검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'개인 정보 유출'통합검색 결과 입니다. (29건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

아디다스도 고객정보 털렸다...이름·전화번호·생일·주소까지

아디다스가 고객의 이름·이메일주소·전화번호 등 개인 정보를 탈취당했다. 스포츠 브랜드 아디다스는 16일 "최근 제3자 고객 서비스 제공업체를 통해 일부 소비자 데이터에 대해 비인가된 접근이 있었음을 확인했다"며 "즉각적으로 정보 보안 전문업체들과 협력해 포괄적인 조사를 진행하고, 관계 당국에도 해당 사실을 보고했다"고 공지했다. 현재까지 아디다스의 조사 결과에 따르면 침해된 데이터는 지난해 혹은 그 이전에 아디다스 고객센터를 통해 문의한 일부 소비자들의 정보다. 이름과 이메일 주소, 전화번호, 그리고 일부 고객의 생년월일 및 주소가 포함된 것으로 파악된다. 아디다스는 "비밀번호나 결제 관련 정보와 같은 금융 정보 등은 포함돼 있지 않았다"며 "(해킹) 영향을 받은 소비자에게 선제적으로 개별 안내를 완료했다"고 말했다. 또 "소비자의 정보 보호와 보안 유지를 위해 최선을 다하고 있으며, 향후 유사한 사고 방지를 위해 추가적으로 보안 조치를 강화했다"고 설명했다.

2025.05.16 17:40류승현

인젠트, 개인정보 유출 막는 '테스트 데이터 보안 전략' 제시

인젠트(대표 박재범)가 개인정보 유출 우려가 커지는 기업환경에 맞춰 테스트 환경에서도 민감 데이터를 안전하게 다루기 위한 해법을 제시한다. 인젠트는 '테스트 데이터 보안 전략' 웨비나를 개최한다고 12일 밝혔다. 최근 디지털 전환과 생성형 AI가 확산되며 기업에서 많은 데이터가 형성되는 만큼 보안 리스크 역시 커지고 있다. 특히 테스트 환경을 구축하거나 데이터를 이관할 때 실제 고객의 데이터를 그대로 복사하는 경우 보안의 사각지대가 발생한다. 데이터 보안에 대한 경각심이 높아지는 가운데 기업들은 개인 정보 보호 체계 강화에 나서는 추세다. 인젠트는 오는 29일 오후 2시부터 3시까지 개최하는 이번 웨비나에서 테스트 데이터 변환 솔루션을 제시할 예정이다. 인젠트 데이터플랫폼 사업그룹의 이용우 이사가 연사로 나서 테스트 데이터 변환 솔루션의 필요성과 인젠트 인포시어-트랜스(infoSeer-Trans)의 통합 기능에 대해 소개한다. 인젠트 인포시어-트랜스는 민감 정보의 변환, 보관, 파기 등 라이프사이클 통합 관리를 통해 안전한 테스트 환경을 구축하는 테스트 데이터 관리(TDM) 전문 솔루션이다. 개인정보를 비식별화하여 변환 결과로부터 원본 데이터 추론이 불가능하기 때문에 테스트 환경에서도 안전하게 사용할 수 있다. 인포시어-트랜스는 이러한 강점을 바탕으로 지난 2월 홈플러스 클라우드 운영데이터 이관 시스템을 구축에 도입됐다. 이번 웨비나는 발표에 이어 홈플러스와 같은 인포시어-트랜스의 실제 활용 사례에 대해 담화를 나누는 테크 토크 시간으로 구성될 예정이다. 웨비나의 참가자는 발표가 진행되는 동안 인젠트 유튜브를 구독하거나 발표가 끝난 후 설문 응답, 상담 신청 등을 통해 이벤트에 참여할 수 있다. 사전 등록은 채널온티비 잇츠맨 웹사이트에서 무료로 가능하여, 자세한 내용은 사전 등록 페이지에서 확인할 수 있다. 인젠트 박재범 대표는 "개인정보보호법이 개정되며 보호 체계 강화가 필수인 시대에 테스트 데이터 변환 솔루션의 중요성을 알리고자 이번 웨비나를 기획하게 됐다"며 "인젠트 인포시어-트랜스는가 고객의 민감 정보 보호와 성공적인 데이터 변환 및 이관에 앞장서겠다"고 밝혔다.

2025.05.12 10:24남혁우

SKT 유심 정보 유출 피해자들 집단소송 준비…2만명 돌파

SK텔레콤 내부 시스템 해킹으로 이용자 유심(USIM) 정보 일부가 유출되면서 피해자들이 집단소송에 나섰다. 가입자들은 온라인 카페를 중심으로 집단 대응에 속도를 내고 있다. 28일 업계에 따르면, 전날 포털사이트 네이버에 'SK텔레콤 개인정보 유출 집단소송 카페'가 개설됐다. 카페는 개설 하루 만에 가입자가 급격히 늘어나 28일 오전 10시 기준 약 8천500명에서 오후 2시 기준 2만명을 돌파했다. 카페 운영진은 '우리의 개인정보, 우리가 지킵시다'를 슬로건으로 내걸고 집단소송 참여자 모집, 피해 사례 공유, 2차 피해 예방을 위한 활동을 진행하고 있다. 운영진은 "유심 정보는 단순한 통신 정보가 아니다"며 "복제폰 개통, 보이스피싱, 금융 사기 등 2차 피해로 이어질 수 있는 심각한 개인정보 침해"라고 강조했다. 이어 "SK텔레콤이 유출 사실을 인지한 후 악성코드를 삭제하고 의심 장비를 격리 조치했지만, 피해 범위나 규모는 아직 명확히 밝혀지지 않았다"며 "정부와 관계 당국이 비상대책반을 꾸려 전면 조사를 진행하고 있지만, 피해자들은 여전히 불안에 떨고 있다"고 지적했다. 카페 게시판에도 "직접 유심을 바꾸러 가야 하는 불편을 겪고 있다", "유심도 부족하다"는 불만이 이어지고 있다. 집단소송 참여 의사를 밝히는 글도 3천건 이상 올라왔다. 카페 측은 집단소송 준비뿐만 아니라 SK그룹 관련 상품에 대한 불매운동도 추진하고 있다. 또한 별도로 'SKT 유심 해킹 공동대응 공식 홈페이지'도 개설됐다. 이들은 국회 국민동의 청원을 통해 철저한 진상규명과 피해 규모 파악, SK텔레콤의 책임 있는 대응, 정부의 실효성 있는 피해 구제 및 재발 방지책 마련을 요구하고 있다. 청원은 5만명 이상의 동의를 목표로 진행 중이다.

2025.04.28 14:33최이담

이번엔 SKT 해킹···전문가 "서버 보호 대책 미흡했을 것"

