검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인 정보'통합검색 결과 입니다. (428건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

코인베이스, 개인정보 유출 고객에게 5500억원 보상

미국 암호화폐 거래소 코인베이스가 개인정보를 유출 당한 이용자에게 4억 달러(약 5500억원)까지 돌려주겠다고 나섰다. 23일(현지시간) 미국 잡지 와이어드에 따르면 코인베이스는 '보상 비용으로 많게는 4억 달러가 들 것'이라고 미국 증권거래위원회(SEC)에 보고했다. 지난주 코인베이스는 해킹당해 소비자 이름, 주소, 이메일 주소, 전화번호, 신분증 정보 등이 빠져나갔다고 밝혔다. 해커가 수집한 고객 정보로 연락해 코인베이스라고 사칭한 뒤 '암호화폐를 나눠주겠다'고 속이려 했다고 코인베이스는 설명했다. 또 해커가 이용자 개인정보를 빼내기 위해 내부 직원을 매수했다며 내부자는 시스템 접근 권한을 악용했다고 전했다.

2025.05.24 08:27유혜진

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

"내 데이터, 내가 원하는 곳서 활용"···개보정보위, 시연회 개최

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')와 한국인터넷진흥원(원장 이상중)은 20일 정부서울청사에서 마이데이터 선도서비스 시연회를 개최했다. 시연회에는 선도서비스 수행기관과 코스콤·의정원·솔리데오 등 연계기관 관계자도 참석했다. 지난 3월 본격 시행한 마이데이터 제도에 따라 그동안 개인정보위는 국민이 자신의 데이터를 스스로 통제하고, 원하는 곳으로 안전하게 전송해 활용할 수 있는 인프라를 마련해 왔다. 이와 함께 국민이 마이데이터 서비스 효과를 체감할 수 있게 5개 선도서비스를 선정한 바 있다. 이번 시연회는 5개 선도서비스가 모두 출시됨에 따라 서비스 내용을 상세히 소개하고, 시연하기 위해 마련했다. 출시 서비스는 ①한국통신사업자연합회 컨소시엄의 '실제 통신이용 패턴 기반 맞춤형 요금제 추천 서비스' ②NICE평가정보 컨소시엄의 “맞춤형 여행지 추천 및 여행경비 최적 설계 제안 서비스' ③가톨릭중앙의료원 컨소시엄의 '만성질환 위험도 분석을 통한 예방 콘텐츠 및 맞춤형 질환 관리서비스' ④룰루메딕의 '해외에서 현지 의료기관 방문 시 국내 의료 기록 연동 및 번역 등 의료지원 서비스' ⑤카카오헬스케어의 '안전한 복약 관리 및 약물 처방 지원 서비스' 등이다. 이들 서비스 중 통신‧자율 분야(①맞춤형 요금제 추천 서비스 ②여행 최적 설계 서비스)는 4월 말에 출시됐고, 나머지 의료분야 3개 서비스(③맞춤형 질환 관리 서비스 ④해외 의료기관 방문 시 국내 의료기록 연동·번역 서비스 ⑤안전한 복약 관리 서비스)는 이달 20일 출시됐다. 각 서비스는 안드로이드 플레이스토어와 애플 앱스토어에서 무료로 내려받을 수 있다. (서비스별 앱은 ①통신 마이데이터 앱 ②나이스지키미 앱>라이프>여행어때, ③MyWell+ 앱, ④디스탯(d'Stat) 앱 ⑤카카오톡 앱 > (채널) 카카오헬스케어 케어챗) 서비스 시연에 이어 선도서비스 수행기관 관계자들은 서비스 주요 기능에 대해 설명하고, 마이데이터를 활용한 건강증진, 통신비 절감, 개인맞춤형 추천 서비스 등의 기대 효과에 대한 의견을 나눴다. 이용자들은 '마이데이터 지원 플랫폼(onmydata.go.kr)'을 통해 통신·의료 등 각 분야의 마이데이터 서비스를 한 곳에서 확인하고, 내 정보가 어디로 전달됐는 지 조회할 수 있으며, 서비스 이용을 원하지 않는 경우 철회도 가능하다. 고학수 개인정보위 위원장은 "국민이 직접 체험하고 실질적으로 느껴볼 수 있는 서비스를 제시함으로써, 마이데이터 제도가 국민의 삶에 더욱 가까이 다가갈 수 있는 계기가 되길 바란다"며 “선도서비스가 마중물이 되어 국민 생활에 변화를 줄 수 있는 다양한 서비스가 잇달아 출시될 수 있기를 기대하고 있다"고 밝혔다.

2025.05.20 17:00방은주

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

개인정보위 "SKT 사태 재발 만전···당분간 비상대응"

