검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'번호'통합검색 결과 입니다. (44건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

신규가입 제한에 SKT 갤S25엣지 예약 '차질'

SK텔레콤이 사이버 침해사고 이후 정부의 행정지도에 따라 신규 가입자 모집을 중단하면서, 갤럭시S25엣지 사전예약에 혼선이 빚어지고 있다. 이에 KT와 LG유플러스는 반사이익 기회로 삼아 마케팅 공세에 나서고 있다. 오는 23일 공식 출시를 앞두고 있는 삼성전자 갤럭시S25 엣지 사전예약은 지난 14일부터 20일까지 진행됐다. 그런 가운데 SK텔레콤이 010 신규가입과 번호이동 가입이 중단되면서 기기변경 예약만 받을 수 있는 제한적 판매 구조가 형성됐다. 통신유통 현장에서 사이버 침해사고로 신제품에 대한 기대감은 예년보다 낮다는 반응이 나온다. 업계 한 관계자는 "최근에는 교체 주기도 길어지고, SK텔레콤 해킹 이슈까지 겹치면서 소비자 심리가 많이 위축돼 있다"며 "오프라인 매장의 예약율도 기대만큼 오르지 않고 있고, 온라인도 대기 수요 중심으로 양분된 분위기"라고 말했다. 특히 신규 가입자 모집 중단 조치가 유통망에 직격탄으로 돌아오고 있다. SK텔레콤 유통망의 상당 부분을 차지하는 소매 대리점은 신규가입 개통이 전면 차단돼 손님을 돌려보내는 일이 반복되고 있다. 반면, 판매점이나 온라인 채널은 비교적 정상적인 판매를 이어가면서 온도차도 뚜렷해지고 있다. SK텔레콤 대리점 한 관계자는 "기기변경 외에는 아무런 수익이 없는 상태"라며 "유심 교체는 돈이 되지 않아 지금은 급여와 임대료를 어떻게 낼지 걱정해야 할 상황"이라고 말했다. 실제 해킹 사태 이후 SK텔레콤의 가입자 이탈은 급증했다. 한국통신사업자연합회(KTOA)에 따르면, 4월 한 달 동안 SK텔레콤에서 다른 통신사로 옮겨간 가입자는 23만6천901명으로, 전월 대비 약 87% 늘었다. 같은 기간 순감 이용자 수는 11만4천330명에 달했으며, 해킹 사실이 공론화된 4월22일부터 30일까지 일주일 사이에만 9만명이 순감한 것으로 나타났다. 그런 가운데 KT와 LG유플러스는 이번 상황을 반사이익의 기회로 삼아 사전예약 프로모션을 강화하고 있다. LG유플러스는 갤럭시S25 엣지 예약자 대상으로 AI 번역 기능 체험, 데이터 쿠폰, 최대 20만 원 상당의 할인을 제공하며, 중고폰 보상 프로그램도 운영 중이다. KT 역시 20~30대 고객층을 겨냥한 요금제 연계 이벤트와 콘텐츠 구독 혜택을 결합해 적극적인 마케팅에 나서고 있다. 이에 대해 판매점 관계자는 "갤럭시 S25 엣지로 번호이동을 문의하는 고객이 적지 않은데, 현재는 모두 기기변경 고객만 받는 상황이라 예약 자체가 줄어들고 있다"며 "신제품 마케팅 타이밍에 이런 상황이 겹쳐 SK텔레콤 입장에서는 아쉬움이 클 것"이라고 말했다. 다른 유통업계 관계자는 "이통 3사 간 스마트폰 초기 판매 비중은 점유율과 직결되는 민감한 부분"이라며 "SK텔레콤의 가입 제한이 장기화될 경우, 시장 균형에도 영향을 미칠 수 있다"고 말했다. 한편, SK텔레콤은 현재 유심 보호 서비스 확대, 예약 시스템 개편 등으로 고객 불편 최소화에 나서고 있지만, 신규 가입과 번호이동 재개 시점은 아직 확정되지 않았다. SK텔레콤 관계자는 “신규 가입 중단은 유심 교체 업무에 집중하기 위한 조치로, 기다리시는 분이 많기에 그 부분을 해소하는 게 먼저라고 생각한다”며 “지금은 고객 불편 및 보호 조치에 집중할 시기로, 신규 가입 재개 시점은 아직 미정”이라고 밝혔다.

2025.05.20 17:35최이담

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

명품 '디올', 해킹돼 고객정보 유출…100일 지나 알려

프랑스 사치품 브랜드 크리스챤 디올이 해킹 당해 고객 정보가 유출됐다. 사건이 터진 지 100일 지나서야 고객에게 공지했다. 14일 업계에 따르면 디올은 지난 1월 26일 제3자가 일부 고객 정보에 접근한 사실을 지난 7일 알아챘다고 최근 고객에게 이메일을 보냈다. 디올은 고객 이름과 경칭, 휴대전화 번호, 이메일 주소, 우편 주소, 구매 정보, 선호 정보 등이 유출됐다고 밝혔다. 은행 정보, 신용카드 정보 등 금융 정보는 포함되지 않았다고 전했다. 그러면서 고객 정보 기밀을 지키고 보안하는 게 디올의 최우선 순위라고 강조했다. 아울러 당국에 이 사실을 통보해 조사하고 있다고 설명했다.

2025.05.14 11:35유혜진

알바몬 회원 2만2천여명 임시 이력서 정보 털렸다

아르바이트 구직 플랫폼 알바몬에서 가입자 개인정보 유출 사고가 발생했다. 알바몬은 지난 4월 30일 시스템에 대한 비정상적인 접근 시도를 즉각 감지해 차단했지만, 일부 회원의 임시 저장된 이력서 정보가 외부로 유출된 사실을 확인했다고 2일 공지했다. 알바몬에 따르면 이번 사고로 유출된 개인정보는 총 2만2천473건에 이르며, 이름, 휴대폰번호, 이메일 주소 등 이력서 작성 페이지에 임시 저장된 정보가 포함됐다. 다만 아이디와 비밀번호는 유출되지 않았다. 알바몬은 해킹 시도가 확인된 즉시 공격에 사용된 계정과 IP를 차단하고 보안 취약점을 긴급 보완했다고 설명했다. 회사 측은 “현재 동일한 방식의 해킹 시도는 원천 차단된 상태”라며 “실시간 모니터링을 강화해 추가 피해를 막고 있다”고 덧붙였다. 또한 회사는 개인정보보호위원회에 5월 1일 자진 신고했다고 설명했다. 알바몬은 같은 날 해당 회원들에게 이메일을 통해 개별 통지했으며, 개인정보 유출 여부를 확인할 수 있는 전용 웹페이지와 문의 창구를 마련했다. 알바몬은 “회원님의 소중한 정보를 지키는 것은 무엇보다 중요한 책임”이라며 “이번 사건을 계기로 보안 시스템을 전면 점검하고, 외부 해킹 및 계정 탈취 시도에 대한 상시 탐지 체계를 한층 강화할 것”이라고 밝혔다. 회사 측은 유출 피해를 입은 회원들에게 이메일과 문자 메시지를 통해 별도의 보상안을 안내할 예정이라고 했다. 또한 개인정보 유출로 인한 피해가 발생했을 경우 개인정보분쟁조정위원회를 통해 분쟁 조정을 신청할 수 있다고 공지했다. 알바몬은 이용자들에게 비밀번호 변경과 의심스러운 이메일·문자 확인 시 주의를 당부했다. 그러면서 “같은 비밀번호를 다른 사이트에서도 사용 중이라면 함께 변경하고, 피싱·스미싱 시도를 경계해 달라”며 "신뢰를 회복하기 위해 최선을 다하겠다”며 거듭 사과했다.