SK텔레콤(SKT)에 해킹 사건이 발생했다. 악성 코드가 심어져 이용자 유심(USIM)과 관련한 일부 정보가 유출된 정황이 확인됐다. 유심은 통신망에서 개인을 식별하고 인증하는 정보를 저장하는 매체다. 이동통신사는 국내 최고 수준으로 보안에 신경쓰는 것으로 알려졌다. 하지만 해커는 약점을 파고들었다. 전문가들은 기업과 소비자 모두 지속적으로 관심을 갖고 사고를 예방해야 한다고 입을 모았다. SK텔레콤은 19일 오후 11시경 해커에 의한 악성코드로 인해 자사 고객의 유심 관련 일부 정보가 유출된 정황을 확인했다고 22일 밝혔다. 유출 가능성 인지 후 SK텔레콤은 즉시 해당 악성코드를 삭제하고 해킹 의심 장비를 격리 조치했다. 한국인터넷진흥원(KISA)에 침해 사고 사실을 20일 신고했고, 개인정보보호위원회에도 22일 오전 10시 알렸다. 이에, 개인정보위는 즉각 조사에 착수했다고 발표했다. 과기정통부도 피해 현황 및 사고원인 조사 등을 진행하고 있다고 밝혔다. 또 과기정통부는 개인정보 유출 가능성 등 피해 현황과 보안취약점 등 사고 중대성을 고려, 면밀한 대응을 위해 과기정통부 정보보호네트워크정책관을 단장으로 하는 비상대책반도 구성했다. 필요시 민관합동조사단을 구성하고 심층적인 원인분석 및 재발방지 대책 마련을 추진할 방침이라고 밝혔다. 시스템 침입 경로, 해킹 방식, 서버 보안 취약점 등 사고 원인 결과가 나오려면 며칠이 걸릴 전망이다. “신종기법인지 여부는 조사 결과 두고봐야" 정보보호 전문가들은 서버에 악성 코드가 심어져 SKT가 해킹당한 것으로 추정했다. 한국정보보호학회 공급망보안연구회를 이끄는 이만희 한남대 정보보호학과 교수는 이날 지디넷코리아와의 통화에서 “지금껏 알려진 바로는 SKT 내부 시스템에 악성 코드가 설치돼 해킹됐다”며 “보안 취약점이 원인이 될 수 있고, 사회 공학적인 기법일 수도 있고, 공급망 공격까지 가능한 점을 미뤄 보면 무한한 공격 기법이 있다”고 말했다. 이 교수는 “신종 기법이라면 어쩔 수 없지만 쉽게 막을 수 있던 공격이라면 기업의 보안 관행이 문제일 수 있다”며 “조사 결과를 봐야 판단할 수 있다”고 설명했다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “SKT 가입자의 유심 관련 정보를 저장한 서버가 해킹된 것 같다”며 “고객 인증·식별 정보를 보관하는 서버 보호 대책이 기술·관리·조직적으로 미흡해 뚫린 것 같다”고 추정했다. 국내 한 정보보호 기업 관계자는 “통신사는 높은 수준으로 보안하지만 완벽할 수는 없기에 공격자가 보안 요소 중 가장 약한 '사람'을 노린다”며 “기업 담당자가 자주 바뀔뿐더러 보안 교육 받은 사람이라도 방심하는 일이 잦다”고 지적했다. “기업, 유심 복제 막고 지속 투자해야” 전문가들은 기업에 지속적인 관심과 투자를 주문했다. 염흥열 CPO협의회장은 “SKT가 과학기술정보통신부·한국인터넷진흥원(KISA)과 정확한 유출 원인, 규모, 항목 등을 조사하고 있다”며 “불법 유심으로 기기를 변경하거나 비정상적으로 인증하는 시도를 막아야 한다”고 주장했다. 특히 “최악의 경우 유심을 복제할 수 있다”며 “어느 고객 유심이 다른 휴대폰에 장착되더라도 못 쓰게 하는 '유심 보호 서비스'를 적용해야 한다”고 강조했다. 고객 유심을 통신사가 바꿔주는 대책도 언급했다. 한 보안 기업 대표는 “대기업은 보안에 많이 투자했지만 여전히 사고가 난다”며 훈련 – 암호화 및 백업 – 취약점 분석 – 태세 관리로 지속적으로 보안을 챙겨야 한다고 주문했다. 또 다른 보안 회사 대표는 “도둑은 가장 가벼우면서도 돈이 되는 물건을 훔친다”며 “기업에서 가장 중요한 물건은 정보(데이터)”라고 분석했다. 기업은 데이터를 백업하고 암호로 숨겼는지 자주 살펴야 한다는 입장이다. 그는 “기업이 매년 보안 훈련한다지만, 조사해 보면 1년에 한두 번 훈련한다는 답이 80%”라며 “진정 훈련했다고 할 수 있느냐”고 되물었다. 그는 “많은 돈을 들인 성벽이 오래되면 구멍이 날 수 있어 잘 점검해야 한다”며 “보안 인프라 투자와 함께 임직원 훈련을 함께 해야 한다”고 조언했다. 이만희 교수는 “해킹 기법은 날마다 발전한다”며 “기밀과 사용자 개인정보를 관리하는 모든 기업은 최신 보안 기술을 써야 한다”고 지적했다. 공급망 보안도 그런 예로, 미리 준비하거나 빠르게 도입하면 그만큼 안전하지만 의무가 될 때까지 기다리면 늦어버린다는 의견이다. 이 교수는 “기업은 보안이 컴플라언스를 위한 비용이 아닌 신뢰를 높이는 투자로 생각해야 한다”며 “담당자도 지속적으로 교육할 필요가 있다”고 했다. “소비자, 유심 보호 무료 서비스 쓰세요” 소비자는 유심 보호 서비스를 쓰는 한편 평소 출처를 알 수 없는 링크를 누르지 않는 게 좋다. 염흥열 교수는 “'유심 보호 서비스'를 고객은 무료로 쓸 수 있다”며 “유심이 복제되지 않게 막아야 한다”고 말했다. 이만희 교수는 “한국의 많은 기업이 정보보호 관리 체계(ISMS·Information Security Management system) 인증을 받는 등 노력하고 있다”며 “소비자는 이런 기업 제품을 쓰는 게 저렴한 외산 제품을 선택하는 것보다 개인정보 유출 우려가 확률적으로 덜하다”고 주장했다. 이어 “문자메시지(SMS)나 이메일에 포함된 링크는 가급적 누르지 말아야겠다”고 덧붙였다. 국내 정보보호 기업 관계자 역시 “꾸준히 훈련하는 수밖에 없다”며 “이메일 첨부 파일이나 문자 링크를 무심코 누르지 않는 게 기본”이라고 조언했다.

2025.04.22 20:15유혜진

ISMS-P 인증 뭐기에…의무도 아닌데, 하겠단 금융사

금융 정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 인증을 받으려는 금융사가 해마다 늘고 있다. 의무도 아닌데 스스로 까다로운 심사를 통과하겠다고 나선다. 금융 ISMS-P는 금융권에 맞춘 ISMS-P 인증이다. 전자금융거래법, 신용정보법 등 금융 정보보호 및 개인(신용)정보 보호 관련 법령을 반영한다. 금융권은 다른 산업보다 민감한 개인(신용)정보와 금융 정보를 많이 다루기 때문에 침해 사고나 개인정보 유출 사고가 터지면 충격이 상당하다. 보다 높은 수준의 보안과 규제가 요구되는 이유다. 8일 금융보안원에 따르면 금융 ISMS-P 인증은 2015년 27건으로 시작해 지난해 128건으로 5배 성장했다. 금융보안원이 금융권에 알맞은 ISMS-P를 인증한다. 나머지 산업이나 전반적인 인증 품질은 한국인터넷진흥원(KISA)이 관리한다. 오중효 금융보안원 상무는 지난달 27일 서울 여의도 금융투자협회에서 열린 'ISMS-P 인증 설명회'에서 “인공지능이나 가상자산 환경이 바뀌면서 인증 수요가 더 늘 것”이라고 말했다. 의무 아니지만 “이만큼 잘해요” 금융회사는 법적으로 ISMS-P 인증 의무가 아닌데도 은행·증권·카드·보험사 뿐만 아니라 핀테크 기업도 자발적으로 인증 받으려는 사례가 늘고 있다고 금융보안원은 전했다. 최지훈 금융보안원 선임심사원은 지난달 설명회에서 “금융권은 ISMS-P 인증이 의무가 아니다”라면서도 “디지털 금융과 자율 보안이 확산돼 인식 수준이 높아졌다”고 분석했다. 핀테크∙오픈뱅킹, 마이데이터, 간편결제 등 디지털 금융이 자리잡으며 보안을 강화할 필요가 있어서다. 이런 환경에서 '우리 회사가 이만큼 금융 보안에 신경쓴다'고 소비자에게 증명할 수 있다. 금융회사가 자율적인 보안 활동을 하되 결과에 대한 책임은 무거워진 점도 내부 보안 관리 체계를 높이는 이유로 꼽힌다. 금융권 형님답게 은행이 선도 금융보안원은 은행이 금융권 디지털 전환을 이끌면서 ISMS-P 인증도 선도하고 있다고 평가했다. 주요 시중은행은 인터넷뱅킹 말고도 마이데이터, 금고 시스템, 전자 서명 인증 등 주요 서비스에 맞는 인증서 2~4개를 취득∙유지하는 것으로 알려졌다. 최근에는 다른 업권보다 디지털 전환이 조금 늦은 면이 있는 생명보험사도 인증을 취득하고 있다며 금융투자, 카드∙캐피털사가 인증 받는 사례도 늘어나는 추세라고 금융보안원은 설명했다. 실제로 기자가 지난달 27일 금융투자협회에서 열린 설명회에 갔더니 대부분 금융투자회사 담당자들이 참석한 모양새였다. 수집-이용-파기 단계별 정보 보호 금융보안원은 특히 전자금융감독규정과 신용정보업감독규정 등 금융권에 특화한 심사 항목으로 금융 보안 규제 준수 여부를 심사한다. 금융사가 세운 (개인)정보 보호 정책과 지침, 절차 등을 체계적으로 시행하는지 따진다. 개인(신용)정보를 수집-보유∙이용-제공-파기하는 단계별로 보호 조치를 적절하게 하는지, 수탁사 같은 외부 위탁 관리 실효성은 있는지도 확인한다. 최 심사원은 “지난해 128건 심사하면서 기업당 결함을 평균 9개씩 발견했다”며 “기업은 결함 개수에 연연하지 말고, 이 결함이 나온 원인과 재발 방지 대책을 신경써야 한다”고 강조했다. 개발자와 운영자, 개인정보 취급자 직무별로 시스템에 접속하는 방식이 다르면서도 시스템 흐름도를 보면 이런 사실을 알 수 없는 경우가 지적받았다. 정보보호 운영 인력이 정보보호 예외 정책을 스스로 승인해도 잘못이다. 개인정보 열람 요구서와 위임장 등에 주민등록번호를 요구해서도 안 된다. '내 정보 잘 지키나' 소비자 선택 기준 금융소비자 입장에서는 (개인)정보 보호 관리 체계를 제대로 갖췄는지 금융사 선택 기준으로 ISMS-P를 삼을 수 있다. 보안 사고를 예방하고, 사고가 나더라도 빠르게 복구하는 금융사를 이용하면 피해가 최소화될 것으로 금융보안원은 기대했다.

