• ZDNet USA
  • ZDNet China
  • ZDNet Japan
  • English
  • 지디넷 웨비나
뉴스
  • 최신뉴스
  • 방송/통신
  • 컴퓨팅
  • 홈&모바일
  • 인터넷
  • 반도체/디스플레이
  • 카테크
  • 헬스케어
  • 게임
  • 중기&스타트업
  • 유통
  • 금융
  • 과학
  • 디지털경제
  • 취업/HR/교육
  • 생활/문화
  • 인사•부음
  • 글로벌뉴스
2026전망
스테이블코인
배터리
IT'sight
칼럼•연재
포토•영상

ZDNet 검색 페이지

'유출'통합검색 결과 입니다. (130건)

  • 태그
    • 제목
    • 제목 + 내용
    • 작성자
    • 태그
  • 기간
    • 3개월
    • 1년
    • 1년 이전

"외인 자금 5.2조원 유출…연기금이 소화"

12월 3일 '비상 계엄령 사태' 이후 외국인 자금이 총 5조2천억원 유출된 것으로 분석됐으며, 이를 연기금이 메운 것으로 나타났다. 국제금융센터가 '계엄 사태 이후 국내 주식시장 및 외국인 자금유출입 동향' 낸 자료에 따르면 계엄 이후 외국인 주식 자금은 3조원, 채권 자금은 2조2천억원이 유출됐다. 그렇지만 국제금융센터는 주식 순매도 흐름과 채권 순회수가 계엄 사태 영향으로 보긴 어렵다고 분석했다. 국제금융센터 측은 "외국인 순매도는 7월 중순 이후 장기 순매도 추세의 연속선에 있다"며 "채권의 경우 11월 중순부터 이어진 추세가 이어진 것"이라고 설명했다. 이어 센터 측은 "계엄 사태 이후 외국인 매도를 소화한 주체는 연기금 등 기관들이었으며, 개인들은 외국인과 함께 매도에 동참했다"며 "계엄 이후 국채 10년 금리가 0.16%p 상승했으나 미국 국채 금리(10년물 0.37%p), 유럽 주요국 국채 금리 0.20~0.25%p 올랐다"고 부연했다. 다만, 국내 정치 불확실성이 장기화되거나 심화되지 않도록 하는 것이 필요하다고 진단했다. 국제금융센터 최성락 자본유출입분석부장은 "계엄 사태 전 국내 금융시장의 주된 가격 동인은 경기, 기업실적 등 펀더멘털과 미국 연방준비제도의 통화정책 등 글로벌거시여건이었다"면서 "정치 불확실성이 장기화할 경우 실물경제가 영향을 받으면서 펀더멘털 및 투자자 신뢰가 악화될 수 있음에 유의해야 한다"고 진단했다. 실제 계엄 이후 코스피는 2.4% 하락하면서 동기간 미국(-0.2%), 전세계(-1.5%) 등과 비교했을 때 하락 폭은 컸다. 7월 이후 국내 주가의 하락세가 장기간 이어지면서 미국 등과의 디커플링이 심화되고 있는 것은 우려할 점으로 지적됐다.

2024.12.27 08:55손희연

AI 기술로 술술 새는 정보 잡는다…지란지교데이터, '피씨필터 UEBA' 출시

지란지교데이터가 인공지능(AI) 기술로 정보 유출 이상행위를 찾아내 대응할 수 있는 새로운 솔루션을 앞세워 사업 확대를 본격화 한다. 지란지교데이터는 엔드포인트 DLP 및 개인정보 보호 솔루션 '피씨필터(PCFILTER)'에 AI 이상행위 탐지 기술을 접목해 고도화된 정보 유출 방지 체계를 구현하는 '피씨필터 UEBA'를 출시한다고 26일 밝혔다. 지란지교데이터는 과학기술정보통신부와 한국인터넷진흥원에서 진행하는 '2024년도 AI 보안 제품 및 서비스 사업화 지원사업'에 엘렉시와 컨소시엄으로 참가해 'AI 기반 정보유출 이상행위 탐지 기술 및 서비스 개발'을 추진했다. 이 사업은 국내 AI 보안 유명 기업의 성장을 지원해 사이버 보안 위협 대응 역량을 강화하고, AI 기반의 차세대 보안 사업을 활성화하기 위해 추진되고 있다. 지란지교데이터 컨소시엄은 DLP 솔루션의 정보보호 체계를 확장하기 위해 AI 기반 이상행위 탐지 기술 개발에 나섰다. 기존 DLP 솔루션의 경우 사전 정의된 패턴에 따라 유출 이벤트를 단위별 탐지에 제한적으로 적용할 수밖에 없다. 또 웹사이트 URL, 애플리케이션 이름 등의 기준의 단순 차단으로 미식별 영역이 증가할 수 있다는 점이 지적된다. 이러한 단점을 극복하고자 지란지교데이터는 AI 기술 기반의 사용자 행위 분석, 정보 유출 행위 사전 예측을 접목했다. '피씨필터 UEBA'는 기존에 학습된 사용자 정상 행위 데이터를 바탕으로 정보 유출 이상 행위를 탐지한다. 엔드포인트 DLP 에이전트에서 수집된 사용자 행위를 학습 및 분석하고, 이를 토대로 정보 유출 행위를 사전에 예측해 사고를 방지한다. 또 실시간 모니터링을 통해 위험에 노출된 정보자산을 자동으로 암호화하는 등 보호 조치를 적용할 수 있도록 지원한다. 정보보호 담당자는 관리자 페이지를 통해 시각화된 정보를 확인함으로써 식별된 정보 유출 의심 행위를 확인하고 대응할 수 있다. 또 정보 유출 의심 행위에 대해서는 가변적이고 자동회된 정책으로 대응할 수 있도록 지원한다. '피씨필터 UEBA'를 도입하면 기존 DLP 솔루션 대비 유출 이벤트 제어 영역을 확장함으로써 더욱 고도화된 정보 유출 방지 체계 구현이 가능하다. 비지도 학습이 가능한 딥러닝 네트워크 기반으로 솔루션 구축 기간도 단축할 수 있다. 또 이상 행위 탐지의 정확도를 높이기 위해 사용자 피드백 제공, 비정상 행위 탐지 보정, 이상패턴 저장 등을 지원한다. 지란지교데이터는 'AI 기반 정보유출 이상행위 탐지 기술 및 서비스 개발 사업'이 올해 마무리됨에 따라 2025년부터 공격적인 사업 확대를 추진한다는 전략이다. 유병완 지란지교데이터 대표는 "데이터 및 개인정보 보호 체계를 고도화할 수 있도록 기술 개발을 지속하고 있다"며 "피씨필터에 AI 사용자 이상행위 분석 기술을 적용한 '피씨필터 UEBA'를 통해 한층 더 고도화된 정보 유출 방지 체계를 구축할 수 있도록 지원하겠다"고 말했다.

2024.11.26 11:27장유미

박현주 시옷 대표 "중요 정보 유출 사고 직접 경험하면서 대응 솔루션 필요 절감"

“내부자가 회사 중요 문서를 유출한 사고를 직접 경험했습니다. 법적 분쟁이 시작됐는데 내부자에 의한 기술 유출 증거를 확보하는 난관이 있었습니다.” 모빌리티 보안 전문기업 시옷은 최근 주요 데이터 이동을 실시간으로 감지해 유출 시도를 탐지하는 능동형 내부자 정보유출 감지솔루션(DLD) '위즐(Weasel)'을 출시했다. 시옷이 모빌리티를 넘이 엔터프라이즈 보안 영역까지 사업을 확장한 것은 사고에서 얻은 교훈이었다. 박현주 시옷 대표는 “함께 믿으며 일하던 내부자가 회사 중요 문서를 유출한 사고를 직접 경험하면서 DLD 제품을 개발하게 됐다”고 설명했다. 박 대표는 직접 사고를 겪으며 솔루션의 필요성을 절감했다. 시옷은 제품을 개발하면서 같은 고민을 하는 중소기업 대표들의 목소리를 들었다. “대기업은 내부자 정보 유출 사고를 예방하기위해 정보 유출을 막는 DLP(Data Loss Prevention)나 DRM(Digital Right Management), EDR(Endpoint Detection and Response) 등의 보안 솔루션을 도입하여 운영하고 있습니다. 하지만, 여전히 사고는 끊이지 않습니다.” 박 대표는 중소기업은 보안조직이나 인력 부족과 높은 비용 등의 문제로 내부자 정보 유출 대책 마련에 엄두를 내지 못하고 있다고 설명했다. 그는 “기존 보안솔루션의 문제점을 보완하고 저비용으로 강력한 보안 체계를 구축할 수 있는 방법으로 위즐을 내놨다”고 말했다. 위즐은 기존의 보안솔루션이 제공하는 정보 유출 차단이나 방어의 방식과는 달리, 유출로 발전할 수 있는 모든 정보들의 이동을 기록하고 증거를 수집해 내부자 정보 유출을 감지하는 DLD(Data Leakage Detection)솔루션이다. 중소기업이 큰 비용을 들이지 않고도 사용가능하도록 SaaS 기반의 비용 효율적인 서비스도 제공한다. 기업 내부에 전문적인 보안 인력이나 대규모 인프라 없이도 손쉽게 도입할 수 있다. 박 대표는 “기존 솔루션들이 내부자의 정보 전송 및 접근을 차단하는 통제 방식에 중점을 두고 있다”면서 “위즐은 사용자가 정보 자원을 자유롭게 사용할 수 있도록 허용하면서도, 정보 이동에 대한 강력한 기록과 증적을 남긴다”고 말했다. 내부의 데이터 이동에 대한 가시성을 확보한다. 사후 문제발생시 강력한 법적 대응을 돕고 기업이 마음놓고 정보 활용을 할 수 있게 한다. 박 대표는 “DLD는 DLP와 상호 보완적으로 사용할 수 있다”면서 “업무 생산성에 영향을 주지 않으면서 보안을 확보하는 대응책”이라고 설명했다. 시옷은 2015년 설립된 보안 전문기업이다. 그동안 임베디드 보안 소프트웨어 기술 뿐만 아니라 국내 최고의 저전력, 초경량 암호기술과 하드웨어 제작역량을 기반으로 V2X 보안, Secure OTA, FMS 단말기, PnC 충전보안, IoT 보안등 모빌리티 보안을 선도해왔다. 이번 신개념 내부자 정보유출 감지 솔루션 '위즐' 발표를 시작으로 본격적으로 일반 IT 정보보안 시장에 진출하며, 종합 보안 전문 회사로의 변신을 꾀하고 있다.