2025.05.02 08:46안희정

지난달 SKT 무선 가입자 11만명 줄었다

지난달 SK텔레콤 가입자 약 11만 명이 줄었다. 사이버 침해사고 이후 상당수의 가입자가 움직인 결과다. 1일 한국통신사업자연합회(KTOA) 월간 번호이동 통계에 따르면 4월 한달 동안 SK텔레콤에서 다른 통신사로 옮겨간 가입자는 23만6천901 명이다. KT와 LG유플러스로 번호이동한 가입자는 각각 9만5천953 명, 8만6천5 명이다. 알뜰폰으로는 5만5천43 명이 빠져나갔다. SK텔레콤의 번호이동 이탈 가입자는 평소와 비교해 약 2배에 이르는 수치다. 침해사고 발표가 지난달 22일 이뤄진 점을 고려하면 짧은 시간 안에 가입자의 대규모 이동이 일어난 것으로 풀이된다. 지난달 SK텔레콤의 번호이동 순감은 11만4천230 명으로 전월 대비 약 9배 늘었다. 유통업계 한 관계자는 “SK텔레콤의 일부 유통 채널에서 가입자 이탈을 막기 위한 마케팅이 이뤄졌고, 경쟁사도 대응하는 모습을 보이면서 번호이동이 이례적으로 증가했다”며 “갑자기 늘어난 보조금이 위약금을 뛰어넘었기에 가능했던 구조로 보인다”고 말했다. 다른 관계자는 “정치권에서 위약금 면제 압박 수위를 높이면서 당장 번호이동 이탈이 줄어들 여지도 있다”면서 “7월 단통법 폐지를 앞두고 있어 시장 상황의 변화를 예상하기 어렵다”고 내다봤다.

2025.05.01 12:12박수형

'SKT 해킹' BPF도어 뭐기에…"해커들 뒷문"

과학기술정보통신부가 1주일 동안 SK텔레콤(SKT) 침해 사고를 조사한 결과를 29일 발표했다. 조사에 따르면, 이번 침해 사고에서 단말기 고유식별번호(IMEI)는 유출되지 않은 것으로 확인했다. 민관합동조사단은 SK텔레콤이 공격 받은 정황이 있는 3가지 서버 5대를 조사했다. 다른 중요 정보가 포함된 서버도 살피고 있다. 조사단은 지금까지 SK텔레콤에서 유출된 정보는 가입자 전화번호, 가입자식별키(IMSI) 등 유심(USIM)을 복제하는 데 쓰일 수 있는 4가지와 유심 정보 처리 등에 필요한 SK텔레콤 관리용 정보 21종이라고 전했다. 특히 조사단은 침투에 사용된 BPF 도어(Berkeley Packet Filter Door) 계열 악성 코드 4가지를 발견했다고 밝혔다. BPF 도어는 리눅스 운영체제(OS)에 내장된 네트워크 모니터링·필터 기능을 수행하는 BPF를 악용한 백도어(Backdoor)다. 은닉성이 높아 해커 통신 내역을 알아채기 어려운 특징이 있다. 이희조 고려대 컴퓨터학과 교수는 이날 지디넷코리아와의 통화에서 “해커가 BPF 도어를 설치했다는 사실보다 어떤 경로로 들어와 설치했는지, 이후 무슨 정보를 빼냈는지, 다음에 행할 더 큰 공격을 위한 단계로 쓴 것인지 조사단이 여부를 알아야 한다”고 말했다. 이 교수는 “SK텔레콤 말고도 KT나 LG유플러스 등이 비슷한 공격을 받았는지 확인해야 또 다른 피해를 막을 수 있다”고 덧붙였다. “BPF, 해커가 드나들려고 숨기는 뒷문” 정보보호 전문가들은 BPF를 리눅스 기반 운영체제에서 통신 정보를 감시하는 문이라고 비유했다. BPF 도어는 해커가 관리자 몰래 BPF에 만든 뒷문이다. 이 뒷문으로 드나들며 정보를 빼낼 수 있다는 얘기다. 박기웅 세종대 정보보호학과 교수는 “BPF는 시스템 내부 상황을 자세히 보려고 만들어진다”며 “시스템 주인이 아니라 공격자가 제어하면 악용된다”고 말했다. 그러면서 “집주인이 홈모니터링 시스템에 접속해 편리하게 집을 관리할 수 있지만, 도둑이 접속하면 범죄에 쓰이는 이치”라고 예를 들었다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “BPF 도어는 탐지하기 어려운 뒷문이라고 볼 수 있다”며 “해커가 일단 보안 취약점을 악용해 정보 시스템에 성공적으로 침투하고 나서 설치하는 악성 코드로, 해커가 다시 들어오려고 숨겨놓는 뒷문”이라고 표현했다. 익명을 요청한 보안 관련 교수도 “BPF 도어란 쉽게 얘기해 관리자 몰래 서버를 드나들 수 있는 비밀 통로”라며 “해커가 일단 서버에 침입하고 나서 다음에 다시 편하게 들어오려고 만드는 뒷문”이라고 빗댔다. 그러면서도 “'나 말고 다른 해커까지 들락거리면 곤란하다'고 생각한다”며 “나만 편하게 오가려고 '최고의 비밀번호(magic password)를 걸어둔 뒷문을 설치한다”고 전했다. 그는 “'열려라 참깨'라는 비밀번호 문자를 네트워크에 보내면 문이 열리게 해둔다”며 “이때 BPF 도어가 네트워크 통신에 '열려라 참깨'라고 입력됐는지 알아채 문이 열리도록 한다”고 설명했다. 국내에서 BPF 도어와 그 변종으로 인한 피해가 얼마나 생겼는지 통계는 없다. 다만 BPF 도어용 악성 코드가 누구나 보고 수정·배포할 수 있는 오픈 소스로 풀린 지 몇 년 흘렀기에 국내외에서 종종 쓰이는 것으로 전문가들은 보고 있다. 염흥열 협의회장은 “중국계로 추정되는 해커 조직이 정부·통신사·금융사 등 주요 기반 시설을 공격하려고 BPF 도어를 쓰는 것으로 알려졌다”고 언급했다. BPF 도어 수법은 2021년 영국 회계·경영 컨설팅 업체 프라이스워터하우스쿠퍼스(PwC) 위협 보고서에 처음 등장했다. 중국 해커 조직 '레드멘션'이 중동·아시아 통신·물류·교육 업체를 BPF 도어로 공격한 것으로 전해졌다. 미국 보안 기업 트렌드마이크로에 따르면 최근 한국·홍콩·미얀마·말레이시아·이집트의 통신·금융·소매 기업이 BPF 도어 공격을 당했다. “가치있는 회사일수록 보안 투자해야” 박기웅 교수는 “BPF 도어 기법을 포함해 모든 공격에는 공통점이 하나 있다”며 “보안 통제가 깨진 것”이라고 지적했다. “BPF 공격 또한 공격자가 일단 관리자 권한을 얻어서 벌어진 일”이라며 “시스템 권한을 관리하고 내부 소프트웨어 취약점을 분석해 적극적으로 모의 해킹하고 점검해야 한다”고 주장했다. 다만 “완벽한 해결책은 아니다”라며 “공격자가 항상 우위에 있고, 지키는 사람은 100만개를 잘 지켜도 1개만 뚫리면 공격당하는 곳이 이곳의 생태”라고 고개를 저었다. 염흥열 협의회장은 “먼저 원인을 조사해 그 결과에 따라 미흡한 점을 보완해야 한다”며 “특별히 보안 제품이나 서비스, 전담 인력을 늘릴 필요가 있다”고 조언했다. 이어 비정상적인 공격을 검출하는 네트워크 기반 탐지, 비정상적인 트래픽을 막는 방화벽 규칙 강화 등을 권했다. 'SK텔레콤이 당할 수밖에 없었는지, 평소 투자나 방어가 부족해서 이렇게 됐는지' 묻는 물음에 박기웅 교수는 “북한·중국과 가까워 한국 통신사는 지정학적으로 공격 대상이 되기 쉬운 데 비해 많이 투자하기는 어려운 처지”라며 “미국 마이크로소프트(MS)처럼 수백조원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것과 1천억원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것은 비교하기 힘들다”고 답했다. SK텔레콤은 지난해 매출 17조9천406억원, 영업이익 1조8천234억원을 기록했다. 2000년 1분기부터 지난해 4분기까지 100개 분기 연속, 25년째 흑자다. 보안 관련 한 교수는 “BPF 도어를 막으려면 꾸준히 서버에 보안 패치를 설치하고 무결성을 검증하고 비정상적인 접근이 있는지 살펴보는 수밖에 없다”며 “보안에 충분히 투자하고서도 단 한 번의 공격을 알아채지 못해 해킹 당하는 한편 별로 투자하지 않았지만 전혀 해킹 당하지 않는 회사도 있다”고 말했다. 이 교수는 “결국 회사에 훔칠 만한 정보가 있다면 해커가 위험과 어려움을 무릅쓰고 해킹한다”며 “이 정도 공격을 100% 완벽하게 막을 수 없어서 SK텔레콤이 아닌 다른 기업이더라도 방어하기 쉽지 않았을 것”이라고 추정했다. SK텔레콤은 그만큼 가치 있는 정보를 많이 가진 회사다. 시장 점유율 40%에 이르는 국내 1위 통신사다. 유심 정보를 탈취당한 가능성이 있는 이용자는 SK텔레콤 가입자 2천300만명과 SK텔레콤 망을 이용하는 알뜰폰 가입자 187만명을 더해 총 2천500만명에 달한다. 보안 업계 관계자는 “미국 행정부는 '리눅스용 백신과 엔드포인트 탐지·대응(EDR·Endpoint Detection & Response) 시스템을 설치하라'고 권고한다”며 “통신사 시설이 워낙 크고 많으니 모든 시스템을 최신으로 유지하기 어렵겠지만 보안에 계속 투자하고 최신 위협에 대처하는 능력을 갖춰야 한다”고 강조했다. 조사 중…"보안 정책 개선해야" 보안 전문가들은 이번 사태에 대해 조사로 끝나서는 곤란하다고 입을 모았다. 보안 정책을 개선하는 계기로 삼아야 한다는 거시다. 한국 보안 규제는 강하지만, 일이 터져야 급급하다고 평가된다. 과학기술정보통신부에 '침해대응과'는 있어도, '침해예방과'는 없는 현실이 이를 나타낸다. 김승주 고려대 정보보호대학원 교수는 “이 악성 코드는 변종이 많다는 게 특징”이라며 “소스 코드가 공개됐더라도 변형이 많이 만들어진데다 스텔스 기능까지 겸해 탐지하기 어려울 수 있다”고 말했다. 한국과학기술원(KAIST) 과학치안연구센터장인 김용대 카이스트 전기및전자공학부 교수는 일률적인 규제로는 제대로 보안할 수 없다는 입장이다. 김용대 교수는 “인프라가 다른 상황에서 획일적인 체크리스트는 결국 기업이 최소한 조건만 만족하려고 하게 만든다”며 “자신의 인프라를 모른 채 어떻게 해커와 싸울 수 있겠느냐”고 되물었다. 그는 “2021년 'Log4j 사태'처럼 아직 패치되지 않은 취약점이 공개된 적이 있다”며 “해커는 한국 서버가 이런 취약점이 있는지 원격에서 확인해 해킹했지만, 국가는 '누구든지 원하지 않는 트래픽을 보낼 수 없다'는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 때문에 어떤 서버가 취약한지 알 수 없었다”고 비판했다. 그러면서 “해커는 원격으로 마음껏 취약점을 찾고 해킹해 들어온다”며 “우리 스스로 못 봐서 안전하게 만들 수 있는 기회가 없는 마당에, 적은 우리를 분석해 들어오면 결국 적에게 공격을 할 동기를 주는 셈”이라고 꼬집었다. 이어 “미국 사이버인프라보안국(CISA)이나 영국 국립사이버보안센터(NCSC)는 한국과 반대로 민간 시스템 보안을 먼저 지원하고, 취약점 보고자를 법적으로 보호하고, 정부 차원의 기술적 개입과 점검을 가능하게 만드는 법·제도를 병행한다”며 “국가는 통제자가 아니라, 모두가 보안을 하고 싶게 만드는 설계자가 돼야 한다”고 덧붙였다. 한편 KT와 LG유플러스도 안전하지만은 않다는 설도 나온다. 지난해 7월과 12월 한국 통신사가 BPF 도어 공격을 이미 당했다는 지적도 있다. 어느 통신사가 얼마나 큰 피해를 입었는지는 밝혀지지 않았다. 미국 정보보호 기업 트렌드마이크로는 이런 내용의 보고서 '아시아·중동을 표적으로 삼은 BPF 도어의 숨겨진 컨트롤러'를 지난 14일 발표했다.