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 SK텔레콤(SKT) 개인정보 유출사고의 심각성을 인식하고, 신고 당일(4. 22.) 조사에 착수했고, 집중조사 TF를 구성해 개인정보 보호법에 따른 조사를 진행중이라고 19일 밝혔다. 이날 개인정보위는 "국민적 우려가 큰 대규모 개인정보 유출 사고인 만큼 철저히 조사하는 한편, 관련 대책 강구 등을 통해 재발 방지에 만전을 기할 예정이다"면서 "피싱·스미싱에 대한 대처 방법 안내와 혹시 있을지도 모를 유출정보의 유통에 대비해 인터넷 및 다크웹에 대한 모니터링을 강화하는 한편, 당분간 현 비상대응상황을 유지할 예정"이라고 말했다. 개인정보위는 기 유출 발표된 가입자 휴대전화번호, IMSI, 인증키 등 유심정보를 개인정보라고 판단해 위원회 긴급의결(5. 2.)로 유출이 확인됐거나 가능성이 있는 모든 정보주체에게 개별 통지하고, 피해방지 대책을 마련하도록 촉구한 바 있다. 또 개인정보위 유출조사는 개인정보 보호법(이하 '보호법') 제63조에 따른 것으로, 정보통신망법에 근거한 과기정통부 민관합동조사단의 침해사고 조사와는 구분되며, 개인정보위 조사 핵심은 첫째, 개인정보 유출 대상 및 피해 규모 확정과 둘째, 사업자의 보호법상 안전조치 의무(기술적·관리적 조치 포함) 위반에 대한 확인이라고 말했다. 이에 따라 지난 13일 관계부처 회의 시 과기정통부는 개인정보가 포함된 서버의 추가 감염 가능성을 공유했고, 16일 회의에서 악성코드 추가 감염사실을 확인한 바 있으나, 개인정보위는 이와 별개로, SKT측으로부터 유출조사에 필요한 증적 자료를 별도 확보, 보호법에 따른 조사를 독립적으로 진행하고 있다고 덧붙였다. 개인정보위는 조사 과정에서, 기존 유출경로로 확인된 HSS(가입자인증시스템) 등 5대 외에도 ICAS(통합고객시스템) 서버 2대를 포함 총 18대 서버에 악성코드가 추가 감염된 것을 확인했다고 밝혔다. ICAS(Intergrated Customer Authentication system)는 Tworld 등 사내 서비스 및 사전 인가된 협력사 대상 SKT 가입자의 가입 상태, 정보 및 가입 상품 조회용 API를 제공한다. 해당 서버에는 이름, 생년월일, 휴대전화번호, 이메일, 주소, IMEI(단말기식별번호), IMSI(가입자식별번호) 등 고객의 중요 개인정보를 포함해 총 238개 정보(컬럼값 기준)가 저장되어 있으며, 악성코드에 최초 감염된 시점('22. 6.)이 오래된 점을 고려해 감염경위, 유출정황 등을 면밀히 조사하고 있다고 밝혔다. 한편 이날 과기정통부의 SKT 침해사고 민관합동조사단(이하 조사단)은 지난 1차 발표(4.29)에 2차 발표를 했다. 조사단은 오는 6월까지 SKT 서버 시스템 전체를 강도 높게 점검한다는 목표하에 1단계(초기 발견된 BPFDoor 감염 여부 확인을 위한 리눅스 서버 집중 점검)에 이어 2단계(: BPFDoor 및 타 악성코드 감염 여부 확인을 위해 리눅스 포함 모든 서버로 점검 대상 확대)로 조사를 확대, 진행하고 있다. 현재까지 4차례 점검이 실시된 1단계 결과를 정리해 이번 2차 발표를 했다. 조사단은 5월19일 현재 총 23대의 서버 감염을 확인해 15대에 대한 포렌식 등 정밀분석을 완료하고 잔여 8대에 대한 분석을 진행함과 동시에 타 악성코드에 대해서도 탐지 및 제거를 위한 5차 점검을 하고 있다. 현재까지 악성코드는 25종(BPFDoor계열 24종 + 웹셸 1종)을 발견, 조치했다. 조사단은 현재까지 SKT의 리눅스 서버 약 3만여대에 대해 4차례에 걸친 점검을 했다. 4차례에 걸친 강도 높은 조사는 1차 점검에서 확인한 BPFDoor 계열 악성코드의 특성(은닉성, 내부까지 깊숙이 침투할 가능성 등)을 감안해 다른 서버에 대한 공격이 있었을 가능성을 확인하기 위한 목적이었다. 특히, 4차 점검은 국내외 알려진 BPFDoor 악성코드 변종 202종을 모두 탐지할 수 있는 툴을 적용했다. 1차(4.19~4.24), 2차(4.23~4.30), 3차(5.3~5.8), 4차(5.8~5.14) 1∼3차 점검은 SKT가 자체 점검 후 조사단이 이를 검증하는 방식으로 진행했고, 4차 점검은 조사단이 한국인터넷진흥원(KISA)의 인력을 지원 받아 직접 조사를 진행했다. 조사단은 1차 조사결과에서 발표한, 유출된 유심정보의 규모가 9.82GB이며, 가입자 식별키(IMSI) 기준 2695만7749건임을 확인했다. 또 악성코드는 1차 공지(4.25.)한 4종, 2차 공지(5.3.)한 8종 외 BPFDoor 계열 12종과 웹셸 1종을 추가로 확인했다. 조사단은 1차(4.25.), 2차(5.3.)는 악성코드 특성 정보, 3차(5.12.)에는 국내외 알려진 BPFDoor 계열 모두를 탐지할 수 있는 툴의 제작방법을 6110개 행정부처, 공공기관, 기업 등에 안내해 피해 확산을 방지했다. 1차 발표 이후 공격을 받은 정황이 있는 서버는 추가로 18대가 식별됐다.현재까지 총 23대). 총 23대 중 현재까지 15대는 정밀 분석(포렌식, 로그분석)을 완료했고, 8대는 5월말까지 분석을 완료할 예정이다. 분석이 완료된 15대 중 개인정보 등을 저장하는 2대를 확인하고 어제(5.18.)까지 2차에 걸쳐 자료 유출 여부에 대해 추가적인 조사를 실시했다. 해당 서버는 통합고객인증 서버와 연동되는 서버들로 고객 인증을 목적으로 호출된 단말기 고유식별번호(IMEI)와 다수의 개인정보(이름, 생년월일, 전화번호, 이메일 등)가 있었다.

2025.05.19 22:37방은주

[보안리더] 이창복 토스 CPO "한국, 개인정보보호 선진국"

