검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인 정보'통합검색 결과 입니다. (427건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

"내 데이터, 내가 원하는 곳서 활용"···개보정보위, 시연회 개최

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')와 한국인터넷진흥원(원장 이상중)은 20일 정부서울청사에서 마이데이터 선도서비스 시연회를 개최했다. 시연회에는 선도서비스 수행기관과 코스콤·의정원·솔리데오 등 연계기관 관계자도 참석했다. 지난 3월 본격 시행한 마이데이터 제도에 따라 그동안 개인정보위는 국민이 자신의 데이터를 스스로 통제하고, 원하는 곳으로 안전하게 전송해 활용할 수 있는 인프라를 마련해 왔다. 이와 함께 국민이 마이데이터 서비스 효과를 체감할 수 있게 5개 선도서비스를 선정한 바 있다. 이번 시연회는 5개 선도서비스가 모두 출시됨에 따라 서비스 내용을 상세히 소개하고, 시연하기 위해 마련했다. 출시 서비스는 ①한국통신사업자연합회 컨소시엄의 '실제 통신이용 패턴 기반 맞춤형 요금제 추천 서비스' ②NICE평가정보 컨소시엄의 “맞춤형 여행지 추천 및 여행경비 최적 설계 제안 서비스' ③가톨릭중앙의료원 컨소시엄의 '만성질환 위험도 분석을 통한 예방 콘텐츠 및 맞춤형 질환 관리서비스' ④룰루메딕의 '해외에서 현지 의료기관 방문 시 국내 의료 기록 연동 및 번역 등 의료지원 서비스' ⑤카카오헬스케어의 '안전한 복약 관리 및 약물 처방 지원 서비스' 등이다. 이들 서비스 중 통신‧자율 분야(①맞춤형 요금제 추천 서비스 ②여행 최적 설계 서비스)는 4월 말에 출시됐고, 나머지 의료분야 3개 서비스(③맞춤형 질환 관리 서비스 ④해외 의료기관 방문 시 국내 의료기록 연동·번역 서비스 ⑤안전한 복약 관리 서비스)는 이달 20일 출시됐다. 각 서비스는 안드로이드 플레이스토어와 애플 앱스토어에서 무료로 내려받을 수 있다. (서비스별 앱은 ①통신 마이데이터 앱 ②나이스지키미 앱>라이프>여행어때, ③MyWell+ 앱, ④디스탯(d'Stat) 앱 ⑤카카오톡 앱 > (채널) 카카오헬스케어 케어챗) 서비스 시연에 이어 선도서비스 수행기관 관계자들은 서비스 주요 기능에 대해 설명하고, 마이데이터를 활용한 건강증진, 통신비 절감, 개인맞춤형 추천 서비스 등의 기대 효과에 대한 의견을 나눴다. 이용자들은 '마이데이터 지원 플랫폼(onmydata.go.kr)'을 통해 통신·의료 등 각 분야의 마이데이터 서비스를 한 곳에서 확인하고, 내 정보가 어디로 전달됐는 지 조회할 수 있으며, 서비스 이용을 원하지 않는 경우 철회도 가능하다. 고학수 개인정보위 위원장은 "국민이 직접 체험하고 실질적으로 느껴볼 수 있는 서비스를 제시함으로써, 마이데이터 제도가 국민의 삶에 더욱 가까이 다가갈 수 있는 계기가 되길 바란다"며 “선도서비스가 마중물이 되어 국민 생활에 변화를 줄 수 있는 다양한 서비스가 잇달아 출시될 수 있기를 기대하고 있다"고 밝혔다.

2025.05.20 17:00방은주

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

개인정보위 "SKT 사태 재발 만전···당분간 비상대응"

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 SK텔레콤(SKT) 개인정보 유출사고의 심각성을 인식하고, 신고 당일(4. 22.) 조사에 착수했고, 집중조사 TF를 구성해 개인정보 보호법에 따른 조사를 진행중이라고 19일 밝혔다. 이날 개인정보위는 "국민적 우려가 큰 대규모 개인정보 유출 사고인 만큼 철저히 조사하는 한편, 관련 대책 강구 등을 통해 재발 방지에 만전을 기할 예정이다"면서 "피싱·스미싱에 대한 대처 방법 안내와 혹시 있을지도 모를 유출정보의 유통에 대비해 인터넷 및 다크웹에 대한 모니터링을 강화하는 한편, 당분간 현 비상대응상황을 유지할 예정"이라고 말했다. 개인정보위는 기 유출 발표된 가입자 휴대전화번호, IMSI, 인증키 등 유심정보를 개인정보라고 판단해 위원회 긴급의결(5. 2.)로 유출이 확인됐거나 가능성이 있는 모든 정보주체에게 개별 통지하고, 피해방지 대책을 마련하도록 촉구한 바 있다. 또 개인정보위 유출조사는 개인정보 보호법(이하 '보호법') 제63조에 따른 것으로, 정보통신망법에 근거한 과기정통부 민관합동조사단의 침해사고 조사와는 구분되며, 개인정보위 조사 핵심은 첫째, 개인정보 유출 대상 및 피해 규모 확정과 둘째, 사업자의 보호법상 안전조치 의무(기술적·관리적 조치 포함) 위반에 대한 확인이라고 말했다. 이에 따라 지난 13일 관계부처 회의 시 과기정통부는 개인정보가 포함된 서버의 추가 감염 가능성을 공유했고, 16일 회의에서 악성코드 추가 감염사실을 확인한 바 있으나, 개인정보위는 이와 별개로, SKT측으로부터 유출조사에 필요한 증적 자료를 별도 확보, 보호법에 따른 조사를 독립적으로 진행하고 있다고 덧붙였다. 개인정보위는 조사 과정에서, 기존 유출경로로 확인된 HSS(가입자인증시스템) 등 5대 외에도 ICAS(통합고객시스템) 서버 2대를 포함 총 18대 서버에 악성코드가 추가 감염된 것을 확인했다고 밝혔다. ICAS(Intergrated Customer Authentication system)는 Tworld 등 사내 서비스 및 사전 인가된 협력사 대상 SKT 가입자의 가입 상태, 정보 및 가입 상품 조회용 API를 제공한다. 해당 서버에는 이름, 생년월일, 휴대전화번호, 이메일, 주소, IMEI(단말기식별번호), IMSI(가입자식별번호) 등 고객의 중요 개인정보를 포함해 총 238개 정보(컬럼값 기준)가 저장되어 있으며, 악성코드에 최초 감염된 시점('22. 6.)이 오래된 점을 고려해 감염경위, 유출정황 등을 면밀히 조사하고 있다고 밝혔다. 한편 이날 과기정통부의 SKT 침해사고 민관합동조사단(이하 조사단)은 지난 1차 발표(4.29)에 2차 발표를 했다. 조사단은 오는 6월까지 SKT 서버 시스템 전체를 강도 높게 점검한다는 목표하에 1단계(초기 발견된 BPFDoor 감염 여부 확인을 위한 리눅스 서버 집중 점검)에 이어 2단계(: BPFDoor 및 타 악성코드 감염 여부 확인을 위해 리눅스 포함 모든 서버로 점검 대상 확대)로 조사를 확대, 진행하고 있다. 현재까지 4차례 점검이 실시된 1단계 결과를 정리해 이번 2차 발표를 했다. 조사단은 5월19일 현재 총 23대의 서버 감염을 확인해 15대에 대한 포렌식 등 정밀분석을 완료하고 잔여 8대에 대한 분석을 진행함과 동시에 타 악성코드에 대해서도 탐지 및 제거를 위한 5차 점검을 하고 있다. 현재까지 악성코드는 25종(BPFDoor계열 24종 + 웹셸 1종)을 발견, 조치했다. 조사단은 현재까지 SKT의 리눅스 서버 약 3만여대에 대해 4차례에 걸친 점검을 했다. 4차례에 걸친 강도 높은 조사는 1차 점검에서 확인한 BPFDoor 계열 악성코드의 특성(은닉성, 내부까지 깊숙이 침투할 가능성 등)을 감안해 다른 서버에 대한 공격이 있었을 가능성을 확인하기 위한 목적이었다. 특히, 4차 점검은 국내외 알려진 BPFDoor 악성코드 변종 202종을 모두 탐지할 수 있는 툴을 적용했다. 1차(4.19~4.24), 2차(4.23~4.30), 3차(5.3~5.8), 4차(5.8~5.14) 1∼3차 점검은 SKT가 자체 점검 후 조사단이 이를 검증하는 방식으로 진행했고, 4차 점검은 조사단이 한국인터넷진흥원(KISA)의 인력을 지원 받아 직접 조사를 진행했다. 조사단은 1차 조사결과에서 발표한, 유출된 유심정보의 규모가 9.82GB이며, 가입자 식별키(IMSI) 기준 2695만7749건임을 확인했다. 또 악성코드는 1차 공지(4.25.)한 4종, 2차 공지(5.3.)한 8종 외 BPFDoor 계열 12종과 웹셸 1종을 추가로 확인했다. 조사단은 1차(4.25.), 2차(5.3.)는 악성코드 특성 정보, 3차(5.12.)에는 국내외 알려진 BPFDoor 계열 모두를 탐지할 수 있는 툴의 제작방법을 6110개 행정부처, 공공기관, 기업 등에 안내해 피해 확산을 방지했다. 1차 발표 이후 공격을 받은 정황이 있는 서버는 추가로 18대가 식별됐다.현재까지 총 23대). 총 23대 중 현재까지 15대는 정밀 분석(포렌식, 로그분석)을 완료했고, 8대는 5월말까지 분석을 완료할 예정이다. 분석이 완료된 15대 중 개인정보 등을 저장하는 2대를 확인하고 어제(5.18.)까지 2차에 걸쳐 자료 유출 여부에 대해 추가적인 조사를 실시했다. 해당 서버는 통합고객인증 서버와 연동되는 서버들로 고객 인증을 목적으로 호출된 단말기 고유식별번호(IMEI)와 다수의 개인정보(이름, 생년월일, 전화번호, 이메일 등)가 있었다.

