검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'유출'통합검색 결과 입니다. (164건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

쿠팡 대규모 개인정보유출로 ISMS-P 실효성 또 도마

롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사고가 발생하면서 정보보호·개인정보보호 관리체계(ISMS-P) 인증제 실효성 논란이 더욱 거세지고 있다. 롯데카드는 ISMS-P 인증을 획득한 지 이틀만에 침해사고를 겪었고, 쿠팡은 2021년 최초 인증 획득 후 갱신까지 마친 상태였다. 1일 업계에 따르면 쿠팡은 최초 ISMS-P 인증 획득 이후 지난해 3월 갱신을 완료한 상태였으나, 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사 중이다. 쿠팡은 올해 6월 24일부터 개인정보에 외부 접근이 이뤄진 것으로 추정하고 있다. 그러나 개인정보 유출을 인지한 시점은 지난달 18일로, 현재 경찰청, 한국인터넷진흥원(KISA), 개인정보보호위원회 등에 신고를 마친 상태다. 침해사고의 원인은 퇴사자 인증키 방치가 지목된다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)은 1일 "쿠팡 로그인 시스템 토큰 생성에 필요한 서명 정보를 담당하던 직원이 퇴사했음에도 권한을 삭제하거나 갱신하지 않고 방치해 퇴사한 내부 직원이 이를 악용한 것"이라고 분석했다. 회사는 무단 접근 경로를 차단했으며, 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. ISMS-P는 기업이 정보보호와 개인정보 보호를 위한 관리체계를 일정 수준 이상 갖추고 있음을 정부가 인증하는 제도다. 보안 정책 수립 여부, 기술적·관리적 통제, 보안 교육, 점검 체계 등을 평가한다. 그러나 롯데카드 사태 때부터 이번 쿠팡까지 ISMS-P 인증을 받은 기업들의 잇단 침해사고가 터져 나오면서 인증 자체의 실효성에 대한 실효성 논란이 불거지고 있다. 상시적인 검증 체계도 없고 형식적인 문서적 검사에 그치는 것이 아니냐는 지적이 나오는 것이다. ISMS-P 인증을 주관하는 한국인터넷진흥원(KISA)의 원장을 지낸 이원태 국민대 특임교수 역시 이번 사태를 계기로 ISMS-P 인증 체계에 대한 지적을 자신의 SNS에 남겼다. 그는 "쿠팡은 정부가 인증하는 정보보호 관리체계(ISMS-P)를 취득하고 갱신까지 한 기업이었다"며 "인증을 받고도 기본적인 퇴사자 권한 관리조차 작동하지 않았다는 사실은, 현재의 제도가 실질적 방어력보다는 문서와 절차를 맞추는 '보안 극장(Security Theater)'에 불과함을 여실히 보여준다"고 비판했다. 이 교수는 현행 ISMS-P 등 문서 중심 인증 체계를 실시간 행위 기반 모니터링 중심으로 전환할 것을 주문했다. ISMS-P 인증이 실효성 논란을 빚자 개인정보보호위원회는 이를 개선하겠다고 밝혔다. 송경희 개인정보보호위원회 위원장은 지난달 5일 서울 종로구 정부서울청사에서 열린 '출입기자단 브리핑'에서 현재 유효기간이 3년인데, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하겠다고 말했다. 또 예비심사제도 새로 도입하고 공공기관도 ISMS-P 인증 의무화를 단계적으로 추진하겠다고 밝혔다. 현재 2억에 불과한 관련 예산도 내년에는 증액할 예정이다.

2025.12.01 22:35김기찬 기자

국회 과방위·정무위, '쿠팡 해킹 사태' 따져 묻는다

국회 과학기술정보방송통신위원회와 정무위원회가 최근 개인정보 3천370만건이 유출된 쿠팡에 대해 긴급 현안질의를 진행한다. 1일 국회에 따르면 과방위는 2일 오전 10시 전체회의를 열고 쿠팡 임원진과 유관 기관을 불러 개인정보 유출 사고 경위를 물을 전망이다. 이 회의에는 과학기술정보통신부, 한국인터넷진흥원(KISA), 박대준 쿠팡 대표, 쿠팡 최고정보보호책임자(CISO) 등이 참석할 예정이다. 3일 오후 2시 정무위도 전체회의를 열고 유관기관 및 쿠팡 관계자들을 불러 현안질의를 한다. 정무위는 개인정보보호위원회, 국무조정실, 금융위원회, 금융감독원, 공정거래위원회 등과 쿠팡 관계자들을 대상으로 질의를 실시한다. 쿠팡은 지난달 18일 약 4천500개 계정의 개인정보가 무단으로 유출된 사실을 인지하고 조사를 진행한 결과, 3천370만개 개인정보가 노출된 것을 확인했다고 같은달 29일 공지했다. 이번 개인정보 유출 사고로 노출된 정보는 이름, 이메일 주소, 배송지 주소록(입력한 이름·전화번호·주소), 일부 주문 정보다. 결제 정보, 신용카드 번호, 로그인 정보는 포함되지 않았다고 쿠팡 측은 주장했다. 회사 측에서 진행한 조사에 따르면 올해 6월 24일부터 해외 서버를 통해 무단으로 개인정보 접근이 발생했다. 쿠팡은 사고를 인지한 즉시 경찰청, KISA, 개인정보보호위원회 등 관련기관에 해당 사실을 신고했다. 이번 사태와 관련해 정부는 지난달 30일 긴급 대책회의를 열었다. 정부는 해킹 피해 확산을 방지하기 위해 민관합동조사단을 가동하고 쿠팡의 안전 조치 의무 위반 여부에 대한 조사에 나섰다. 또 개인정보가 인터넷상에서 유출될 가능성을 열어두고 3개월 간 다크웹(특수 경로로만 접근 가능한 웹사이트)을 포함한 '인터넷상 개인정보 유노출 및 불법유통 모니터링 강화기간'을 운영하기로 했다. 윤한홍 국회 정무위원장실 관계자와 야당 간사인 강민국 국민의힘 의원실 관계자는 “쿠팡 관련 정무위 날짜는 오는 3일 오후 2시로 확정됐다”고 말했다.