토스는 1명이 1개 계정으로 1개 기기에서만 쓸 수 있어요. 기존 비밀번호와 함께 휴대폰 본인 확인 절차로 부정 로그인을 막고요. 앱을 다시 설치하면 신분증, 1원 인증(1원을 입금받으며 표시된 문자를 써 확인하는 인증), 핀번호 인증을 해야 합니다. 이상거래감지시스템(FDS)도 365일 24시간 동작해요. 기기나 비밀번호를 바꿀 때, 큰돈을 보낼 때, 누군가에게 처음 송금할 때, 어딘가에서 처음이나 많이 결제할 때 일단 한 번 막습니다. 요새 화제된 'BPF 도어(Berkeley Packet Filter Door)' 기법에 대응하고, 비슷하게 해킹하려는 시도를 알아채면 그 인터넷프로토콜(IP)을 바로 차단해요. 이창복 토스(운영사 비바리퍼블리카) 개인정보보호책임자(CPO)는 최근 지디넷코리아와 만나 토스의 개인정보 보호 장치를 이같이 밝혔다. CPO(Chief Privacy Officer)는 개인정보보호법에 따라 개인정보 처리 업무를 총괄하는 책임자다. 서비스 기획부터 개인정보 수집, 이용, 보관, 제공, 파기 기준을 세우고 이를 지키는지 관리한다. 개인정보임원으로 CPO 외에 정보보호최고책임자(CISO·Chief Information Security Officer)도 있다. CISO는 CPO보다 더 넓은 개념이다. 전자금융거래법에 따라 개인정보는 물론이고, 경영 정보와 회사 시스템이 안전하도록 해킹 대응, 서버·컴퓨터(PC) 보안, 접근 통제 등을 한다. 이 CPO는 “개인정보 보호 활동과 정보 보호 활동이 겹치기도 해 대부분 회사에서 한 사람이 CISO와 CPO를 모두 맡는다”면서도 “토스는 다양한 서비스를 많은 고객에게 제공하는 만큼 개인정보를 더 철저하게 지키려고 CPO가 따로 있다”고 말했다. 토스는 CPO 조직을 독립해 10명 이상 인력을 뒀다. 토스는 앱 하나로 은행·증권·결제 등 100가지 이상 서비스를 이용하는 종합 모바일 금융 플랫폼, 슈퍼앱이다. 그만큼 서비스마다 개인정보를 관리하는 게 중요하다. 토스 개인정보보호팀은 우선 회사 전체의 개인정보 관리 체계를 관리하는 정책을 만든다. 이후 서비스별 의사결정권자(DRI·Directly Responsible Individual)가 책임지고 일한다. 이창복 CPO는 “토스는 개인정보 보호 솔루션을 직접 기획하고 만든다”며 “회사 실정에 맞는 솔루션을 비교적 빠르게 만들 수 있다”고 설명했다. 그러면서 “다른 회사에서 일할 때에는 외부에서 개인정보 보호 솔루션을 도입해 회사 요건에 맞추려니 원하는대로 나오지 않는 경우가 많았다”며 “그렇더라도 시간이 많이 걸렸다”고 들려줬다. 이 CPO가 토스에 입사한 이유 중 하나는 그의 아이들이다. 이 CPO는 “대학생 2명, 중학생 1명, 이렇게 아이들 셋이 모두 금융앱으로 토스를 쓴다”며 “내가 권하지도 않았는데 모두 똑같이 토스를 쓰기에 '왜 토스 쓰냐' 물으니 '토스가 편해서 친구들도 쓴다'더라”고 했다. 이어 “'전통 금융에 머물러서는 발전에 한계가 있겠다'고 생각했다”며 “미래 세대가 쓰는 회사에서 마침 입사 제안을 받아 옮기게 됐다”고 덧붙였다. 토스 20대 가입자는 556만명이다. 지난 3월 기준 행정안전부 주민등록인구통계와 연령별 토스 가입자 수를 따지면 20대의 94%가 토스를 쓴다. 토스 30대 가입자는 570만명이다. 30대의 86%가 토스를 쓴다. 40대 토스 가입자는 583만명으로, 40대의 75%가 토스를 사용한다. 가족이 서로 지켜주는 서비스도 토스에 있다. '가족 보안 지킴이'다. 가족이 거래하는 게 보이스피싱, 명의 도용, 도박 같은 금융 사기로 의심되면 사고 유형과 발생 일자를 내 토스 앱에서 알려준다. 가족이 사기 의심 계좌에 돈 보내려 하면 송금을 막을 수 있다. 예를 들어 내 스마트폰에 설치한 토스 앱에서 어머니 연락처를 선택해 가족 보안 지킴이를 신청하면 된다. 어머니가 당신 스마트폰에서 수락하면 그 전화기로 일어나는 명의 도용이나 사기 의심 계좌 송금 건이 내 스마트폰 토스 앱으로 공유된다. 가족이 위험한 상황을 빠르게 알아챌 수 있다는 게 장점이다. 이후 경찰 등에 신고해야 한다. 이 CPO는 “토스 가족 보안 지킴이는 알람 기능만 있을 뿐 다른 기기를 통제하지는 못한다”며 “정보가 연쇄 유출될 가능성은 없다”고 강조했다. 금융 서비스를 쓰려면 '내 개인정보를 제공하는 데 동의한다'고 필수로 표시해야 한다. 동의서를 쓰는 게 요식행위란 지적도 나온다. 이 CPO는 이에 대해 “요식행위라고 생각하지 않는다”며 “다만 기업은 동의서를 생성하는 데에서 나아가 개정할 때에도 객관적으로 검토했음을 기록해야 한다”고 주장했다. 또 “언제든 본인이 동의한 내용을 고객이 확인할 수 있게 해야 한다”며 “토스는 동의서를 체계적으로 생성·변경하고, 약관과 개인정보 처리 동의를 통해 본인 동의 현황을 확인할 수 있다”고 안내했다. 소비자는 정보 주인으로서 나서야 한다. 이 CPO는 “그래도 요즘에는 '내 정보를 마케팅에 쓸 수 있다'는 등의 선택 동의를 표시하지 않거나 선택 동의 내용을 꼼꼼하게 읽어보는 금융 소비자가 많아졌다”며 “소비자가 권리를 외치면 기업은 더 철저하게 개인정보를 검토하고 관리할 것”이라고 내다봤다. 한국은 개인정보 보호라면 선진국이라는 입장이다. 이 CPO는 “개인정보보호법, 신용정보법, 정보통신망법 등을 갖췄다”며 “현장에서 개인정보를 지키는 노력이 더해지면 지금보다 강한 나라로 거듭날 것”이라고 기대했다. 아래는 이창복 CPO 약력 1993~2002 중앙대 산업정보학 2024~ 단국대 IT법학 석박통합과정 현대카드·현대캐피탈 정보보호팀장 롯데카드 정보보호실장(CISO·CPO) 한국개인정보보호책임자협의회 운영위원

2025.05.19 22:10유혜진

개인정보위, 하나금융파인드 등 법인보호대리점 개인정보유출 조사

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 최근 법인보험대리점 유퍼스트보험마케팅(주)과 하나금융파인드(주)로부터 개인정보 유출관련 신고를 접수받아 조사에 착수했다고 8일 밝혔다. 유퍼스트보험마케팅과 하나금융파인드는 자사가 이용하는 영업지원시스템 개발·관리업체의 관리자 계정 해킹으로 고객정보가 유출된 정황을 인지하고 신고했다. 금융회사의 고객정보라 하더라도 신용도 판단과 관련이 없는 개인정보는 '개인정보 보호법'적용대상이다. 개인정보위는 유출 현황 및 안전조치 의무 등 '개인정보 보호법] 준수 여부를 조사해 법 위반 사항이 확인되는 경우 관련 법령에 따라 엄정히 처분할 예정이라고 밝혔다. 한편, 개인정보위는 이번 사고가 보험사-GA 통합 솔루션 제공업체 관리자 계정 해킹으로 발생한 것과 관련해 별도로 해당 솔루션에 대한 개인정보보호 실태점검을 실시할 예정이라고 덧붙였다

2025.05.18 10:20방은주

아디다스도 고객정보 털렸다...이름·전화번호·생일·주소까지

아디다스가 고객의 이름·이메일주소·전화번호 등 개인 정보를 탈취당했다. 스포츠 브랜드 아디다스는 16일 "최근 제3자 고객 서비스 제공업체를 통해 일부 소비자 데이터에 대해 비인가된 접근이 있었음을 확인했다"며 "즉각적으로 정보 보안 전문업체들과 협력해 포괄적인 조사를 진행하고, 관계 당국에도 해당 사실을 보고했다"고 공지했다. 현재까지 아디다스의 조사 결과에 따르면 침해된 데이터는 지난해 혹은 그 이전에 아디다스 고객센터를 통해 문의한 일부 소비자들의 정보다. 이름과 이메일 주소, 전화번호, 그리고 일부 고객의 생년월일 및 주소가 포함된 것으로 파악된다. 아디다스는 "비밀번호나 결제 관련 정보와 같은 금융 정보 등은 포함돼 있지 않았다"며 "(해킹) 영향을 받은 소비자에게 선제적으로 개별 안내를 완료했다"고 말했다. 또 "소비자의 정보 보호와 보안 유지를 위해 최선을 다하고 있으며, 향후 유사한 사고 방지를 위해 추가적으로 보안 조치를 강화했다"고 설명했다.