2025.05.19 22:37방은주

[보안리더] 이창복 토스 CPO "한국, 개인정보보호 선진국"

토스는 1명이 1개 계정으로 1개 기기에서만 쓸 수 있어요. 기존 비밀번호와 함께 휴대폰 본인 확인 절차로 부정 로그인을 막고요. 앱을 다시 설치하면 신분증, 1원 인증(1원을 입금받으며 표시된 문자를 써 확인하는 인증), 핀번호 인증을 해야 합니다. 이상거래감지시스템(FDS)도 365일 24시간 동작해요. 기기나 비밀번호를 바꿀 때, 큰돈을 보낼 때, 누군가에게 처음 송금할 때, 어딘가에서 처음이나 많이 결제할 때 일단 한 번 막습니다. 요새 화제된 'BPF 도어(Berkeley Packet Filter Door)' 기법에 대응하고, 비슷하게 해킹하려는 시도를 알아채면 그 인터넷프로토콜(IP)을 바로 차단해요. 이창복 토스(운영사 비바리퍼블리카) 개인정보보호책임자(CPO)는 최근 지디넷코리아와 만나 토스의 개인정보 보호 장치를 이같이 밝혔다. CPO(Chief Privacy Officer)는 개인정보보호법에 따라 개인정보 처리 업무를 총괄하는 책임자다. 서비스 기획부터 개인정보 수집, 이용, 보관, 제공, 파기 기준을 세우고 이를 지키는지 관리한다. 개인정보임원으로 CPO 외에 정보보호최고책임자(CISO·Chief Information Security Officer)도 있다. CISO는 CPO보다 더 넓은 개념이다. 전자금융거래법에 따라 개인정보는 물론이고, 경영 정보와 회사 시스템이 안전하도록 해킹 대응, 서버·컴퓨터(PC) 보안, 접근 통제 등을 한다. 이 CPO는 “개인정보 보호 활동과 정보 보호 활동이 겹치기도 해 대부분 회사에서 한 사람이 CISO와 CPO를 모두 맡는다”면서도 “토스는 다양한 서비스를 많은 고객에게 제공하는 만큼 개인정보를 더 철저하게 지키려고 CPO가 따로 있다”고 말했다. 토스는 CPO 조직을 독립해 10명 이상 인력을 뒀다. 토스는 앱 하나로 은행·증권·결제 등 100가지 이상 서비스를 이용하는 종합 모바일 금융 플랫폼, 슈퍼앱이다. 그만큼 서비스마다 개인정보를 관리하는 게 중요하다. 토스 개인정보보호팀은 우선 회사 전체의 개인정보 관리 체계를 관리하는 정책을 만든다. 이후 서비스별 의사결정권자(DRI·Directly Responsible Individual)가 책임지고 일한다. 이창복 CPO는 “토스는 개인정보 보호 솔루션을 직접 기획하고 만든다”며 “회사 실정에 맞는 솔루션을 비교적 빠르게 만들 수 있다”고 설명했다. 그러면서 “다른 회사에서 일할 때에는 외부에서 개인정보 보호 솔루션을 도입해 회사 요건에 맞추려니 원하는대로 나오지 않는 경우가 많았다”며 “그렇더라도 시간이 많이 걸렸다”고 들려줬다. 이 CPO가 토스에 입사한 이유 중 하나는 그의 아이들이다. 이 CPO는 “대학생 2명, 중학생 1명, 이렇게 아이들 셋이 모두 금융앱으로 토스를 쓴다”며 “내가 권하지도 않았는데 모두 똑같이 토스를 쓰기에 '왜 토스 쓰냐' 물으니 '토스가 편해서 친구들도 쓴다'더라”고 했다. 이어 “'전통 금융에 머물러서는 발전에 한계가 있겠다'고 생각했다”며 “미래 세대가 쓰는 회사에서 마침 입사 제안을 받아 옮기게 됐다”고 덧붙였다. 토스 20대 가입자는 556만명이다. 지난 3월 기준 행정안전부 주민등록인구통계와 연령별 토스 가입자 수를 따지면 20대의 94%가 토스를 쓴다. 토스 30대 가입자는 570만명이다. 30대의 86%가 토스를 쓴다. 40대 토스 가입자는 583만명으로, 40대의 75%가 토스를 사용한다. 가족이 서로 지켜주는 서비스도 토스에 있다. '가족 보안 지킴이'다. 가족이 거래하는 게 보이스피싱, 명의 도용, 도박 같은 금융 사기로 의심되면 사고 유형과 발생 일자를 내 토스 앱에서 알려준다. 가족이 사기 의심 계좌에 돈 보내려 하면 송금을 막을 수 있다. 예를 들어 내 스마트폰에 설치한 토스 앱에서 어머니 연락처를 선택해 가족 보안 지킴이를 신청하면 된다. 어머니가 당신 스마트폰에서 수락하면 그 전화기로 일어나는 명의 도용이나 사기 의심 계좌 송금 건이 내 스마트폰 토스 앱으로 공유된다. 가족이 위험한 상황을 빠르게 알아챌 수 있다는 게 장점이다. 이후 경찰 등에 신고해야 한다. 이 CPO는 “토스 가족 보안 지킴이는 알람 기능만 있을 뿐 다른 기기를 통제하지는 못한다”며 “정보가 연쇄 유출될 가능성은 없다”고 강조했다. 금융 서비스를 쓰려면 '내 개인정보를 제공하는 데 동의한다'고 필수로 표시해야 한다. 동의서를 쓰는 게 요식행위란 지적도 나온다. 이 CPO는 이에 대해 “요식행위라고 생각하지 않는다”며 “다만 기업은 동의서를 생성하는 데에서 나아가 개정할 때에도 객관적으로 검토했음을 기록해야 한다”고 주장했다. 또 “언제든 본인이 동의한 내용을 고객이 확인할 수 있게 해야 한다”며 “토스는 동의서를 체계적으로 생성·변경하고, 약관과 개인정보 처리 동의를 통해 본인 동의 현황을 확인할 수 있다”고 안내했다. 소비자는 정보 주인으로서 나서야 한다. 이 CPO는 “그래도 요즘에는 '내 정보를 마케팅에 쓸 수 있다'는 등의 선택 동의를 표시하지 않거나 선택 동의 내용을 꼼꼼하게 읽어보는 금융 소비자가 많아졌다”며 “소비자가 권리를 외치면 기업은 더 철저하게 개인정보를 검토하고 관리할 것”이라고 내다봤다. 한국은 개인정보 보호라면 선진국이라는 입장이다. 이 CPO는 “개인정보보호법, 신용정보법, 정보통신망법 등을 갖췄다”며 “현장에서 개인정보를 지키는 노력이 더해지면 지금보다 강한 나라로 거듭날 것”이라고 기대했다. 아래는 이창복 CPO 약력 1993~2002 중앙대 산업정보학 2024~ 단국대 IT법학 석박통합과정 현대카드·현대캐피탈 정보보호팀장 롯데카드 정보보호실장(CISO·CPO) 한국개인정보보호책임자협의회 운영위원

2025.05.19 22:10유혜진

개인정보위, 하나금융파인드 등 법인보호대리점 개인정보유출 조사

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 최근 법인보험대리점 유퍼스트보험마케팅(주)과 하나금융파인드(주)로부터 개인정보 유출관련 신고를 접수받아 조사에 착수했다고 8일 밝혔다. 유퍼스트보험마케팅과 하나금융파인드는 자사가 이용하는 영업지원시스템 개발·관리업체의 관리자 계정 해킹으로 고객정보가 유출된 정황을 인지하고 신고했다. 금융회사의 고객정보라 하더라도 신용도 판단과 관련이 없는 개인정보는 '개인정보 보호법'적용대상이다. 개인정보위는 유출 현황 및 안전조치 의무 등 '개인정보 보호법] 준수 여부를 조사해 법 위반 사항이 확인되는 경우 관련 법령에 따라 엄정히 처분할 예정이라고 밝혔다. 한편, 개인정보위는 이번 사고가 보험사-GA 통합 솔루션 제공업체 관리자 계정 해킹으로 발생한 것과 관련해 별도로 해당 솔루션에 대한 개인정보보호 실태점검을 실시할 예정이라고 덧붙였다

