위 중대성에 따라 ▲500만원 이상 5천만원 이하 ▲5천만원 이상 2억원 미만 ▲2억원 이상 7억원 미만 ▲7억원 이상 18억원 등으로 구분해 기준 금액을 산정해 과징금을 낸다. 위반 행위 중대성은 개인정보보호위원회가 판단한다. 이렇게 거둔 과징금을 인재를 가르치고 연구개발(R&D)하는 데 써서 한국 개인정보 보호 수준을 더 높이면 좋겠다.” -한국의 개인정보 보호 수준이 어떤가? “세계적인 수준이다. 미국이나 EU보다 투명하고 구체적으로 기준을 정해 지킨다. EU도 어떤 기업이 소비자로부터 개인정보를 받아 적법하게 제3자에게 줄 수 있게끔 한다. 한국에서 그러려면 누가 누구에게 주는지, 왜 주는지, 이 정보를 언제 삭제할지 등을 개인정보처리방침에 세세히 명시해야 한다. 그래서 한국 규제가 깐깐하다고 느끼는 기업도 있다.” -기업이 개인정보 지키면서도 활용할 수 있는 방안이 있나? “그게 CPO들이 요즘 가장 관심 있는 일이다. 개인정보 보호 강화 기술(PET·Privacy Enhancing Technology)로, 개인정보를 최소한 수집하면서도 산업을 활성하는 기술 3가지를 주목한다. 첫째 가명정보다. 개인정보가 모두 공개된 정보라면, 익명정보는 모두 가린 정보다. 가명정보는 이 중간이다. 다른 정보와 맞춰보면 얼추 알 수 있지만 그대로는 알기 어려운 내용으로 꾸린다. 과학·연구·통계적 목적이라면 가명정보를 쓸 수 있다. 정보가 그대로 드러나는 게 아니라 이용자로부터 동의받지 않아도 제3자에게 넘길 수 있다. 둘째 동형암호다. 내 키가 170㎝라는 정보와 다른 사람 키는 165㎝라는 정보가 있다고 예를 들자. 이를 각각 암호로 만들어 결합기관에 주면 결합기관은 이를 더하거나 빼는 연산을 할 수 있다. 다만 결합기관은 이 정보 주인이 누군지 모른다. 정보 제공자가 되돌아온 결과를 보면 된다. 셋째 연합학습이다. 인공지능 시대에 맞게 개인정보도 인공지능을 활용하는 일이 잦다. 어떤 기기가 학습한 내용을 내보내면 안 되지만, 서로 다른 기기가 학습한 정보를 합쳐 또 학습하도록 하는 연합학습은 가능하다.” -정보보호업계 화두 '국가 망 보안 체계'와 '제로 트러스트'는 어떻게 보나? “국가 망 보안 체계는 N2SF(National Network Security FRAMEwork) 약자다. 지금껏 폐쇄된 공공 정보망을 열겠다는 정책이다. 그러니 '절대 믿지 말고 항상 검증하라'는 제로 트러스트(Zero Trust) 개념이 필수다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 지금껏 내부 망 사용자는 믿어왔다. 외부 망 사용자는 비밀번호와 문자 인증 등 2가지 이상 인증하도록 했지만 내부 망 사용자는 비밀번호 하나면 됐다. 이제 내부 망 사용자도 이중 요소로 인증하도록 한다. 이에 새로운 보안 통제 도구가 필요하다. 기업에 새로운 시장이 열리는 셈이다.” -올해 협의회 계획은? “정책당국과 회원사가 깊게 논의할 수 있는 세미나 'KPPI(KCPO Prime Privacy Insight)'를 운영하겠다. 개인정보보호위원회와 CPO, 또 분야별 CPO끼리 교류하는 'KCPO 브릿지 포럼'도 열기로 했다. 고위관계자가 모여 정책 동향을 공유하는 'KCPO 프라이버시 서밋' 등도 주기적으로 할 예정이다. 오는 9월에는 서울 삼성동 코엑스에서 제47차 글로벌 프라이버시 총회(GPA·Global Privacy Assembly)가 개최된다. 이 총회는 세계 최대 규모의 개인정보 보호 관련 국제 회의로, 미국·EU·영국·일본 등 89개국 137개 기관이 참여한다. 이에 협의회가 적극적으로 나서 세계 개인정보 보호 전문가와 소통할 예정이다. 예비 CPO를 위한 교육 과정도 개발해 올해 시범 운영하려고 한다. CPO에 대한 자체 정책도 연구할 생각이다. 조직 형태, 예산과 인력 현황, 주요 고충을 들어 CPO 지정 현황 실태 조사를 하려고 한다.”