2025.05.16 17:40류승현

더피엔엘 등 3개 사업자 개인정보 보호법 위반 '처분'

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 14일 제11회 전체회의를 열고, 비영리단체 및 알뜰폰 사업자에 대한 조사 결과를 심의, 의결했다. ■ 더피엔엘 알뜰폰 사업자인 더피엔엘은 가입신청서 동의란에 마케팅 광고 사항을 필수동의 항목으로 하고, 개인정보 수집·이용 및 제3자 제공 항목을 구분하지 않은 채 포괄동의를 받았다. 아울러 가입자 주민등록번호를 암호화해 보관하지 않는 등 개인정보의 안전한 관리가 미흡한 사실이 있었다. 이에 개인정보위는 더피엔엘에 과태료 1200만 원 부과 및 사업자 누리집에 처분받은 사실을 공표하도록 명령했다. ■ 촛불승리전환행동과 대한민국바로세우기국민운동본부 촛불승리전환행동은 비회원의 개인정보도 수집하고 있으나 비회원이 쉽게 확인할 수 있도록 개인정보 처리방침을 공개하지 않았고, 시스템 관리자가 개인정보 시스템에 접근 시 안전한 인증 방식을 적용하지 않은 사실이 발견됐다. 또 대한민국바로세우기국민운동본부는 회원가입 시 마케팅 광고 사항을 필수동의 항목으로 하고, 개인정보를 시스템에 보관하면서 접속기록을 생성·보관하고 있지 않은 사실이 드러났다. 이에 따라 개인정보위는 개인정보 안전 관리 강화 및 재발방지 등을 위해 관련 사항에 대해 시정명령을 조치했다.

2025.05.15 12:00방은주

명품 '디올', 해킹돼 고객정보 유출…100일 지나 알려

프랑스 사치품 브랜드 크리스챤 디올이 해킹 당해 고객 정보가 유출됐다. 사건이 터진 지 100일 지나서야 고객에게 공지했다. 14일 업계에 따르면 디올은 지난 1월 26일 제3자가 일부 고객 정보에 접근한 사실을 지난 7일 알아챘다고 최근 고객에게 이메일을 보냈다. 디올은 고객 이름과 경칭, 휴대전화 번호, 이메일 주소, 우편 주소, 구매 정보, 선호 정보 등이 유출됐다고 밝혔다. 은행 정보, 신용카드 정보 등 금융 정보는 포함되지 않았다고 전했다. 그러면서 고객 정보 기밀을 지키고 보안하는 게 디올의 최우선 순위라고 강조했다. 아울러 당국에 이 사실을 통보해 조사하고 있다고 설명했다.

2025.05.14 11:35유혜진

인젠트, 개인정보 유출 막는 '테스트 데이터 보안 전략' 제시

인젠트(대표 박재범)가 개인정보 유출 우려가 커지는 기업환경에 맞춰 테스트 환경에서도 민감 데이터를 안전하게 다루기 위한 해법을 제시한다. 인젠트는 '테스트 데이터 보안 전략' 웨비나를 개최한다고 12일 밝혔다. 최근 디지털 전환과 생성형 AI가 확산되며 기업에서 많은 데이터가 형성되는 만큼 보안 리스크 역시 커지고 있다. 특히 테스트 환경을 구축하거나 데이터를 이관할 때 실제 고객의 데이터를 그대로 복사하는 경우 보안의 사각지대가 발생한다. 데이터 보안에 대한 경각심이 높아지는 가운데 기업들은 개인 정보 보호 체계 강화에 나서는 추세다. 인젠트는 오는 29일 오후 2시부터 3시까지 개최하는 이번 웨비나에서 테스트 데이터 변환 솔루션을 제시할 예정이다. 인젠트 데이터플랫폼 사업그룹의 이용우 이사가 연사로 나서 테스트 데이터 변환 솔루션의 필요성과 인젠트 인포시어-트랜스(infoSeer-Trans)의 통합 기능에 대해 소개한다. 인젠트 인포시어-트랜스는 민감 정보의 변환, 보관, 파기 등 라이프사이클 통합 관리를 통해 안전한 테스트 환경을 구축하는 테스트 데이터 관리(TDM) 전문 솔루션이다. 개인정보를 비식별화하여 변환 결과로부터 원본 데이터 추론이 불가능하기 때문에 테스트 환경에서도 안전하게 사용할 수 있다. 인포시어-트랜스는 이러한 강점을 바탕으로 지난 2월 홈플러스 클라우드 운영데이터 이관 시스템을 구축에 도입됐다. 이번 웨비나는 발표에 이어 홈플러스와 같은 인포시어-트랜스의 실제 활용 사례에 대해 담화를 나누는 테크 토크 시간으로 구성될 예정이다. 웨비나의 참가자는 발표가 진행되는 동안 인젠트 유튜브를 구독하거나 발표가 끝난 후 설문 응답, 상담 신청 등을 통해 이벤트에 참여할 수 있다. 사전 등록은 채널온티비 잇츠맨 웹사이트에서 무료로 가능하여, 자세한 내용은 사전 등록 페이지에서 확인할 수 있다. 인젠트 박재범 대표는 "개인정보보호법이 개정되며 보호 체계 강화가 필수인 시대에 테스트 데이터 변환 솔루션의 중요성을 알리고자 이번 웨비나를 기획하게 됐다"며 "인젠트 인포시어-트랜스는가 고객의 민감 정보 보호와 성공적인 데이터 변환 및 이관에 앞장서겠다"고 밝혔다.

2025.05.12 10:24남혁우

"예전만 못하네"…'챗GPT' 위협하던 中 딥시크, 韓 이용률은 고작 0.56%?