2025.05.18 10:20방은주

아디다스도 고객정보 털렸다...이름·전화번호·생일·주소까지

아디다스가 고객의 이름·이메일주소·전화번호 등 개인 정보를 탈취당했다. 스포츠 브랜드 아디다스는 16일 "최근 제3자 고객 서비스 제공업체를 통해 일부 소비자 데이터에 대해 비인가된 접근이 있었음을 확인했다"며 "즉각적으로 정보 보안 전문업체들과 협력해 포괄적인 조사를 진행하고, 관계 당국에도 해당 사실을 보고했다"고 공지했다. 현재까지 아디다스의 조사 결과에 따르면 침해된 데이터는 지난해 혹은 그 이전에 아디다스 고객센터를 통해 문의한 일부 소비자들의 정보다. 이름과 이메일 주소, 전화번호, 그리고 일부 고객의 생년월일 및 주소가 포함된 것으로 파악된다. 아디다스는 "비밀번호나 결제 관련 정보와 같은 금융 정보 등은 포함돼 있지 않았다"며 "(해킹) 영향을 받은 소비자에게 선제적으로 개별 안내를 완료했다"고 말했다. 또 "소비자의 정보 보호와 보안 유지를 위해 최선을 다하고 있으며, 향후 유사한 사고 방지를 위해 추가적으로 보안 조치를 강화했다"고 설명했다.

2025.05.16 17:40류승현

더피엔엘 등 3개 사업자 개인정보 보호법 위반 '처분'

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 14일 제11회 전체회의를 열고, 비영리단체 및 알뜰폰 사업자에 대한 조사 결과를 심의, 의결했다. ■ 더피엔엘 알뜰폰 사업자인 더피엔엘은 가입신청서 동의란에 마케팅 광고 사항을 필수동의 항목으로 하고, 개인정보 수집·이용 및 제3자 제공 항목을 구분하지 않은 채 포괄동의를 받았다. 아울러 가입자 주민등록번호를 암호화해 보관하지 않는 등 개인정보의 안전한 관리가 미흡한 사실이 있었다. 이에 개인정보위는 더피엔엘에 과태료 1200만 원 부과 및 사업자 누리집에 처분받은 사실을 공표하도록 명령했다. ■ 촛불승리전환행동과 대한민국바로세우기국민운동본부 촛불승리전환행동은 비회원의 개인정보도 수집하고 있으나 비회원이 쉽게 확인할 수 있도록 개인정보 처리방침을 공개하지 않았고, 시스템 관리자가 개인정보 시스템에 접근 시 안전한 인증 방식을 적용하지 않은 사실이 발견됐다. 또 대한민국바로세우기국민운동본부는 회원가입 시 마케팅 광고 사항을 필수동의 항목으로 하고, 개인정보를 시스템에 보관하면서 접속기록을 생성·보관하고 있지 않은 사실이 드러났다. 이에 따라 개인정보위는 개인정보 안전 관리 강화 및 재발방지 등을 위해 관련 사항에 대해 시정명령을 조치했다.

2025.05.15 12:00방은주

명품 '디올', 해킹돼 고객정보 유출…100일 지나 알려

프랑스 사치품 브랜드 크리스챤 디올이 해킹 당해 고객 정보가 유출됐다. 사건이 터진 지 100일 지나서야 고객에게 공지했다. 14일 업계에 따르면 디올은 지난 1월 26일 제3자가 일부 고객 정보에 접근한 사실을 지난 7일 알아챘다고 최근 고객에게 이메일을 보냈다. 디올은 고객 이름과 경칭, 휴대전화 번호, 이메일 주소, 우편 주소, 구매 정보, 선호 정보 등이 유출됐다고 밝혔다. 은행 정보, 신용카드 정보 등 금융 정보는 포함되지 않았다고 전했다. 그러면서 고객 정보 기밀을 지키고 보안하는 게 디올의 최우선 순위라고 강조했다. 아울러 당국에 이 사실을 통보해 조사하고 있다고 설명했다.

2025.05.14 11:35유혜진

인젠트, 개인정보 유출 막는 '테스트 데이터 보안 전략' 제시

인젠트(대표 박재범)가 개인정보 유출 우려가 커지는 기업환경에 맞춰 테스트 환경에서도 민감 데이터를 안전하게 다루기 위한 해법을 제시한다. 인젠트는 '테스트 데이터 보안 전략' 웨비나를 개최한다고 12일 밝혔다. 최근 디지털 전환과 생성형 AI가 확산되며 기업에서 많은 데이터가 형성되는 만큼 보안 리스크 역시 커지고 있다. 특히 테스트 환경을 구축하거나 데이터를 이관할 때 실제 고객의 데이터를 그대로 복사하는 경우 보안의 사각지대가 발생한다. 데이터 보안에 대한 경각심이 높아지는 가운데 기업들은 개인 정보 보호 체계 강화에 나서는 추세다. 인젠트는 오는 29일 오후 2시부터 3시까지 개최하는 이번 웨비나에서 테스트 데이터 변환 솔루션을 제시할 예정이다. 인젠트 데이터플랫폼 사업그룹의 이용우 이사가 연사로 나서 테스트 데이터 변환 솔루션의 필요성과 인젠트 인포시어-트랜스(infoSeer-Trans)의 통합 기능에 대해 소개한다. 인젠트 인포시어-트랜스는 민감 정보의 변환, 보관, 파기 등 라이프사이클 통합 관리를 통해 안전한 테스트 환경을 구축하는 테스트 데이터 관리(TDM) 전문 솔루션이다. 개인정보를 비식별화하여 변환 결과로부터 원본 데이터 추론이 불가능하기 때문에 테스트 환경에서도 안전하게 사용할 수 있다. 인포시어-트랜스는 이러한 강점을 바탕으로 지난 2월 홈플러스 클라우드 운영데이터 이관 시스템을 구축에 도입됐다. 이번 웨비나는 발표에 이어 홈플러스와 같은 인포시어-트랜스의 실제 활용 사례에 대해 담화를 나누는 테크 토크 시간으로 구성될 예정이다. 웨비나의 참가자는 발표가 진행되는 동안 인젠트 유튜브를 구독하거나 발표가 끝난 후 설문 응답, 상담 신청 등을 통해 이벤트에 참여할 수 있다. 사전 등록은 채널온티비 잇츠맨 웹사이트에서 무료로 가능하여, 자세한 내용은 사전 등록 페이지에서 확인할 수 있다. 인젠트 박재범 대표는 "개인정보보호법이 개정되며 보호 체계 강화가 필수인 시대에 테스트 데이터 변환 솔루션의 중요성을 알리고자 이번 웨비나를 기획하게 됐다"며 "인젠트 인포시어-트랜스는가 고객의 민감 정보 보호와 성공적인 데이터 변환 및 이관에 앞장서겠다"고 밝혔다.

2025.05.12 10:24남혁우

"예전만 못하네"…'챗GPT' 위협하던 中 딥시크, 韓 이용률은 고작 0.56%?

올 초 글로벌 인공지능(AI) 시장을 뒤 흔든 중국 딥시크가 보안 우려로 국내에서 다운로드가 중단됐다 최근 재개됐으나, 인기가 예전만 하지 못한 것으로 나타났다. 저비용·고성능 AI로 높은 관심을 받았지만, 개인정보 유출에 대한 많은 이들의 우려가 여전히 큰 탓이다. 11일 아이지에이웍스 모바일인덱스에 따르면 딥시크의 주간활성이용자(WAU) 수는 신규 다운로드가 재개된 지난달 28일부터 이달 4일까지 3만8천882명을 기록했다. AI 부문 WAU 순위 6위로, 점유율은 0.56%에 불과했다. 주간 신규 설치 수 역시 4천600건으로, 12위에 불과했다. 앞서 딥시크는 한 때 앱 마켓에서 '챗GPT'를 제치고 1위를 차지하기도 했지만, 과도한 개인정보 수집 논란으로 지난 2월 국내에서 신규 다운로드가 금지됐다. 이후 개인정보위원회의 시정 명령을 일부 수용한 뒤 지난달 28일부터 다운로드 서비스를 다시 시작했다. 그러나 딥시크 신규 설치는 재개 첫날부터 시들했다. 지난달 28일 622건을 기록한 후 29일 763건, 30일 865건 등으로 수백 건 정도에 불과했다. 일간활성이용자수(DAU)도 이달 4일 8천678명, 5일 8천824명, 6일 9천322명 등 1만 명을 밑 돌았다. 반면 오픈AI의 '챗GPT'는 점유율 83.92%로 독보적인 1위에 올랐다. WAU는 585만396명으로, 2위인 SK텔레콤의 에이닷(점유율 9.46%·65만9천676명)과 상당한 격차를 벌였다. 퍼플렉시티(5.10%·35만5천797명)과 뤼튼(4.81%·33만5천152명), 마이크로소프트 코파일럿(0.86%·6만174명)은 그 뒤를 이었다. 주간 신규 설치도 39만635건을 기록한 '챗GPT'가 1위를 차지했다. 2위는 구글의 '제미나이'였다. 일각에선 딥시크가 개인정보위의 지적 사항을 수용해 개선책 마련에 나섰지만, 딥시크에 저장된 정보가 여전히 중국 서버에 보관되고 중국 정부가 이를 확인할 법적 근거를 갖추고 있는 등 여전히 중국산 AI에 대한 의심이 있다는 점에서 국내서 파급력을 키우기엔 한계가 있을 것으로 봤다. 업계 관계자는 "딥시크는 현재 보안 우려에 기세가 크게 꺾인 상황"이라며 "챗GPT 수준의 성능을 무료로 제공하는 서비스라는 점은 매력 요소이긴 하지만, 반짝 돌풍에 그친 분위기"라고 말했다.