2024.11.21 11:00김인순

카카오, 오픈채팅 151억 과징금 행정소송...'개인정보 정의' 쟁점

개인정보 유출로 개인정보보호위원회(이하 개보위)로부터 과징금을 부과받은 카카오가 행정 소송을 제기한 가운데, 유출된 정보의 개인정보 해당 여부를 두고 양측 간 법적 공방이 치열할 것으로 전망된다. 13일 IT 업계에 따르면, 카카오는 지난 1일 개보위의 과징금 부과 처분과 시정명령에 대해 불복 소송을 제기했다. 카카오는 지난 5월 카카오톡 '오픈채팅'에서 개인정보 6만5천건이 유출된 것과 관련해 국내 기업 중 역대 최다 과징금인 약 151억원을 부과받았다. 또 이용자에게 개인정보가 유출됐다고 통지하라는 시정 명령도 내려졌다. 개보위 조사 결과, 카카오는 회원일련번호(주민등록번호·사원증 번호 등 개인에게 부여된 고유 번호와 유사한 개념)와 오픈채팅방 정보를 단순히 연결한 임시ID를 생성해 암호화 없이 일부 오픈채팅방 참여자에 부여했다. 해커는 이런 취약점을 이용해 오픈채팅방 참여자 정보를 획득한 후 카카오톡의 친구추가 기능, 불법 프로그램 등을 이용해 이용자 정보를 확보했다. 이후 이용자 정보를 회원일련번호를 기준으로 결합해 개인정보 파일을 생성·판매했다. 쟁점은 개인정보의 정의다. 개보위는 회원일련번호와 임시ID가 개인정보에 해당한다고 판단했다. 개보위 관계자는 "정보 그 자체로서 개인 식별이 불가능하더라도, 개인 정보 처리자가 갖고 있는 다른 정보와 결합해 개인을 인식할 수 있다면 개인정보"라고 밝혔다. 반면 카카오는 회원일련번호와 임시ID는 개인정보로 볼 수 없다는 입장이다. 이 정보만으로는 개인을 식별하기 어렵다는 논리다. 카카오 관계자는 "카카오를 통해 나간 정보에는 전화번호, 성함 등이 포함돼 있지 않아 개인을 식별할 수 없다"며 "임시 ID는 게임 등 기타 인터넷 서비스에서도 사용하고 있는 정보고 개발자 사이트 등에서 확인할 수 있는 경우도 많다"고 주장했다. 개인정보보호법은 개인정보를 '해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보'로 정의하고 있다. 이때 다른 정보와 '쉽게' 결합한다는 것이 어느 정도 수준을 의미하는 것인지에 대한 법원 해석이 중요할 것으로 보인다. 염흥열 순천향대 정보보호학과 명예교수는 "법원은 해당 정보로 개인을 식별하기 위해 드는 노력의 정도를 근거로 '쉽게 결합할 수 있는지'를 판단할 것"이라며 "식별에 필요한 전산 자원의 크기, 식별에 걸리는 시간, 분석 환경 등이 근거가 될 것"이라고 설명했다. 개인정보보호법해설서에 대한 해석도 분분하다. 2020년 12월 개보위가 발간한 '개인정보 보호 법령 및 지침‧고시 해설서'에는 개인정보의 개념에 대해 "다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 개인 식별 가능 정보를 포함한다"는 설명이 담겨있다. 다만 "이때 사용되는 다른 정보는 두 개 이상의 정보를 결합하기 위해 그 결합에 필요한 다른 정보에 합법적으로 접근해 이에 대한 지배력을 확보할 수 있는 '입수 가능성' 있는 정보로 해킹·절취 등 불법적인 방법으로 취득한 정보는 포함하지 않는다"는 조건이 함께 제시되고 있다. 김승주 고려대 정보보호학과 교수는 "해당 조건에 따르면, 오픈채팅방을 통해 유출된 정보와 해커가 불법으로 수집한 정보가 결합된 경우는 개인정보로 볼 수 없을 것"이라고 예상했다. 카카오는 지난 5월 '오픈채팅 이슈 관련 개인정보보호위원회 결정에 대한 입장' 글에서 "해커가 회원일련번호와 결합한 '다른 정보'는 카카오에서 유출된 것이 아닌, 해커가 불법적인 방법을 통해 자체 수집한 것"이라는 입장을 밝힌 바 있다. 반면 개보위 관계자는 "해당 조건은 결합되는 '다른 정보'에 대한 것이지, 카카오의 경우 '그 자체의 정보'에 대한 문제"라며 "애초에 카카오에서 유출된 회원일련번호가 개인정보로 관리되지 않던 것이 문제"라고 말했다.

2024.11.13 18:21조수민

정부-민간 함께하는 개인정보 정책 소통의 장 열린다

개인정보보호위원회가 개인정보 유출사고 대응 방향을 마련하기 위해 소통의 장을 마련한다. 개인정보위는 오는 20일 오후 3시 은행회관 국제회의실에서 한국개인정보보호책임자협의회와 공동으로 개인정보 정책방향 공유 및 현장에서의 적용·우수사례 전파를 위해 '개인정보 정책포럼'을 개최한다고 10일 밝혔다. 이번 포럼은 개인정보 관련 업계의 높은 관심을 반영해 '개인정보 신산업 혁신 지원 제도 및 활용사례'와 '개인정보 유출사고 최근 경향과 대응방향'을 주제로 진행된다. 또 개인정보위의 주제발표, 공공·민간 영역 개인정보 보호책임자와 전문가가 참여하는 패널토론, 청중 질의·응답으로 구성될 예정이다. 첫 번째 세션에서는 개인정보위가 사전적정성 검토제도, 개인정보 안심구역, 규제유예제도 등 개인정보 분야 신산업을 지원하는 제도에 대해 설명한다. 이어 실제 각 지원제도를 활용한 토스, 뉴빌리티 등 민간기업과 국립암센터, 서울대병원 등 공공기관의 사례 발표를 통해 제도의 효과를 공유한다. 두 번째 세션에서는 개인정보위의 최근 개인정보 유출사고의 경향과 주요 처분사례 소개에 이어 필립모리스, 롯데렌탈 등 민간기업과 사회보장정보원 등 공공기관 소속 전·현직 보호책임자가 자사의 개인정보 정책을 공유한다. 또 법·기술 전문가가 사업자 대응체계에 관해 제언할 예정이다. 개인정보위는 "이번 포럼에서 협의회가 공동으로 발간한 '개인정보보호책임자 핸드북'을 현장에서 배포한다"며 "현업에 종사하는 보호책임자의 업무이해도를 높이는 데 활용할 계획"이라고 말했다.