2025.02.25 09:23유혜진

개인정보보호법 어긴 법원행정처, 공공기관 중 가장 높은 과징금

법원행정처가 개인정보보호법 위반으로 법 개정 후 공공기관 중 가장 높은 과징금을 낸다. 9일 개인정보보호위원회 강대현 조사총괄과장은 서울정부청사에 열린 전체회의 브리핑에서 법원행정처의 개인정보보호법 위반 내용과 처분 결과를 발표하며 이같이 밝혔다. 발표에 따르면 법원행정처는 이용상 편의를 위해 내부망-외부망 간 상호 접속 가능하도록 포트를 개방·운영했다. 해커는 해당 포트를 통해 내부망 전자소송 서버에 저장된 소송 관련 문서 1천14기가바이트(GB) 분량을 유출한 것으로 나타났다. 이 중 경찰이 복원한 4.7GB 파일을 분석한 결과, 해당 데이터 내 주민등록번호를 포함한 1만7천998명의 개인정보가 확인됐다. 해당 개인정보는 이름과 주민등록번호, 생년월일, 연락처, 주소, 나이, 성별 등이다. 또 법원행정처가 소송 문서를 전자소송 서버에 저장·보관하면서 주민등록번호가 포함된 소송 문서를 암호화하지 않은 것으로 드러났다. 인터넷AD서버 관리자 계정과 인터넷가상화PC 취급자 계정 비밀번호를 유추하기 쉬운 해당 계정의 초기 비밀번호를 그대로 사용한 점도 밝혀졌다. 내부망에 있는 '인터넷가상화웹서버'에 백신 소프트웨어(SW) 등 보안프로그램을 설치하지 않고 운영하는 등 기본 안전조치가 미흡했던 것으로 나타났다. 이에 따라 개인정보위는 법원행정처에 과징금 2억700만원과 과태료 600만원을 부과하고 관련 내용을 공표했다. 개인정보처리시스템 운영체계 및 조직·인력, 관련 규정 등 보호체계 전반에 걸쳐 안전조치 실태를 점검하고 개인정보 보호조치 수준 향상 방안을 마련토록 권고했다. 강 과장은 이번 과징금 규모가 공공기관 중 가장 높은 수준이라고 설명했다. 그는 "법원행정처 건은 개인정보보호법 개정 전 다뤄졌다"며 "개정법 후 공공기관 중 가장 큰 과징금을 부과한 사례"라고 설명했다. 역대 공공기관 처벌 건 중에선 한국사회복지협의회가 가장 큰 과징금을 냈다. 지난해 9월 해당 의회는 개인정보보호법 안전조치의무 위반으로 과징금 4억8천300만원을 부과받은 바 있다. 법원행정처 건은 지난해 5월 북한발 해커가 법원전산망을 해킹한 후 이뤄졌다. 당시 경찰은 북한 해커가 전산망 데이터 1천14GB를 해킹했다고 발표했다. 이중 0.46%에 해당하는 4.7GB만 복구됐다. 개인정보위는 해당 데이터 내 개인정보가 제대로 관리·보호되고 있었는지를 판단하던 중 이런 위반 사항을 발견했다는 설명이다. 당시 1천14GB를 모두 복원했을 경우 개인정보 유출 여부를 확인할 수 있는 데이터가 더 많을 것이라는 지적이 이어졌다. 이에 강 과장은 "개인정보가 많이 들어있을 수도, 적게 들어있을 수도 있다"며 "개인정보 대신 다른 문서가 포함됐을 가능성도 있기 때문"이라고 밝혔다.