2025.05.11 21:50장유미

개인정보위, 의료·통신 분야 마이데이터 활용 서비스 공모

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')와 한국인터넷진흥원(원장 이상중)은 마이데이터(개인정보 전송요구권) 제도를 활성화하고, 국민이 체감하는 마이데이터 서비스를 발굴하기 위해 '2025년 마이데이터 서비스 지원사업'을 이달 9일부터 다음달 9일까지 한 달간 공모한다. 마이데이터 제도는 정보주체가 본인에 관한 개인정보를 원하는 곳으로 전송해 본인 의사에 따라 개인정보를 관리하고 활용하는 제도로, 올 3월부터 의료, 통신 분야를 대상으로 우선 시행됐다. 개인정보위와 한국인터넷진흥원은 2024년부터 마이데이터를 활용해 서비스를 제공할 기업·기관을 지원하는 선도서비스 사업을 통해 5개의 서비스를 발굴했고, 컨설팅을 거쳐 지난달부터 순차적으로 서비스를 출시하고 있다. 발굴한 5개 서비스는 '통신요금제 추천 서비스'(한국통신사업자연합회), '여행 추천 서비스'(나이스평가정보), '만성질환 관리 서비스'(가톨릭중앙의료원), '해외 의료지원 서비스'(룰루메딕), '약물비서 서비스'(카카오 헬스케어) 등이다. 올해는 특히, 중소기업과 의료기관을 대상으로 의료·통신 분야 마이데이터 활용 서비스 공모를 추진한다. 최종 선정된 5개 서비스에는 총 19억 원을 지원한다. 공모 유형은 ➀신규 마이데이터 서비스 개발(3개 과제, 과제당 최대 5억 원) ➁기존 마이데이터 서비스 고도화(2개 과제, 과제당 2억 원) 등 두 가지다. 먼저 ➀신규 서비스 개발 유형은 기존에 유사한 내용의 서비스를 출시한 적이 없는 기업·기관을 대상으로 새로운 마이데이터 서비스를 웹이나 앱 형태로 신규 출시하는 경우 참여할 수 있다. 다음으로 ➁기존 서비스 고도화 유형은 기존에 마이데이터 서비스를 출시해여 운영 중인 기업·기관을 대상으로 해당 서비스를 개인정보 보호법(이하 '보호법')에 따른 마이데이터 표준전송체계로 전환하는 경우 참여할 수 있다. 개인정보 보호법에 따라 전송대상요구정보를 활용한 서비스를 출시하려는 기업‧기관은 개인정보관리 일반 전문기관(보건의료전송정보를 제외한 개인정보를 관리·분석) 또는 특수 전문기관(보건의료전송정보를 관리·분석)으로 지정받아야 한다. 참여를 원하는 사업자는 한국인터넷진흥원 전자계약시스템을 통해 신청하면 된다. 사업의 세부요건, 지원사항, 신청 서류 및 방법 등 자세한 사항은 한국인터넷진흥원 누리집(홈페이지)*에서 확인할 수 있다. 사업에 선정된 기업·기관은 시스템 개발 등에 활용할 수 있는 총 19억 원 규모의 정부지원금 외에도 전문기관 지정 컨설팅 및 홍보 지원도 받을 수 있다. 사업 참여를 희망하는 기업·기관을 대상으로 하는 설명회는 오는 13일 오후 3시 한국광고문화회관(송파구 신천동)에서 열린다. 하승철 개인정보위 마이데이터추진단장은 "이번 지원사업은 마이데이터 서비스 준비에 어려움을 겪고 있는 중소기업과 의료기관이 안전하고 신뢰도 높은 마이데이터 전송체계를 기반으로 지속가능한 서비스를 제공할 수 있도록 지원하는 데 목적이 있다"고 밝혔다.

2025.05.09 10:00방은주

"개인정보보호 인증(ISMS-P) 실효성 확보를"···개인정보위, 산업계와 긴급 간담회

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 최근 발생한 SK텔레콤(SKT) 고객정보 유출 사고를 계기로 보다 강화된 개인정보 안전관리체계를 마련하기 위해 한국CPO협의회(회장 염흥열)와 함께 9일 오전 한국프레스센터에서 정책간담회를 개최했다. 간담회에는 개인정보위에서 양청삼 개인정보정책국장, 신기술개인정보과장, 자율보호정책과장 등 5명이, 협의회에서는 염흥열 회장과 한국CPO협의회 부회장사 소속 CPO 등 19명이 참석했다. 한국CPO협의회 부회장사는 카카오, LG유플러스, KT, 쿠팡, 삼성전자, LG전자, 비바리퍼블리카, 국민은행, 삼성화재, 메타코리아, 넷마블, 삼성서울병원, 국립암센터, 한국전력공사, 국민건강보험공단, 한국교통안전공단, 한국인터넷진흥원 등이다. 이번 회의에서 참석자들은 개인정보 침해사고 발생 시 국민과 기업의 피해 최소화를 위한 개인정보 안전관리 체계 강화 필요성에 대해 인식을 같이하고 구체적인 실행방안을 논의했다. 먼저, 개인정보 처리가 수반되는 제품 및 서비스에 대한 개인정보 유·노출 취약점 사전점검 분석 기능을 강화하고, 개인정보보호 인증(ISMS-P) 제도의 실효성 확보와 함께 암호화 대상 정보 항목의 명확화 등 안전성 확보조치 강화 방안 등이 언급됐다. 또, 다크웹 모니터링 강화 등 정보주체 및 유출사고 피해자에 대해 신속하고 실효성 있는 구제체계 마련과 관련한 의견도 제기됐다. 마지막으로, 공공·민간의 개인정보보호 기반과 개인정보처리자의 내부 통제를 강화하기 위해 인력·조직·예산 등 인적·물적 자원의 최소기준 명확화, 개인정보 보호책임자 지정신고제 및 신분보장 등을 통한 위상 제고 방안 등이 거론됐다. 개인정보위는 이번 간담회에서 논의한 내용을 바탕으로 협의회와 함께 오는 21일 주요 공공기관·민간기업을 대상으로 정책포럼을 개최하고 개인정보 안전관리체계 강화 방안에 대해 추가적인 의견수렴을 거쳐 이달 말까지 관련 대책을 마련할 계획이다.

2025.05.09 09:39방은주

피규어·지브리 프사 만들기?…"챗GPT 개인정보 유출 위험"