2024.11.10 17:08장유미

北에 털린 법원 전산망, 개인정보 유출 피해 1만8000명…향후 규모 더 커질 듯

북한 해킹 조직이 우리나라 법원 전산망을 침투해 최소 1TB(테라바이트)가 넘는 자료를 빼간 것으로 드러나면서 공공부문의 보안수준에 대한 문제가 수면 위로 떠올랐다. 이 해킹으로 개인정보 유출 피해자 수는 현재 1만8천 명에 달하는데, 아직 유출 자료에 대한 파악이 완전히 이뤄지지 않았다는 점에서 향후 피해규모가 더 커질 것이란 분석이 나온다. 24일 국민의힘 주진우 의원실이 대법원 법원행정처로부터 받은 자료에 따르면 사법부 전산망 해킹 사건으로 현재까지 유출이 확인된 문건에 기재된 개인은 총 1만7천998명으로 나타났다. 앞서 라자루스는 2021년 1월 7일 이전부터 2023년 2월 9일까지 국내 법원 전산망에 침투해 2년 넘게 개인정보 등이 포함된 총 1천14GB(기가바이트) 규모의 자료를 빼돌린 것으로 알려졌다. 법원행정처는 지난해 2월 사법부 전산망 공격 사태를 인지하고도 수사당국에 신고하지 않고 자체 보안조치를 취했다. 지난해 11월 말 해킹 사실이 보도되자 12월 초 경찰청·국정원·검찰청이 합동조사에 착수했다. 그 사이 서버에 남아있던 유출자료들이 지워졌다. 정부가 유출 내용을 확인한 것은 전체 피해의 약 0.5%(5천171개)에 불과하다. 일단 대법원 법원행정처는 정보 유출 피해자 4천830명을 특정해 지난 5월 유출 사실에 대해 개별 통보했다. 유출이 확인된 문서는 모두 회생 사건 관련 자료다. 이후 대법원은 유출과 관련된 개인들 중 1만3천177명에게도 개별 통지를 시행했다. 연락처를 알 수 없는 4천821명에게는 홈페이지 게시 방식으로 통지를 마친 것으로 파악됐다. 현재까지 내용이 확인된 정보 유출 규모는 4.7GB 분량의 문서에 불과한 것으로 전해졌다. 나머지 약 1천 GB 분량의 유출 자료에 대해서는 피해규모 등에 대한 파악이 끝나지 않아 실제 피해는 더 클 것으로 관측된다. 대법원은 '보안강화 종합대책 방안'을 마련해 추가적인 해킹을 예방하고 향후 재발 방지에 나선다는 방침이다. 주요 대책은 ▲전산정보관리국을 사법정보화실로 확대 개편 ▲USB 사용관리 방안의 전국 법원 시행 ▲보안 전문가 공개 채용 ▲정보보호조직 강화 등이다. 하지만 법원의 정보보호 업무를 담당하는 법원행정처 사법정보화실 정보보호담당관실 내 전담 인력은 올해 8월 기준 9명으로, 2020년 1월 기준 6명에서 고작 3명 증가했다. 특히 라자루스 논란이 커지기 전인 올해 1월에는 6명으로 4년 전과 동일했다. 국회 법제사법위원회 소속 박준태 국민의힘 의원은 "법원이 다수의 국민 개인정보를 다루는 만큼 신속히 유출 내역을 파악해 2차 범죄로 악용되는 것을 막아야 한다"고 지적했다.

2024.10.24 15:14장유미

"내 개인정보 줄줄 샌다"…4년간 개보위서 과징금 가장 많이 부과된 기업은

지난 4년간 개인정보보호위원회가 해킹으로 인한 개인정보 유출 148건을 처분한 가운데 가장 많은 과징금을 받은 기업으로 골프존이 꼽혔다. 11일 국회 정무위원회 소속 더불어민주당 조승래 의원이 개보위에서 제출 받은 자료에 따르면 지난 4년간 해킹으로 인한 개인정보 유출 148건 중 129건이 민간, 19건이 공공으로 조사됐다. 또 개보위는 62건에 대해 257억원의 과징금을 부과했다. 가장 많은 과징금을 받은 기업은 '골프존'으로 나타났다. 골프존은 지난해 11월 해커에 의한 랜섬웨어 공격을 받은 후 '부실 대응' 지적을 받은 바 있다. 당시 최소 221만6천414명의 개인정보가 유출돼 과징금 75억원, 과태료 540만원을 부과받았다. 다음으로 많은 과징금을 부과 받은 기업은 LG유플러스로, 이용자 개인정보 29만7천117건이 유출됐다. 이로 인해 지난해 7월 과징금 68억원과 과태료 2천700만원이 부과됐다. 공공기관중에는 올해 9월 135만 명의 개인정보가 유출된 한국사회복지협의회가 과징금 4억8천만원과 과태료 540만원을 처분 받으면서 가장 많은 과징금이 부과됐다. 조 의원은 "디지털 시대가 발전할수록 해킹 기술도 따라 정교해지고 있어 개인정보 보호가 더욱 중요해지고 있다"며 "개인정보보호위원회가 사전에 개인정보 보호 컨설팅 등을 더욱 충실히 진행하고 발전하는 해킹 기술에 대응할 수 있는 방안을 연구해야 한다"고 강조했다.

2024.10.11 10:34장유미

차세대 발사체 지재권 논쟁 재점화…"매칭펀드 입장 서로 달라"

8일 세종 과학기술정보통신부에서 진행된 국회 과학기술정보방송통신위원회 국정감사 과학기술계 분야에서는 예상대로 R&D예산과 과학기술 경쟁력, 인력 유출 등이 집중 거론됐다. 그러나 관심을 끌 폭탄급 이슈는 없었다. 무난하게 진행됐다는 평가다. 정동영 의원(더불어민주당, 전북 전주시병)은 과학기술 경쟁력에 대해 질문 공세를 폈다. 정 의원은 "우주항공해양 첨단 바이오 핵심기술 136개 기술 평가에서 중국이 처음 우리를 넘어섰다. 충격이다"며 대응책을 따졌다. 이에 대해 유상임 과기정통부 장관은 "개인적으로 예상했다"며 "최소한 AI는 한 번 경쟁해야 한다"고 답변했다. 윤영빈 청장 "일본 JAXA와 규모 유사...경쟁해볼만" 정 의원은 "중국은 우주항공, 자율주행 등 첨단 분야에서 일취월장인데, 우리는 제자리 걸음"이라며 "우주항공의 경우 우리는 기술 개발을 R&D 측면에서 접근한다면, 중국은 국가발전 원동력이자 전략 차원으로 접근한다"고 방안 마련을 촉구했다. 윤영빈 우주항공청장은 우주 항공 비전과 목표에 대해 "20년 뒤 시장의 10%를 차지할 계획"이라며 " 현재 293명이 정원이다. 168명이 채워져 있다. 우리는 우주 개발 정책을 수립한다. 항우연 1천 명, 천문연 300명 합치면 1천600명이다. 일본 JAXA(우주항공연구개발기구) 규모는 된다. 해볼 만 하다"고 답변했다. 정 의원은 중국이 양자 컴퓨팅에 국가 차원에서 집중 투자한다며 우리나라도 양자 컴퓨팅 투자도 촉구했다. 유상임 장관은 "3대 게임저 중에 양자파트가 상대적으로 약하다고 생각했다. 그런데 양자컴은 휘발성이 아주 크다"며 "취약한 상황을 단시일내에 따라 잡을 계획이다. 인재양성과 R&D는 같이 인력을 수급하며 풀어가야 한다"고 답했다. 박민규 의원(더불어민주당,서울 관악구갑)은 국립전파연구원의 R&D 전액 예산 삭감을 따져 물었다. 이해민 의원(조국혁신당)은 최근 논란을 일으킨 김형숙 한양대 교수의 전공을 집중 추궁하며, 낙하산 채용 의혹을 제기했다. 이 의원은 김 교수가 '한양대 데이터 사이언스학과 심리뇌과학 전공 교수'라는 점을 찍어 이름과 전공을 공개하며 질문 공세를 폈다. 용산 어린이 정원 계획 과기정통부 예산 42억 배정 따지기도 이정헌 더불어민주당 의원(광진구갑)은 용산 공원(어린이 정원)을 조성하며 과학정통부 예산이 졸속으로 편성된 것 아니냐고 질책했다. 이 의원은 "지난 2월 전시가 제안되고, 5월 논의가 된 것으로 아는데, 42억 1천500만원을 갑자기 용산공원 프로젝트에 포함시킨 이유가 뭐냐"고 따졌다. 용산공원 프로젝트는 6개 부처가 736억 원을 들여 진행하는 어린이 정원 공사다. 국토교통부가 416억 원으로 가장 많이 부담한다. 이에 대해 이창윤 1차관은 "용산 공원이 어린이 접근성이 좋다"며 "그런 측면에서 용산 예산 투입을 결정했다"고 해명했다. 조인철 더불어민주당 의원(광주 서구갑)은 국가 R&D예산을 지역별로 뽑아 달라고 주문해 관심을 끌었다. 김우영 의원(더불어민주당, 서울 은평구을)은 글로벌 R&D와 한미일 협력 방안, 김형숙 교수 논란 등에 대해 따졌다. 최수진 의원(국민의힘, 비례대표)는 출연연구기관 예산과 인력 감소 문제를 꺼내 들었다. "인력 유출 주로 20~30대...출연연 환경 개선을" 최 의원은 "출연연구기관이 공공기관에서 제외되고, PBS(연구성과중심제)의 문제점을 잘 안다. 출연연 예산이 5조 3천억 원까지 증가한 것도 안다. 그런데 출연금은 전체의 17% 정도다, 인건비가 10.66%고, 경상비가 6.65%인데, 이는 물가 상승분에 못미치는 수치"라고 연구 환경 개선을 촉구했다. 최 의원은 인력 유출 문제도 거론했다. 최 의원은 "20~30대가 메인인데, 지난 5년간 487명이 떠났다. 40~50대는 232명이었다"며 "이를 위해 ▲자율적인 책임경영 ▲블럭펀딩 확대 ▲인건비 재량권 확대 ▲우수 연구자 정년 연장 ▲주당 근무 52시간에 대한 유연성 확보 등을 주문했다. 이에 대해 유상임 장관은 "출연연 연구자가 대학과 경쟁하는 것은 바람직하지 않다"며 "CDMA 등 처럼 국가 전략 기술은 블럭펀딩으로 연구해야 한다"고 집단 연구에 공감을 나타냈다. 최 의원은 이를 개선하기 위한 TFT라도 짜서 대응할 것을 주문했고, 이에 대해 유상임 장관은 확실한 실행과 추진을 약속했다. "항우연선 하드디스크 떼어 들고 다녀도 되나" 질책 박충권 의원(국민의원, 비례대표)은 항공우주연구원-한화에어로스페이스 간 차세대발사체 관련한 지적 재산권 분쟁과 인력 유출 문제를 거론했다. 박 의원은 "이와 관련 11명이 조사받아 결국 무혐의 결론이 났지만 나머지 4명은 이직 과정에서 불법이 발견돼 조사가 진행 중"이라며 "이직 연구원들이 무리하게 하드 디스크를 떼어 들고 다니고, 특정 자료를 과도하게 들여다본 것에 대한 내부 제보로 과기정통부 감사가 진행됐다"고 했다. 박 의원은 이들 4명을 영입할 것이냐고 다그쳤고, 이에 대해 손재일 한화에어로스페이스 공동대표는 "4명 조사 끝나면 검토할 것"이라고 답했다. 손 대표는 "이 사건은 당황스럽고, 황당하다. 문제되는 연구원은 채용을 안하고 있다"고 말했다. 손 대표는 또 항우연과의 지재권 분쟁에 대해 "입찰 공고 때 공동소유라고 돼 있다"며 "작업 실질 내용을 보면 인적, 물적 자원을 투입해 공동개발하기에 공동 소유를 주장한다"고 답했다. 손 대표는 전체 과제가 900건이 넘는 것으로 보고 받았다. 그 가운데 40%를 주관하고 있고, 그걸 포함해서 80%를 주관 또는 참여하고 있다"고 부연 설명했다. 이에 대해 윤영빈 우주청장은 "매칭펀드를 내지 않으면 지재권을 가져갈 수 없다"고 명확히 못박았다. 차세대 발사체 개발에서 펀딩를 했느냐 않했느냐의 여부가 쟁점으로 부상할 전망이다. 이어 황정아 의원은 포항가속기연구소 채용비리와 예산 남용, 허위보고 등의 문제를 지적했다.강홍식 포항가속기연구소장은 이에 대해 "채용비리나 아차사고 등은 문제가 안되고, 레이저 안전사고 등의 규정을 잘 몰라 늦게 보고한 것"이라고 대답했다.