2025.01.09 15:06김미정

에버스핀, 한화손보 고객 웹서비스 보안 책임진다…'에버세이프 웹' 공급

인공지능(AI) 보안기업 에버스핀(대표 하영빈)이 한화손해보험의 대고객 웹 서비스에 웹 보안 솔루션 '에버세이프 웹'을 공급한다고 26일 밝혔다. 에버스핀 관계자는 “기존의 보안 솔루션이 해커가 공격 대상 프로그램을 분석하기 어렵도록 단순히 보안모듈을 복잡하게 만드는 것에 집중했다면 에버세이프 웹은 세계 33개 특허를 보유한 동적 암호화 기술(에버세이프 MTD)을 이용해 프로그램 보안모듈을 수시로 변화시킴으로써 해커의 프로그램 분석 자체가 거의 불가능하도록 만드는 장점이 있다”고 설명했다. 한화손해보험은 이번 에버세이프 웹 도입으로 소중한 고객의 개인정보와 회사의 중요정보 등에 대한 보호 수준을 한층 강화할 수 있게 됐다. 또 실시간 위협 탐지와 차단 기능을 통해 해킹 공격에 대한 선제적 대응이 가능해져, 더욱 안정적인 디지털 보험 서비스 제공이 가능해질 전망이다. 한편, 에버세이프 웹은 금융권을 중심으로 다양한 보안 성과를 올리고 있다. 최근 2년간 4천만 건의 데이터 스크래핑을 탐지해 매크로 방지·제로데이필터 등 광범위한 보안 기능을 제공하고 있다. 특히 기업 간 합의되지 않은 무단 스크래핑이나 '자동화 봇(Bot)'을 통한 해킹 시도까지 효과적으로 차단한 성과를 올렸다. 현재 NH농협은행·SBI저축은행·삼성카드·우리카드·한국투자증권·KB증권·키움증권·메리츠증권·저축은행중앙회 등 국내 주요 금융사가 에버세이프 웹을 도입해 운영 중이며, 이번 한화손해보험의 합류로 보험업권까지 입지를 더욱 굳혔다.

2024.12.26 09:35주문정

외교부 위장 스팸메일, 알고보니 뉴스레터 서비스 '스티비' 해킹 탓

얼마 전 알스퀘어 뉴스레터 고객들에게 발송된 외교부 위장 스팸메일이 뉴스레터 서비스 '스티비' 서버 해킹 탓으로 최종 확인됐다. 해당 사고가 발생했을 때만 해도 알스퀘어 측은 자사가 이용한 스티비 로그인 계정이 외부로 유출된 것으로 봤는데, 알고 보니 스티비 서버 자체가 해커에 의해 뚫렸던 사고였다. 지난 20일 스티비는 개인정보 유출 피해가 발생한 고객들에게 피해 사실을 알렸다. 이메일, 비밀번호, 이름, 연락처가 담긴 로그인 정보와 결제 시 사용된 카드 정보 등이 지난 17일 유출된 것으로 파악됐다는 내용이다. 회사는 19일 한국인터넷진흥원과 경찰에 해킹 피해를 신고한 상태다. 지난 18일 프롭테크 스타트업 알스퀘어는 자사의 뉴스레터 회원들에게 외교부로 위장한 스팸메일이 대량 발송되자 사과 메일을 발송했다. 이어 내부 침입 흔적이 없어 해킹 가능성 보다는 알스퀘어가 이용 중이었던 뉴스레터 서비스 스티비 계정이 외부에 유출된 것으로 잠정 파악했다. 그럼에도 회사는 해커에 의한 사내망 침입 가능성을 열어두고 조사를 진행한 바 있다. 당시 스티비 측은 자사의 문제가 아니라고 선을 그었었다. 하지만 외교부 위장 스팸메일의 원인은 스티브 측 해킹 문제로 확인됐다. 이로 인해 알스퀘어 사례처럼 스티비 뉴스레터 서비스를 이용하던 각 고객사의 회원들에게 스팸메일이 대량 발송됐던 것이다. 스티비 측은 “지난 18일 알스퀘어 이용자들에게 스팸메일이 발송됐을 때만 해도 알스퀘어 문제로 판단했었으나, 추가 확인했을 때 우리 쪽 서버가 해킹당한 것으로 확인됐다”면서 “현재 이를 사용자들에게 안내한 상황”이라고 설명했다. 이어 “피해를 받은 고객들에게 개별 안내 후 홈페이지에서 유출된 항목을 확인할 수 있도록 안내했다”고 덧붙였다.