인공지능(AI) 챗봇 '챗GPT'로 유행 따라 사진을 피규어나 일본 지브리스튜디오 애니메이션처럼 만들다가는 개인정보를 털릴 수 있다고 미국 잡지 와이어드는 1일(현지시간) 보도했다. 운영사 오픈AI는 새로운 GPT-4o 기반 이미지 생성기로 챗GPT의 사진 편집, 텍스트 렌더링 기능을 키웠다고 와이어드는 평가했다. 챗GPT 무료 계정과 사진만 있으면 재미있고 쉽게 이미지를 만들 수 있다. 그러나 피규어나 지브리 같은 그림을 만들려면 오픈AI에 많은 정보를 넘겨야 한다고 와이어드는 지적했다. 오픈AI는 이 정보로 인공지능을 학습시킬 수 있다. 유럽 OPIT(Open Institute of Technology)의 톰 바즈다 사이버보안학과장는 “챗GPT에 사진을 올릴 때마다 메타데이터 덩어리를 넘겨주는 셈”이라며 “사진 촬영 시간, 촬영 장소의 (GPS) 좌표 등 그림 파일에 첨부된 정보가 포함된다”고 말했다. 메타데이터(Metadata)란 다른 정보를 나타내는 정보를 뜻한다. 오픈AI는 챗GPT에 접속하는 기기 정보도 모으는 것으로 알려졌다. 기기 유형, 운영 체제, 브라우저 버전, 고유 식별자 등이다. 바즈다 학과장은 “챗GPT는 대화하듯 작동하기에 입력한 내용, 요청한 그림 종류, 인터페이스와의 상호 작용 방식, 동작 빈도와 같은 행동 정보도 수집한다”며 “생성형 AI를 훈련하는 금광”이라고 표현했다. 얼굴만 그런 게 아니다. 위험 관리 회사 GRC인터내셔널그룹의 캠든 울븐 AI제품 마케팅 책임자는 “고해상도 사진을 올리면 피사체뿐 아니라 배경, 다른 사람, 방 안의 물건, 문서처럼 읽을 수 있는 모든 것을 오픈AI에 주는 격”이라고 설명했다. 오픈AI는 생성형 AI를 학습시키려고 개인정보를 적극적으로 수집하지 않으며 인터넷 공개 정보로 사용자 프로필을 구축하고 광고하거나 정보를 팔지 않는다고 와이어드에 밝혔다. 그러나 오픈AI의 개인정보 보호 정책에 따라 챗GPT로 올라온 이미지는 보관되고, 생성형 AI를 개선하는 데 쓰일 수 있다고 와이어드는 비판했다. 챗GPT에서 정보를 지킬 가장 효과적인 방법은 채팅 기록을 끄는 일이라고 와이어드는 소개했다. 파일에서 메타데이터를 지우고 올려도 좋다. 사진 편집 도구를 쓰면 된다. 바즈다 학과장은 “사용자는 민감한 개인정보를 챗GPT에 쓰지 말고 정보를 알 수 있는 배경이 있는 사진이나 단체 사진은 올리지 말아야 한다”며 “이렇게 하면 내 정보가 챗GPT 훈련에 쓰이지 않도록 할 수 있다”고 조언했다.

2025.05.03 07:48유혜진

"SKT, 정보유출 가능성 있는 모든 이용자에 통지해야"

SK텔레콤 해킹 사고와 관련해 과기정통부가 1일 5가지 추가 조치를 촉구한데 이어 2일 개인정보위가 3가지 조치를 지시했다. 또 개인정보위는 SKT 개인정보 처리와 관련해 개별시스템들에 대한 전수조사를 신속히 추진하고 있으며, 이를 통해 정확한 유출 경위 및 추가 유출사실이 없는지 확인하고 있다면서 사업자의 안전조치 의무 준수 여부 등 보호법 상 위반사항을 중점 조사, 위반사항에 대해서는 엄정히 처분하고 재발 방지에 최선을 다할 계획이라고 2일 밝혔다. 개인정보위는 이날 오전 8시 전체회의를 긴급히 개최, 사고 경위와 SKT의 그간의 대응상황을 점검했다. 점검 결과, SKT는 자사 고객의 유심(USIM)정보가 유출된 정황을 인지하고 유출신고는 했지만 홈페이지에 고객 일부 정보가 유출된 것으로 추정된다는 내용의 전체 공지만 했을 뿐, 현재까지 개인정보보호법(보호법)에 따른 법정사항을 포함해 정보주체에게 유출 사실을 개별 통지하지 않은 사실을 확인했다고 밝혔다. 보호법에 따른 법정사항은 1. 유출된 개인정보 항목 2. 유출된 시점과 그 경위 3. 유출 피해 최소화 방법 4. 개인정보처리자의 대응 조치 및 피해 구제절차 5. 피해신고 접수 부서 및 연락처 등(보호법 제34조제1항)이다. 개인정보위는 "SKT측이 사고 이후 전체 이용자에게 개별 문자 발송 사실이 있으나, 본 사고에 대한 사과문과 유심보호서비스, 유심교체에 관한 내용만 기재되어 있는 것으로 확인됐으며, 이와 관련해 개인정보위로도 민원 접수가 급증하고 있다"고 설명했다. 보호법 상 사업자는 개인정보 유출 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하도록 규정하고 있다. 개인정보위는 "그러나, SKT가 피해방지 대책으로 마련한 유심보호서비스 및 유심교체는 유심 물량 부족, 서비스 처리지연 등으로 원활하게 이뤄지지 않아 국민적 혼란과 불만이 가중되고 있다"면서 "또한 서비스 가입이나 유심교체가 모바일이나 현장방문을 통해서만 가능해 고령층·장애인 등 취약계층이 접근하기 어려운 문제가 발생하는 등 유출 피해 방지대책이 미흡한 것으로 확인됐다"고 덧붙였다. 이에, 개인정보위는 이번 사고로 인한 유출 피해를 최소화하고, 개인정보 자기결정권·선택권 보장 및 국민적 불안감을 해소하기 위해 SKT에 세 가지 조치를 즉각 실시할 것을 심의, 의결했다. 세 조치는 첫째, 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대해 법정 사항을 갖춰 신속히 유출 통지를 할 것과 둘째, 고령자·장애인 등 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련을 할 것(기존 유심보호서비스, 유심교체 외 이심(esim), 사업자 변경 등 다양한 대책 포함) 셋째, 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해 전담 대응팀을 확대, 사태가 완전히 해결될 때까지 운영할 것 등이다. 개인정보위는 SKT에 7일 이내에 이 같은 조치결과를 제출하도록 했다. 또 이행상황을 지속적으로 점검해 국민 불편과 불안 해소에 집중할 예정이다. 아울러, 다양한 채널을 통해 SKT 이용자가 개인정보를 보호할 수 있는 방법(붙임)을 안내해 나감으로써 등 국민들이 안심하고 일상생활을 할 수 있도록 지원할 예정이다. 한편 개인정보위보다 하루 앞서 과기정통부는 1일 SK텔레콤에게 해킹사고와 관련해 행정지도 차원에서 아래와 같은 5가지 조치를 촉구했다. 첫째, 국민들이 상황을 납득하고 안심 할 수 있도록 일일 브리핑 등을 통해 현 상황을 국민 입장에서 쉽게 설명하고, 정보를 투명하게 공개 둘째, 유심 교체 물량 부족 문제를 해결하기 위해, 유심 물량 공급이 안정화 될 때까지 이동통신 서비스 이용자 신규모집을 전면 중단 셋째, SKT가 과학기술정보방송통신위원회에서 밝힌 일부 계층에 대한 유심보호서비스 일괄 적용 방안의 이행계획을 제출하고, SKT의 해킹사고에 따른 이용자 피해발생 시 100% 보상을 책임지는 방안도 국민께 구체적이고 적극적으로 설명 넷째, 각계 소비자단체 등에서 제기하는 위약금 면제, 손해배상, 피해보상 시 입증책임 완화 등을 검토하고, 이용자 피해 보상 방안을 마련하여 이행 다섯째, 최근 SKT의 잦은 영업전산 장애가 발생. SKT는 장애 발생시 즉각적인 상황공유와 신속한 복구를 통해 번호이동 처리가 지연되지 않도록 조치 여섯째, 5월초 연휴기간 출국자들이 공항에서 유심 교체를 위해 오래 대기하는 불편이 발생하지 않도록 지원인력 대폭 확대

2025.05.02 15:08방은주

개보위, 잇달은 해킹에...대규모 개인정보처리 31곳과 긴급 회의

SK텔레콤, 알바몬 등 해킹 사고가 잇달아 발생하고 있는 가운데 개인정보보호위원회(위원장 고학수, 이하 '개인정보위')가 고객정보 유출 사고에 따른 국민적 불안감을 해소하고 강화된 안전조치 이행 등 대응방향을 논의하기 위해 2일 오전 양청삼 개인정보정책국장 주재로 '대규모 개인정보처리자 긴급 점검 회의'를 개최했다. 개인정보위는 이번 연휴기간 동안 국민이 안심할 수 있게 정부 당국과 한국인터넷진흥원 등 유관기관 간 비상연락체계를 가동하고 긴밀한 공조를 통해 개인정보 이슈 발생 시 이를 공유하고 신속히 대응해 나갈 계획이다. 또 한국CPO협의회와 함께 오는 9일 주요 공공기관·민간기업을 대상으로 간담회를 개최, 개인정보 안전관리체계 강화 방안과 추가적인 제도 개선 사항을 논의하고 이달말까지 관련 대책을 마련할 예정이다. 2일 회의에는 한국CPO협의회 등 유관 단체와 플랫폼 사업자와 통신사업자 등 대규모 개인정보처리 회사 31곳이 참여했다. 이번 회의에서 참석자들은 개인정보 침해사고 예방을 위한 보안현황 점검, 상시 모니터링 체계 가동 등 자사의 개인정보 안전관리체계 강화조치와 관련한 대응현황을 공유하는 한편 향후 유출 사고에 대비해 유관기관 간 긴밀한 협력체계를 구축하고 공조 필요성에 논의했다. 개인정보위는 먼저 사업자들에게 SKT 유출사고에 대응해 개인정보취급자에 대해 유심(USIM) 교체·보호서비스 가입 권고 및 보조 인증수단 적용, 비정상 접근시도 탐지체계 강화, 개인정보처리시스템에 대한 취약점 검검 등 강화된 보호조치를 이행하도록 당부했다. 개인정보위는 정보주체·기업 등에 대한 2차 피해를 방지하기 위해 주요 인터넷서비스사업자(ISP), 한국인터넷진흥원과 함께 다크웹 등 인터넷상 휴대전화번호 등의 개인정보 유노출이나 불법유통에 대한 긴급 모니터링 체계를 운영하기로 했다. 나아가, 개인정보위는 중앙행정기관·지자체 등 주요 공공기관과 한국CPO협의회, 개인정보보호협회·한국인터넷기업협회 등 자율규제단체를 통해 각 기관에서 개인정보 보호책임자(CPO)를 중심으로 주요 개인정보 처리시스템에 대한 상시 모니터링을 강화하도록 안전조치 사항을 알렸다. 특히, 개인정보위는 이번 연휴기간 동안 국민이 안심할 수 있도록 정부 당국과 한국인터넷진흥원 등 유관기관 간 비상연락체계를 가동하고 긴밀한 공조를 통해 개인정보 이슈 발생 시 이를 공유하고 신속히 대응해 나갈 계획이다. 또 한국CPO협의회와 함께 9일 주요 공공기관·민간기업을 대상으로 간담회를 개최, 개인정보 안전관리체계 강화 방안과 추가적인 제도 개선 사항을 논의하고 이달말까지 관련 대책을 마련할 예정이다. 양청삼 개인정보정책국장은 “이번 SKT 사건은 인공지능 심화 시대의 신뢰 기반이 무너질 수 있는 중대한 사안으로, 각 사에서는 경각심을 가지고 추가 피해가 발생하지 않도록 적극적 안전조치 및 모니터링에 철저를 기해주길 바란다"고 밝혔다.