2024.10.08 19:02박희범

개보위 출범 후 개인정보유출 8천만건…손해배상금 지급은 달랑 '9건'

최근 4년 동안 개인정보 약 8천만 건이 유출된 가운데 개인정보보호위원회가 이에 대비한 손해배상책임보험 가입 의무대상 기관조차 확정하지 않은 것으로 드러났다. 국민의힘 강민국 의원실은 8일 개인정보위 자료요구를 통해 받은 자료 '개인정보 유출 기관 및 유출 규모 현황'을 통해 이를 지적했다. 해당 자료에 따르면 개인정보위가 중앙행정기관으로 출범한 2020년 8월 다음 해인 2021년부터 올해 9월까지 개인정보 유출 기관은 377개다. 이 중 민간은 311개(82.5%), 공공기관은 66개(17.5%)로 유출기관 10개 중 8개는 민간기관이었다. 연도별로 살펴보면 2021년 60개에서 2022년 84개, 2023년 153개로 유출기관 수가 늘었다. 올해 9월까지 80개 기관에서 개인정보가 유출됐다. 또 동일기간 이들 기관에서 유출된 개인정보의 수는 7천735만5천98건을 기록했다. 이중 공공기관 634만3천896건(8.2%), 민간 7천101만1천202건(91.8%)을 기록했다. 연도별로는 2021년 4천724만8천899건, 2022년1천38만4천64건, 2023년 1천463만8천282건을 기록했다. 올해는 9월 기준 508만9천922건이다. 강 의원은 공공기관에서 개인정보 유출이 급증하고 있다는 점을 지적했다. 2021년 0건에서 2022년 1만6천753건, 2023년 469만2천414건으로 늘었고, 올해 9월까지 163만4천729건 개인정보가 공공기관에서 유출됐기 때문이다. 강 의원은 개인정보 유출 관련 과징금 규모 역시 상당하다고 비판했다. 2021~2024년 9월까지 개인정보유출 관련 과징금은 총 254억971만3천원이었다. 이 중 공공기관 8억 5천775만원(3.4%), 민간기관 245억5천196만3천원(96.6%)을 기록했다. 연도별로 2021년 15억2천548만6천원, 2022년 15억2천548만6천원, 2023년 148억1천984만1천원이다. 올해 9월 250억3천496만4천원을 기록했다. 이러한 개인정보 유출로 인한 손해배상책임 이행 시 자금 조달이 어려운 사업체를 위해 개인정보위는 2020년부터 개인정보 손해배상 책임보험 가입을 의무화하고 있다. 그러나 손해배상책임보험 계약 건수는 2020년 9천195건(152억9천700만원)에서 올해 8월 기준으로 8천651건(169억600만원)으로 계약 건이 줄었다. 강 의원은 "개인정보위가 개인정보 손해배상 책임보험을 시작한지 5년이 넘었는데도 손해배상책임 보장제도 의무이행 대상 기관조차 파악하지 않고 있다"며 "미이행 시 처벌 규정조차 없는 실정"이라고 강조했다. 그는 개인정보보호위원회가 출범 후 4년 동안 개인정보 손해배상 책임보험 지급 건수를 9건 기록했음에도 보험 신청 규모 파악을 하지 않고 있다는 점도 지적했다. 강 의원은 "개인정보위 출범 후 5년 동안 유출된 개인정보가 8천만건을 육박 하고 있음에도 손해배상 책임보장제도 의무이행 대상조차 파악하지 않은 것은 개인정보위원회의 책임이 크다"고 말했다. 이어 "손해배상 책임보장제도 실효성 확보를 위한 정책연구 조속한 완료 및 미이행 시 처벌 규정 마련과 연 최대 150만원에 달하는 개인정보 손해배상 책임보험료가 부담스러운 소상공인 등 영세업자에 대한 지원방안도 검토해야할 것"이라고 덧붙였다.

2024.10.08 11:35김미정

'해킹 단골' T모바일...벌금 내고 "다신 해킹되지 않겠다" 약속

T모바일이 반복적인 데이터 유출에 대해 1천575만 달러(약 207억원)의 벌금을 내고, "다시는 해킹되지 않겠다"고 미국 연방 통신 위원회(FCC)와 합의했다. 1일 더버지에 따르면 T모바일은 FCC와의 합의의 일환으로 사이버 보안 관행을 개혁하기 위해 수백만 달러를 투자하고 있다. T모바일은 미국 재무부에 1천575만 달러의 민사 벌금을 지불해야 한다. 위원회는 이번 합의가 획기적이라며, 업계의 모델이 될 것이라고 말했다. 지난 몇 년 동안 T모바일에서 발생한 데이터 유출로 인해 수백만 명의 주민등록번호, 주소, 운전면허 번호가 유출됐다. 이번 합의는 2021년, 2022년, 2023년에 발생된 사이버 보안 사건과 관련된 여러 T모바일 조사가 마무리된 것이다. FCC에 따르면 이러한 조사를 통해 수백만 명의 휴대폰 고객에게 영향을 미친 침해 사고의 성격, 악용 및 명백한 공격 방법이 다양하다는 증거가 발견됐다. 최근 T모바일은 스프린트 인수 시 체결한 국가 안보 협정을 위반한 민감한 데이터에 대한 무단 접근 사건을 보고하지 않아 6천만 달러(약 800억원)의 벌금을 지불하기도 했다.

2024.10.01 16:00최지연

"이름·전화번호 탈탈 털렸다"…모두투어, 악성코드에 고객정보 유출

모두투어 고객 정보가 악성코드 감염으로 유출된 사실이 드러났다. 12일 모두투어는 홈페이지에 악성코드가 들어가 회원 정보와 비회원으로 예약 시 입력된 정보 일부가 유출됐다고 공지를 통해 밝혔다. 개인정보보호위원회도 이를 인지한 상태다. 공지에 따르면 악성코드 삽입 시점은 올해 6월이다. 유출 정보는 한글·영문 이름, 아이디, 생년월일, 휴대전화 번호, 중복정보 등인 것으로 전해졌다. 유출 범위는 정보 주체에 따라 상이하다. 모두투어는 유출 사실 인지 후 악성코드를 즉시 삭제했다고 했다. 또 "외부에서 접속된 IP를 차단했으며 홈페이지 취약점 점검과 보완 조치를 완료한 상태"라며 "침입방지시스템, 웹방화벽, 웹쉘 탐지시스템 등 보안장비 수준을 높였다"고 밝혔다. 모두투어는 "2차 피해 우려가 있다는 점을 인정한다"며 "사용자들은 암호 변경을 적극 권장한다"고 강조했다. 현재 모두투어 고객은 홈페이지 내 '개인정보 유출 여부 확인 서비스'에서 피해 사실을 확인할 수 있다. 피해 접수 담당 부서 및 정보보호 고객 응대팀이 관련 상담을 진행 중이다.

2024.09.12 17:07김미정

시옷, 중소기업 혁신바우처 사업 수행기관으로 선정

시옷이 중소벤처기업진흥공단의 '2024 중소기업 혁신바우처 사업' 기술지원 분야에 수행기관으로 선정됐다. 시옷의 정보유출탐지 시스템 위즐(Weasel)은 사용자 단말에서 발생하는 모든 종류의 네트워크 및 이동식 저장매체를 통한 정보유출 행위를 실시간으로 탐지하고 분석한다. 탐지 결과를 서버에 전송하는 기능을 갖추고 있다. 이 시스템은 기존의 정보유출 보안 제품보다 강력하고 효과적인 정보유출 통제 체계를 제공한다. 이번에 중소기업 혁신바우처 수행기관으로 선정돼 중소기업들은 바우처를 통해 위즐 서비스를 자유롭게 이용할 수 있다. 위즐은 다양한 산업 분야의 중소기업들이 직면한 정보유출 문제를 해결하는데 도움을 줄 전망이다. 박현주 시옷 대표는 "주력인 모빌리티 보안과 함께 일반 보안 시장에 첫 제품을 내놓는다"면서 "시옷 기술력이 중소기업 정보보호 강화에 도움이 될 것으로 기대한다"고 말했다.