2024.12.21 14:45백봉삼

"가짜 아마존·스타벅스 주의"…쇼핑·해외여행 해킹 막는 방법은?

온라인 쇼핑과 해외여행 등으로 즐거운 연말을 노린 해킹과 사이버 피싱 사기가 늘고 있어 주의가 요구된다. 연말은 블랙프라이데이와 사이버먼데이 등 대규모 글로벌 쇼핑 이벤트와 해외여행 등으로 인해 개인보안 취약점이 급격히 늘어나는 시기다. 이를 노려 개인정보나 자산을 목표로 한 사이버범죄자의 공격이 더욱 활발해지기 때문이다. 노드시큐리티 황성호 지사장은 연말 급증하는 개인정보 탈취 및 해킹 공격 기법을 설명하며 이로 인한 피해를 방지하기 위한 방안을 제시했다. 연말 대규모 쇼핑 이벤트 급증, 가짜 사이트 조심 연말 시즌 사이버 피싱이나 개인정보 탈취 등 보안 위협은 주로 온라인 쇼핑과 해외여행 중 발생한다. 특히 가짜 쇼핑몰 사이트는 가장 널리 악용되면서도 많은 피해자를 양산하는 사기 기법 중 하나다. 사이버범죄자들은 실제 쇼핑몰과 비슷한 사이트를 구축한 후 온라인상에 '80% 할인'이나 '한정 특가' 등의 광고를 집행해 사용자가 제품을 결제하도록 유도하는 방식이다. 이를 통해 로그인 데이터와 신용카드 정보를 탈취하는 것으로 알려졌다. 이런 가짜 사이트는 정품 쇼핑몰의 디자인이나 로고를 거의 그대로 모방하며 사이트 주소도 한두 글자만 바꿔 알아채기 어렵게 만든다. 특히 최근 페이먼트 기술의 발달로 구매 과정이 간소화됨에 따라 가짜사이트라는 것을 인지하는 것에 많은 사람이 어려움을 느낀다는 지적이다. 이로 인해 가짜 쇼핑몰에 접속한 사용자 중 약 절반이 결제를 수행하고 금전적 피해를 입은 것으로 나타났다. 또한 일부는 쇼핑 주문 확인서나 배송 추적 링크로 이메일을 사용자에게 전달해 악성코드로 사용자 기기를 감염시키기도 한다. 감염된 기기는 지속적으로 사용자의 정보를 유출할 뿐 아니라 디도스나 스피어피싱 등 추가 사이버범죄에 악용되기도 한다. 황 지사장은 "연말 시즌이 되면 사이버범죄자들이 모이는 다크웹 커뮤니티에서 관련 해킹 도구들이 대거 공유되거다 판매된다"며 "가짜 사이트나 악성코드를 만드는 제작도구가 단돈 몇만원 수준에 거래된다"고 이에따라 사이버범죄가 급격하게 증가하는 추세라고 설명했다. 노드시큐리티에서 최근 조사한 바에 따르면 9월 대비 10월에 가짜 쇼핑몰을 방문한 시도가 9.9백만 건에서 13.4백만 건으로 35%나 증가한 것으로 나타났다. 황성호 지사장은 이러한 피해를 줄이기 위해 가짜 쇼핑몰을 감지할 수 있는 서비스를 사용할 것을 권했다. 노드VPN에서 지원하는 고급 브라우징 보호 기능은 악성 웹사이트로 의심되는 경우에는 접속을 즉시 차단하거나 경고메시지를 전달한다. 악성 웹사이트의 데이터베이스를 실시간으로 참조하며 보안 위협을 방지하며 악성코드를 설치하려는 시도도 바로 차단한다. 황 지사장은 "사이트 접속이나 구매 과정에서 한두번의 경고를 제공하는 것 만으로도 보안 사고를 상당 부분 줄일 수 있다"며 "사용자는 이런 경고나 차단이 발생할 경우 해당 사이트를 의심해 볼 필요가 있다"고 강조했다. 접속 한번에 개인정보 '탈탈', 무선 와이파이 주의 연말은 긴 연휴 기간 등을 활용해 해외여행을 가는 사람들이 늘어나는 시즌이다. 하지만 해외 여행 곳곳에도 해킹 등 사이버공격의 위협이 도사리고 있다. 황성호 지사장은 여행지에서 가장 주의를 기울여야 할 요소로 무료 와이파이를 꼽았다. 공항, 호텔, 카페 등에 설치된 무료 와이파이는 충분한 수준의 보안환경이 마련돼 있지 않은 경우가 많다. 사이버범죄자들은 이런 와이파이를 해킹해 사용자 정보를 탈취하려 한다. 또한 무료 와이파이나 USB 충전 서비스로 위장 후 이에 연결을 시도하면 악성코드를 설치하는 등의 '주스 재킹(Juice Jacking)' 공격도 확인되고 있다. 이에 황성호 지사장은 공공 와이파이를 사용할 경우 VPN을 활성화해 데이터를 암호화해 개인정보 유출을 방지하고, 외부 침입을 차단할 것을 권고했다. 그는 "노드VPN은 공공 와이파이 사용 중 인터넷 트래픽을 암호화해 탈취를 방지할 뿐 아니라 가짜 와이파이 탐지 및 차단 기능을 제공해 사용자를 보호한다"고 설명했다. 이 밖에도 그는 계정 정보를 보호하기 위해 이중 인증(2FA)을 설정하고 여행 중 분실을 대비해 기기에 강력한 비밀번호를 설정하고 추적 서비스 등을 활성화 하는 등 보안 수칙을 준수해야 한다고 강조했다. 황성호 지사장은 "연말은 쇼핑과 여행의 즐거움이 가득한 시기인 동시에 사이버 보안 위협도 높아지는 시기"라며 "노드VPN 같은 보안 솔루션을 적극 활용하여 이번 연말을 안전하고 즐겁게 보내길 바란다"고 말했다.