2025.05.02 10:17방은주

알바몬 회원 2만2천여명 임시 이력서 정보 털렸다

아르바이트 구직 플랫폼 알바몬에서 가입자 개인정보 유출 사고가 발생했다. 알바몬은 지난 4월 30일 시스템에 대한 비정상적인 접근 시도를 즉각 감지해 차단했지만, 일부 회원의 임시 저장된 이력서 정보가 외부로 유출된 사실을 확인했다고 2일 공지했다. 알바몬에 따르면 이번 사고로 유출된 개인정보는 총 2만2천473건에 이르며, 이름, 휴대폰번호, 이메일 주소 등 이력서 작성 페이지에 임시 저장된 정보가 포함됐다. 다만 아이디와 비밀번호는 유출되지 않았다. 알바몬은 해킹 시도가 확인된 즉시 공격에 사용된 계정과 IP를 차단하고 보안 취약점을 긴급 보완했다고 설명했다. 회사 측은 “현재 동일한 방식의 해킹 시도는 원천 차단된 상태”라며 “실시간 모니터링을 강화해 추가 피해를 막고 있다”고 덧붙였다. 또한 회사는 개인정보보호위원회에 5월 1일 자진 신고했다고 설명했다. 알바몬은 같은 날 해당 회원들에게 이메일을 통해 개별 통지했으며, 개인정보 유출 여부를 확인할 수 있는 전용 웹페이지와 문의 창구를 마련했다. 알바몬은 “회원님의 소중한 정보를 지키는 것은 무엇보다 중요한 책임”이라며 “이번 사건을 계기로 보안 시스템을 전면 점검하고, 외부 해킹 및 계정 탈취 시도에 대한 상시 탐지 체계를 한층 강화할 것”이라고 밝혔다. 회사 측은 유출 피해를 입은 회원들에게 이메일과 문자 메시지를 통해 별도의 보상안을 안내할 예정이라고 했다. 또한 개인정보 유출로 인한 피해가 발생했을 경우 개인정보분쟁조정위원회를 통해 분쟁 조정을 신청할 수 있다고 공지했다. 알바몬은 이용자들에게 비밀번호 변경과 의심스러운 이메일·문자 확인 시 주의를 당부했다. 그러면서 “같은 비밀번호를 다른 사이트에서도 사용 중이라면 함께 변경하고, 피싱·스미싱 시도를 경계해 달라”며 "신뢰를 회복하기 위해 최선을 다하겠다”며 거듭 사과했다.

2025.05.02 08:46안희정

"개인정보 유출 기업이 불법유통 추적해야"

더불어민주당 이정문 의원이 개인정보 유출 기업과 기관의 사후 책임을 강화하는 개인정보 보호법 개정안을 대표발의 했다고 1일 밝혔다. 최근 SK텔레콤 사이버 침해사고를 비롯해 대규모 개인정보 유출 사고가 반복되고 있으나, 현행 개인정보보호법에는 유출된 개인정보의 불법유통을 추적하고 확산을 방지하는 사후 조치에 대한 의무는 없다. 이에 따라 개정안은 일정 규모 이상의 개인정보 유출 사고 발생 시 기업에 추가적인 의무를 부과하는 내용을 담았다. 구체적으로 ▲1천명 이상의 정보주체에 관한 개인정보 유출 ▲민감정보, 고유식별정보 유출 ▲개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의한 개인정보 유출 시 2년간 유출된 정보의 불법유통 여부를 모니터링하고 모니터링 결과를 개인정보보호위원회에 보고하도록 의무화했다. 모니터링 미이행 또는 보고 의무 위반 시 3천만원 이하의 과태료 부과 조치도 마련했다. 아울러 유출된 개인정보가 불법 유통되는 것을 확인한 경우 정보를 유통하는 자를 수사기관에 고발하도록 하고, 개인정보 유출로 피해를 입은 정보주체가 해당 정보의 불법유통 의심 시 개인정보보호위원회 등 전문기관에 신고할 수 있는 법적 근거를 마련했다. 이정문 의원은 “개인정보 유출로 인한 피해는 단순히 유출 자체에서 그치지 않고, 2차·3차 피해로 확산되는 경우가 많다”며 “기업과 공공기관들이 개인정보 유출 이후에도 지속적으로 유출된 정보에 대한 책임을 지고 사후 관리를 철저히 하도록 하는 것이 개정안의 취지”라고 밝혔다. 이어 “개인정보를 수집하는 기업과 공공기관은 정보의 안전한 보호뿐만 아니라 유출사고 발생 시 사후 확산 방지에도 책임을 다해야 한다”면서 “이번 개정안을 통해 SK텔레콤의 대규모 개인정보 유출 초기 대응실패와 무책임한 대응과 같은 상황을 방지해 국민의 피해를 최소화하는 데 기여할 것”이라고 강조했다.

2025.05.01 12:46박수형

개보위 부위원장 "해킹 기술 날로 발전···기업 투자 늘려야"