2025.04.08 15:09유혜진

오픈소스 AI 잇달아 등장···보안은?

중국 인공지능(AI) 스타트업이 만든 고성능 AI 제품 '딥시크(DeepSeek)'가 미국 오픈AI의 '챗GPT'보다 저렴한 비용으로 개발됐다는 소식이 세상을 놀라게 했다. 특히 딥시크는 오픈소스로 공개, 더 화제를 모았다. 오픈소스 소프트웨어는 소스 코드를 공개해 누구나 그 코드를 보고 쓸 수 있는 소프트웨어를 뜻한다. 하지만 딥시크는 정보가 빠져나갈 수 있다는 우려도 함께 낳았다. 미국은 해군이 발빠르게 딥시크를 못 쓰게 막았고, 한국도 국방부·외교부·산업통상자원부·과학기술정보통신부 등과 KB국민은행·하나은행·우리은행·케이뱅크 등 은행, 현대자동차그룹 등 기업이 금지했다. 개인정보위원회는 딥시크 사용을 공식적으로 금지하기도 했다. 국가정보원은 딥시크를 검증했더니 ▲과도하게 개인정보를 수집하고 ▲입력 정보를 학습 정보로 쓰며 ▲광고주와 정보를 공유하는 한편 ▲국외 서버에 저장하는 문제점을 확인했다고 밝혔다. 딥시크의 보안 우려는 오픈소스를 사용했기 때문이기도 하다. 오픈소스를 사용한 AI는 보안에 안전할까? 전문가들은 “딥시크 같은 게 어떤 질문을 받으면 이상하게 답하는지 살펴야 한다”고 조언한다. 줄잇는 오픈소스 AI...LG·딥시크·메타·미스트랄 등 잇달아 선보여 오픈소스는 모두에게 열린 자원이므로 이를 활용하면 비교적 저렴한 비용으로 AI 모델을 개발할 수 있다. 중국 딥시크와 미국 메타(페이스북 모회사), 프랑스 미스트랄 등 오픈AI보다 늦게 뛰어든 기업들이 줄줄이 무기를 들고 나올 수 있는 배경이다. 한국도 빠지지 않았다. LG AI연구원은 18일(현지시간) 미국 캘리포니아주 새너제이에서 열린 엔비디아 개발자 콘퍼런스(GTC)에서 '엑사원 딥'을 선보이며 오픈소스 플랫폼에 배포했다. 엑사원 딥은 단순한 지식 기반이 아니라 스스로 가설을 세우고 이를 검증하는 방식으로 문제를 푼다. 미국 AI 스타트업 글리터컴퍼니는 최근 메타 '라마' 오픈소스를 쓰기 시작했다. 라마가 무료인 덕에 오픈AI 모델만 쓸 때보다 모델 사용료를 70% 아낀 것으로 알려졌다. 다만 악성 AI '웜GPT(WormGPT)' 같은 것까지 만들 수 있다는 단점이 치명적이다. 웜GPT는 오픈소스로 만들어진 해킹 도구다. 챗봇에게 “이 사이트를 공격하자”거나 “악성 파일을 만들자”고 시킬 수 있다. 기자도 일전에 '보안 초짜기자 해킹 체험기'를 쓰려고 인터넷에서 쉽게 내려받을 수 있었다. 이처럼 누구나 손댈 수 있는 위험물이다. 전문가들 "AI, 정보 모을수록 두 얼굴...보안 취약점이 발견되면 누군가 해킹 도구 만들어 뿌려" 전문가들은 AI가 정보를 모으는 게 양날의 칼이라고 짚었다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “AI는 정보를 먹을수록 커진다”며 “그만큼 개인정보가 빠져나가는 게 문제”라고 말했다. 내가 유튜브로 언제, 어디서, 무슨 영상을 보는지가 전부 정보라는 얘기다. 알고리즘으로 사용자의 취미나 정치 성향도 알 수 있다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “오픈소스 취약성을 이용해 AI 보안 시스템을 공격하면 AI가 의도된 대로 동작하지 않고 탈옥 등의 방법으로 악성코드나 대규모 살상 무기 등을 만드는 데 악용될 수 있다”며 “AI가 처리하는 개인정보를 빼돌리도록 쓰일 수도 있다”고 분석했다. 윤두식 이로운앤컴퍼니 대표도 “딥시크 같은 게 어떤 질문을 받으면 이상하게 답하는지 살펴야 한다”며 “학습된 개인정보를 추출하거나 편향적인 답변을 유도하고 악성코드나 무기 제조법 등을 만들라고 이끌어 AI가 나쁘게 답변하는지 점검할 수 있다”고 설명했다. 그러면서 “딥시크 사이트 사용자의 개인정보와 그가 입력한 기록 등이 다른 사이트에 퍼지면 개인정보가 유출되는 셈”이라고 덧붙였다. 이로운앤컴퍼니는 AI 보안 수준을 높이는 서비스를 제공하는 회사다. 이희찬 스틸리언 연구소장은 “오픈소스 AI 행위를 예측하기 어려워 취약점을 검증하기도 힘들다”며 “소스 코드가 공개됐더라도 AI 모델이 복잡하다”고 진단했다. 스틸리언은 모바일 앱 보안 솔루션을 공급하는 업체다. 김택완 한국오픈소스협회장은 “애플이 운영체제 'iOS' 보안이 취약하다고 알아채면 개선해 알려준다”며 “오픈소스 모델은 누가 공지하지 않아 사용자가 스스로 '새로고침' 않으면 취약한 옛 모델을 계속 쓸 수밖에 없다”고 지적했다. 또 “보안 취약점이 발견되면 누군가 해킹 도구를 만들어 뿌린다”며 “해커가 이 도구로 10군데 시도하다가 1군데라도 뚫리면 해킹된다”고 지적했다. 이화영 사이버안보연구소 부소장은 “오픈소스 AI 모델 보안이 취약한지 알아보려면 LLM 정보를 아는 게 먼저”라며 “서비스 구조와 정보 흐름을 파악하고 LLM 애플리케이션을 운용할 때 일어날 수 있는 위협을 예상해 목록을 짤 필요가 있다”고 조언했다. 또 “조직에서 오픈소스를 얼마나 활용하는지 판단하고, 오픈소스에서 보안을 위협하는 요소를 살펴봐야 한다”고 권유했다. "LLM방화벽·필터 등으로 점검" 전문가들은 '내가 무슨 AI 도구의 어떤 버전을 쓰는지' 스스로 지켜보다가 새로운 버전을 찾으면 고쳐 써야 한다고 입을 모았다. AI를 안전하게 쓸 수 있는 인터넷 환경도 주문했다. 김택완 오픈소스협회장은 “우리는 수많은 소프트웨어를 쓰고 버전도 쏟아지는 만큼 업데이트 우선순위를 정하는 게 좋다”며 “내가 쓰는 소프트웨어가 내게 얼마나 중요한지, 얼마나 자주 쓰는지, 내 시스템을 얼마나 망가뜨리는지 위험도를 생각해야 한다"고 권했다. 이희찬 연구소장은 “오픈소스 AI를 외부에서 접속할 수 없는 내부망에서 활용하거나 AI 안전 수준을 높이는 기술(AI safety)을 적용해야 한다"고 조언했다. 염흥열 교수는 “인공지능 시스템을 개발하고 운영하는 조직은 AI 관리 체계를 갖춰야 한다”며 “무엇이 인공지능 시스템을 위협하는지 식별해 꾸준히 감시해야 한다”고 진단했다. 이어 “국제표준(ISO/IEC 42001)에 근거한 인공지능 관리 체계를 제3자 인증기관으로부터 인증받는 것도 방법”이라고 예를 들었다. 윤두식 대표는 ▲사용자 요청과 응답으로 말미암아 민감한 정보를 가려내고 없애는 '거대언어모델(LLM) 방화벽' ▲AI 모델에 전달되는 입력을 미리 점검해 금지된 정보를 막는 '프롬프트 필터링(Prompt Filtering)' ▲모델이 학습할 때 개인정보가 포함되지 않게끔 '학습 정보 정제' ▲생성된 응답을 실시간 살펴봐 부적절한 응답을 막는 'LLM 결과 필터링'을 해결책으로 꼽았다. 이화영 부소장은 “AI 모델 출력 결과나 학습 정보에 민감한 내용이 이씨는지 점검할 필요가 있다”며 “악성코드 탐지, 스팸 메일 필터링, 비정상적인 네트워크 트래픽 탐지 같은 사이버 보안 작업에 AI를 활용하는 것도 방법”이라고 말했다. 박영호 교수는 “브레이크가 좋아야 자동차를 안전하고도 빠르게 몰 수 있듯 AI를 활발하게 쓰려면 윤리 의식과 제도가 뒷받침돼야 한다”며 “이미 모든 기기에 사물인터넷(IoT)을 쓰는 만큼 안전 수준도 높여야 한다”고 강조했다.