2025.04.29 16:52유혜진

SKT 유심 교체 첫날, 가입자 3만4천명 번호이동 이탈

SK텔레콤이 유심 무상 교체 서비스를 본격 시작한 첫날, 약 3만4천명의 가입자가 번호이동으로 이탈했다. 가입자 이탈을 막기 위해 대규모 보조금까지 동원했지만, 해킹 사고로 촉발된 불안 심리가 촉발된 것으로 분석된다. 29일 통신업계에 따르면 전날 SK텔레콤에서는 3만4천132명이 다른 통신사로 번호이동을 했다. 같은 날 SK텔레콤으로 새로 가입한 사람은 8천729명에 그쳤다. 이에 따라 하루 동안 SK텔레콤 가입자는 2만5천403명 감소했다. 이탈한 가입자의 약 60%는 KT를, 나머지 40%는 LG유플러스를 선택한 것으로 나타났다. 이날 KT에는 2만1천343명, LG유플러스에는 1만4천753명이 새롭게 가입했다. 알뜰폰으로 이동한 인원까지 포함하면 실제 이탈 규모는 더 커질 것으로 보인다. SK텔레콤은 지난 18일 해커가 유심 관련 정보를 유출한 정황을 확인했다고 밝힌 이후, 이용자 불안이 커지면서 가입자 이탈이 본격화됐다. 이달 초만 해도 하루 200명을 넘지 않던 이탈 규모는 26일 1천665명으로 급증한 데 이어, 무상 교체 첫날 대규모 이탈 사태로 이어졌다. SK텔레콤 대리점과 판매점들은 가입자 이탈을 막기 위해 고가 보조금을 지급하는 방식으로 대응했다. 일부 대리점에서는 SK텔레콤으로 번호이동을 하면 최신형 스마트폰을 무료로 제공하고, 추가 현금까지 지급하는 사례도 확인됐다. 하지만 보조금 공세에도 가입자 불신은 쉽게 해소되지 않았다. 또한 일부 대리점이 무상 교체용 유심을 일반 판매에 우선 활용하라는 내부 지침을 받은 사실이 알려지며, 이용자 불만은 더욱 커졌다. SK텔레콤 정보 유출 피해자들을 중심으로 집단소송 움직임도 본격화하고 있다. 방송통신위원회는 현재 시장 상황을 모니터링 중이며, 휴대전화 유통점의 보조금 지급 행태가 현행 단말기유통구조개선법(단통법) 위반에 해당하는지 여부를 조사할 계획이다. 단통법은 7월 말까지 유효하다. 한편, SK텔레콤은 휴대전화 가입자 2천300만명으로 이동통신 3사 중 1위를 유지하고 있다. KT는 1천500만명대, LG유플러스는 1천만명 초반대 가입자를 보유하고 있다.