"(기업은) 고객가치가 최고 과제입니다. 추상적 개념이지만, 고객들과의 접점이 바로 개인정보입니다. 분석해서 수요를 미리 예측하고, 광고도 제공하고, 소중한 고객들의 개인정보를 예전과 같은 방식으로 보관하는 건 있을 수 없는 일입니다. 과감한 인력배치를 해서 개인정보 보호수준을 한 단계 높여야 됩니다. 개인정보위는 유출사고에 대해선 글로벌 기업, 국내기업 가리지 않고 엄중한 책임 물을 생각입니다." 최장혁 개인정보보호위원회(개인정보위) 부위원장은 29일 오후 정부서울청사에서 열린 출입기자들과의 정례브리핑에서 이 같이 밝혔다. 개인정보위는 매달 한 번 출입기자들과 정례 브리핑을 갖고 있다. 최 부위원장은 증폭하고 있는 SK텔레콤 해킹 사고와 관련해서는 "메인서버에서 (개인 정보) 유출이 있었다고 본다. 우리나라 1위 통신사의 메인 서버가 해킹당했다는 자체가 굉장히 상징적"이라고 말했다. SK텔레콤은 해킹과 관련해 아직까지 "개인정보 유출은 없다"는 입장이다. 또 조사 기관과 관련해서는 "사내 변호사 포함해서 베테랑 조사관 투입했고, 외부전문가와 TF를 구성했기 때문에 최대한 빠른 시일 내에 조사 완료해 국민 근심을 덜어드리겠다"고 밝혔다. 최 부위원장은 "해킹기술은 계속 발전하는데 한국 기업들의 투자는 부족해 이런 일이 일어나지 않났나 한다"면서 보이스피싱 앱을 마련해 스케이텔레콤과 관련한 사건에서 효과를 보고 있다고 덧붙였다. 이어 정부가 여러 어려운 상황이지만 열심히 일하고 있고, 잘 대처하고 준비하고 있다면서 개인정보위가 잘 준비해 국내 대리인제도 법을 통과 시킨 걸 예로 들었다. 글로벌 기업이 국내에 대리인을 둬야 한다는 것으로, 개인정보위는 이의 첫 적용을 딥시크에 했다. 또 한국의 AI를 발전시키기 위해 특례조항을 만들어 상정시켰다면서, 한국AI발전에 큰 역할을 할 것으로 본다고 예상했다. 이 조항은 아직 국회에서 논의중이다. 아래는 최 부위원장과 출입기자들과 오간 정례브리핑 내용. -딥시크 얘기를 앞전에 하셨는데, 국내 서비스 재개가 됐고, 유출된 데이터 파기 여부는 확인하셨는지? "시정권고를 했기 때문에 수락하겠다고 답변 왔고, 60일 이내에 이행점검 여부 확인할 예정이고, 국내대리인 지정은 개선권고를 했기 때문에, 시정권고나 개선권고가 잘 반영될 수 있는는 루트를 확보했다고 생각한다." -아직 파기여부는 확인 안 됐는지? "그쪽에서 파기했다고 했기 때문에..." -거기서 파기를 했다고 했는데, 개보위는 확인을 못 한 건가 "시정권고나 개선권고를 하고, 이행여부는 확인하는데 시간이 필요하기 때문에, 딥시크가 글로벌 기업이기 때문에 문서를 보냈으면 신뢰를 해주고, 이행점검 절차가 있기 때문에 충분히 할 수 있으리라 본다." -SK텔레콤 관련해서 과기정통부가 1차 조사결과를 발표했다. 개인정보위에서 어떻게 보시는지 궁금하다. 조사는 얼마나 걸릴지 예상하나? "어제 위원장님이 조금 오래걸린다고 말씀하셨는데, 처분까지의 개념이고, 조사에 대해선 저희가 이례적으로 당일 바로 조사에 착수했고, 사내 변호사 포함해서 베테랑 조사관 투입했고, 외부전문가와 TF를 구성했기 때문에 최대한 빠른 시일 내에 조사 완료해서 국민 근심 덜어드리려 한다. 과기부는 조금 전에 대변인이 발표했다고 알려왔는데, 유심 관련 내용이 많이 들어있다. 유심은 과기부가 주무부처기 때문에 내용 신뢰해야 한다고 생각하고, 저희는 접근이 다른게, 유심이 담고 있는 개인정보성, 유심 보관한 메인서버에 적절한 안전조치가 이뤄졌는지를 중점으로 보고 있다. 실무진 보고에 따르면 외부 5개 정도의 방어막이 있었고, 방화벽마다 어떻게 통과했는지를 살펴보기 때문에, 단계별로 조사 진행되면 결과가 나올 수 있지 않을까 보고 있다." -SK텔레콤 발표를 보면, 교체할 유심이 없었는데 교체해서 사회적 혼란을 줬는데, 개보위 처분 때 기망행위로 볼 수 있는지? "유심에 대해서 저희가 접근하는 건, 유심의 개인정보성, 어느정도 포함되었는지하고, 유심 보관 메인서버에 대한 안전성 조치 문제기 때문에, 에스케이가 보관한 유심재고가 얼마나 진실에 부합하는지는 과기정통부하고 상의해서, 저희가 유심재고를 확인할 방법도 없고 해서, 사실에 부합하는가는 과기정통부와 상의해야겠지만, 저희 처분내용에 포함하기에는 용이해보이지 않지만, 협의해봐야겠지만, 저희 조사내용과 딱 들어맞진 않는 것 같다." -어제 위원장께서 말씀하실 때 최초 정황 신고시점이 19일 23시로 말씀하셨는데, KISA(한국인터넷진흥원)에는 18일 23시로 들어갔는데 차이 난 이유? TF 꾸리셨다는데 지원 관련해서도 움직이는지? "최초 신고 관련해서 KISA하고, 어제 말씀하신 차이가 있는 것 관련해서 내용 알아보려고 하고 있고, 조사를 해서 SKT가 72시간 내에 저희는 신고하면 되기 때문에, 유출 인지정황이 있었는지는 조사하면 나올 것 같다. 유출 인지시점과 차이가 있는건, 조사결과에 따라서, 18일이 되면 벗어나는 셈이니까, 조사결과에 따라서 알 수 있고, TF는, 아시다시피 개보위가 조사인력이 많지 않기 때문에, SKT 조사는 차후로, 안 그래도 개보위 유출방지 지원 이런게 필요하기 때문에, 사실 저희가 작년에 대비라기는 뭐하지만 포렌식랩 예산을 확보했다. 경로유출 탐색하는데 어려움이 있어 기재부 예산 받아서 꾸리고 있다. 개인정보가 어떻게 유출됐는지 흐름을, 랩 연구를 시키면, 개보위 차원에서는, 이런 흐름으로 유출됐다는걸 발견할 수 있다. 개인정보 보호하기 위한 제도적 뒷받침이 될 것 같다. 작년 확보한 포렌식랩 예산에 더해 개인정보 흐름을 분석해서 수집 보관하고 활용하는 관계에서 어떤 과정을 통해 어떤 부분이 취약했는지를 분석하면, 개인정보를 보호할 수 있는 제도로 생각해서, 하여튼 올해 확보한 예산에 플러스 해서, 장치 내지 제도를 만드는 데 최선의 노력을 다할 생각이다." -과기부 자료 오후 2시에 나온 걸 보면, 이번에 유출된 정보가 가입자식별키라고 나왔거든요. 그거랑 가입자 전화번호 섞여서 유출되었다는데, 유출규모는 아직 안 나왔지만, 과징금 부과대상에 해당하는지? 전체 매출의 3%로 돼 있는데, SKT 연매출이 17조원대 인데, 다 감당할 수 있을수는 없을 것 같은데, 감경 되는지? 포렌식 조사까지 다 하면 기간 어느정도 걸릴지? "유심칩의 IMSI가 됐던 IMEI가 됐던, 개인정보성은 구체적으로 조사를 해봐야 할 것 같다. 나타난 정황으로는 충분히 개인정보라고 보고 있고 구체적으로 어떤 개인정보를 담고있는지는 조사를 더 해봐야 할 것 같다. 과징금 규모 관련해선, 조사가 시작단계기 때문에 과징금 규모는 이른 측면이 있지만, 엘지유플과는 차원이 다르다. 법 개정 전이었고, 현재 전체 매출액의 3%(SKT 작년 매출은 17조9406억원, 3% 적용하면 5300억원)를 부과할 수 있는데, 엘지유플은 아주 오래전 사례라 유출규모 파악이 어려웠고, 나중에 추론해서 알았기 때문에 차이가 있다. 유플의 연장선으로 생각할 필요 없는듯 하다. 과징금 액수는 상당히, 유플보다는 높아질 가능성이 있기 때문에, 조사가 끝나봐야 알겠지만, 유플과는 차원이 다르다. 포렌식 랩까지는 실제로 아직 안 됐기 때문에, 올해 완성될 지는 준비 중인 상태고. 포렌식랩까지는 갈지 모르겠지만, 베테랑 변호사 전문가, 외부 전문가 도움을 받아서, 처분과 별개로 오늘 과기부가 1차 조사결과 발표했지만, 저희도 빠르게 발표할 수 있도록 노력하겠다." -보안전문가들 사이에선 탈취된 정보의 양이 많았던 만큼 한번에 해킹되지 않고 이전부터 해킹되었을 가능성 얘기하더라. 처분하실 때 이런 요인들도 감안할지? "유출시점 관련해선 조사결과가 나와봐야 하고, 적어도 과징금 액수는 1차 2차 3차 나눠서 해킹된 것과 관련 없이, 알려진 데이터가 많기 때문에, 유출 횟수가 처분에 영향 미친다고 보기는 어려운데, 유출시점은 좀 더 조사해서 나중에 발표하겠다." -22일에 에스케이텔레콤이 보도자료 배포하면서, 개보위 신고 전인데 10시에 신고했다고 자료를 냈다. 이게 시점이 어떻게 되는지? 오전 9시에 자료 배포하면서 10시 배포했다고 미래시점으로... "(조사2과장이 답변) 10시 신고한 게 맞구요, 아마 에스케이티에서 엠바고 걸어서 보도 준비하면서 같이 나온 것 같습니다. 