2024.08.29 16:56김인순

美 군사 기밀 유출한 일병이 재판 두 번 받는 이유는?

군사 기밀 유출로 미국 연방법원에서 재판 중인 일병이 같은 혐의로 추가 기소돼 재판을 두 번 받게 된다. 19일 로이터 통신 등 외신에 따르면 미국 매사추세츠주 방위군 소속 잭 테이셰이라 일병은 미국 국가안보와 직결된 기밀 정보에 접근해 이를 유출한 혐의로 지난 3월 미 연방법원에 기소됐다. 최근 미 공군도 군법 위반 혐의로 테이셰이라 일병을 추가 기소한 것으로 전해졌다. 테이셰이라 일병이 군인 신분이라는 이유로 군사 재판을 따로 받게 된 셈이다. 테이셰이라 일병은 지난해 4월 메시징 플랫폼 디스코드(Discord)를 통해 기밀 정보를 유출한 혐의로 체포됐다. 그는 공군에서 정보 기술 지원 전문가로 근무하며 업무와 무관한 기밀 문서를 다운로드한 것으로 드러났다. 그가 유출한 정보는 러시아의 우크라이나 침공을 비롯해 중동과 아시아·태평양지역 등 미국 국가 전략 정보로 알려졌다. 미 검찰에 따르면 테이셰이라 일병은 이스라엘과 팔레스타인, 시리아, 이란, 중국 관련 자료에 접근할 수 있다고 디스코드에서 재차 강조한 바 있다. 공군의 추가 기소에 따라 테이셰이라 일병은 이미 연방 법원에서 유죄를 인정했음에도 군사재판을 또 받는다. 로이터는 "이미 미국 법무부는 오는 11월 테이셰이라에게 최소 16년의 형을 구형하려고 한다"며 "그의 변호인 측은 동일한 혐의로 두 번 기소된 것이 헌법에 위배된다고 주장하고 있다"고 설명했다.

2024.08.19 10:16조이환

中 알리에 고객 정보 넘겼다고?…카카오페이 사태, 개인정보위도 조사 나선다

카카오페이가 중국 앤트그룹 계열사이자 2대 주주인 알리페이에 지난 6년여간 누적 4천만 명의 개인신용정보 542억 건을 고객 동의 없이 제공했다는 의혹이 일파만파 퍼지면서 개인정보보호위원회도 조사에 나선다. 개인정보위는 카카오페이 고객 신용정보 국외 이전 논란과 관련해 사실관계 확인 후 조사 여부를 결정할 예정이라고 13일 밝혔다. 또 사실관계 확인을 위해 회사 측에 관련 자료 제출도 요구할 방침이다. 금융당국에 따르면 카카오페이는 애플 앱스토어에 결제 서비스를 제공하기 위해 알리페이 측에 고객 개인 신용 정보를 넘긴 것으로 알려졌다. 애플은 자사 앱스토어 입점을 원하는 결제 업체에게 고객과 관련된 데이터를 요구한다. 이 때 해당 데이터는 고객 개인 정보 등을 바탕으로 재가공해서 만들어진다. 카카오페이는 이 재가공 업무를 알리페이 계열사에 맡기면서 개인신용정보가 넘어간 것으로 파악됐다. 그러나 정작 재가공된 정보는 애플 측에 제공되지 않은 것으로 전해졌다. '신용정보의 이용 및 보호에 관한 법률(신용정보법)'에 따르면 개인신용정보를 수집하거나 수집된 정보를 다른 곳에 제공할 경우 반드시 당사자 동의를 받아야 한다. 또 '개인정보 보호법'에 따르면 알리페이는 해외에 지점을 둔 회사이기 때문에 개인 정보 국외 이전 동의도 받아야 한다. 하지만 카카오페이는 이 두 가지 모두 지키지 않은 것으로 금융감독원은 파악하고 있다. 금융당국의 판단에 따라 개인정보위도 후속조치에 나섰다. 개인정보위는 양사 서비스 제휴 과정에서 정보를 제공받은 알리페이가 해외에 지점을 둔 회사이기 때문에, 카카오페이는 신용정보법 상 의무 준수 외 개인정보보호법에 따른 개인정보 국외 이전 동의를 받아야 한다고 지적했다. 개인정보위는 "개인정보보호법상 개인정보 국외 이전 의무 준수와 관련한 사실관계 확인을 위해 카카오페이 등에 자료제출을 요구할 계획"이라며 "필요 시 금융감독원 등 관계기관과 협조할 것"이라고 말했다. 이어 "조사 착수 여부는 사업자들이 제출한 자료에 대한 면밀한 검토 등을 거쳐 결정할 예정"이라고 덧붙였다. 이에 대해 카카오페이 측은 법 위반이 아니라고 주장하며 억울함을 표하고 있다. 카카오페이는 알리페이 쪽에 제공된 개인신용정보에 대해 "알리페이 측과 업무위수탁 계약 관계에서 제공된 처리위탁 정보"라며 "신용정보법 제17조 제1항에 따르면 개인신용정보의 처리위탁으로 정보가 이전되는 경우 정보주체의 동의가 요구되지 않는 것으로 규정하고 있다"고 해명했다. 이어 "알리페이와 애플은 카카오페이에서 제공하는 정보를 받아 마케팅 등 다른 어떤 목적으로도 활용하지 못하도록 되어 있다"며 "최근 이에 대한 별도의 공식 확인 절차도 진행했다"고 덧붙였다. 그러면서 "알리페이가 속해 있는 앤트그룹은 이커머스 플랫폼 알리바바 그룹과는 별개의 독립된 기업으로, 카카오페이의 고객정보가 동의없이 중국 최대 커머스 계열사에 넘어갔다고 주장하는 것은 어불성설"이라며 "향후 조사과정에서 적법한 절차를 통해 입장을 밝히고 성실하게 소명할 것"이라고 강조했다.

2024.08.13 16:58장유미

中 국가안보부 "AI 작문, 기업 기밀 유출" 경고

중국 정부의 안보 부문이 인공지능(AI) 작문 기능 등 기업들이 흔하게 사용하는 여러 업무용 프로그램의 기밀 유출을 주의해야 한다고 경고했다. 4일 중국 언론 IT즈자는 중국 국가안보부가 'AI 작문'을 비롯해 '클라우드 비서', '광학문자인식(OCR)', '업무 그룹' 등을 통해 기밀 유출 사례가 빈번히 발생하고 있다고 지적했다. 중국 국가안보부는 최근 몇 년간 AI 작문 기술이 발전해 여러 직장인들의 도구가 되면서 기밀 내용이 유출되고 있다고 전했다. AI 작문 기술은 사용자가 필요한 점을 입력하면 클릭 한번으로 문장을 생성해준다. 일부 기밀 정보 담당자들이 기밀 자료 초안을 작성할 때, 작업 시간을 절약하기 위해 기밀 자료 및 문서의 내용을 AI 작문 프로그램에 입력하는 방식으로 문장을 생성시킨다는 점이 문제다. AI 작문 프로그램은 사용자가 입력한 정보를 자동으로 수집해 자가 학습을 한다. 이에 관련 데이터가 해외 정보 기관에 도난 당해 국가 기밀이 유출될 수 있다고 국가안보부는 강조했다. OCR 기술도 마찬가지다. 국가안보부에 따르면 최근 이미지 및 텍스트 인식 애플리케이션이 한 번의 클릭으로 텍스트를 변환할 수 있어 업무 편의성 때문에, 많이 쓰이지만 이 또한 기술 유출이 발생했다. 일부 기밀 정보 담당 직원이 온라인 프로그램을 사용해 기밀 문서를 촬영하고 식별했다. 기밀 문서의 표식과 분류 등 등급을 의도적으로 가렸음에도 문서의 원본 사진이 온라인 플랫폼에 업로드 된 후 해외 정보 기관이 기술적 수단을 통해 소프트웨어 데이터를 획득하고 국가 기밀을 훔쳐 유출될 수 있다. 클라우드 프로그램도 문제다. 국가안보부는 클라우드 비서 즉, 파일의 클라우드 저장을 도와주는 파일 전송 비서도 언급했다. 다양한 단말기에서 다운로드 받아 사용할 수 있는 이같은 프로그램을 직장인들이 퇴근 후 개인 휴대폰이나 컴퓨터에서 다운받아 업무를 처리하는데, 컴퓨터와 모바일 기기에 자동 동기화 및 저장되는 과정을 거치면 해외 간첩 및 정보 기관이 트로이목마 바이러스를 통해 관련 문서를 입수할 위험이 높아진다는 것이다. 전송 소프트웨어 회사의 백엔드 역시 기밀 문서를 쉽게 얻을 수 있으며, 이 경우 접근 범위를 통제할 수 없어 기밀 유출이 이뤄지게 된다. 이뿐 아니라 '업무 그룹'을 통해서도 기밀 정보가 유출됐다. 의사소통을 위해 많은 부서에서 업무 문제를 보고하고 교환하기 위해 만드는 '업무 그룹'에서 채팅방에 국가 기밀 및 업무 기밀 등 내용이 사진과 문서 등 형태로 공개되기도 했다. 이러한 그룹 채팅 정보가 그룹 구성원에 의해 쉽게 복제되거나 공개되면서 해외 정보 기관이 사이버 공격을 통해 채팅 기록을 탈취할 수 있는 위험이 크다는게 국가보안국의 설명이다.