올 초 글로벌 인공지능(AI) 시장을 뒤 흔든 중국 딥시크가 보안 우려로 국내에서 다운로드가 중단됐다 최근 재개됐으나, 인기가 예전만 하지 못한 것으로 나타났다. 저비용·고성능 AI로 높은 관심을 받았지만, 개인정보 유출에 대한 많은 이들의 우려가 여전히 큰 탓이다. 11일 아이지에이웍스 모바일인덱스에 따르면 딥시크의 주간활성이용자(WAU) 수는 신규 다운로드가 재개된 지난달 28일부터 이달 4일까지 3만8천882명을 기록했다. AI 부문 WAU 순위 6위로, 점유율은 0.56%에 불과했다. 주간 신규 설치 수 역시 4천600건으로, 12위에 불과했다. 앞서 딥시크는 한 때 앱 마켓에서 '챗GPT'를 제치고 1위를 차지하기도 했지만, 과도한 개인정보 수집 논란으로 지난 2월 국내에서 신규 다운로드가 금지됐다. 이후 개인정보위원회의 시정 명령을 일부 수용한 뒤 지난달 28일부터 다운로드 서비스를 다시 시작했다. 그러나 딥시크 신규 설치는 재개 첫날부터 시들했다. 지난달 28일 622건을 기록한 후 29일 763건, 30일 865건 등으로 수백 건 정도에 불과했다. 일간활성이용자수(DAU)도 이달 4일 8천678명, 5일 8천824명, 6일 9천322명 등 1만 명을 밑 돌았다. 반면 오픈AI의 '챗GPT'는 점유율 83.92%로 독보적인 1위에 올랐다. WAU는 585만396명으로, 2위인 SK텔레콤의 에이닷(점유율 9.46%·65만9천676명)과 상당한 격차를 벌였다. 퍼플렉시티(5.10%·35만5천797명)과 뤼튼(4.81%·33만5천152명), 마이크로소프트 코파일럿(0.86%·6만174명)은 그 뒤를 이었다. 주간 신규 설치도 39만635건을 기록한 '챗GPT'가 1위를 차지했다. 2위는 구글의 '제미나이'였다. 일각에선 딥시크가 개인정보위의 지적 사항을 수용해 개선책 마련에 나섰지만, 딥시크에 저장된 정보가 여전히 중국 서버에 보관되고 중국 정부가 이를 확인할 법적 근거를 갖추고 있는 등 여전히 중국산 AI에 대한 의심이 있다는 점에서 국내서 파급력을 키우기엔 한계가 있을 것으로 봤다. 업계 관계자는 "딥시크는 현재 보안 우려에 기세가 크게 꺾인 상황"이라며 "챗GPT 수준의 성능을 무료로 제공하는 서비스라는 점은 매력 요소이긴 하지만, 반짝 돌풍에 그친 분위기"라고 말했다.

2025.05.11 21:50장유미

개인정보위, 의료·통신 분야 마이데이터 활용 서비스 공모

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')와 한국인터넷진흥원(원장 이상중)은 마이데이터(개인정보 전송요구권) 제도를 활성화하고, 국민이 체감하는 마이데이터 서비스를 발굴하기 위해 '2025년 마이데이터 서비스 지원사업'을 이달 9일부터 다음달 9일까지 한 달간 공모한다. 마이데이터 제도는 정보주체가 본인에 관한 개인정보를 원하는 곳으로 전송해 본인 의사에 따라 개인정보를 관리하고 활용하는 제도로, 올 3월부터 의료, 통신 분야를 대상으로 우선 시행됐다. 개인정보위와 한국인터넷진흥원은 2024년부터 마이데이터를 활용해 서비스를 제공할 기업·기관을 지원하는 선도서비스 사업을 통해 5개의 서비스를 발굴했고, 컨설팅을 거쳐 지난달부터 순차적으로 서비스를 출시하고 있다. 발굴한 5개 서비스는 '통신요금제 추천 서비스'(한국통신사업자연합회), '여행 추천 서비스'(나이스평가정보), '만성질환 관리 서비스'(가톨릭중앙의료원), '해외 의료지원 서비스'(룰루메딕), '약물비서 서비스'(카카오 헬스케어) 등이다. 올해는 특히, 중소기업과 의료기관을 대상으로 의료·통신 분야 마이데이터 활용 서비스 공모를 추진한다. 최종 선정된 5개 서비스에는 총 19억 원을 지원한다. 공모 유형은 ➀신규 마이데이터 서비스 개발(3개 과제, 과제당 최대 5억 원) ➁기존 마이데이터 서비스 고도화(2개 과제, 과제당 2억 원) 등 두 가지다. 먼저 ➀신규 서비스 개발 유형은 기존에 유사한 내용의 서비스를 출시한 적이 없는 기업·기관을 대상으로 새로운 마이데이터 서비스를 웹이나 앱 형태로 신규 출시하는 경우 참여할 수 있다. 다음으로 ➁기존 서비스 고도화 유형은 기존에 마이데이터 서비스를 출시해여 운영 중인 기업·기관을 대상으로 해당 서비스를 개인정보 보호법(이하 '보호법')에 따른 마이데이터 표준전송체계로 전환하는 경우 참여할 수 있다. 개인정보 보호법에 따라 전송대상요구정보를 활용한 서비스를 출시하려는 기업‧기관은 개인정보관리 일반 전문기관(보건의료전송정보를 제외한 개인정보를 관리·분석) 또는 특수 전문기관(보건의료전송정보를 관리·분석)으로 지정받아야 한다. 참여를 원하는 사업자는 한국인터넷진흥원 전자계약시스템을 통해 신청하면 된다. 사업의 세부요건, 지원사항, 신청 서류 및 방법 등 자세한 사항은 한국인터넷진흥원 누리집(홈페이지)*에서 확인할 수 있다. 사업에 선정된 기업·기관은 시스템 개발 등에 활용할 수 있는 총 19억 원 규모의 정부지원금 외에도 전문기관 지정 컨설팅 및 홍보 지원도 받을 수 있다. 사업 참여를 희망하는 기업·기관을 대상으로 하는 설명회는 오는 13일 오후 3시 한국광고문화회관(송파구 신천동)에서 열린다. 하승철 개인정보위 마이데이터추진단장은 "이번 지원사업은 마이데이터 서비스 준비에 어려움을 겪고 있는 중소기업과 의료기관이 안전하고 신뢰도 높은 마이데이터 전송체계를 기반으로 지속가능한 서비스를 제공할 수 있도록 지원하는 데 목적이 있다"고 밝혔다.