2025.03.18 16:22유혜진

BYD 타면 개인정보 유출?…중국 전기차 소문 사실일까

중국 자동차를 타면 개인정보가 유출될 수 있다는 소문이 퍼졌다. 특히 중국 최대 전기차 회사 비야디(BYD)가 중국 생성형 인공지능(AI) '딥시크'를 기반으로 자율주행 기능을 신차에 적용하겠다고 발표하자 논란이 커졌다. 전문가들은 확인되지 않은 설이라고 선을 그었다. 익명을 요구한 자동차 보안 전문가는 7일 지디넷코리아와의 통화에서 “중국 자동차를 운행한다는 사실만으로 개인정보가 빠져나가는지 알 수 없다”며 “중국 자동차 회사가 차량 내·외부에서 수집한 정보를 중국 정부에 보낸다는 얘기는 확인되지 않은 소문”이라고 말했다. 한국개인정보보호책임자(CPO)협의회장인 염흥열 순천향대 정보보호학과 명예교수는 “중국 기업이 수집한 정보를 중국 사법당국에 제공할 수 있다는 가능성을 한국 소비자가 걱정하는 것 같다”고 분석했다. 다만 개인정보 보호를 객관적으로 증명할 필요가 있다는 의견이 나온다. 자동차 보안 전문가는 “중국 자동차 제조사가 한국에 판매하려면 소비자가 불안하지 않게 해야 한다”며 “한국 정부와 소비자가 받아들일 만한 제3의 공신력 있는 기관이 검증한 결과로 자동차 제조사가 소명해야 한다”고 주장했다. 국내 자동차관리법에 따르면 자동차 제조사는 자동차 사이버 보안 관리 체계를 수립해 국토교통부 장관 인증을 받아야 한다. 자동차 사이버 공격·위협 사고가 발생하면 국토부 장관에게 즉시 그 사실을 신고해야 한다. 다른 자동차 제조사도 마찬가지다. 염 교수는 “한국·미국·유럽 차량도 정보를 수집하고, 필요하다면 이를 제3자에게 공유한다”며 “어떤 정보를 수집하는지, 누구에게 왜 공유하는지 등을 개인정보 처리 방침에 고지한다”고 설명했다. 자동차 보안 전문가는 “BYD가 중국 회사라 억울하기도 할 것”이라며 “현대자동차·기아 같은 한국차와 테슬라·BMW·벤츠를 비롯한 다른 나라 수입차도 AI를 쓰고 카메라로 찍지 않느냐”고 되물었다. 자동차를 운행하면서 샐 수 있는 개인정보는 ▲탑승자 개인정보 ▲차량 주변 개인정보 2가지로 나뉜다. AI 음성 비서가 탑재된 차량을 탄 사람이 대화한 내용이 유출될 수 있고, 대화 내용을 모아 보면 특정 정보를 유추할 수도 있다. 또 다른 하나는 자율주행 기능을 갖춘 차량이 주변 차량이나 보행자를 카메라로 촬영한 영상이 유출될 수 있다. 결국 한국 정부가 나섰다. 개인정보보호위원회는 이날 BYD 스마트자동차 실태를 점검하겠다고 밝혔다. 현대·기아·테슬라·BMW·벤츠는 이미 지난해부터 조사중이다. 개인정보위는 최근 BYD 한국지사에 개인정보 보호 문제를 물었다. BYD는 개인정보 처리 방침을 개선하고 있다며 한국 개인정보보호법을 충실히 반영하겠다고 답했다. 개인정보위는 "향후 BYD를 포함한 스마트자동차 분야에 대한 실태점검을 조속히 진행해, 우리 정보주체의 개인정보가 안전하게 보호되며 관련 서비스가 활성화될 수 있도록 만전을 기할 방침"이라고 7일 밝혔다. 미국은 중국 스마트자동차뿐 아니라 화웨이 통신 장비와 로봇청소기, 인터넷 공유기 등 사물인터넷(IoT) 기기를 못 쓰게 막는다. 한국은 미국처럼 국가 차원에서 중국을 무조건 배척하기 힘들다. 중국은 한국의 제1교역국이다.

2025.03.07 16:37유혜진

'블랙야크' 보안 뚫렸다...개인정보 34만 건 유출

의류 브랜드 BYN블랙야크의 회원 34만 명 개인 정보가 유출됐다. 회사는 이번 사고로 소비자들에게 피해가 가지 않도록 최선을 다하겠다는 입장을 냈다. 6일 블랙야크에 따르면, 이번 정보 유출은 지난 4일 해커에 의한 홈페이지 공격을 통해 발생했다. 유출된 개인정보 항목은 ▲이름(닉네임) ▲성별 ▲생년월일 ▲휴대전화 번호 ▲주소 뒷부분 등이다. 블랙야크는 본 사안을 인지한 직후 사고 원인을 파악했고, 해당 IP와 불법 접속 경로를 차단한 뒤 취약점을 점검해 보안 조치했다고 말했다. 개인정부 유출 등으로 인해 손해가 발생한 경우 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있다. 회사는 “개인정보 유출로 인해 심려를 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 “유출로 인한 피해가 발생하지 않도록 최선을 다하겠다”고 했다.

2025.03.06 20:00류승현

넥슨 '메이플스토리' 해킹 후…범죄기록부 쓴 AI스페라

“제가 전에 다닌 직장 넥슨에서 게임 '메이플스토리' 사용자 개인정보 1천300만건이 유출됐습니다. 충격적이죠. 그래서 '인터넷프로토콜(IP) 범죄 기록부'를 만들기로 했습니다. 5년이나 개발했어요. 너무 오래 걸려서 동료와 투자자가 힘들어했습니다. 'IP 주소를 다 수집하겠다니 미친 짓'이라던 사람들이 이제 '대세'라고 평가하네요.” 강병탁 AI스페라 대표는 6일 서울 삼성동 그랜드인터컨티넨탈서울파르나스호텔에서 개최한 '공격 표면 관리(ASM·Attack Surface Management)와 위협 인텔리전스(TI·Threat Intelligence) 콘퍼런스'에서 이같이 밝혔다. AI스페라는 2017년 10월 문을 열었다. 2023년 4월에야 '크리미널(Criminal) IP'를 선보였다. 이후 국내외 50개사와 계약했다. 강 대표는 “빅데이터 양이 430페타바이트(PB)”라며 “서버는 900대, 날마다 바뀌는 정보는 40억~50억개”라고 말했다. 그는 “서버를 비롯한 정보기술(IT) 자산은 담당자가 아는 현황과 인터넷에 연결된 실제 숫자가 다르다”며 “잘 지키고 있다고 생각해도 ASM으로 살펴보면 그렇지 않다는 사실을 알게 된다”고 지적했다. 이어 “보안 담당자가 항상 모든 자산을 관리할 수는 없다”며 “위협에 미리 대응할 수 있는 ASM이 필요하다”고 주장했다. 또 “ASM은 스캔할 때 장애를 일으키지 않는다”며 “날마다 자동 수행해 결과를 알려준다”고 강조했다. AI스페라를 공동 창업한 김휘강 고려대 정보보호대학원 교수는 “한국 콘텐츠 사업의 적은 저작권 침해”라며 “불법 유포 사이트 '누누티비'가 대표적”이라고 소개했다. 그러면서 “크리미널 IP에 '드라마'를 검색하면 한국 드라마 안 볼 것 같은 나라의 불법 사이트에도 나온다”고 시범을 보였다. 이어 “요즘 우크라이나에서 이런 범죄가 많이 일어난다”며 “국제 공조하려고 해도 전쟁통이라 못하니까 취약하다”고 덧붙였다.

2025.03.06 16:51유혜진

[보안리더] 염흥열 CPO협의회장 "개인정보 지키면서 활용하는 PET 주목"