2025.04.29 11:19최이담

"봄철 알레르기 궁금증, 114에 물어보세요"

KTis는 114번호안내서비스를 통해 봄철에 필요한 다양한 생활정보를 제공한다고 10일 밝혔다. 봄철을 맞아 114번호안내서비스를 통해 '지역번호+114'를 통해 봄맞이 대청소를 위한 청소업체, 이사 및 리모델링 업체 등 봄철 준비에 필요한 내 주변 업체 정보를 빠르게 확인할 수 있다. 환절기 감기, 꽃가루 알레르기 질환, 비염, 결막염 등 건강 이상 증상으로 주변 병원, 클리닉, 약국에 대해 문의 시 신속히 번호안내를 제공한다. 또한 봄철 야외 활동을 즐기려는 고객에게 캠핑, 등산용품, 자전거 업체 등 관련 정보를 제공한다. 특히 최근 날씨가 따뜻해 짐에 따라 캠핑에 대한 관심이 높아져 겨울철 대비 캠핑카 문의는 195%, 캠핑장 문의는 107%나 증가했다. 박우식 KTis 마케팅본부장은 “봄철은 날씨 변화와 함께 다양한 활동이 활발해지는 시기”라며 “114번호안내서비스를 통해 고객들에게 보다 편리하고 신속한 정보 제공에 최선을 다할 것”이라고 말했다.

2025.04.10 08:55박수형

"돌아가신 부모님, 휴대폰 잠금 풀 수 있나요"

더불어민주당 유동수 의원이 디지털 유산에 대한 접근을 제도화하는 내용을 담은 정보통신망법 개정안을 대표발의 했다고 7일 밝혔다. 디지털 기술의 일상화로 연락처, 일정, 메시지 등 다양한 개인정보가 휴대폰이나 정보통신서비스 제공자 등이 운영하는 계정 등에 저장돼 있으나 현행법에서는 고인의 휴대폰 계정 잠금을 가족을 위해 해제할 수 없다. 이용자가 갑작스레 사망할 경우, 유족들은 고인의 휴대폰이나 계정에 걸려있는 암호 등 보안을 해제할 수 없어 장례 절차를 진행하기 위한 고인의 지인 연락처 등 최소한의 정보조차 확인하기 어려운 상황이 빈번하게 발생하고 있다. 이에 따라 유동수 의원은 ▲사전에 이용자가 자신의 디지털 정보에 접근할 수 있는 계정대리인을 지정하고 ▲정보통신서비스 제공자는 계정대리인 접근 범위를 설정하고 ▲사망 혹은 실종시 계정대리인이 정해진 범위 내에서 이용자의 계정에 접근할 수 있도록 허용하는 내용을 담은 법안을 발의했다. 유 의원은 “제주항공 여객기 참사 등 대형 참사 때마다 고인과 실종자의 디지털 정보에 대한 가족 등의 접근 권한 필요성이 꾸준히 제기되어 왔다”며 “최근 참사에서는 정부와 기업 간 협의 끝에 유가족에게 연락처가 제공됐으나 입법 공백 상태에서 언제까지나 정부와 기업의 선의에만 기대되는 것은 한계가 있다”고 지적했다. 이어, “현행법은 유족의 정당한 권리 행사조차 개인정보 보호를 이유로 가로막고 있다. 시대의 변화에 맞춰 고인이나 실종자의 사전 동의를 전제로 유족의 접근권을 보장할 필요가 있다”며 “고인의 프라이버시와 유족의 상속권을 함께 보호할 수 있기를 기대한다”고 강조했다.

2025.04.07 16:22박수형

옥타코, 피싱 막는 M2A 선봬…"제로 트러스트"

인증 보안 기업 옥타코는 18일 제로 트러스트(Zero Trust) 인증 방법으로 '옥타코 피싱 방어 M2A'를 선보였다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 뜻이다. M2A(Multi-Attribute Authentication)는 다양한 속성을 활용해 사용자·기기·환경을 종합 인증하는 체계다. 단순히 여러 인증 요소(MFA)를 모으는 것만이 아니라 사용자 신원과 기기 무결성, 행동 양식, 네트워크 상태 등을 동시에 검증한다. 피싱·중간자 공격을 비롯한 해킹 시도에 대응하는 신원 인증 방법이라고 옥타코는 소개했다. M2A는 비밀번호와 일회용비밀번호(OTP) 조합을 넘어 기기 자체가 믿을 만한 환경인지를 함께 판단한다고 옥타코는 설명했다. 이를 위해 생체 인증이나 하드웨어 보안 번호와 더불어 기기 보안 패치 상태, 악성코드 감염 여부, 위치 정보, 네트워크 상태까지 살펴본다. 비밀번호가 유출됐거나 일회성 토큰이 탈취돼도 뚫기 어렵다는 입장이다. 옥타코는 M2A가 로그인 시도한 때를 넘어 그 시간에도 다중 속성을 계속 점검한다고 강조했다. 권한은 나눠서 적용한다고 덧붙였다.