2024.08.05 07:17유효정

IBM "전세계 기업 데이터 유출 비용 사상 최고치”

한국을 비롯한 전세계 기업의 데이터 유출 사고 비용이 사상 최고치를 기록했다. IBM은 연례 '2024 데이터 유출 비용 연구 보고서'에서 올해 전세계 데이터 유출 사고 한 건 당 평균 비용이 488만 달러(약 67억6천100만원)이라고 밝혔다. 데이터 유출로 인해 상당한 또는 매우 심각한 업무 중단을 겪었다고 응답한 기업은 70%에 달했으며, 평균 유출 비용은 전년 대비 10% 증가해 팬데믹 이후 가장 큰 폭으로 상승했다. 국내 기업 평균 데이터 유출 비용은 올해 48억3천300만원으로, 한국 기업이 본 조사에 포함된 지난 7년 간 중 사상 최고치를 기록했다. 평균 유출 비용이 가장 큰 산업은 전문 서비스(법무, 회계, 컨설팅 등)으로 약 73억원, 금융(72억원), 제조 산업(62억8천만원) 순이었다. 이 보고서는 작년 3월부터 올해 2월까지 전 세계 604개 기업이 경험한 실제 데이터 유출에 대한 심층 분석을 기반으로 작성됐으며, 28개의 국내 기업이 본 연구 대상에 포함됐다. 이 연구는 포네몬연구소가 수행하고 IBM이 후원 및 분석했으며, 19년 연속으로 발표돼 업계 벤치마크로 자리 잡았다. 글로벌 조사 결과에 따르면, 데이터 유출로 인한 부수적인 피해가 심화되면서 비즈니스 손실과 유출 후 고객 및 제3자 대응 비용이 전년 대비 올해 유출 비용 상승을 견인한 요인으로 손꼽혔다. 또, 조사 대상 기업의 절반 이상이 작년에 심각한 수준의 인력 부족을 겪으며 유출 비용이 크게 증가했다(인력 부족이 심한 경우 574만 달러의 유출 비용 발생 대비 인력 부족이 심하지 않거나 전혀 없는 경우 398만 달러의 비용 발생). 피해는 유출 후유증 장기화로 이어져 침해 사고를 완전히 복구할 수 있었던 소수의 기업(12%)들도 복구에 100일 이상이 걸린 것으로 조사됐다. AI와 관련해 보안 AI 및 자동화 솔루션을 도입한 기업이 67%로 전년 대비 10% 가까이 증가했으며, 20%는 차세대 AI 보안 툴을 사용한다고 밝혔다. 보안 AI와 자동화를 광범위하게 도입한 기업은 이러한 기술을 사용하지 않은 기업보다 평균 98일 더 빨리 사고를 탐지하고 통제했다. 침해 비용 또한 평균 220만 달러를 절감했다. 전 세계 평균 데이터 유출 사고 수명 주기(침입 감지부터 봉쇄, 최종 해결까지 걸리는 시간)는 전년도 277일에서 7년 만에 최저치인 258일을 기록했으며, AI 기술이 위협 완화 및 대응 활동을 개선해 방어자들이 시간을 확보하는 데 도움이 될 수 있음을 시사했다. 데이터 보안이 취약해지면서 지적 재산 도용 또한 증가했다. 침해 사고의 40%는 복합적인 환경에 저장된 데이터와 관련이 있었고, 3분의1 이상은 셰도우 데이터(관리되지 않는 데이터 소스에 저장된 데이터)와 관련된 것으로 나타나 데이터 추적 및 보호에 대한 어려움이 커지고 있다는 사실이 부각됐다. 이러한 데이터 가시성 격차는 지적 재산(IP) 탈취의 급격한 증가(27%)로 이어졌다. 도난당한 기록과 관련된 비용도 기록당 173 달러로 전년 대비 11% 가까이 급증했다. 앞으로 AI 시대가 도래하면 이러한 데이터와 기타 독점적 데이터에 대한 접근성은 더욱 높아질 수 있다. 중요한 데이터가 여러 환경에서 더욱 역동적이고 활발하게 사용됨에 따라 기업은 이를 둘러싼 보안 및 접근 권한 규정을 재평가해야 할 필요가 있는 것이다. IBM 시큐리티의 전략 및 제품 설계 담당 부사장 케빈 스카피네츠는 “기업들은 침해, 차단, 피해 대응이라는 끊임없는 악순환에 갇혀 있다”며 “이 과정에서 기업은 보안 대응력 강화에 투자하면서도 침해 비용을 소비자에게 전가하는 경우가 많아 보안은 비즈니스 운영에 있어 새로운 비용 부담이 되고 있다"고 설명했다. 그는 “생성형 AI가 비즈니스에 빠르게 침투해 공격 표면이 확대됨에 따라 이처럼 비용이 계속해서 증가하면 기업은 보안 조치와 대응 전략을 재평가해야 할 수밖에 없을 것”이라며 “기업이 앞서 나가려면 새로운 AI 기반 보안에 투자하고 생성형 AI가 제시하는 새로운 위험과 변화에 대응하는 데 필요한 기술을 개발해야 한다"고 강조했다.

2024.07.31 11:22김우용

美 AT&T, 1억명 가입자 통화기록 유출

미국 통신사인 AT&T가 1억명이 넘는 가입자의 정보가 해킹된 것으로 드러났다. 12일(현지시간) 모바일월드라이브에 따르면, AT&T는 지난 4월 가입자의 통화와 문자 송수신 기록 등의 데이터가 불법적으로 유출된 것을 확인하고 사법당국과 협력하고 있다고 밝혔다. 데이터 유출은 지난 2022년 5월부터 10월 말까지 이뤄진 것으로 추정된다. 또 2023년 초에도 데이터 유출이 이뤄졌다. 자사 가입자와 함께 MVNO 가입자 등 약 1억900만명의 정보가 유출된 것으로 파악됐다. 통화나 문자 내용, 개입자 정보 등은 유출되지 않았고 통화기록 등의 정보 등이 유출됐다고 외신은 전했다. 미국 법무부가 지난 5월과 6월 두 차례에 걸쳐 해킹 사실을 공개하는 것이 정당하다는 판단을 내려 이제야 고객정보가 유출된 것이 알려지게 됐다. AT&T 측은 이 사건을 사이버보안 침해로 규정하지 않고 3자의 클라우드 플랫폼 공간에서 이뤄진 일이라는 입장이다. 또 불법 액세스 지점을 폐쇄하기 위한 조치를 취했고, 관련 사건과 관련된 인물이 최소 1명 이상 체포된 것으로 알고 있다고 밝혔으나 구체적인 내용은 알리지 않았다.

2024.07.13 06:20박수형

공공기관 개인정보 유출 51건...반년 만에 역대 최다

행정안전부와 법원 등 올해에만 50여 곳의 공공기관에서 개인 정보 유출 사고가 발생했던 것으로 나타났다. 지난해를 넘어 역대 최대 수치다. 18일 국회 행정안전위원회 소속 양부남 더불어민주당(광주 서구을) 의원은 개인정보보호위원회(이하 개인정보위)로부터 제출 받은 자료를 공개했다. 공개한 자료에 따르면 지난 1월에서 5월까지 개인 정보를 유출했다고 신고한 공공기관은 50곳에 달했다. 41건으로 역대 최고를 기록한 지난해 보다 24% 이상 늘어난 수치다. 해당기간 동안 공공기관에서 유출된 개인정보는 총 18만3천 건에 달하는 것으로 나타났다. 공공 기관의 개인 정보 유출 사고와 유출 기관은 해마다 늘어나고 있는 추세다. 2019년 8개에 불과했던 개인 정보 유출 기관이 2020년 11곳, 2021년 22곳, 2022년 23곳으로 4년 사이에 178% 증가했다. 공공기관의 개인 정보 유출 사고가 증가와 함께 이에 대한 당국의 제재는 민간에 비해 처벌이 약하다는 지적이 나오고 있다. 개인정보위가 출범한 2020년 8월부터 올해 5월까지 공공기관당 평균 과징금은 2천342만 원 수준으로 나타났다. 이는 17억6천321만 원에 달하는 민간 기업의 1.3%에 불과한 수주인다. 이는 매출액이 없거나 매출액을 산정하기 힘든 공공기관 등에 부과되는 최대 과징금을 20억 원으로 제한했기 때문이다. 반면, 기업 등 민간의 경우 지난 9월 과징금 상한액을 위법 행위와 관련된 매출액의 3%에서 전체 매출액의 3%로 개정한 바 있다. 다만, 위반 행위와 관련 없는 매출액은 제외한다. 양부남 의원은 사회 취약층의 민감 정보 등을 대량으로 처리하는 공공기관의 정보 보호 역할이 어느 때보다 중요해진 만큼, 이들의 책임을 강화하기 위한 대책이 조속히 마련되야 한다고 지적했다.