“기업에서 개인정보가 유출되면 전체 매출액의 최대 3%를 과징금으로 내야 합니다. 다만, 전체 매출액에서 위반 행위와 관련이 없는 매출액을 제외합니다. 매우 중요한 개인정보가 빠져나갔으니 벌을 받는 셈이죠. 그만큼 기업이나 기관의 개인정보보호책임자(CPO) 어깨가 무겁습니다.” 염흥열 한국개인정보보호책임자협의회장은 최근 서울 강남에서 지디넷코리아와 만나 “개인정보보호책임자 모임이 이제 막 첫발을 떼었다”며 이같이 말했다. 개인정보보호책임자는 영어로 CPO(Chief Privacy Officer)라고 부른다. CPO는 조직에서 개인정보 보호 계획을 세우고 시행하는 책임을 진다. 개인정보 처리 실태를 조사하고, 개인정보가 새어 나가지 않도록 내부 통제 시스템을 만든다. 기업과 공공기관 등에서 개인정보 처리를 책임질 CPO를 정해야 한다. 소상공인기본법에 따른 소상공인은 사업주 또는 대표자가 CPO가 된다. 이들이 모인 한국CPO협의회는 지난해 9월 출범했다. 112개 기업과 기관의 CPO들이 개인정보 보호 정책을 나누며 활동하고 있다. 부회장사는 21개다. LG유플러스, 우아한형제들(배달의민족), 카카오, 쿠팡, 삼성서울병원, 국립암센터, SK텔레콤, 한국전력공사, 삼성전자, 기아, 비바리퍼블리카(토스), KB국민은행, 국민건강보험공단, 넷마블, 한국교통안전공단, LG전자, 현대자동차, 삼성화재, 메타코리아(페이스북), KT, 한국인터넷진흥원이다. 염 회장은 순천향대 정보보호학과 명예교수이기도 하다. 전자공학과 교수로 지내다 2001년 정보보호학과를 만들었다. 한국정보보호학회 명예회장과 더불어 국제전기통신연합 전기통신표준화부문(ITU-T) 전기통신자문반(TSAG) 부의장도 맡고 있다. 아래는 염 회장과의 일문일답. -개인정보가 유출되면 CPO는 어떤 제재를 받나? “기업에서 개인정보가 유출되면 전체 매출액의 3%까지 과징금으로 내야 한다. 전체 매출액에서 위반 행위와 관련 없는 매출액은 제외되지만, 관련 없다는 사실을 기업이 자료로 입증해야 한다. 2020년 이래 카카오 등 국내 기업과 구글·메타 등 많은 해외 기업이 한국에서 수십억~수백억원 과징금을 부과 받은 적 있다. 유럽연합(EU)에서는 기업의 국내외 전체 매출액의 최대 4%를 과징금으로 물게 한다. 한국은 이보다 약한 편이다. 그래도 기업은 몇백만원 과태료보다 부담이라는 입장이다. 그만큼 CPO 역할이 중요하다. 공공기관·비영리법인·비영리단체 등은 매출액을 산정하지 않는다. 정확하게 매길 수 없어서다. '법인세법'에 의한 소득이 없으면 위반 행위 중대성에 따라 ▲500만원 이상 5천만원 이하 ▲5천만원 이상 2억원 미만 ▲2억원 이상 7억원 미만 ▲7억원 이상 18억원 등으로 구분해 기준 금액을 산정해 과징금을 낸다. 위반 행위 중대성은 개인정보보호위원회가 판단한다. 이렇게 거둔 과징금을 인재를 가르치고 연구개발(R&D)하는 데 써서 한국 개인정보 보호 수준을 더 높이면 좋겠다.” -한국의 개인정보 보호 수준이 어떤가? “세계적인 수준이다. 미국이나 EU보다 투명하고 구체적으로 기준을 정해 지킨다. EU도 어떤 기업이 소비자로부터 개인정보를 받아 적법하게 제3자에게 줄 수 있게끔 한다. 한국에서 그러려면 누가 누구에게 주는지, 왜 주는지, 이 정보를 언제 삭제할지 등을 개인정보처리방침에 세세히 명시해야 한다. 그래서 한국 규제가 깐깐하다고 느끼는 기업도 있다.” -기업이 개인정보 지키면서도 활용할 수 있는 방안이 있나? “그게 CPO들이 요즘 가장 관심 있는 일이다. 개인정보 보호 강화 기술(PET·Privacy Enhancing Technology)로, 개인정보를 최소한 수집하면서도 산업을 활성하는 기술 3가지를 주목한다. 첫째 가명정보다. 개인정보가 모두 공개된 정보라면, 익명정보는 모두 가린 정보다. 가명정보는 이 중간이다. 다른 정보와 맞춰보면 얼추 알 수 있지만 그대로는 알기 어려운 내용으로 꾸린다. 과학·연구·통계적 목적이라면 가명정보를 쓸 수 있다. 정보가 그대로 드러나는 게 아니라 이용자로부터 동의받지 않아도 제3자에게 넘길 수 있다. 둘째 동형암호다. 내 키가 170㎝라는 정보와 다른 사람 키는 165㎝라는 정보가 있다고 예를 들자. 이를 각각 암호로 만들어 결합기관에 주면 결합기관은 이를 더하거나 빼는 연산을 할 수 있다. 다만 결합기관은 이 정보 주인이 누군지 모른다. 정보 제공자가 되돌아온 결과를 보면 된다. 셋째 연합학습이다. 인공지능 시대에 맞게 개인정보도 인공지능을 활용하는 일이 잦다. 어떤 기기가 학습한 내용을 내보내면 안 되지만, 서로 다른 기기가 학습한 정보를 합쳐 또 학습하도록 하는 연합학습은 가능하다.” -정보보호업계 화두 '국가 망 보안 체계'와 '제로 트러스트'는 어떻게 보나? “국가 망 보안 체계는 N2SF(National Network Security FRAMEwork) 약자다. 지금껏 폐쇄된 공공 정보망을 열겠다는 정책이다. 그러니 '절대 믿지 말고 항상 검증하라'는 제로 트러스트(Zero Trust) 개념이 필수다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 지금껏 내부 망 사용자는 믿어왔다. 외부 망 사용자는 비밀번호와 문자 인증 등 2가지 이상 인증하도록 했지만 내부 망 사용자는 비밀번호 하나면 됐다. 이제 내부 망 사용자도 이중 요소로 인증하도록 한다. 이에 새로운 보안 통제 도구가 필요하다. 기업에 새로운 시장이 열리는 셈이다.” -올해 협의회 계획은? “정책당국과 회원사가 깊게 논의할 수 있는 세미나 'KPPI(KCPO Prime Privacy Insight)'를 운영하겠다. 개인정보보호위원회와 CPO, 또 분야별 CPO끼리 교류하는 'KCPO 브릿지 포럼'도 열기로 했다. 고위관계자가 모여 정책 동향을 공유하는 'KCPO 프라이버시 서밋' 등도 주기적으로 할 예정이다. 오는 9월에는 서울 삼성동 코엑스에서 제47차 글로벌 프라이버시 총회(GPA·Global Privacy Assembly)가 개최된다. 이 총회는 세계 최대 규모의 개인정보 보호 관련 국제 회의로, 미국·EU·영국·일본 등 89개국 137개 기관이 참여한다. 이에 협의회가 적극적으로 나서 세계 개인정보 보호 전문가와 소통할 예정이다. 예비 CPO를 위한 교육 과정도 개발해 올해 시범 운영하려고 한다. CPO에 대한 자체 정책도 연구할 생각이다. 조직 형태, 예산과 인력 현황, 주요 고충을 들어 CPO 지정 현황 실태 조사를 하려고 한다.”

2025.02.25 09:23유혜진

새 학기 맞은 학교, 개인정보 유출 주의보…정부, 5대 지침 발표

새 학기를 맞아 학교 홈페이지 등에서 개인정보 유출 사고가 빈번히 발생한 가운데 정부가 교육기관에 개인정보 보호를 당부했다. 개인정보보호위원회는 신입생·졸업생의 개인정보 관리, 단체 채팅방 자료 점검 등 구체적인 주의 사항을 다섯 가지를 교육기관계 안내했다고 24일 밝혔다. 최근 학급 편성 결과 게시 등에서 불필요한 개인정보가 유출되는 사례가 자주 발생해 이에 대한 대응이 필요하다는 목소리에 대한 조치다. 개인정보위는 신입생 개인정보를 최소한으로 수집하고, 졸업생 개인정보를 즉시 파기하도록 교육기관에 권장했다. 필요 이 정보를 수집하지 않는 것이 개인정보 보호의 출발점이라고 설명했다. 또 학교 홈페이지에 학급 편성 결과를 게시할 때 엑셀 파일의 숨겨진 시트나 열·행에 포함된 불필요한 개인정보를 철저히 점검해야 한다고 강조했다. 엑셀 파일 관리 부주의로 인해 민감한 정보가 유출되는 사고를 방지하기 위함이다. 개인정보위는 학급 단체 채팅방에 개인정보가 포함된 자료를 공유하지 않도록 주의해야 한다는 점도 당부했다. 자료를 전송하기 전 개인정보 포함 여부를 확인하고, 필요 시 자료를 수정하거나 삭제해야 한다고 권장했다. 개인정보가 포함된 서류를 이면지로 사용하지 말고, 불필요한 경우 즉시 파기하라는 당부도 나왔다. 서류 관리 부주의는 개인정보 유출의 주요 원인 중 하나로 꼽히기 때문이다. 개인정보위는 교육기관의 개인정보 담당자 대상 교육도 강화할 계획이다. 실수로 인한 법규 위반 사례를 줄이기 위해 개인정보 취급자의 전문성을 높이는 것이 필요하다는 이유에서다. 개인정보위 강대현 조사총괄과장은 "새 학기를 맞아 교육기관에서 개인정보 유출 사고가 발생하지 않도록 각별한 주의가 필요하다"며 "교육기관과의 협력을 통해 개인정보 보호 체계를 더욱 강화하겠다"고 밝혔다.