2025.03.18 16:57유혜진

단통법 지켰다고 과징금 폭탄...통신 3사, 공정위에 법적 대응

공정거래위원회는 SK텔레콤 KT LG유플러스 등 이동통신 3사가 약 7년 동안 번호이동 건수를 상호 조정키로 합의하고 담합을 했다는 주장을 내세워 총 1천140억 원의 과징금을 부과하기로 잠정 결정했다고 밝혔다. 통신 3사는 방송통신위원회의 단말기 유통법 준수에 대한 행정지도를 따랐을 뿐이라며, 공정위의 의결서를 받는 즉시 법적 대응을 예고했다. 윤석열 대통령의 통신 카르텔 언급 이후 급물살을 탄 공정위의 제재는 조사 시작 단계부터 방통위의 반대 의견 개진과 통신 3사의 항변에도 수천억 원의 과징금 제재로 이어졌다. 이에 따라, 통신 3사의 제재 불복에 따른 행정소송 제기를 비롯해 단통법을 집행하는 주무 부처 방통위의 의견을 공정위가 끝내 무시했다는 논란으로 번질 전망이다. 아울러 공정위의 담합 주장과 달리 과열 경쟁에 따른 단통법 위반으로 방통위가 이미 여러 차례 과징금을 부과했던 터라 서로 다른 논리의 이중 처벌도 심각한 논란으로 남게 됐다. 공정위 “이통 3사, 시장상황반서 담합으로 번호이동 건수 감소” 공정위는 이통 3사가 2014년 12월 단통법 위반행위로 방통위 제재를 받은 뒤 법 준수를 위한 자율규제 일환으로 한국정보통신진흥협회(KAIT)와 시장상황반을 운영하면서 이 과정에서 번호이동 건수 합의를 형성하고 실행했다고 판단하며 시정명령과 과징금 부과를 결정했다고 12일 밝혔다. 과징금 규모는 SK텔레콤 426억원, KT 330억원, LG유플러스 383억원으로 잠정 예고됐다. 이통 3사가 번호이동 가입자로부터 발생한 매출액을 기준으로 산정한 과징금으로, 비율은 1%를 적용했다. 공정위는 “시장상황반은 매일 이통 3사와 KAIT 직원이 모두 한 장소에 모여 운영됐고, 이통 3사 직원들의 상호 제보 쪼는 KAIT 시장 모니터링으로 특정 이통사의 과도한 판매장려금 지급 사례를 확인하는 식으로 운영됐다”고 설명했다. 이어, “이통 3사는 상황반에 참여하면서 2015년 11월경 각 사간의 번호이동 가입자 순증가 또는 순감소 건수가 특정 사업자에게 편중되지 않도록 조정하자고 합의했다”며 “상황반 운영이 종료되는 2022년 9월말까지 이동통신 3사는 특정 사업자에게 번호이동 순증가 또는 순감소가 편중되게 나타나는 경우 상호 간의 협의를 통해 판매장려금을 인상 또는 인하했다”고 판단했다. 공정위 조사에 따르면, 이통 3사의 일평균 번호이동 순증감 건수는 2014년 3천여 건에서 담합이 시작됐다고 규정한 2016년에는 200 건 이내로 축소됐다. 또 일평균 번호이동 총 건수는 2014년 2만8천872 건에서 2016년 1만5천664 건으로 45.7% 줄었다. 통신 3사 “공정위 결정 유감, 의결서 받는 대로 법적 대응” 통신 3사는 공정위의 제재 결정에 일제히 유감을 표했다. 특히, “의결서를 받는 대로 법적 대응을 모색할 예정”이라며 앞으로 행정소송 제기를 예고했다. 단통법 준수를 위해 주무 부처인 방통위의 행정지도를 따른 것을 두고, 담합을 했다는 공정위의 주장을 받아들일 수 없다는 뜻이다. 공정위의 조사 시작 단계부터 법조계에서는 무리한 제재를 추진한다고 보는 시각이 지배적으로 형성됐다. 공정위의 논리만 따지자면 방통위가 민간 사업자에 불법 행위를 조장한 것이고, 그 과정에서 이통 3사가 과열 경쟁을 일삼아 소비자 이익 침해로 과징금 제재도 내렸는데 공정위는 경쟁 제한 행위로 다시 과징금을 부과하겠다는 이중 처벌을 예고한 것이기 때문이다. 공정위의 이상한 판단 잣대 3사의 담합 행위로 이동통신 시장에서 번호이동(MNP) 건수가 줄었다고 본 공정위의 기준을 두고도 통신업계에서는 뒷말이 나온다. 사실상 제재 의견을 결정하고 억지 근거를 마련했다는 지적까지 제기되고 있다. 논란이 되는 대표적인 사례가 공정위가 밝힌 2014년 MNP 건수와의 비교다. 지난 2014년은 국내 통신시장 역사에서 일시적인 불법 보조금이 가장 극심했던 시기로 꼽힌다. 일례로 2014년 6월에는 하룻밤 사이에 100만 명에 이르는 개인정보가 유통망에서 떠돌며 수일에 걸친 순차 개통이 이뤄졌던 시기다. 이는 '6.9 대란'으로 불리기도 했다. 당시 특정 제조사의 과도한 판매장려금 집행으로 국내 휴대폰 판매 점유율 순위가 요동쳤다. 공정위가 지목한 2014년 말 단통법 위반 제재는 이른바 '아식스 대란'에 대한 건으로, 사나흘 간 아이폰6 불법 판매 행위가 빚어지면서 통신 3사 임원에 대한 형사고발까지 이뤄졌다. 단통법 시행 직전과 직후가 공존하던 해인 동시에 스마트폰 대중화가 시작되던 2014년에 비해 MNP가 줄어든 게 통신 3사의 담합 때문이라는 게 공정위의 주장이다. 국내 이동통신 시장에서 보조금 규제는 설비투자 경쟁을 소홀히 하면서 마케팅 경쟁으로 가입자만 끌어모으려는 행위를 제한하기 위해 시작됐다. 단통법이 시행되기 전에 전기통신사업법으로 보조금을 규제하던 옛 방통위가 시장의 과열을 판단하는 기준이 하루 MNP 2만4천 건 이상이다. 즉 방통위가 시장과열 기준으로 삼고 제재 논의를 시작하는 MNP 기준 건수를 훌쩍 뛰어넘는 일평균 2만8천여 건보다 줄어든 수치가 담합의 결과라는 설명이다. 이런 논리라면 통신 3사는 담합 의혹을 몰리거나 과열 경쟁으로 법을 위반한 회사가 된다. MNP 외에 기기변경, 010 신규가입 등 다른 이동통신 서비스 가입 유형에 대한 공정위의 검토도 부족해 보인다. 단통법 시행과 별개로 국내 통신 시장은 유무선 결합상품과 가족 결합 등의 경쟁이 치열하게 전개되면서 개별 이동통신 서비스에 대한 통신사 변경보다는 기기변경 수요가 높아진 지 오래다. 과학기술정보통신부의 유무선 통신서비스 가입현황 통계만 보더라도 주요 스마트폰 브랜드의 신제품이 출시될 때면 기기변경 수치만 솟구친다. MNP 시장에서 담합 정황을 발견했다면서 과징금 제대로 공정위는 가계 통신비 부담을 줄일 것이라고 기대한다고 밝혔는데, 통신 유통업계에서는 결합상품과 기기변경 기장의 경쟁을 무시하고 생색내기 대국민 홍보라고 꼬집었다.

2025.03.12 12:59박수형

'블랙야크' 보안 뚫렸다...개인정보 34만 건 유출

의류 브랜드 BYN블랙야크의 회원 34만 명 개인 정보가 유출됐다. 회사는 이번 사고로 소비자들에게 피해가 가지 않도록 최선을 다하겠다는 입장을 냈다. 6일 블랙야크에 따르면, 이번 정보 유출은 지난 4일 해커에 의한 홈페이지 공격을 통해 발생했다. 유출된 개인정보 항목은 ▲이름(닉네임) ▲성별 ▲생년월일 ▲휴대전화 번호 ▲주소 뒷부분 등이다. 블랙야크는 본 사안을 인지한 직후 사고 원인을 파악했고, 해당 IP와 불법 접속 경로를 차단한 뒤 취약점을 점검해 보안 조치했다고 말했다. 개인정부 유출 등으로 인해 손해가 발생한 경우 개인정보 분쟁조정위원회에 분쟁조정을 신청할 수 있다. 회사는 “개인정보 유출로 인해 심려를 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 “유출로 인한 피해가 발생하지 않도록 최선을 다하겠다”고 했다.