2025.05.09 10:00방은주

"개인정보보호 인증(ISMS-P) 실효성 확보를"···개인정보위, 산업계와 긴급 간담회

개인정보보호위원회(위원장 고학수, 이하 '개인정보위')는 최근 발생한 SK텔레콤(SKT) 고객정보 유출 사고를 계기로 보다 강화된 개인정보 안전관리체계를 마련하기 위해 한국CPO협의회(회장 염흥열)와 함께 9일 오전 한국프레스센터에서 정책간담회를 개최했다. 간담회에는 개인정보위에서 양청삼 개인정보정책국장, 신기술개인정보과장, 자율보호정책과장 등 5명이, 협의회에서는 염흥열 회장과 한국CPO협의회 부회장사 소속 CPO 등 19명이 참석했다. 한국CPO협의회 부회장사는 카카오, LG유플러스, KT, 쿠팡, 삼성전자, LG전자, 비바리퍼블리카, 국민은행, 삼성화재, 메타코리아, 넷마블, 삼성서울병원, 국립암센터, 한국전력공사, 국민건강보험공단, 한국교통안전공단, 한국인터넷진흥원 등이다. 이번 회의에서 참석자들은 개인정보 침해사고 발생 시 국민과 기업의 피해 최소화를 위한 개인정보 안전관리 체계 강화 필요성에 대해 인식을 같이하고 구체적인 실행방안을 논의했다. 먼저, 개인정보 처리가 수반되는 제품 및 서비스에 대한 개인정보 유·노출 취약점 사전점검 분석 기능을 강화하고, 개인정보보호 인증(ISMS-P) 제도의 실효성 확보와 함께 암호화 대상 정보 항목의 명확화 등 안전성 확보조치 강화 방안 등이 언급됐다. 또, 다크웹 모니터링 강화 등 정보주체 및 유출사고 피해자에 대해 신속하고 실효성 있는 구제체계 마련과 관련한 의견도 제기됐다. 마지막으로, 공공·민간의 개인정보보호 기반과 개인정보처리자의 내부 통제를 강화하기 위해 인력·조직·예산 등 인적·물적 자원의 최소기준 명확화, 개인정보 보호책임자 지정신고제 및 신분보장 등을 통한 위상 제고 방안 등이 거론됐다. 개인정보위는 이번 간담회에서 논의한 내용을 바탕으로 협의회와 함께 오는 21일 주요 공공기관·민간기업을 대상으로 정책포럼을 개최하고 개인정보 안전관리체계 강화 방안에 대해 추가적인 의견수렴을 거쳐 이달 말까지 관련 대책을 마련할 계획이다.

2025.05.09 09:39방은주

피규어·지브리 프사 만들기?…"챗GPT 개인정보 유출 위험"

인공지능(AI) 챗봇 '챗GPT'로 유행 따라 사진을 피규어나 일본 지브리스튜디오 애니메이션처럼 만들다가는 개인정보를 털릴 수 있다고 미국 잡지 와이어드는 1일(현지시간) 보도했다. 운영사 오픈AI는 새로운 GPT-4o 기반 이미지 생성기로 챗GPT의 사진 편집, 텍스트 렌더링 기능을 키웠다고 와이어드는 평가했다. 챗GPT 무료 계정과 사진만 있으면 재미있고 쉽게 이미지를 만들 수 있다. 그러나 피규어나 지브리 같은 그림을 만들려면 오픈AI에 많은 정보를 넘겨야 한다고 와이어드는 지적했다. 오픈AI는 이 정보로 인공지능을 학습시킬 수 있다. 유럽 OPIT(Open Institute of Technology)의 톰 바즈다 사이버보안학과장는 “챗GPT에 사진을 올릴 때마다 메타데이터 덩어리를 넘겨주는 셈”이라며 “사진 촬영 시간, 촬영 장소의 (GPS) 좌표 등 그림 파일에 첨부된 정보가 포함된다”고 말했다. 메타데이터(Metadata)란 다른 정보를 나타내는 정보를 뜻한다. 오픈AI는 챗GPT에 접속하는 기기 정보도 모으는 것으로 알려졌다. 기기 유형, 운영 체제, 브라우저 버전, 고유 식별자 등이다. 바즈다 학과장은 “챗GPT는 대화하듯 작동하기에 입력한 내용, 요청한 그림 종류, 인터페이스와의 상호 작용 방식, 동작 빈도와 같은 행동 정보도 수집한다”며 “생성형 AI를 훈련하는 금광”이라고 표현했다. 얼굴만 그런 게 아니다. 위험 관리 회사 GRC인터내셔널그룹의 캠든 울븐 AI제품 마케팅 책임자는 “고해상도 사진을 올리면 피사체뿐 아니라 배경, 다른 사람, 방 안의 물건, 문서처럼 읽을 수 있는 모든 것을 오픈AI에 주는 격”이라고 설명했다. 오픈AI는 생성형 AI를 학습시키려고 개인정보를 적극적으로 수집하지 않으며 인터넷 공개 정보로 사용자 프로필을 구축하고 광고하거나 정보를 팔지 않는다고 와이어드에 밝혔다. 그러나 오픈AI의 개인정보 보호 정책에 따라 챗GPT로 올라온 이미지는 보관되고, 생성형 AI를 개선하는 데 쓰일 수 있다고 와이어드는 비판했다. 챗GPT에서 정보를 지킬 가장 효과적인 방법은 채팅 기록을 끄는 일이라고 와이어드는 소개했다. 파일에서 메타데이터를 지우고 올려도 좋다. 사진 편집 도구를 쓰면 된다. 바즈다 학과장은 “사용자는 민감한 개인정보를 챗GPT에 쓰지 말고 정보를 알 수 있는 배경이 있는 사진이나 단체 사진은 올리지 말아야 한다”며 “이렇게 하면 내 정보가 챗GPT 훈련에 쓰이지 않도록 할 수 있다”고 조언했다.