2025.01.24 15:56김미정

포티넷 "해커가 방화벽 취약점 악용…데이터 유출 시도"

해커가 포티넷 방화벽 보안 취약점을 악용해 기업 네트워크에 들어가 데이터 유출 시도를 한 정황이 드러났다. 15일 테크크런치 등 외신에 따르면 포티넷은 자사 방화벽 '포티게이트(FortiGate)'에서 발견된 취약점 'CVE-2024-55591'을 이용한 공격 정황을 포착했다고 밝혔다. '포티게이트' 방화벽은 기업 네트워크를 보호하는 보안 장비다. 외부 침입 방지와 내부 트래픽 관리를 지원한다. 해커는 해당 방화벽 관리 인터페이스가 인터넷에 노출된 장치를 주로 공격한 것으로 알려졌다. 현재 공격 배후는 명확히 밝혀지지 않은 상태다. 외신은 이번 취약점이 랜섬웨어 운영자들에 의해 악용되고 있을 가능성이 있다고 입을 모았다. 아크틱 울프 스테판 호스틀러 위협 정보 연구원은 "이번 공격으로 인해 수십 건 피해 사례가 관찰됐지만 실제 영향받은 장치의 수는 훨씬 많을 것으로 예상된다"고 말했다. 포티넷은 악용 사례를 방지하기 위해 적극적으로 조치를 취하고 있다고 발표했다. 해당 취약점에 대한 패치를 제공하고 고객들에게 소프트웨어 업데이트를 권장하고 있다. 다만 현재까지 영향 받은 고객 수에 대해서는 구체적인 언급을 피했다. 포티넷은 "고객과 적극적으로 소통하며 문제 해결에 최선을 다하고 있다"고 밝혔다.

2025.01.15 08:55김미정

'또 개인정보 유출'…한국예술종합학교서 1만8천여건 털려

한국예술종합학교서 대규모 개인정보유출이 일어났다. 31일 한국예술종합학교는 수강신청 등을 위한 '누리시스템'이 지난 29일 0시17분부터 1시 54분까지 사이버 공격을 받았으며 학생과 졸업생 등의 개인정보 1만8천690건이 유출됐다고 밝혔다. 유출된 항목은 ▲학번 ▲한글성명 ▲한문성명 ▲영문성명 ▲생년월일 ▲성별 ▲학적상태 ▲학년 ▲과정 ▲소속 ▲학과 ▲전공 ▲입학일 ▲수험번호 ▲일반휴학학기 ▲휴대전화 ▲자택전화 ▲이메일 등 32개 항목으로 사실상 전방위적인 개인정보다. 이밖에 유출이 의심된 정보는 ▲휴복학 ▲상벌사항 ▲등록금 ▲성적 등 9개 항목으로 학교 측은 유출 여부에 대해 확언하기 어렵다고 전했다. 한국종합예술학교 측은 "국가사이버안보센터에 신고했고 유출 사실을 인지한 즉시 해당 IP와 불법 접속 경로를 차단했다"며 "유사한 사고가 재발하지 않도록 보안교육 실시, 보안점검, 시스템 취약점 점검, 보안시스템 강화 등 재발 방지 대책을 철저히 마련하도록 하겠다"고 말했다. 또 학교는 "잠재적 피해를 최소화하기 위해 비밀번호를 변경하고 개인정보 악용으로의심되는 전화, 문자, 메일 등을 받으면 즉시 삭제해달라"고 당부했다. 다만, 개인정보유출이 됐다 하더라도 회원 탈퇴 등은 어렵다고 학교 측은 설명했다. 학교 관계자는 "학적 사항 등 데이터를 조회하기 위해선 누리에 가입되어 있어야 한다"고 말했다. 개인정보보호위원회에도 한국예술종합학교의 개인정보 유출이 신고된 것으로 확인됐다. 향후 개인정보 유출 원인 등에 대해 개인정보보호위원회와 KISA가 공동으로 조사할 예정이다.

2024.12.31 16:21손희연

박현주 시옷 대표 "중요 정보 유출 사고 직접 경험하면서 대응 솔루션 필요 절감"

“내부자가 회사 중요 문서를 유출한 사고를 직접 경험했습니다. 법적 분쟁이 시작됐는데 내부자에 의한 기술 유출 증거를 확보하는 난관이 있었습니다.” 모빌리티 보안 전문기업 시옷은 최근 주요 데이터 이동을 실시간으로 감지해 유출 시도를 탐지하는 능동형 내부자 정보유출 감지솔루션(DLD) '위즐(Weasel)'을 출시했다. 시옷이 모빌리티를 넘이 엔터프라이즈 보안 영역까지 사업을 확장한 것은 사고에서 얻은 교훈이었다. 박현주 시옷 대표는 “함께 믿으며 일하던 내부자가 회사 중요 문서를 유출한 사고를 직접 경험하면서 DLD 제품을 개발하게 됐다”고 설명했다. 박 대표는 직접 사고를 겪으며 솔루션의 필요성을 절감했다. 시옷은 제품을 개발하면서 같은 고민을 하는 중소기업 대표들의 목소리를 들었다. “대기업은 내부자 정보 유출 사고를 예방하기위해 정보 유출을 막는 DLP(Data Loss Prevention)나 DRM(Digital Right Management), EDR(Endpoint Detection and Response) 등의 보안 솔루션을 도입하여 운영하고 있습니다. 하지만, 여전히 사고는 끊이지 않습니다.” 박 대표는 중소기업은 보안조직이나 인력 부족과 높은 비용 등의 문제로 내부자 정보 유출 대책 마련에 엄두를 내지 못하고 있다고 설명했다. 그는 “기존 보안솔루션의 문제점을 보완하고 저비용으로 강력한 보안 체계를 구축할 수 있는 방법으로 위즐을 내놨다”고 말했다. 위즐은 기존의 보안솔루션이 제공하는 정보 유출 차단이나 방어의 방식과는 달리, 유출로 발전할 수 있는 모든 정보들의 이동을 기록하고 증거를 수집해 내부자 정보 유출을 감지하는 DLD(Data Leakage Detection)솔루션이다. 중소기업이 큰 비용을 들이지 않고도 사용가능하도록 SaaS 기반의 비용 효율적인 서비스도 제공한다. 기업 내부에 전문적인 보안 인력이나 대규모 인프라 없이도 손쉽게 도입할 수 있다. 박 대표는 “기존 솔루션들이 내부자의 정보 전송 및 접근을 차단하는 통제 방식에 중점을 두고 있다”면서 “위즐은 사용자가 정보 자원을 자유롭게 사용할 수 있도록 허용하면서도, 정보 이동에 대한 강력한 기록과 증적을 남긴다”고 말했다. 내부의 데이터 이동에 대한 가시성을 확보한다. 사후 문제발생시 강력한 법적 대응을 돕고 기업이 마음놓고 정보 활용을 할 수 있게 한다. 박 대표는 “DLD는 DLP와 상호 보완적으로 사용할 수 있다”면서 “업무 생산성에 영향을 주지 않으면서 보안을 확보하는 대응책”이라고 설명했다. 시옷은 2015년 설립된 보안 전문기업이다. 그동안 임베디드 보안 소프트웨어 기술 뿐만 아니라 국내 최고의 저전력, 초경량 암호기술과 하드웨어 제작역량을 기반으로 V2X 보안, Secure OTA, FMS 단말기, PnC 충전보안, IoT 보안등 모빌리티 보안을 선도해왔다. 이번 신개념 내부자 정보유출 감지 솔루션 '위즐' 발표를 시작으로 본격적으로 일반 IT 정보보안 시장에 진출하며, 종합 보안 전문 회사로의 변신을 꾀하고 있다.