2024.12.01 10:42남혁우

MS "北, 신종 사기로 암호화폐 1천만 달러치 벌어"

북한 해커가 지난 6개월간 1천만 달러(약 140억5천500만원)넘는 암호화폐를 탈취한 정황이 드러났다. 마이크로소프트는 24일 북한 해킹 그룹 '사파이어 슬리트'가 가짜 링크드인 프로필로 채용 담당자나 구직자로 위장해 불법 수익을 올렸다는 사실을 포착했다고 발표했다. 이들은 최소 2020년부터 활동해 왔으며, APT38과 블루노로프로 추정되는 다른 북한 해킹 그룹과도 관련 있는 것으로 전해졌다. 발표 내용에 따르면 사파이어 슬리트 구성원은 벤처 캐피털리스트로 가장해 타깃 기업에 관심 있는 척 접근해 온라인 회의를 제안하는 방식을 사용했다. 회의 연결 시 오류 메시지를 띄우며 지원팀에 연락하도록 유도했다. 피해자가 연락하면 악성코드가 포함된 애플스크립트(Applescript)나 비주얼 베이직 스크립트(Visual Basic script) 파일을 제공했다. 이 악성코드는 윈도와 맥 시스템을 감염시켜 인증 정보를 탈취하고 암호화폐 지갑에 접근할 수 있는 권한을 공격자에게 제공했다. 앞서 북한 IT 노동자들이 깃허브와 링크드인 같은 플랫폼에서 가짜 프로필과 포트폴리오를 생성하고 채용에 지원한 정황이 포착된 바 있다. 이들은 인공지능(AI) 도구로 프로필 사진이나 문서, 음성을 변조해 북미 IT 기업에 비대면 업무 공고에 지원했다. 직원으로 일하면서 IT 기업 내 기밀정보을 탈취해 스캠이나 해킹에 활용했다. 해당 방식으로 수익 약 37만 달러(약 5억2천만원)를 벌어들인 것으로 추정된다. 마이크로소프트는 "북한의 조직적 활동은 단순 암호화폐 탈취를 넘어 전반적인 IT 인프라 악용으로 확장되고 있다"며 "글로벌 IT 생태계 전반에 걸쳐 악영향을 미칠 가능성이 있다는 점에서 각국의 철저한 대비가 요구된다"고 당부했다.