2025.05.03 07:48유혜진

"SKT, 정보유출 가능성 있는 모든 이용자에 통지해야"

SK텔레콤 해킹 사고와 관련해 과기정통부가 1일 5가지 추가 조치를 촉구한데 이어 2일 개인정보위가 3가지 조치를 지시했다. 또 개인정보위는 SKT 개인정보 처리와 관련해 개별시스템들에 대한 전수조사를 신속히 추진하고 있으며, 이를 통해 정확한 유출 경위 및 추가 유출사실이 없는지 확인하고 있다면서 사업자의 안전조치 의무 준수 여부 등 보호법 상 위반사항을 중점 조사, 위반사항에 대해서는 엄정히 처분하고 재발 방지에 최선을 다할 계획이라고 2일 밝혔다. 개인정보위는 이날 오전 8시 전체회의를 긴급히 개최, 사고 경위와 SKT의 그간의 대응상황을 점검했다. 점검 결과, SKT는 자사 고객의 유심(USIM)정보가 유출된 정황을 인지하고 유출신고는 했지만 홈페이지에 고객 일부 정보가 유출된 것으로 추정된다는 내용의 전체 공지만 했을 뿐, 현재까지 개인정보보호법(보호법)에 따른 법정사항을 포함해 정보주체에게 유출 사실을 개별 통지하지 않은 사실을 확인했다고 밝혔다. 보호법에 따른 법정사항은 1. 유출된 개인정보 항목 2. 유출된 시점과 그 경위 3. 유출 피해 최소화 방법 4. 개인정보처리자의 대응 조치 및 피해 구제절차 5. 피해신고 접수 부서 및 연락처 등(보호법 제34조제1항)이다. 개인정보위는 "SKT측이 사고 이후 전체 이용자에게 개별 문자 발송 사실이 있으나, 본 사고에 대한 사과문과 유심보호서비스, 유심교체에 관한 내용만 기재되어 있는 것으로 확인됐으며, 이와 관련해 개인정보위로도 민원 접수가 급증하고 있다"고 설명했다. 보호법 상 사업자는 개인정보 유출 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하도록 규정하고 있다. 개인정보위는 "그러나, SKT가 피해방지 대책으로 마련한 유심보호서비스 및 유심교체는 유심 물량 부족, 서비스 처리지연 등으로 원활하게 이뤄지지 않아 국민적 혼란과 불만이 가중되고 있다"면서 "또한 서비스 가입이나 유심교체가 모바일이나 현장방문을 통해서만 가능해 고령층·장애인 등 취약계층이 접근하기 어려운 문제가 발생하는 등 유출 피해 방지대책이 미흡한 것으로 확인됐다"고 덧붙였다. 이에, 개인정보위는 이번 사고로 인한 유출 피해를 최소화하고, 개인정보 자기결정권·선택권 보장 및 국민적 불안감을 해소하기 위해 SKT에 세 가지 조치를 즉각 실시할 것을 심의, 의결했다. 세 조치는 첫째, 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대해 법정 사항을 갖춰 신속히 유출 통지를 할 것과 둘째, 고령자·장애인 등 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련을 할 것(기존 유심보호서비스, 유심교체 외 이심(esim), 사업자 변경 등 다양한 대책 포함) 셋째, 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해 전담 대응팀을 확대, 사태가 완전히 해결될 때까지 운영할 것 등이다. 개인정보위는 SKT에 7일 이내에 이 같은 조치결과를 제출하도록 했다. 또 이행상황을 지속적으로 점검해 국민 불편과 불안 해소에 집중할 예정이다. 아울러, 다양한 채널을 통해 SKT 이용자가 개인정보를 보호할 수 있는 방법(붙임)을 안내해 나감으로써 등 국민들이 안심하고 일상생활을 할 수 있도록 지원할 예정이다. 한편 개인정보위보다 하루 앞서 과기정통부는 1일 SK텔레콤에게 해킹사고와 관련해 행정지도 차원에서 아래와 같은 5가지 조치를 촉구했다. 첫째, 국민들이 상황을 납득하고 안심 할 수 있도록 일일 브리핑 등을 통해 현 상황을 국민 입장에서 쉽게 설명하고, 정보를 투명하게 공개 둘째, 유심 교체 물량 부족 문제를 해결하기 위해, 유심 물량 공급이 안정화 될 때까지 이동통신 서비스 이용자 신규모집을 전면 중단 셋째, SKT가 과학기술정보방송통신위원회에서 밝힌 일부 계층에 대한 유심보호서비스 일괄 적용 방안의 이행계획을 제출하고, SKT의 해킹사고에 따른 이용자 피해발생 시 100% 보상을 책임지는 방안도 국민께 구체적이고 적극적으로 설명 넷째, 각계 소비자단체 등에서 제기하는 위약금 면제, 손해배상, 피해보상 시 입증책임 완화 등을 검토하고, 이용자 피해 보상 방안을 마련하여 이행 다섯째, 최근 SKT의 잦은 영업전산 장애가 발생. SKT는 장애 발생시 즉각적인 상황공유와 신속한 복구를 통해 번호이동 처리가 지연되지 않도록 조치 여섯째, 5월초 연휴기간 출국자들이 공항에서 유심 교체를 위해 오래 대기하는 불편이 발생하지 않도록 지원인력 대폭 확대

2025.05.02 15:08방은주

개보위, 잇달은 해킹에...대규모 개인정보처리 31곳과 긴급 회의

SK텔레콤, 알바몬 등 해킹 사고가 잇달아 발생하고 있는 가운데 개인정보보호위원회(위원장 고학수, 이하 '개인정보위')가 고객정보 유출 사고에 따른 국민적 불안감을 해소하고 강화된 안전조치 이행 등 대응방향을 논의하기 위해 2일 오전 양청삼 개인정보정책국장 주재로 '대규모 개인정보처리자 긴급 점검 회의'를 개최했다. 개인정보위는 이번 연휴기간 동안 국민이 안심할 수 있게 정부 당국과 한국인터넷진흥원 등 유관기관 간 비상연락체계를 가동하고 긴밀한 공조를 통해 개인정보 이슈 발생 시 이를 공유하고 신속히 대응해 나갈 계획이다. 또 한국CPO협의회와 함께 오는 9일 주요 공공기관·민간기업을 대상으로 간담회를 개최, 개인정보 안전관리체계 강화 방안과 추가적인 제도 개선 사항을 논의하고 이달말까지 관련 대책을 마련할 예정이다. 2일 회의에는 한국CPO협의회 등 유관 단체와 플랫폼 사업자와 통신사업자 등 대규모 개인정보처리 회사 31곳이 참여했다. 이번 회의에서 참석자들은 개인정보 침해사고 예방을 위한 보안현황 점검, 상시 모니터링 체계 가동 등 자사의 개인정보 안전관리체계 강화조치와 관련한 대응현황을 공유하는 한편 향후 유출 사고에 대비해 유관기관 간 긴밀한 협력체계를 구축하고 공조 필요성에 논의했다. 개인정보위는 먼저 사업자들에게 SKT 유출사고에 대응해 개인정보취급자에 대해 유심(USIM) 교체·보호서비스 가입 권고 및 보조 인증수단 적용, 비정상 접근시도 탐지체계 강화, 개인정보처리시스템에 대한 취약점 검검 등 강화된 보호조치를 이행하도록 당부했다. 개인정보위는 정보주체·기업 등에 대한 2차 피해를 방지하기 위해 주요 인터넷서비스사업자(ISP), 한국인터넷진흥원과 함께 다크웹 등 인터넷상 휴대전화번호 등의 개인정보 유노출이나 불법유통에 대한 긴급 모니터링 체계를 운영하기로 했다. 나아가, 개인정보위는 중앙행정기관·지자체 등 주요 공공기관과 한국CPO협의회, 개인정보보호협회·한국인터넷기업협회 등 자율규제단체를 통해 각 기관에서 개인정보 보호책임자(CPO)를 중심으로 주요 개인정보 처리시스템에 대한 상시 모니터링을 강화하도록 안전조치 사항을 알렸다. 특히, 개인정보위는 이번 연휴기간 동안 국민이 안심할 수 있도록 정부 당국과 한국인터넷진흥원 등 유관기관 간 비상연락체계를 가동하고 긴밀한 공조를 통해 개인정보 이슈 발생 시 이를 공유하고 신속히 대응해 나갈 계획이다. 또 한국CPO협의회와 함께 9일 주요 공공기관·민간기업을 대상으로 간담회를 개최, 개인정보 안전관리체계 강화 방안과 추가적인 제도 개선 사항을 논의하고 이달말까지 관련 대책을 마련할 예정이다. 양청삼 개인정보정책국장은 “이번 SKT 사건은 인공지능 심화 시대의 신뢰 기반이 무너질 수 있는 중대한 사안으로, 각 사에서는 경각심을 가지고 추가 피해가 발생하지 않도록 적극적 안전조치 및 모니터링에 철저를 기해주길 바란다"고 밝혔다.