2024.11.21 11:00김인순

카카오, 오픈채팅 151억 과징금 행정소송...'개인정보 정의' 쟁점

개인정보 유출로 개인정보보호위원회(이하 개보위)로부터 과징금을 부과받은 카카오가 행정 소송을 제기한 가운데, 유출된 정보의 개인정보 해당 여부를 두고 양측 간 법적 공방이 치열할 것으로 전망된다. 13일 IT 업계에 따르면, 카카오는 지난 1일 개보위의 과징금 부과 처분과 시정명령에 대해 불복 소송을 제기했다. 카카오는 지난 5월 카카오톡 '오픈채팅'에서 개인정보 6만5천건이 유출된 것과 관련해 국내 기업 중 역대 최다 과징금인 약 151억원을 부과받았다. 또 이용자에게 개인정보가 유출됐다고 통지하라는 시정 명령도 내려졌다. 개보위 조사 결과, 카카오는 회원일련번호(주민등록번호·사원증 번호 등 개인에게 부여된 고유 번호와 유사한 개념)와 오픈채팅방 정보를 단순히 연결한 임시ID를 생성해 암호화 없이 일부 오픈채팅방 참여자에 부여했다. 해커는 이런 취약점을 이용해 오픈채팅방 참여자 정보를 획득한 후 카카오톡의 친구추가 기능, 불법 프로그램 등을 이용해 이용자 정보를 확보했다. 이후 이용자 정보를 회원일련번호를 기준으로 결합해 개인정보 파일을 생성·판매했다. 쟁점은 개인정보의 정의다. 개보위는 회원일련번호와 임시ID가 개인정보에 해당한다고 판단했다. 개보위 관계자는 "정보 그 자체로서 개인 식별이 불가능하더라도, 개인 정보 처리자가 갖고 있는 다른 정보와 결합해 개인을 인식할 수 있다면 개인정보"라고 밝혔다. 반면 카카오는 회원일련번호와 임시ID는 개인정보로 볼 수 없다는 입장이다. 이 정보만으로는 개인을 식별하기 어렵다는 논리다. 카카오 관계자는 "카카오를 통해 나간 정보에는 전화번호, 성함 등이 포함돼 있지 않아 개인을 식별할 수 없다"며 "임시 ID는 게임 등 기타 인터넷 서비스에서도 사용하고 있는 정보고 개발자 사이트 등에서 확인할 수 있는 경우도 많다"고 주장했다. 개인정보보호법은 개인정보를 '해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보'로 정의하고 있다. 이때 다른 정보와 '쉽게' 결합한다는 것이 어느 정도 수준을 의미하는 것인지에 대한 법원 해석이 중요할 것으로 보인다. 염흥열 순천향대 정보보호학과 명예교수는 "법원은 해당 정보로 개인을 식별하기 위해 드는 노력의 정도를 근거로 '쉽게 결합할 수 있는지'를 판단할 것"이라며 "식별에 필요한 전산 자원의 크기, 식별에 걸리는 시간, 분석 환경 등이 근거가 될 것"이라고 설명했다. 개인정보보호법해설서에 대한 해석도 분분하다. 2020년 12월 개보위가 발간한 '개인정보 보호 법령 및 지침‧고시 해설서'에는 개인정보의 개념에 대해 "다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 개인 식별 가능 정보를 포함한다"는 설명이 담겨있다. 다만 "이때 사용되는 다른 정보는 두 개 이상의 정보를 결합하기 위해 그 결합에 필요한 다른 정보에 합법적으로 접근해 이에 대한 지배력을 확보할 수 있는 '입수 가능성' 있는 정보로 해킹·절취 등 불법적인 방법으로 취득한 정보는 포함하지 않는다"는 조건이 함께 제시되고 있다. 김승주 고려대 정보보호학과 교수는 "해당 조건에 따르면, 오픈채팅방을 통해 유출된 정보와 해커가 불법으로 수집한 정보가 결합된 경우는 개인정보로 볼 수 없을 것"이라고 예상했다. 카카오는 지난 5월 '오픈채팅 이슈 관련 개인정보보호위원회 결정에 대한 입장' 글에서 "해커가 회원일련번호와 결합한 '다른 정보'는 카카오에서 유출된 것이 아닌, 해커가 불법적인 방법을 통해 자체 수집한 것"이라는 입장을 밝힌 바 있다. 반면 개보위 관계자는 "해당 조건은 결합되는 '다른 정보'에 대한 것이지, 카카오의 경우 '그 자체의 정보'에 대한 문제"라며 "애초에 카카오에서 유출된 회원일련번호가 개인정보로 관리되지 않던 것이 문제"라고 말했다.

2024.11.13 18:21조수민

정부-민간 함께하는 개인정보 정책 소통의 장 열린다

개인정보보호위원회가 개인정보 유출사고 대응 방향을 마련하기 위해 소통의 장을 마련한다. 개인정보위는 오는 20일 오후 3시 은행회관 국제회의실에서 한국개인정보보호책임자협의회와 공동으로 개인정보 정책방향 공유 및 현장에서의 적용·우수사례 전파를 위해 '개인정보 정책포럼'을 개최한다고 10일 밝혔다. 이번 포럼은 개인정보 관련 업계의 높은 관심을 반영해 '개인정보 신산업 혁신 지원 제도 및 활용사례'와 '개인정보 유출사고 최근 경향과 대응방향'을 주제로 진행된다. 또 개인정보위의 주제발표, 공공·민간 영역 개인정보 보호책임자와 전문가가 참여하는 패널토론, 청중 질의·응답으로 구성될 예정이다. 첫 번째 세션에서는 개인정보위가 사전적정성 검토제도, 개인정보 안심구역, 규제유예제도 등 개인정보 분야 신산업을 지원하는 제도에 대해 설명한다. 이어 실제 각 지원제도를 활용한 토스, 뉴빌리티 등 민간기업과 국립암센터, 서울대병원 등 공공기관의 사례 발표를 통해 제도의 효과를 공유한다. 두 번째 세션에서는 개인정보위의 최근 개인정보 유출사고의 경향과 주요 처분사례 소개에 이어 필립모리스, 롯데렌탈 등 민간기업과 사회보장정보원 등 공공기관 소속 전·현직 보호책임자가 자사의 개인정보 정책을 공유한다. 또 법·기술 전문가가 사업자 대응체계에 관해 제언할 예정이다. 개인정보위는 "이번 포럼에서 협의회가 공동으로 발간한 '개인정보보호책임자 핸드북'을 현장에서 배포한다"며 "현업에 종사하는 보호책임자의 업무이해도를 높이는 데 활용할 계획"이라고 말했다.

2024.11.10 17:08장유미

北에 털린 법원 전산망, 개인정보 유출 피해 1만8000명…향후 규모 더 커질 듯

북한 해킹 조직이 우리나라 법원 전산망을 침투해 최소 1TB(테라바이트)가 넘는 자료를 빼간 것으로 드러나면서 공공부문의 보안수준에 대한 문제가 수면 위로 떠올랐다. 이 해킹으로 개인정보 유출 피해자 수는 현재 1만8천 명에 달하는데, 아직 유출 자료에 대한 파악이 완전히 이뤄지지 않았다는 점에서 향후 피해규모가 더 커질 것이란 분석이 나온다. 24일 국민의힘 주진우 의원실이 대법원 법원행정처로부터 받은 자료에 따르면 사법부 전산망 해킹 사건으로 현재까지 유출이 확인된 문건에 기재된 개인은 총 1만7천998명으로 나타났다. 앞서 라자루스는 2021년 1월 7일 이전부터 2023년 2월 9일까지 국내 법원 전산망에 침투해 2년 넘게 개인정보 등이 포함된 총 1천14GB(기가바이트) 규모의 자료를 빼돌린 것으로 알려졌다. 법원행정처는 지난해 2월 사법부 전산망 공격 사태를 인지하고도 수사당국에 신고하지 않고 자체 보안조치를 취했다. 지난해 11월 말 해킹 사실이 보도되자 12월 초 경찰청·국정원·검찰청이 합동조사에 착수했다. 그 사이 서버에 남아있던 유출자료들이 지워졌다. 정부가 유출 내용을 확인한 것은 전체 피해의 약 0.5%(5천171개)에 불과하다. 일단 대법원 법원행정처는 정보 유출 피해자 4천830명을 특정해 지난 5월 유출 사실에 대해 개별 통보했다. 유출이 확인된 문서는 모두 회생 사건 관련 자료다. 이후 대법원은 유출과 관련된 개인들 중 1만3천177명에게도 개별 통지를 시행했다. 연락처를 알 수 없는 4천821명에게는 홈페이지 게시 방식으로 통지를 마친 것으로 파악됐다. 현재까지 내용이 확인된 정보 유출 규모는 4.7GB 분량의 문서에 불과한 것으로 전해졌다. 나머지 약 1천 GB 분량의 유출 자료에 대해서는 피해규모 등에 대한 파악이 끝나지 않아 실제 피해는 더 클 것으로 관측된다. 대법원은 '보안강화 종합대책 방안'을 마련해 추가적인 해킹을 예방하고 향후 재발 방지에 나선다는 방침이다. 주요 대책은 ▲전산정보관리국을 사법정보화실로 확대 개편 ▲USB 사용관리 방안의 전국 법원 시행 ▲보안 전문가 공개 채용 ▲정보보호조직 강화 등이다. 하지만 법원의 정보보호 업무를 담당하는 법원행정처 사법정보화실 정보보호담당관실 내 전담 인력은 올해 8월 기준 9명으로, 2020년 1월 기준 6명에서 고작 3명 증가했다. 특히 라자루스 논란이 커지기 전인 올해 1월에는 6명으로 4년 전과 동일했다. 국회 법제사법위원회 소속 박준태 국민의힘 의원은 "법원이 다수의 국민 개인정보를 다루는 만큼 신속히 유출 내역을 파악해 2차 범죄로 악용되는 것을 막아야 한다"고 지적했다.