2024.11.24 17:00김미정

北에 털린 법원 전산망, 개인정보 유출 피해 1만8000명…향후 규모 더 커질 듯

북한 해킹 조직이 우리나라 법원 전산망을 침투해 최소 1TB(테라바이트)가 넘는 자료를 빼간 것으로 드러나면서 공공부문의 보안수준에 대한 문제가 수면 위로 떠올랐다. 이 해킹으로 개인정보 유출 피해자 수는 현재 1만8천 명에 달하는데, 아직 유출 자료에 대한 파악이 완전히 이뤄지지 않았다는 점에서 향후 피해규모가 더 커질 것이란 분석이 나온다. 24일 국민의힘 주진우 의원실이 대법원 법원행정처로부터 받은 자료에 따르면 사법부 전산망 해킹 사건으로 현재까지 유출이 확인된 문건에 기재된 개인은 총 1만7천998명으로 나타났다. 앞서 라자루스는 2021년 1월 7일 이전부터 2023년 2월 9일까지 국내 법원 전산망에 침투해 2년 넘게 개인정보 등이 포함된 총 1천14GB(기가바이트) 규모의 자료를 빼돌린 것으로 알려졌다. 법원행정처는 지난해 2월 사법부 전산망 공격 사태를 인지하고도 수사당국에 신고하지 않고 자체 보안조치를 취했다. 지난해 11월 말 해킹 사실이 보도되자 12월 초 경찰청·국정원·검찰청이 합동조사에 착수했다. 그 사이 서버에 남아있던 유출자료들이 지워졌다. 정부가 유출 내용을 확인한 것은 전체 피해의 약 0.5%(5천171개)에 불과하다. 일단 대법원 법원행정처는 정보 유출 피해자 4천830명을 특정해 지난 5월 유출 사실에 대해 개별 통보했다. 유출이 확인된 문서는 모두 회생 사건 관련 자료다. 이후 대법원은 유출과 관련된 개인들 중 1만3천177명에게도 개별 통지를 시행했다. 연락처를 알 수 없는 4천821명에게는 홈페이지 게시 방식으로 통지를 마친 것으로 파악됐다. 현재까지 내용이 확인된 정보 유출 규모는 4.7GB 분량의 문서에 불과한 것으로 전해졌다. 나머지 약 1천 GB 분량의 유출 자료에 대해서는 피해규모 등에 대한 파악이 끝나지 않아 실제 피해는 더 클 것으로 관측된다. 대법원은 '보안강화 종합대책 방안'을 마련해 추가적인 해킹을 예방하고 향후 재발 방지에 나선다는 방침이다. 주요 대책은 ▲전산정보관리국을 사법정보화실로 확대 개편 ▲USB 사용관리 방안의 전국 법원 시행 ▲보안 전문가 공개 채용 ▲정보보호조직 강화 등이다. 하지만 법원의 정보보호 업무를 담당하는 법원행정처 사법정보화실 정보보호담당관실 내 전담 인력은 올해 8월 기준 9명으로, 2020년 1월 기준 6명에서 고작 3명 증가했다. 특히 라자루스 논란이 커지기 전인 올해 1월에는 6명으로 4년 전과 동일했다. 국회 법제사법위원회 소속 박준태 국민의힘 의원은 "법원이 다수의 국민 개인정보를 다루는 만큼 신속히 유출 내역을 파악해 2차 범죄로 악용되는 것을 막아야 한다"고 지적했다.