2024.06.19 17:48남혁우

최장혁 "승소 자신있다"…뿔난 개보위, '개인 정보 유출' 카카오와 정면 승부

"지난해 어려운 경제 환경에서 소송비를 거의 100% 이상 늘렸기 때문에 (이번 소송도) 자신있습니다. 개인정보라는 개념이 기술 진보와 함께 계속 바뀌고 있다는 점에서 카카오가 주장하는 부분은 수용하기 어렵습니다." 최장혁 개인정보보호위원회 부위원장은 지난 5일 오후 정부서울청사에서 정례브리핑을 갖고 최근 카카오의 행정소송 움직임에 대해 향후 강경 대응에 나설 것을 예고했다. 카카오톡 오픈채팅방 개인정보 유출 건과 관련한 개인정보위의 제재에 맞서 카카오 측이 최근 행정소송으로 맞대응에 나설 것을 시사한 데 따른 것이다. 앞서 개인정보위는 지난달 카카오가 개인정보보호 법규를 위반했다고 보고 총 151억4천196만원의 과징금과 780만원의 과태료를 부과하고 시정명령과 처분결과를 공표했다. 국내 기업을 상대로 부과한 조치로는 역대 최대 규모다. 제재를 한층 강화한 개정 개인정보법이 적용된 골프존(기존 국내 최다 과징금 건)이 75억원의 과징금을 받는 데 그쳤다는 점을 고려하면, 카카오는 상대적으로 제재가 약한 구법이 적용됐다는 점에서 최악의 상황은 피했다. 구법을 적용했음에도 골프존보다 2배가 넘는 과징금이 매겨졌다는 점에서 신법을 적용했을 경우 500억원가량의 과징금이 부과됐을 수 있었다는 분석도 나왔다. 또 개인정보위는 지난해 3월 오픈채팅 개인정보 유출 의혹이 제기된 이후 카카오가 개인정보 유출신고를 하지 않은 점을 문제 삼아 780만원의 과태료도 부과했다. 카카오 측이 이번 일에 대해 직접적으로 피해를 입은 696명에게 적극 고지하지 않았다는 점도 심각한 문제로 판단했다. 이번 일은 지난해 3월 카카오톡 오픈채팅방 참여자들의 개인정보가 유출됐다는 의혹이 불거진 데 따른 것으로, 개인정보위는 시스템의 보안 취약점으로 인해 최소 6만5천여 명의 개인정보가 유출됐을 것으로 추정했다. 최 부위원장은 "카카오가 반발하고 있지만 정부 입장은 전혀 변함이 없고, 관련 소송은 (결론이 나는데) 오래 걸리지 않을 것"이라며 "개인정보 개념을 (신법에 맞춰) 강하게 적용하지 않고 구법에 따라 제재를 했다는 점을 일단 알아달라"고 운을 띄웠다. 이어 "재판을 앞두고 쟁점에 대응하는 게 조심스럽긴 하지만 개인정보 개념은 계속 변하고 있고, 해킹 기술도 굉장히 발달하고 있다"며 "이에 맞춰 (카카오 같은) 국내 기업들이 기술 발전에 따라 적절한 준비를 해 나가야 하는 것 아닌가 싶다"고 말했다. 그러면서 "카카오톡은 무료 서비스지만 이와 관련해 다른 매출이 많이 발생하고 있다는 점을 고려해 과징금 기준이 책정된 것"이라며 "신법이 적용됐다면 더 많은 과징금이 나올 수 있었을 것"이라고 덧붙였다. '회원일련번호'가 개인정보?…개보위 vs 카카오, 해석 두고 의견 팽팽 이번 일에서 양측의 의견이 가장 엇갈리는 부분은 '회원일련번호'가 개인정보에 포함되는 지에 대한 여부다. 회원일련번호는 주민등록번호나 사원증 번호처럼 개인에게 부여된 고유 번호와 유사한 개념으로, 이 번호만으로는 일단 그 사람의 이름이나 전화번호를 알아낼 수 없다. 카카오톡 오픈채팅방은 참가자들이 익명을 전제로 주식 투자, 게임 등 동일한 관심사에 대한 정보나 친분을 나누는 공간으로 활용돼 왔다. 오픈채팅방 참가자들에게는 회원일련변호가 매겨져 있는데, 이 번호는 그간 카카오톡 내부에서만 회원 관리 목적으로 사용돼 왔다. 하지만 카카오가 이 회원일련번호와 오픈채팅방 정보를 단순히 연결한 임시ID를 만들어 암호화 없이 그대로 사용했다는 점이 문제가 됐다. 그 결과 해커가 시스템 취약점을 악용해 오픈채팅방 참여자 정보를 알아낸 후 카카오톡의 친구추가 기능 등을 이용해 일반채팅 이용자 정보를 알아냈다. 또 이 정보들을 '회원일련번호'를 기준으로 결합해 개인정보 파일을 생성, 판매한 것으로 확인됐다. 개인정보위에 따르면 해커는 특정 사이트에 696명의 정보를 올려 거래를 시도한 것으로 파악됐다. 개인정보위 관계자는 "어떤 것(개인정보)은 10만원에 거래됐다는 얘기가 있다"며 "해커가 최소 6만5천719건의 (개인정보를) 조회한 것으로 확인했다"고 말했다. 카카오에 따르면 지난해 3월 문제가 된 해커는 이렇게 얻은 회원일련번호에서는 얻을 수 없는 이름, 전화번호 등을 알아내기 위해 별도의 프로그램을 동원했다. 예컨대 010-0000-0000에서 010-9999-9999에 이르는 1억 개의 전화번호를 임시로 생성한 후 전화번호로 카카오톡 친구를 추가하는 방식을 활용한 것이다. 카카오 관계자는 "회원일련번호와 임시ID는 메신저를 포함한 모든 온라인 및 모바일 서비스 제공을 위해 반드시 필요한 정보"라며 "번호생성기를 이용해 무작위로 전화번호를 만들어 불특정 다수를 대상으로 스팸메시지를 뿌리는 것은 스미싱, 피싱 등 사기를 저지르는 범죄자들이 주로 활용하는 방식"이라고 밝혔다. 이어 "사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니다"며 "이를 암호화하지 않은 것은 법령 위반으로 볼 수 없을 것"이라고 덧붙였다. 반면 개인정보위는 카카오의 회원일련정보가 개인정보라고 볼 수 있는 부분이 상당하다고 주장했다. 최 부위원장은 "회원일련번호가 개인 정보냐, 결합 가능한 정보냐라고 판단하는 부분은 개인정보보호법 초기부터 나왔던 개념"이라며 "이를 근거로 다른 정보와 쉽게 결합해 개인 식별 가능한 내용도 개인 정보로 보고 있다"고 설명했다. 이어 "카카오는 이를 기반으로 개인들을 다 관리하고 있었고, 본인들도 식별 체계라고 얘기하고 있다"며 "이는 명백하게 카카오가 개인 정보로 볼 수 있었다는 것"이라고 덧붙였다. 또 그는 "이번 일은 개인 정보의 결합 용이성, 입수 가능성을 어떤 기준으로 판단하느냐의 문제로 보여진다"며 "해커 입장에서 얼마나 쉽게 해킹을 할 수 있는지, 이를 토대로 얼마나 쉽게 정보를 결합할 수 있었는지라는 측면에서 볼 때 개인 정보라고 보고 카카오에 처분이 내려진 것"이라고 강조했다. 행정소송 예고한 카카오…개인정보위, '승소' 자신 개인정보위는 대법원이 차대번호를 개인 식별 정보로 본 전례가 있다는 점을 근거로 카카오 측과의 행정 소송이 진행되면 승소할 것으로 봤다. 기술 발전에 맞춰 개인 정보라는 개념도 바뀌고 있다는 점을 재판부가 고려해 '회원일련정보'를 해석할 것으로 예상해서다. 최 부위원장은 "(기업들이) 기술 진보에만 집착하다보니 오히려 국민들의 개인정보 보호 측면은 좀 소홀해진 것 아닌가에 대해 우려스럽다"며 "점차 정보가 결합될수록 개인 정보를 특정할 수 있는 가능성이 더 많아진다는 점에서 향후 결합 기관에서만 가명 정보, 결합된 개인 정보를 관리하고 기준을 제안하는 역할을 더 강화해야 할 듯 하다"고 말했다. 개인정보위는 카카오 측의 안일한 대응에 대해서도 비판했다. 카카오 측이 이번 사건을 인지한 즉시 선제적 신고를 하고 수사에도 적극 협조했다고 주장했지만 사실과 다소 다르다는 점을 강조했다. 앞서 카카오는 KISA와 과학기술정보통신부에 신고를 했을 뿐 아니라 카카오톡 공지사항에 전체 이용자를 대상으로 서비스 공지를 게재했다고 밝힌 바 있다. 최 부위원장은 "카카오 측이 696명에게 본인의 정보가 유출됐다는 사실을 지난달 처분 의결 당시까지도 개개인에게 통지하지 않았다"며 "카카오 측이 통지했다고 주장하는 건 홈페이지에 공지로 게시한 것밖에 없다"고 설명했다. 이어 "규제당국에서 처분을 내렸음에도 카카오 측은 통지도 제대로 하지 않고 (아직) 가만히 있다"며 "일단은 행정기관에서 처분을 하면 법원 판결 전까지 이 처분의 효력이 유지가 되고 있다는 점에서 (카카오 측이) 일단 처분을 수용한 후 소송을 다퉈야 한다"고 덧붙였다. 개인정보위 관계자는 "카카오 측이 신고하고 고객들한테 통지했다고 하지만 실제로는 (우리쪽엔 안하고) 과기부에만 했다"며 "하나의 사고로 발생한 문제지만 적용되는 법은 두 개로, (개인정보보호법에 대한 것은 이행 안하고) 정보통신망법에 맞춰서만 (카카오가) 했다"고 설명했다. 그러면서 "카카오 측이 입장문에 모든 조치를 다 한 것처럼 했지만 실제로 개인 정보가 유출된 피해자들한테 사실을 고지하는 게 기업으로서의 도리가 아닌가 싶다"며 "개인정보보호법상 피해 사실을 알게 된 시점마다 개별적으로 계속 통지해야 하는데 카카오는 알면서도 이를 이행하지 않았다"고 꼬집었다. 하지만 카카오는 여전히 개인정보위의 움직임에 반발하며 강경한 태도를 보이고 있다. 또 개인정보위가 제재처분을 내리는 과정에서 해커가 독자적으로 자행한 불법행위까지 카카오의 과실로 본 점은 잘못됐다고 비판했다. 이처럼 개인정보위와 카카오의 입장이 극명하게 엇갈리는 만큼 이번 제재 처분은 법정 공방으로 이어질 전망이다. 카카오는 "회원일련번호는 페이스북, 인스타그램 등에서도 볼 수 있는데 이 역시 개인정보 유출로 다 볼 수 있는 부분인지에 대해서도 의문이 든다"며 "이번 결정에 대해 행정소송을 포함한 다양한 조치와 대응을 적극 검토할 것"이라고 밝혔다.