2025.05.02 10:17방은주

알바몬 회원 2만2천여명 임시 이력서 정보 털렸다

아르바이트 구직 플랫폼 알바몬에서 가입자 개인정보 유출 사고가 발생했다. 알바몬은 지난 4월 30일 시스템에 대한 비정상적인 접근 시도를 즉각 감지해 차단했지만, 일부 회원의 임시 저장된 이력서 정보가 외부로 유출된 사실을 확인했다고 2일 공지했다. 알바몬에 따르면 이번 사고로 유출된 개인정보는 총 2만2천473건에 이르며, 이름, 휴대폰번호, 이메일 주소 등 이력서 작성 페이지에 임시 저장된 정보가 포함됐다. 다만 아이디와 비밀번호는 유출되지 않았다. 알바몬은 해킹 시도가 확인된 즉시 공격에 사용된 계정과 IP를 차단하고 보안 취약점을 긴급 보완했다고 설명했다. 회사 측은 “현재 동일한 방식의 해킹 시도는 원천 차단된 상태”라며 “실시간 모니터링을 강화해 추가 피해를 막고 있다”고 덧붙였다. 또한 회사는 개인정보보호위원회에 5월 1일 자진 신고했다고 설명했다. 알바몬은 같은 날 해당 회원들에게 이메일을 통해 개별 통지했으며, 개인정보 유출 여부를 확인할 수 있는 전용 웹페이지와 문의 창구를 마련했다. 알바몬은 “회원님의 소중한 정보를 지키는 것은 무엇보다 중요한 책임”이라며 “이번 사건을 계기로 보안 시스템을 전면 점검하고, 외부 해킹 및 계정 탈취 시도에 대한 상시 탐지 체계를 한층 강화할 것”이라고 밝혔다. 회사 측은 유출 피해를 입은 회원들에게 이메일과 문자 메시지를 통해 별도의 보상안을 안내할 예정이라고 했다. 또한 개인정보 유출로 인한 피해가 발생했을 경우 개인정보분쟁조정위원회를 통해 분쟁 조정을 신청할 수 있다고 공지했다. 알바몬은 이용자들에게 비밀번호 변경과 의심스러운 이메일·문자 확인 시 주의를 당부했다. 그러면서 “같은 비밀번호를 다른 사이트에서도 사용 중이라면 함께 변경하고, 피싱·스미싱 시도를 경계해 달라”며 "신뢰를 회복하기 위해 최선을 다하겠다”며 거듭 사과했다.

2025.05.02 08:46안희정

"개인정보 유출 기업이 불법유통 추적해야"

더불어민주당 이정문 의원이 개인정보 유출 기업과 기관의 사후 책임을 강화하는 개인정보 보호법 개정안을 대표발의 했다고 1일 밝혔다. 최근 SK텔레콤 사이버 침해사고를 비롯해 대규모 개인정보 유출 사고가 반복되고 있으나, 현행 개인정보보호법에는 유출된 개인정보의 불법유통을 추적하고 확산을 방지하는 사후 조치에 대한 의무는 없다. 이에 따라 개정안은 일정 규모 이상의 개인정보 유출 사고 발생 시 기업에 추가적인 의무를 부과하는 내용을 담았다. 구체적으로 ▲1천명 이상의 정보주체에 관한 개인정보 유출 ▲민감정보, 고유식별정보 유출 ▲개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의한 개인정보 유출 시 2년간 유출된 정보의 불법유통 여부를 모니터링하고 모니터링 결과를 개인정보보호위원회에 보고하도록 의무화했다. 모니터링 미이행 또는 보고 의무 위반 시 3천만원 이하의 과태료 부과 조치도 마련했다. 아울러 유출된 개인정보가 불법 유통되는 것을 확인한 경우 정보를 유통하는 자를 수사기관에 고발하도록 하고, 개인정보 유출로 피해를 입은 정보주체가 해당 정보의 불법유통 의심 시 개인정보보호위원회 등 전문기관에 신고할 수 있는 법적 근거를 마련했다. 이정문 의원은 “개인정보 유출로 인한 피해는 단순히 유출 자체에서 그치지 않고, 2차·3차 피해로 확산되는 경우가 많다”며 “기업과 공공기관들이 개인정보 유출 이후에도 지속적으로 유출된 정보에 대한 책임을 지고 사후 관리를 철저히 하도록 하는 것이 개정안의 취지”라고 밝혔다. 이어 “개인정보를 수집하는 기업과 공공기관은 정보의 안전한 보호뿐만 아니라 유출사고 발생 시 사후 확산 방지에도 책임을 다해야 한다”면서 “이번 개정안을 통해 SK텔레콤의 대규모 개인정보 유출 초기 대응실패와 무책임한 대응과 같은 상황을 방지해 국민의 피해를 최소화하는 데 기여할 것”이라고 강조했다.

2025.05.01 12:46박수형

Prev 1 2 3 4 5 6 7 8 9 10 Next