2024.10.24 15:14장유미

美 떠나는 카스퍼스키, 사용자에 '이것' 주고 간다

미국 시장을 떠나는 러시아 보안 기업 카스퍼스키가 자사 소프트웨어(SW) 이용자들에게 '울트라AV' 제품을 제공하기 시작했다. 씨넷은 1일(현지시간) 카스퍼스키는 이런 목적으로 울트라AV와 협력한다고 보도했다. 앞으로 미국 내 카스퍼스키 안티바이러스 SW 이용자는 울트라AV사 제품을 사용해야 한다. 카스퍼스키는 "현재 미국 고객에게 이메일로 이를 통보한 상태"라며 "카스퍼스키 SW에서 울트라AV 제품으로 원활히 전환될 수 있도록 노력할 것"이라고 공식 홈페이지를 통해 밝혔다. 울트라AV는 미국 매사추세츠주에 본사를 둔 보안 SW 기업이다. 바이러스·악성코드 탐지, 시스템 보호 등 안티바이러스 솔루션을 제공한다. 울트라AV도 공식 홈페이지를 통해 전환 예정인 안티바이러스 SW에 대해 설명했다. 이용자는 한 SW를 최대 20대 기기에 적용할 수 있다. iOS 기기는 제외지만 iOS용 울트라VPN까지는 적용 가능하다. 사용자는 울트라AV로 전환 시 추가 비용을 내지 않아도 된다. 울트라AV 제품은 실시간 인증 경고, 고위험 거래 모니터링, 신원 도용 보험을 제공한다. 이는 카스퍼스키 SW에 없는 기능들이다. 다만 울트라AV는 카스퍼스키처럼 웹캠 보호와 온라인 결제 보호 기능을 지원하지 않는다. 앞서 미국 정부는 카스퍼스키가 러시아 기업이며, 제품 투명성·보안이 의심된다는 이유로 미국 내 신규 제품 판매를 금지했다. 이에 카스퍼스키는 미국 고객에게 '위협 인텔리전스'를 제외한 솔루션 판매를 진행할 수 없다. 카스퍼스키 관계자는 "제품 안전성은 누구보다 자신한다"며 "미국 정부는 보안 기능이 아닌 정치적 이유로 시장 철수를 강행한 것"이라고 강력히 반박한 바 있다.