2024.06.06 08:49장유미

"6만5천명 정보 유출"…과징금 151억 '철퇴' 맞은 카카오, 행정소송 검토

최근 이틀 연속 '카카오톡' 먹통 사태로 곤욕을 치른 카카오가 이번엔 오픈채팅방 개인정보 유출 사태로 개인정보보호위원회로부터 철퇴를 맞았다. 이용자 정보에 대한 점검과 보호 조치 등을 소홀히 해 약 6만5천 건의 개인정보를 유출한 것으로 드러나면서 국내업체 중 역대 최대 과징금을 물게 됐다. 개인정보위는 지난 22일 '제9회 전체회의'를 열고 개인정보보호 법규를 위반한 카카오에 대해 총 151억4천196만원의 과징금과 780만원의 과태료를 부과하고 시정명령과 처분결과를 공표하기로 의결했다고 23일 밝혔다. 카카오에 부과된 과징금은 이제까지 역대 최대 과징금이었던 골프존의 75억여원보다 두 배 이상 많은 금액이다. 개인정보위는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론보도에 따라 개인정보 보호법 위반 여부를 조사했다. 그 결과 해커는 오픈채팅방의 취약점을 이용해 오픈채팅방 참여자 정보를 알아내고, 카카오톡의 친구추가 기능 등을 이용해 일반채팅 이용자 정보를 알아냈다. 이 정보들을 '회원일련번호'를 기준으로 결합해 개인정보 파일을 생성, 판매한 것으로 확인됐다. 개인정보위가 확인한 카카오의 위반 사실은 ▲안전조치의무 위반 ▲유출 신고·통지 의무 위반 등 크게 두 가지다. 먼저 카카오는 익명채팅을 표방하며 오픈채팅을 운영하면서 일반채팅에서 사용하는 회원일련번호와 오픈채팅방 정보를 단순히 연결한 임시ID를 만들어 암호화 없이 그대로 사용했다. 하지만 이에 대해 카카오는 크게 반발했다. 카카오는 "회원일련번호와 임시ID는 메신저를 포함한 모든 온라인 및 모바일 서비스 제공을 위해 반드시 필요한 정보"라며 "이는 숫자로 구성된 문자열로, 그 자체로는 어떠한 개인정보도 포함하고 있지 않고 이것으로 개인 식별이 불가능하다"고 설명했다. 이어 "사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니므로 이를 암호화하지 않은 것은 법령 위반으로 볼 수 없을 것"이라고 항변했다. 개인정보위는 지난 2020년 8월부터 카카오가 오픈채팅방 임시ID를 암호화했으나, 기존에 개설됐던 일부 오픈채팅방에서 암호화가 되지 않은 임시ID가 그대로 사용됐다는 점도 파악했다. 또 이 오픈채팅방에서 암호화된 임시ID로 게시글을 작성하면 암호화를 해제한 평문 임시ID로 응답하는 취약점도 확인했다. 또 해커는 이러한 취약점 등을 이용해 암호화 여부와 상관없이 모든 오픈채팅방의 임시ID와 회원일련번호를 알아낼 수 있었고 회원일련번호로 다른 정보와 결합해서 판매한 것으로 드러났다. 개인정보위 관계자는 "개발자 커뮤니티 등에 공개된 카카오톡 API 등을 이용한 각종 악성행위 방법이 이미 공개돼 있었는데도 카카오는 이를 통한 개인정보 유출 가능성 등에 대한 점검과 조치를 제대로 하지 않았다"며 "관련 사실은 확인됐다"고 말했다. 그러나 카카오는 개인정보위의 주장은 사실과 다소 다르다고 강조했다. 카카오는 "임시 ID는 숫자로 구성된 문자열이자 난수로서 여기에는 어떠한 개인정보도 포함돼 있지 않고 그 자체로는 개인 식별이 불가능해 개인정보라고 판단할 수 없다"며 "그럼에도 불구하고 자사 오픈채팅 서비스 개시 당시부터 해당 임시 ID를 난독화해 운영 및 관리했고, 이에 더해 2020년 8월 이후 생성된 오픈채팅방에는 더욱 보안을 강화한 암호화를 적용한 바 있다"고 피력했다. 그러면서 "개인정보위가 언급한 '해커가 결합해 사용한 '다른 정보'란 자사에서 유출된 것이 아니다"며 "이는 해커가 불법적인 방법을 통해 자체 수집한 것으로, 자사의 위법성을 판단할 때 고려돼서는 안 된다고 생각한다"고 덧붙였다. 하지만 개인정보위는 카카오가 2023년 3월 언론보도 및 개인정보위 조사과정에서 카카오톡 오픈채팅방 이용자의 개인정보가 유출되고 있다는 사실을 인지했음에도 유출 신고와 이용자 대상 유출 통지를 하지 않아 개인정보 보호법을 위반했다고도 봤다. 이에 개인정보위는 이용자 개인정보가 유출된 카카오에 대해 안전조치의무 위반으로 과징금을 부과하고, 안전조치의무와 유출 신고·통지의무 위반에 대해 과태료를 부과하기로 결정했다. 또 카카오에 이용자 대상 유출 통지를 할 것을 시정명령하는 동시에 개인정보위 홈페이지에 처분 결과를 공표하기로 결정했다. 개인정보위 관계자는 "이번 처분으로 카카오톡 같이 대다수 국민이 이용하는 서비스는 잘 알려진 보안 취약점을 점검‧개선하는 것도 중요하지만, 설계·개발 과정에서 발생할 수 있는 개인정보 침해 가능성에 대한 지속적인 점검과 노력도 중요하다는 인식이 자리잡는 계기가 되기를 바란다"고 밝혔다. 하지만 카카오는 이를 납득할 수 없다는 입장이다. 이번 사건을 인지한 즉시 선제적 신고를 하고 수사에도 적극 협조했음에도 개인정보위가 이 같은 결정을 내려 향후 행정소송을 포함해 다양한 조치 및 대응을 두고 적극 검토할 것임을 강조했다. 카카오 관계자는 "개인정보보호법 위반으로 보기 어렵다고 판단했음에도 지난해 상황을 인지한 즉시 경찰에 선제적으로 고발하고 KISA와 과학기술정보통신부에도 신고를 했다"며 "경찰 조사에 적극적으로 협조하고 관계 기관에도 소명을 진행해 왔고, 지난해 3월 13일에는 전체 이용자 대상으로 주의를 환기하는 서비스 공지를 카카오톡 공지사항에 게재한 바 있다"고 반박했다. 그러면서 "행정소송을 포함한 다양한 법적 조치 및 대응을 적극 검토할 예정"이라며 "앞으로도 이용자들이 안전하게 카카오톡을 이용할 수 있도록 최선을 다할 것"이라고 덧붙였다.

2024.05.23 12:00장유미

  Prev 1 2 3 4 5 6 7 Next  

지금 뜨는 기사

이시각 헤드라인

AI로 성장 발판 마련한 네카오…새해엔 '수익화' 시험대

[ZD브리핑] 독자 AI 파운데이션 모델 1차 발표...5개팀 기술 뽐낸다

과기부총리제 부활 R&D 새판 짤 기회..."누리호 5차·양자이득 원년 기대"

김범석 쿠팡 의장 "초기 대응·소통 부족 진심 사과"

ZDNet Power Center

Connect with us

ZDNET Korea is operated by Money Today Group under license from Ziff Davis. Global family site >>    CNET.com | ZDNet.com
  • 회사소개
  • 광고문의
  • DB마케팅문의
  • 제휴문의
  • 개인정보취급방침
  • 이용약관
  • 청소년 보호정책
  • 회사명 : (주)메가뉴스
  • 제호 : 지디넷코리아
  • 등록번호 : 서울아00665
  • 등록연월일 : 2008년 9월 23일
  • 사업자 등록번호 : 220-8-44355
  • 주호 : 서울시 마포구 양화로111 지은빌딩 3층
  • 대표전화 : (02)330-0100
  • 발행인 : 김경묵
  • 편집인 : 김태진
  • 개인정보관리 책임자·청소년보호책입자 : 김익현
  • COPYRIGHT © ZDNETKOREA ALL RIGHTS RESERVED.