2024.10.24 15:14장유미

"내 개인정보 줄줄 샌다"…4년간 개보위서 과징금 가장 많이 부과된 기업은

지난 4년간 개인정보보호위원회가 해킹으로 인한 개인정보 유출 148건을 처분한 가운데 가장 많은 과징금을 받은 기업으로 골프존이 꼽혔다. 11일 국회 정무위원회 소속 더불어민주당 조승래 의원이 개보위에서 제출 받은 자료에 따르면 지난 4년간 해킹으로 인한 개인정보 유출 148건 중 129건이 민간, 19건이 공공으로 조사됐다. 또 개보위는 62건에 대해 257억원의 과징금을 부과했다. 가장 많은 과징금을 받은 기업은 '골프존'으로 나타났다. 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받은 후 '부실 대응' 지적을 받은 바 있다. 당시 최소 221만6천414명의 개인정보가 유출돼 과징금 75억원, 과태료 540만원을 부과받았다. 다음으로 많은 과징금을 부과 받은 기업은 LG유플러스로, 이용자 개인정보 29만7천117건이 유출됐다. 이로 인해 지난해 7월 과징금 68억원과 과태료 2천700만원이 부과됐다. 공공기관중에는 올해 9월 135만 명의 개인정보가 유출된 한국사회복지협의회가 과징금 4억8천만원과 과태료 540만원을 처분 받으면서 가장 많은 과징금이 부과됐다. 조 의원은 "디지털 시대가 발전할수록 해킹 기술도 따라 정교해지고 있어 개인정보 보호가 더욱 중요해지고 있다"며 "개인정보보호위원회가 사전에 개인정보 보호 컨설팅 등을 더욱 충실히 진행하고 발전하는 해킹 기술에 대응할 수 있는 방안을 연구해야 한다"고 강조했다.

2024.10.11 10:34장유미

개보위 출범 후 개인정보유출 8천만건…손해배상금 지급은 달랑 '9건'

최근 4년 동안 개인정보 약 8천만 건이 유출된 가운데 개인정보보호위원회가 이에 대비한 손해배상책임보험 가입 의무대상 기관조차 확정하지 않은 것으로 드러났다. 국민의힘 강민국 의원실은 8일 개인정보위 자료요구를 통해 받은 자료 '개인정보 유출 기관 및 유출 규모 현황'을 통해 이를 지적했다. 해당 자료에 따르면 개인정보위가 중앙행정기관으로 출범한 2020년 8월 다음 해인 2021년부터 올해 9월까지 개인정보 유출 기관은 377개다. 이 중 민간은 311개(82.5%), 공공기관은 66개(17.5%)로 유출기관 10개 중 8개는 민간기관이었다. 연도별로 살펴보면 2021년 60개에서 2022년 84개, 2023년 153개로 유출기관 수가 늘었다. 올해 9월까지 80개 기관에서 개인정보가 유출됐다. 또 동일기간 이들 기관에서 유출된 개인정보의 수는 7천735만5천98건을 기록했다. 이중 공공기관 634만3천896건(8.2%), 민간 7천101만1천202건(91.8%)을 기록했다. 연도별로는 2021년 4천724만8천899건, 2022년1천38만4천64건, 2023년 1천463만8천282건을 기록했다. 올해는 9월 기준 508만9천922건이다. 강 의원은 공공기관에서 개인정보 유출이 급증하고 있다는 점을 지적했다. 2021년 0건에서 2022년 1만6천753건, 2023년 469만2천414건으로 늘었고, 올해 9월까지 163만4천729건 개인정보가 공공기관에서 유출됐기 때문이다. 강 의원은 개인정보 유출 관련 과징금 규모 역시 상당하다고 비판했다. 2021~2024년 9월까지 개인정보유출 관련 과징금은 총 254억971만3천원이었다. 이 중 공공기관 8억 5천775만원(3.4%), 민간기관 245억5천196만3천원(96.6%)을 기록했다. 연도별로 2021년 15억2천548만6천원, 2022년 15억2천548만6천원, 2023년 148억1천984만1천원이다. 올해 9월 250억3천496만4천원을 기록했다. 이러한 개인정보 유출로 인한 손해배상책임 이행 시 자금 조달이 어려운 사업체를 위해 개인정보위는 2020년부터 개인정보 손해배상 책임보험 가입을 의무화하고 있다. 그러나 손해배상책임보험 계약 건수는 2020년 9천195건(152억9천700만원)에서 올해 8월 기준으로 8천651건(169억600만원)으로 계약 건이 줄었다. 강 의원은 "개인정보위가 개인정보 손해배상 책임보험을 시작한지 5년이 넘었는데도 손해배상책임 보장제도 의무이행 대상 기관조차 파악하지 않고 있다"며 "미이행 시 처벌 규정조차 없는 실정"이라고 강조했다. 그는 개인정보보호위원회가 출범 후 4년 동안 개인정보 손해배상 책임보험 지급 건수를 9건 기록했음에도 보험 신청 규모 파악을 하지 않고 있다는 점도 지적했다. 강 의원은 "개인정보위 출범 후 5년 동안 유출된 개인정보가 8천만건을 육박 하고 있음에도 손해배상 책임보장제도 의무이행 대상조차 파악하지 않은 것은 개인정보위원회의 책임이 크다"고 말했다. 이어 "손해배상 책임보장제도 실효성 확보를 위한 정책연구 조속한 완료 및 미이행 시 처벌 규정 마련과 연 최대 150만원에 달하는 개인정보 손해배상 책임보험료가 부담스러운 소상공인 등 영세업자에 대한 지원방안도 검토해야할 것"이라고 덧붙였다.

2024.10.08 11:35김미정

中 알리에 고객 정보 넘겼다고?…카카오페이 사태, 개인정보위도 조사 나선다

카카오페이가 중국 앤트그룹 계열사이자 2대 주주인 알리페이에 지난 6년여간 누적 4천만 명의 개인신용정보 542억 건을 고객 동의 없이 제공했다는 의혹이 일파만파 퍼지면서 개인정보보호위원회도 조사에 나선다. 개인정보위는 카카오페이 고객 신용정보 국외 이전 논란과 관련해 사실관계 확인 후 조사 여부를 결정할 예정이라고 13일 밝혔다. 또 사실관계 확인을 위해 회사 측에 관련 자료 제출도 요구할 방침이다. 금융당국에 따르면 카카오페이는 애플 앱스토어에 결제 서비스를 제공하기 위해 알리페이 측에 고객 개인 신용 정보를 넘긴 것으로 알려졌다. 애플은 자사 앱스토어 입점을 원하는 결제 업체에게 고객과 관련된 데이터를 요구한다. 이 때 해당 데이터는 고객 개인 정보 등을 바탕으로 재가공해서 만들어진다. 카카오페이는 이 재가공 업무를 알리페이 계열사에 맡기면서 개인신용정보가 넘어간 것으로 파악됐다. 그러나 정작 재가공된 정보는 애플 측에 제공되지 않은 것으로 전해졌다. '신용정보의 이용 및 보호에 관한 법률(신용정보법)'에 따르면 개인신용정보를 수집하거나 수집된 정보를 다른 곳에 제공할 경우 반드시 당사자 동의를 받아야 한다. 또 '개인정보 보호법'에 따르면 알리페이는 해외에 지점을 둔 회사이기 때문에 개인 정보 국외 이전 동의도 받아야 한다. 하지만 카카오페이는 이 두 가지 모두 지키지 않은 것으로 금융감독원은 파악하고 있다. 금융당국의 판단에 따라 개인정보위도 후속조치에 나섰다. 개인정보위는 양사 서비스 제휴 과정에서 정보를 제공받은 알리페이가 해외에 지점을 둔 회사이기 때문에, 카카오페이는 신용정보법 상 의무 준수 외 개인정보보호법에 따른 개인정보 국외 이전 동의를 받아야 한다고 지적했다. 개인정보위는 "개인정보보호법상 개인정보 국외 이전 의무 준수와 관련한 사실관계 확인을 위해 카카오페이 등에 자료제출을 요구할 계획"이라며 "필요 시 금융감독원 등 관계기관과 협조할 것"이라고 말했다. 이어 "조사 착수 여부는 사업자들이 제출한 자료에 대한 면밀한 검토 등을 거쳐 결정할 예정"이라고 덧붙였다. 이에 대해 카카오페이 측은 법 위반이 아니라고 주장하며 억울함을 표하고 있다. 카카오페이는 알리페이 쪽에 제공된 개인신용정보에 대해 "알리페이 측과 업무위수탁 계약 관계에서 제공된 처리위탁 정보"라며 "신용정보법 제17조 제1항에 따르면 개인신용정보의 처리위탁으로 정보가 이전되는 경우 정보주체의 동의가 요구되지 않는 것으로 규정하고 있다"고 해명했다. 이어 "알리페이와 애플은 카카오페이에서 제공하는 정보를 받아 마케팅 등 다른 어떤 목적으로도 활용하지 못하도록 되어 있다"며 "최근 이에 대한 별도의 공식 확인 절차도 진행했다"고 덧붙였다. 그러면서 "알리페이가 속해 있는 앤트그룹은 이커머스 플랫폼 알리바바 그룹과는 별개의 독립된 기업으로, 카카오페이의 고객정보가 동의없이 중국 최대 커머스 계열사에 넘어갔다고 주장하는 것은 어불성설"이라며 "향후 조사과정에서 적법한 절차를 통해 입장을 밝히고 성실하게 소명할 것"이라고 강조했다.

2024.08.13 16:58장유미

Prev 1 2 Next