2024.10.01 15:00김미정

'이메일 용량 관리 필요' 메시지=피싱

안랩이 이메일 용량 관리나 바이어 문의 공지 내용으로 위장한 범죄 사례가 늘고 있다며 사용자들에 주의를 당부했다. 안랩은 이메일에 가짜 로그인 링크를 심어 계정 탈취를 시도하는 피싱 수법이 다수 발견됐다고 21일 밝혔다. 가장 큰 문제는 해킹 메일 범행 방식이 고도화 되고 있단 점이다. 이메일 저장용량 관리의 경우 '받은 편지함이 가득 차 저장 공간이 부족하다'며 '중요한 메일을 계속 수신하려면 여유 공간을 확보하라'는 내용으로 사용자에게 버튼 클릭을 유도한다. 이 사이트로 들어가면 보안 코드 인증 화면을 위장한 피싱 페이지가 나오는데 여기서 사용자가 계정 정보를 입력하면 그 내용이 공격자의 서버로 전송되는 구조다. 바이어 문의 공지 허위 위장의 경우 실제로 있는 특정 협회의 마케팅 팀을 사칭해 가짜 메일을 전송한다. 특히 사용자가 의심하지 못하도록 협회 소속 직원 명함을 위장한 이미지까지 첨부한다고 안랩은 말했다. 안랩 측은 "메일은 주로 접수 했던 신규 사업 문의에 대해 지원 받을 수 있는 서비스를 파악하라는 내용으로 온다"며 "이메일 저장용량 수법처럼 해당 사이트에서 로그인을 시도하면 계정 정보가 공격자 서버로 전송된다"고 말했다. 안랩은 "사용자의 의심을 피하기 위해 가짜 보안 코드 인증을 하거나 실존 협회 사칭 등 공격 방식이 고도화 돼 메일 진의 여부를 꼭 확인해야 한다"고 당부했다. 한편 안랩은 해킹 메일로 인한 피해를 예방하기 위해 ▲출처가 불분명한 메일의 발신자 확인 및 첨부파일 실행 금지 ▲백신 최신버전 유지 및 피싱 사이트 차단 기능 활성화 ▲OS 및 인터넷 브라우저, 오피스 SW 등 프로그램 최신 보안패치 적용 ▲계정 별 다른 비밀번호 설정 및 관리 등 기본 보안수칙을 준수하라고 권장했다. 안랩 보안 분석팀 관계자는 "공격자는 사용자의 관심을 유도할만한 내용이라면 어떤 수단이라도 사용하기 때문에 기본 보안수칙 실천이 매우 중요하다"고 강조했다.

2024.06.23 09:18양정민

카카오VX 위탁 운영 골프장 세라지오 GC... "개인정보 털렸다"

국내 한 골프장에서 개인정보가 유출된 정황이 포착됐다. 회원 대상의 문자발송 시스템에 해킹 공격이 들어온 것으로 추정되는데 보안 당국은 현재 피해규모 파악에 나섰다. 경기도 여주 소재 골프클럽인 세라지오 GC는 지난 18일 협력업체 문자발송 시스템에 사이버 공격이 발생해 개인정보가 유출됐다고 23일 밝혔다. 세라지오 GC 위탁 운영사인 카카오VX는 이날 11시께 개인정보보호위원회와 한국인터넷진흥원(KISA) 등 보안 당국에 신고했다. 다만 개인정보 유출 피해 규모나 사이버 공격 정황, 배후 등 정확한 사고 원인에 대해서는 조사가 진행 중이다. 개인정보위 관계자는 "오전에 신고를 받고 현재 부서 배정을 논의 중이다"면서 "피해규모와 사고원인, 배후 등은 조사를 통해 파악될 것"이라고 밝혔다. 개인정보위는 조사를 거쳐 위법여부를 파악하고 위법한 사안이 발견될 시 과징금 혹은 과태료를 부과할 수 있다. 또 해킹 공격을 감행한 범행 일당에 대해서는 경찰에 형사 고발을 검토할 수 있다. 카카오VX 관계자는 "카카오VX에서 운영 중인 골프장의 협력업체에서 개인정보 유출 정황이 확인된 것이 맞다"면서 "이를 인지한 즉시 한국인터넷진흥원(KISA)과 개인정보보호위원회 등의 관계기관에 신고를 마쳤다"고 설명했다. 앞서 지난해 11월 전문해커 A씨는 자체 제작 해킹 프로그램을 통해 지난 2017년부터 골프장 웹사이트 425개를 해킹해 고객 정보 850만 건을 빼돌렸다가 경찰에 검거된 바 있다.

2024.02.23 16:54이한얼

지금 뜨는 기사

이시각 헤드라인

블록체인 가상자산, '입법지연·예산삭감·규제' 악순환 끊어야

[AI는 지금] 대선후보들 'AI 전쟁' 돌입…기술 주권부터 전력 인프라까지 격돌

한화 김동선 진두지휘 ‘벤슨' 뭐가 다른가…‘100% 국내산 유제품'

SKT "정보 유출 없다 '확신'...있더라도 끝까지 책임"

ZDNet Power Center