2025.03.06 20:00류승현

"이렇게 하면 털린다"···GS리테일·듀오 해킹 사건 보니

최근 편의점·홈쇼핑 등을 거느린 대형 유통회사 GS리테일의 홈쇼핑 업체 GS샵에서 고객 개인정보 약 158만건이 유출되는 사고가 발생했다. 이보다 며칠 앞서 회원 수 3만명이 넘는 결혼정보업체 듀오에서도 해킹으로 회원 개인정보가 유출됐다. 유출 규모는 파악되지 않았지만, 업계 특성상 다양한 개인정보를 지니고 있을 것으로 추정된다. 잇달은 개인정보 유출과 해킹에 대해 1일 정보보호(보안) 전문가들은 "계정 비밀번호를 자주 바꾸는 한편 아이디·비밀번호 말고도 문자메시지(SMS)나 이중 인증 앱으로 한 번 더 까다롭게 해야 피해를 막을 수 있다"고 조언한다. GS샵의 경우, 지난해 6월 21일부터 이달 13일까지 웹사이트 해킹 공격으로 고객 개인정보가 유출된 정황을 확인했다고 회사는 밝혔다. 홈쇼핑 웹사이트를 통해 유출됐다고 추정되는 개인정보는 ▲이름 ▲성별 ▲생년월일 ▲연락처 ▲주소 ▲아이디 ▲이메일 ▲기혼 여부 ▲결혼기념일 ▲개인통관고유부호 총 10개 항목이다. 각자 입력한 정보에 따라 일부는 포함되지 않았을 수도 있고, 멤버십 포인트와 결제 수단 등 금융 정보는 유출되지 않았다. 특히 GS샵 해킹은 앞서 지난달 편의점 GS25를 통해 GS리테일 회원 9만여명의 개인정보 유출이 드러난 지 한 달여 만에 추가로 확인, 사태 심각성을 더 했다. GS리테일의 경우 지난해 12월 27일부터 지난달 4일까지 웹사이트 해킹 공격으로 이름, 성별, 생년월일, 주소, 연락처, 아이디, 이메일 등 7개 항목이 유출됐다. GS리테일의 경우 개인정보위원회 조사를 거쳐 추후 과징금 규모 등이 결정될 예정인데, 개인정보보호법에 따르면 같은 위반 행위 재발 시 가중 조항이 있다. 이정은 개인정보위 조사2과장은 "GS리테일의 경우가 가중에 해당하는 지는 조사해봐야 한다"고 말했다. GS리테일은 고객 정보 유출과 관련, 사실 인지 후 해킹을 시도한 인터넷프로토콜(IP)과 공격 패턴을 차단하고, GS홈쇼핑 사이트 계정에 로그인할 수 없게 잠금 처리했다. 또 최고 경영진이 참여하는 정보보호대책위원회를 꾸리겠다고 약속하는 한편 최신 정보보호 기술을 도입하고 보안 인력을 늘리겠다고 밝혔다. 듀오의 경우, 지난달 설 연휴 해킹 사고로 일부 고객의 개인정보가 유출됐음을 알아챘고, 유출 경위와 규모를 파악하고 있다. 듀오 회원은 3만5천340명이다. 결혼정보회사인 만큼 회원 ▲이름 ▲연락처 ▲주소 말고도 ▲소득 ▲자산 ▲가족 사항 등을 저장하고 있었을 가능성이 크다. 듀오는 홈페이지에 사과문을 올리고 전문 기관 도움을 받아 기술 조치를 취했다고 밝혔다. 또 주요 개인정보를 암호화해 보관하고 있었다며, 고객에게 안심하라고 일렀다. 이어 비슷한 사고가 다시 일어나지 않게 보안 상태와 시스템 취약점을 점검해 개선하겠다고 밝혔다. GS리테일은 해킹 기법 중 하나인 '크리덴셜 스터핑(Credential Stuffing)' 공격을 받았고, 듀오의 경우 해킹 기법이 알려지지 않았다. 보안 분야에서 25년 이상 일하고 있는 윤두식 이로운앤컴퍼니 대표는 두 회사 해킹에 대해 “아직 직접적인 원인이 밝혀지지 않은 상황이라 함부로 판단하기 어렵다”면서도 “듀오는 시스템이 해킹돼 개인정보가 유출됐을 가능성이 있다”고 말했다. 이로운앤컴퍼니는 인공지능(AI) 보안 수준을 높이는 서비스를 제공하는 회사다. 한국개인정보보호책임자(CPO)협의회장인 염흥열 순천향대 정보보호학과 명예교수는 “GS리테일이 다른 사이트에서 유출된 아이디와 비밀번호를 이용하는 크리덴셜 스터핑 공격을 받은 것 같다”며 “해커는 보안이 취약한 사이트의 아이디와 비밀번호로 다른 사이트를 로그인하는 데 쓴다”고 설명했다. 크리덴셜 스터핑은 이용자가 여러 사이트에서 같은 아이디와 비밀번호를 사용하는 것을 노린 해킹 기법이다. 보안 전문가들은 "매우 단순한 공격 방식이지만 해킹 효과가 커 해커들이 자주 사용하는 방법"이라고 전한다. 공격자는 다크웹에서 계정 정보를 많이 확보한 뒤 반복해 대입을 시도한다. 다른 사이트에서 이미 흘러 나간 아이디와 비밀번호가 악용된 만큼 비밀번호에만 의존해서는 위험하다고 전문가들은 지적했다. 염 교수는 “피싱·파밍 공격을 막을 수 있는 패스워드리스(Passwordless) 방식과 2개 이상 인증 요소를 동시에 사용하는 게 필요하다”며 “예를 들어 아이디·비밀번호와 문자메시지 인증을 동시에 적용하는 것”이라고 설명했다. 윤 대표도 “이중 인증을 지원하는 사이트에서는 반드시 이중 인증을 활성화해야 한다. 이 경우 해커가 내 아이디와 비밀번호로 로그인을 시도하더라도 이중 인증을 못해 정보를 빼낼 수 없다”고 밝혔다. 이어 “기업은 이중 인증을 도입하는 한편 이상 로그인 시도나 비정상적인 접근을 실시간으로 감지하고 대응하는 시스템을 구축해야 한다”며 “정기적으로 교육해 직원의 보안 의식을 높이고 사회공학적인 해킹 기법에 대비하는 능력을 키워야 한다”고 덧붙였다. 전문가들은 "원론적이지만 사용자는 번거롭더라도 사이트마다 비밀번호를 다르게 정하고, 주기적으로 비밀번호를 바꾸는 게 좋다"고 이구동성으로 지적하며 "IP 보안이나 2차 비밀번호 등의 보안 정책을 도입할 것을 기업에 권고하고 있지만, 사용자의 편리성 등 때문에 잘 안 이뤄지고 있다"고 짚었다. 실제 크리덴셜 스터핑을 예방하려면 비밀번호는 최소 8자리 이상으로, 또 영어와 특수문자, 숫자 등 3종류 이상 조합으로 만드는 게 좋다. 여기에 나만의 비밀번호 작성 규칙을 만들고 오랫동안 방문하지 않은 사이트는 탈퇴해야 한다. 듀오는 피해를 방지하기 위해 발신자를 알 수 없는 이메일이나 메시지 링크를 열지 말고 지우는 한편 로그인 비밀번호를 바꾸라고 고객에게 권했다. GS리테일도 비밀번호를 변경하라고 당부했다. 개인통관고유부호 유출이 의심되면 관세청 개인통관고유부호 발급 사이트에서 개인통관고유부호 사용 정지를 요청하거나 재발급 받을 수 있다고 안내했다. 관세청 홈페이지에 도용 신고할 수도 있다. 개인정보가 유출돼 손해 입었다면 개인정보분쟁조정위원회에 분쟁 조정을 신청할 수 있다.

2025.03.01 13:24유혜진

'아이폰16e', 지문 인식 대신 얼굴 인증…왜?

애플이 보급형으로 새롭게 선보인 저가 스마트폰 '아이폰16e'가 지문 인식 대신 얼굴 인증 기능을 갖췄다. 미국 경제 방송 CNBC는 지난달 28일(현지시간) 애플은 얼굴 인증 기술을 가장 간편한 인증 방법으로 평가하며 이에 집중하고 있다고 보도했다. 영국 정보보호 기업 아이프루브의 조 팔머 최고혁신책임자(CIO)는 “휴대전화 잠금을 푸는 데 1초밖에 안 걸려도 하루에 휴대전화 잠금 푸는 횟수를 생각하면 수백초 걸린다”며 “당분간 얼굴 인식을 넘어서는 진화는 없을 것”이라고 말했다. 미국 정보보호 업체 노비포의 로저 그라임스 연구원은 “애플은 얼굴을 인증하는 문화를 갖고 있다”며 “기술이 견고하고 쓰기 쉽기 때문”이라고 강조했다. CNBC에 따르면 화장품을 바르거나 수염을 기르는 등 사용자 외모가 달라져도 아이폰이 얼굴을 인식할 수 있다. 모자·스카프·안경·콘택트렌즈·선글라스를 쓰거나 실내·실외는 물론 어두운 환경에서도 아이폰 얼굴 인증 기능이 작동하도록 애플이 설계했다고 CNBC는 평가했다. 스마트폰에서 지문 인식 기능을 없애는 이유는 화면 크기를 키우려는 목적도 있다고 꼽힌다. 이전 아이폰에는 지문 인식 센서 등을 넣기 위해 홈버튼이 필요했다. 팔머 CIO는 “애플은 낭비되는 공간을 없애 스마트폰 전체가 화면이 되도록 했다”며 “아이폰에서 홈버튼을 없애려고 노력했다”고 설명했다. 다만 지문 인식 기술이 다음 제품에 다시 적용될 가능성도 있다. CNBC는 애플이 몇 년 전 디스플레이 지문 판독 기술 특허를 받았다며 이 기술을 계속 개선하고 있다고 전했다.