정확한 신고시점은 22일 10시가 맞다." -신고 당시 구체적으로 어떤 내용 신고했는지? "(조사2과장) 그때까지 파악된 상황이었기 때문에 유출규모 파악돼 있지 않았고, 그때까지 파악된, 일부 고객의 정보유출 정황을 확인해서 신고한다는 내용이었다. (최 부위원장 답변) 유출사고가 아직까지 많이 나는 이유가, 예산과 인원을 보면 대충 판명이 나는데, 한국 굴지의 대기업도 개인정보 관련 예산이 특별히 변화 내지, 해킹기술이 나날이 발전하는 것에 비교해서, 개인정보 투자가 눈에 띄게 변한 게 없다. 전문인력 확보도 마찬가지다. 민간이건 공공이건 엄청난 해킹이 시도되고 있는데, 거기에 대비하는 우리의 수준은 아직까지 전통적인 방식이기 때문에 이 기회를 계기로 민간 공공 합쳐서 많은 투자와 인력보강이 절실한 시점이라고 생각한다." -어제도 농진청에서 유출사건이 있었다. 이건 개보위에서 다크웹에서 나온 정보를 먼저 확인한 것으로 전해들었다. 이번 건도 다크웹 모니터링 중인지, 에스케이티 사건 관련해서 나온게 있는지? "(조사2과장)보통 저희가 다크웹의 개인정보 유출되거나 하는 것은 KISA를 통해 같이 모니터링하고, 확인되는 경우 기업들에게 알려주고, 그런 것들을 확인해서 유출이 확인되면 신고하고 통지하도록 저희가 마련해서 운영하고 있다. SKT건의 경우에는 다크웹에 올라온 사실은 확인된 바 없다." -과기부 조사에서 확정된건 IMEI 유출 없었다는 거고, 나머지는 조사중인데, 궁금한건 주민번호 털렸냐 아니냐 이 부분 얘기해주실 수 있는지? 지금 SKT에선 민감정보 유출되지 않았다고 일관되게 얘기하는데... "유심의 개인정보성에 대해서 계속 조사중이라고 말씀드리는게...이름, 주민번호 이런 것은 조사해봐야 나올 것 같고, 아직까지는 100% 확실하게 말씀드리기는 어려운 것 같다." -SK텔레콤에서 여러 대책을 내놓고 있는데, 유심보호 서비스 가입하면 100% 안전한 대책인지, 유심교체하는 것도 맞는지, 오늘 백업하는 것도 발표했는데, 일련의 대책들을 소비자 입장에서 어디까지 해야하는지? "유심 주무부처는 과기부기 때문에, 유심 관련해선 과기부가 발표했기 때문에 그 부분 참고하셔야 할 것 같다. 어제 국회 정무위에서 똑같은 질문이 많이 나왔는데, 삼성전자는 안심서비스로는 안되어서 교체하라는 얘기까지 나왔기 때문에, 에스케이에서 국민 불안을 이해하시고, 2차 피해가 생기면 안 될 거 같다. 2차 피해를 막기 위해서, 일부 금융기관들이 인증을 막은 기관이 일부 있고, 여러가지 인증서비스가 있잖습니까. 2차피해를 막기 위해서 할 수 있는 역할이 있으면 관련 기관 협의해서, 하여튼 2차피해 막기 위해 나름의 역할을 해보려고 생각하고 있다." -엘지유플하고 비교하기 어렵다고 말씀하셨다. 더 설명 가능한지 궁금하다. 2차피해를 막기 위해 개보위가 할 수 있는 것은? "에스케이티는 메인서버 해킹당했고, 엘지는 부가서비스를 당했다. 엘지는 기본적으로 오래전 것이고, 사실 저희가 처분 어려웠던게, 해킹경로 파악하기 어려웠는데, 에스케이티는 그런게 아니어서 차이가 있고. 그리고 법 개정 전후가 있기 때문에, 관련 매출액의 3%였지만, 에스케이티는 전체매출에서 관련 없는 매출을 빼는 구조여서 차이가 있다. 여러 부처가 관련된 문제기 때문에, 과기부는 통신정책을 하지만, 금융기관 문제는 금융위로 나뉘어 있고, 그 외 인증수단도 부처별로 나뉘어 있기 때문에, 개보위가 중심이 되어서 2차피해 방지 위한 회의를 해서, 한 군데 모아서 필요하면 회의를 해볼 생각하고 있다." -이른 시점이긴 한데, 개보위에서 과징금 매기시는 것에 대해선 안전성 조치를 제대로 했느냐가 관건인데, 현재 조사결과에서, 안전성을 어느정도 소홀했다는 얘기도 있다. 서버보안쪽이 소홀했다는 얘기가 있는데 어떤가? "1위 통신사의 메인서버가 해킹당했다는 것 자체가 굉장히 상징적인 것 같다. 외관상으론 안전조치가 부족하지 않았나 생각이 들지만, 조사를 해봐야 하는 상황이고. 조사를 선입견 가지고 하는 것은 아니기 때문에, 개연성이 1위 통신사 서버가 해킹됐다고 하면 부족했을 가능성이 있지만, 확신해서 말씀은 못드리지만 개연성은 충분히 있다고 하겠다." -전체매출 3%면 어마어마한 금액인데, 감경기준도 있는지 "있다." -최대 인정된다면 최대 얼마일지? "굉장히 복잡한 계산이고, 일단 가장 큰 게, 관련 없는 매출액을 빼야하는데, 일단 메인서버기 때문에, 엘지유플은 부가서비스기 때문에 매출 차지하는게 크지 않지만, 근데 에스케이는 메인서버기 때문에 커버리지가 더 넓다고 보이고, 1차 위반이냐 2차 위반이냐, 어느정도 조사협력했냐, 감경사유가 있어. 아직까지 전체 매출액의 3%에서 빼주고 등 과징금 추측하기가 시기가 너무 빠르다고 생각한다." -과기부 발표한 유출내역 중에서, 개인정보위가 과거 개인정보성을 인정한 항목이 있는지? "몇개 있는 것 같은데, 제가 못 봤다. 과기부에서도 개인정보성을 부인하지 않는 것도 있는 것으로 알고 있다. 유심에 포함하는게, 개인정보라고 봐도 무관하다고 생각하고 있다." -지금 에스케이티에서 설명하는 것과 톤 차이가 있는데, 메인서버 해킹이라고 말씀하셨는데, 에스케이티에선 메인서버 아니라거든요. 어쨌든 타고 들어가서 민감정보 해킹하는 것도 생각해볼 수 있는데 말씀주 실 수 있는 부분은? "(조사조정국장) 메인서버에서 유출이 있었다고 보시면 되고, 다만 유출 경위 대상 항목을 조사 중이기 때문에... (최 부위원장) 왜 부정했는지 모르겠는데, 메인서버에서 유출이 있었다고 보는게 맞는 것 같다." -에스케이티에서 연결된 모바일 앱 인증서비스들이 있는데, 거기서도 문제가 발생할 여지 있는지? "저희 조사는 일단 에스케이티 위주로 하고 있기 때문에, 그 부분은 추가로 고려해보겠다." -혹시 과기부처럼 1차 조사결과를 중간에 발표할 계획은? "저희도 어느정도 나오면 고려하고 있다. 시점은 아직 확답을 못드리는데, 중간결과라도 한번 말씀드릴 기회를 만들어보도록 하겠다." -매출 기준 3%면 3000억 정도 되는데, 피해자를 위해 쓰는게 없다는 목소리도 있다. 3% 기준이면 글로벌 기업으로부터도 받게 될텐데 소비자를 위해서 쓰는 방법은 없나? "기금에 출연하는 방식이 될 수 있을텐데, 예산당국과 협의해야 한다. 옛날에 정보통신 기금 모으듯이 개인정보 기금을 만들어서 인프라 투자와 관련한 선순환 구조를 만들 수 있을지는 과기부와 상의해보겠다. 방향은 바람직하다고 생각한다." -마이데이터 사업 집중도 떨어질 것 같은데... "마이데이터 대표적인게 통신, 의료인데, 걱정을 하고 있다. 빨리 조사 마무리지어서, 통신데이터가 왔다갔다해도 국민들이 안심하셔도 되게, 영향 미칠 것 같아 걱정돼서 많이 준비하고 있다. 전반적으로 국내 대기업 포함해서, 개인정보에 대한 많은 관심과 투자, 인력배치를 해서 개인정보 수준 한 단계 높이고, 그를 기반으로 마이데이터 산업을 융성해야 우리가 꿈꾸는 세상이 열릴 것 같다. 한번의 유출사고가, AI 시대에 데이터가 활발하게 돌아야 되는데, 굉장히 움츠러든다. 개인정보 분야 많은 예산투자와 인력배치가 있어야 신뢰가 되면서 선순환 구조가 되는데, 개보위가 앞장서서 많은 투자나 인력배치가 이뤄질 수 있도록 노력하겠다." -딥시크도 개보위 권고를 받아들이고, 고객 선택권 보장하는 옵트아웃 도입했는데, 국내기업들이 선택권을 아직 마련 않는 경우가 많은 것으로 파악돼서 권고나 가이드라인 만들어줄 수 있는지? "저희가 많은 가이드라인 발표했다. 이번에 딥시크도 바로 사전실태조사를 들어간 이유가, 신기술 분야기도 하고, 국내 서비스 기업 조사, 굳이 조사로 이어지지 않고 개선권고를 하면, 신생 AI 스타트업들이 몰라서 그런 경우도 있고 사정이 어려워서 그런 경우도 있는데, 실태조사를 통해서, 더 나은 기업들은 사전적정성평가를 해주면 불확실성에서 벗어날 수 있을 것으로 보고 있다. 어제 정무위원회 법안소위에 개인정보보호법 AI 특례를 신설하는 내용의 법 개정안이 올라갔다. 원본데이터를 아주 제한된, 개인정보위가 정하는 환경에서 활용할 수 있게 해주는 법안이다. 한국의 AI 수준을 높이는 법안이기 때문에 관심 가지고 홍보 부탁한다."

2025.04.30 07:32방은주

Prev 1 2 3 4 5 6 7 8 9 10 Next