2025.03.01 10:10유혜진

[보안기업] 이로운앤컴퍼니 "AI보안 우리가 책임···한국서 유일"

“'나쁜 일 해서 많은 돈 벌지 말자'는 게 좌우명이에요. '덜 벌더라도 착한 일 하자'고 생각하죠. 그래서 '기술로 고객을 이롭게 하자'는 뜻으로 회사 이름을 '이로운앤컴퍼니'라 지었어요. '인공지능(AI) 보안'이라면 세계 누구든 이로운앤컴퍼니를 찾게 하고 싶어요. 기업이 업무를 안전하게 자동화하는 서비스를 통틀어 제공하는 게 목표입니다.” 윤두식 이로운앤컴퍼니 대표는 26일 서울 삼성동 사무실에서 지디넷코리아와 만나 사명을 소개하며 이같이 밝혔다. 윤 대표는 1973년생으로 만 50세에 창업했다. 비교적 늦게 도전했다고 여기는 나이다. 그는 대전 한밭고를 졸업하고, 충남대에서 컴퓨터과학 학·석사를 받았다. 그리고 국내 정보보호 기업 지란지교소프트에 입사했다. 여기서 25년 동안 일하며 10년은 지란지교소프트에서 분사한 지란지교시큐리티 대표이사로 보냈다. 윤 대표는 “오래 전부터 창업하고 싶었지만 지란지교시큐리티를 키우는 게 우선이었다”며 “코스닥시장에 상장하고 모비젠과 SSR을 인수하면서 회사를 안정적인 궤도로 올렸다”고 말했다. 그 목표를 이루고서야 '내 회사'를 차릴 때라고 확신했다. 윤 대표는 “고객이 안전하게 AI를 활용하도록 돕겠다”며 2024년 1월 이로운앤컴퍼니를 설립했다. 이로운앤컴퍼니는 AI챗봇에서 민감 정보를 판별하고, 거대언어모델(LLM)을 연동한 응용프로그램(앱)에 대한 공격을 방어하는 AI 보안 기업이다. 윤 대표를 포함해 9명의 구성원이 이로운앤컴퍼니에서 일한다. 3명이 출발, 외형으로는 1년새 3배가 커졌다. 임직원 9명 가운데 8명이 개발자다. 유일한 비개발자 1명은 최고고객책임자(CCO)로 윤 대표에게 특별한 사람이다. 전 직장인 지란지교소프트에서 만나 사내 커플이 됐고, 이제 창업자 부부로 회사에서나 가정에서나 언제나 그를 응원하는 든든한 지원자다. 회사 이름 '이로운'도 아내가 제안했다. 그 1년간의 이야기를 들어봤다. 아래는 윤 대표와의 일문일답. -AI 보안이란 무엇인가? “AI 보안은 크게 두 가지가 있다. 하나는 AI의 보안을 높이는 AI를 위한 보안(Security for AI)과 또 하나는 AI를 이용해 보안(AI for Security)을 높이는 것이다. 이 중 이로운앤컴퍼니는 AI의 보안을 높이는 서비스를 제공한다. 한국에는 우리 같은 회사가 아직 없다. 우리가 유일하다. 외국에서도 빨라야 2020년 시작, 몇 개 회사가 있다. 이제 시장이 막 열리는 단계다.” -이로운앤컴퍼니 주력 제품은? “지난해 7월 '세이프엑스(SAIFE X)'를 선보였다. 이어 12월에 첫 고객으로 한국정보보호교육원에 공급했다. 기업은 AI 서비스를 쓰고 싶어도 회사 정보가 밖으로 나갈까 봐 불안해한다. 사용자가 AI챗봇 대화창에 내용을 쓰면 세이프엑스가 민감한 정보를 가려낸다. '입력한 내용에 민감한 정보가 있어요.' 그러면서 이름과 연락처 등을 표시한다. 곧이어 '민감한 정보가 아니면 표시를 해제하고 전송하세요. 민감한 정보를 보내면 유출 피해를 입을 수 있으니 조심하세요.'라고 알려준다. 기업은 사정에 맞게 개인정보와 금융 정보 등이 기밀이라고 미리 설정할 수 있다. 세이프엑스에는 '제일브레이크 필터(Jailbreak Filter)' 기능도 있다. AI에 일부러 나쁜 내용을 써서 공격자가 의도하는 동작으로 유도하는 제일브레이크를 알아채 막아준다. 지금껏 알려진 제일브레이크는 대부분 영어로 쓰였다. 한국어 챗봇에서 악용될 가능성이 크다. 이로운앤컴퍼니는 한국 회사답게 한국어 공격을 방어하는 능력을 지녔다. LLM 보안 상태를 진단하고 해결책을 제시하는 레드팀(Red Team) 서비스도 제공한다. AI를 쓰고 싶은데 해킹이 걱정된다면 '세이프 X'를 쓰면 된다." -수출은 언제쯤? “설립한 지 1년여 밖에 안됐지만 수출도 고려하고 있다. 우선 연내 일본어 서비스를 내놓으려고 한다. 며칠 전에도 일본 회사를 만났다. 관심이 많더라. 이로운앤컴퍼니의 해외 시장은 처음도 끝도 일본이다. 일본 정보보호 시장 규모는 한국의 10배다. 일본에서만 성공하더라도 큰 성과를 이루는 셈이다. 일본에서 10% 이상 시장 점유율을 차지하고 싶다.” -매출 목표와 상장 계획은? “일단 올해는 10억원 달성이 목표다. 착실히 성장해 2027년에는 100억원을 돌파하고 싶다. 양분으로 삼을 투자도 차근차근 받고 있다. 지난해 5억원을 시드 투자(Seed Investment)로 받았다. 시드 투자는 창업초기기업이 서비스를 출시할 준비하는 단계에서 이뤄진다. 창업초기기업 투자 전문사 마크앤컴퍼니가 이끌었다. 올해에는 프리시리즈A 단계 투자 유치를 생각하고 있다. 기업공개(IPO)는 2029~2030년쯤으로 잡고 있다.” 고객에게 한마디? “AI는 기업 경쟁력에 반드시 필요한 수단이다. 보안이 두려워서, 효과를 못 믿어 도입하기를 미룬다면 회사 경쟁력 높일 때를 놓친다.겪어봐야 한다. 보안이 두려우면 이로운앤컴퍼니를 찾아라. 같이 해결하자. 우리 회사 팀멤버들이 좋다. 특히 최고기술책임자(CTO)의 경우 20년 이상 보안 개발자로 일했고, 한국보다 큰 시장으로 평가받는 일본에서도 경험을 갖고 있다." 스타트업 대표로서 자랑할 기업 문화는? “재택근무다. 월·화·수요일 3일은 집에서 일하고, 목·금요일에는 오전 10시부터 오후 4시까지 집중 근무하면 된다. 이로운앤컴퍼니 직원은 강원 춘천시, 경기 남양주시 등에서 살기에 재택근무를 매우 좋아한다. 회사가 안착하면 완전 재택근무로 바꿀 것도 생각하고 있다.” 50대에 창업했는데 힘들지 않았나? "왜 안힘들었겠나. 여러 어려움이 많았다. 역시 밖은 '비바람'이 세더라(웃음). 특히 가장 힘든 건 투자 유치였다. 생각한 것보다 쉽지 않더라. 법인사업자 등록부터 세무·회계·법무까지 직접 챙겨야 하는 것도 힘들고 생소했다. 힘들때마다 아내가 큰 힘을 줬다.(웃음)" 창업하려는 후배에게 조언한다면? “정부가 지원하는 창업 교육을 꼭 받고 시작하길 바란다. 임직원 구성, 지분 구조, 아이템 선정, 고객 요구 수렴 방법, 투자 유치 방법 등 대부분을 알려준다. 기본을 알면 잘못된 길을 갈 확률이 줄어든다. '그냥 해 볼까? 안되면 취직하지, 뭐'라는 생각으로는 절대 성공하지 못한다. 온 힘을 다해도 될까 말까다. 그리고 내가 50세에 창업해서 하는 말인데, 마음이 있으면 한 살이라도 어릴 때 하라. 체력도 중요하다(웃음).” 올해 한국정보보호산업협회 AI보안협의회 회장을 맡았는데 활동 계획은? "회원사는 구상 단계다. 정부와 산업계 모두가 AI 보안에 관심이 많으므로 많은 기업과 학계가 참여할 거라 생각한다. 산업에서 AI를 어떻게 적용하는 것이 보안 측면에서 베스트 프랙티스(Best Practice)인지 모르기 때문에 이를 도와줄 수 있는 큰 아웃라인을 만드는 작업을 우선 할 계획이다."

2025.02.28 08:20유혜진

"114로 국가 건강검진 간편하게 예약하세요"

KTis는 114번호안내서비스를 통한 국가 건강검진 예약 대행 서비스를 새롭게 선보였다고 21일 밝혔다. 해당 서비스는 이용자가 '02-114'로 전화해 건강검진 예약을 요청하면, 전문 상담사를 통해 원하는 지역과 병원을 선택하고 희망하는 날짜에 국가 건강검진을 예약할 수 있는 서비스다. 예약 후 검진일이 다가오면 자동으로 안내 메시지가 발송돼 예약을 놓치지 않도록 지원한다. 현재는 수도권 중심으로 서비스가 제공되고 있으며, 연내 전국으로 확대할 계획이다. 지난해 시행된 114번호안내 이용자 대상 설문조사에 따르면, 대부분의 시니어 이용자들은 '기관 방문 예약(56.4%)'이나 '기관 전화 예약(43.6%)' 등의 방식으로 국가 건강검진을 예약하고 있다. KTis는 시니어 이용자들에게 익숙한 예약 방식을 제공하면서도 여러 기관에 전화하거나 직접 방문하는 번거로움을 덜어주기 위해 이번 서비스를 기획했다고 설명했다. 이번 서비스를 통해 시니어를 비롯한 디지털 취약계층이 손쉽게 국가 건강검진을 예약할 수 있게 되었다. 건강보험공단에 따르면 65세 이상의 검진 수검률은 69.3%로, 시니어들이 질병을 조기에 발견하고 적시에 치료를 받기 위해서는 검진 수검률을 높이는 것이 중요하다. 이번 서비스로 검진 수검률 향상 및 신속한 치료에 큰 도움이 될 것으로 기대된다. KTis 마케팅본부 박우식 본부장은 “이번 서비스 런칭은 국가 건강검진을 받고자 하는 많은 이용자들이 전화 한 통으로 간편하게 예약할 수 있도록 돕는 중요한 첫걸음”이라며, “114번호안내서비스는 앞으로도 정보 소외계층을 위한 중요한 정보 채널로서 실생활에 필요한 서비스를 제공하기 위해 최선을 다할 것”이라고 말했다.

2025.02.21 10:12최지연

전기차 배터리 안전성, 정부가 직접 인증한다

앞으로 정부가 전기자동차 배터리 안전성을 직접 인증하고 개별 배터리에 식별번호를 부여해 생산부터 폐기까지 전 주기를 관리하는 이력관리제가 시행된다. 국토교통부는 이 같은 내용을 골자로 한 개정된 자동차관리법을 본격 시행한다고 16일 밝혔다. 정부는 최근 전기차 화재 등으로 배터리 안전성에 대한 불안이 높아짐에 따라, 지난해 9월 '전기차 화재안전 관리대책'을 발표하고 10월부터 배터리 인증제 시범사업을 추진, 하위법령을 통해 세부 절차 등을 마련해 이달부터 시행한다. 배터리 안전성 인증제는 기존에 제작사가 스스로 안전성을 인증하던 자기인증 방식에서 벗어나, 전기차 배터리를 전기차에 탑재·판매하기 전에 정부가 직접 시험을 거쳐 안전성을 인증하는 제도다. 국토부 관계자는 “2003년 자기인증제도를 시행한 이후 20여 년만의 전면적인 제도 변화”라면서 “정부가 배터리와 같은 신기술에 대한 안전성을 사전에 확보하고, 신기술 도입에 따른 위험부담도 정부가 업계와 분담한다는 점에서 의의가 있다”고 설명했다. 배터리 이력관리제는 제작 시 개별 배터리에 식별번호를 부여하고 자동차등록원부에 등록하도록 함으로써 전기차 배터리 제작부터 운행·폐기까지 전 주기 배터리 이력을 관리하는 제도다. 배터리 식별번호를 바탕으로 정부는 배터리 안전성 인증 등 제작 단계 주요 정보를 포함해, 전기차 운행 중 해당 배터리 정비·검사이력 등도 확인할 수 있게 된다. 전기차 화재 등 사고 발생 시 신속한 원인 분석이 가능해지는 등 배터리 안전성이 제고될 것으로 기대된다. 배터리를 교환할 때는 교환한 배터리 식별번호를 변경등록 하도록 래 배터리 이력을 촘촘하게 추적·관리한다. 리콜로 배터리가 교환되는 경우에는 자동차 결함정보시스템을 통해 변경된 배터리 식별번호가 연계돼 등록되도록 하는 등 전기차 소유주 불편은 최소화할 예정이다. 국토부는 2027년까지 배터리 단위에서 전주기 이력을 한눈에 확인할 수 있는 배터리 이력관리 시스템을 구축하고, 앞으로 사용 후 배터리 등 연관 산업도 활성화해 나갈 계획이다. 김홍목 국토부 모빌리티자동차국장은 “전기차 보급 확대는 거스를 수 없는 흐름인 만큼, 배터리 안전성을 확보하는 것은 국민 안전은 물론이고 향후 자동차 산업 경쟁력 측면에서도 중요하다”며 “전기차 안전에 대한 신뢰를 확보할 수 있도록 기발표한 전기차 안전 대책을 차질 없이 추진해 나가겠다”고 밝혔다.

2025.02.16 12:33주문정

中 해커, 美 재무장관 민감 자료 훔쳐봤다

중국 해커가 지난해 말 재닛 옐런 미국 재무부 장관 컴퓨터에 침투했다고 미국 블룸버그통신이 17일(현지시간) 보도했다. 블룸버그에 따르면 중국 해커는 옐런 장관의 컴퓨터에서 비밀로 지정되지 않은 파일 40개에 접근했다. 윌리 아데예모 재무부 부장관과 브래드 스미스 차관 대행 컴퓨터도 해킹했다. 중국 해커는 400대 이상 되는 재무부 컴퓨터에 침입해 직원 사용자명과 비밀번호, 기밀로 지정되지 않은 파일 3천개 이상에 접근했다. 외국인투자위원회(CFI)가 조사하는 민감한 자료도 살펴봤다. 이메일이나 기밀 시스템에는 중국 해커가 손대지 못한 것으로 재무부는 결론 냈다. 재무부 사이버 보안을 맡은 기업 비욘드트러스트는 중국 해커가 자사 네트워크를 악용했다고 재무부에 보고했다. 미국 정부는 중국 정부가 해커를 조종한 것으로 보고 있다. 중국 외교부는 자국 정부가 미국 재무부 해킹의 배후라는 미국의 주장은 부당하고 근거 없다고 반박했다.

2025.01.19 08:18유혜진

Prev 1 2 3 Next