2025.12.01 16:32박서린 기자

"한국형 정보보호체계 시효 만료...법제 전면 재편해야"

올해 SK텔레콤, KT, 롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사태까지 잇단 보안 사고가 발생했다. 이에 국내 사이버보안 생태계 전반에 걸친 점검과 개선이 필요하다는 전문가의 제언이 나온다. 한국인터넷진흥원(KISA) 원장을 지낸 이원태 국민대학교 특임교수는 최근 페이스북에 "지난 주말 쿠팡에서 성인 인구 4명 중 3명에 달하는 3천370만명의 개인정보가 유출되는 사고가 터졌다"며 "그러나 피해 규모보다 더 충격적인 것은 그 과정에서 드러난 우리 사회의 총체적 보안 무능"이라고 지적했다. 이 교수는 "이번 사태는 단순히 개별 기업의 일탈이 아니다"라며 "한국형 정보보호 체계의 '시효 만료'"라고 비판했다. 그는 "특히 사고가 반복되면서 사회 전체에 보안 피로감이 축적되고, 위험이 '일상적 현상'처럼 취급되고 있는 '위험의 정상화'"라며 "보안 사고 둔감증이 만연한 상황에서는 어떠한 강력한 대책도 현장에서 작동하지 않는다"고 밝혔다. 그는 '기준 보완' 수준에 그치는 보안 대책이 아니라 국가 보안 체계를 완전히 다시 설계해야 한다고 역설했다. 이어 이 교수는 4가지 대책을 내놨다. 구체적으로 ▲인공지능(AI) 보안 법체계로 정보보호 법제의 전면 재편 ▲ISMS-P와 같은 문서 중심 인증 체계의 'AI-레질리언스(복원력) 인증 체계' 전환 ▲대형 플랫폼, 중요 인프라 기업의 기본 보안 수칙 의무화 ▲'사고 은폐가 불가한 공시체계' 도입 등이다. 우선 이 교수는 공격이 AI 기반으로 점차 고도화되고 진화할 것으로 예상되는 만큼 개인정보보호법, 정보통신망법 등으로 파편화된 보안 법률을 융합 보안 관점에서 통합하고 'AI 보안 법체계'로 전면 개정해야 한다고 강조했다. 또 쿠팡이 ISMS-P 인증·갱신 기업이었고, 롯데카드 역시 ISMS-P 인증을 받은 지 이틀 만에 해킹 사고를 겪었던 만큼 인증 체계의 전환도 주문했다. 이 교수는 "평균 탐지 시간(MTTD)과 평균 복구 시간(MTTR) 등 사고 대응 속도와 회복력을 핵심 지표로 삼고, AI 기반 이상행위 분석을 의무화해 실제 위협을 탐지하고 방어하는 '살아있는 인증'으로 거듭나야 한다"고 밝혔다. 아울러 기업이 피해 규모를 축소하거나 은폐할 수 있는 구조를 만들지 않기 위해 사고 발생 시 판단 주체를 기업에서 공적 영역으로 옮겨야 한다고 이 교수는 주장했다. 제3의 공적 기관이 실시간으로 위협을 탐지하고 공표하는 투명한 감시 구조를 법제화해야 한다는 것이다. 끝으로 이 교수는 "AI 시대의 보안은 더 이상 기업의 '비용'이 아니라 국가 생존의 필수 인프라다"라며 "지금이야말고 정부, 국회, 기업 모두가 낡은 보안 패러다임을 넘어 AI 시대에 걸맞은 새로운 국가 보안체계를 설계해야 할 때"라고 말했다.

2025.12.01 14:13김기찬 기자

쿠팡, 3370만 개인정보 유출…내부 직원 소행?

쿠팡 서버에서 3천370만개의 고객 개인정보가 무단으로 유출돼 정부가 조사에 나섰다. 정확한 피해 규모와 정보 유출 경위 등에 대한 조사는 아직 진행 중인데, 회사에서 인증업무를 담당했던 내부 직원이 개인정보를 유출했다는 이야기도 나온다. 쿠팡은 지난 29일 입장문을 내고 개인정보 유출로 노출된 계정이 약 3천370만개라고 정정했다. 이는 당초 언급했던 약 4천500개보다 7천500배 이상 큰 규모다. 이번 사태로 유출된 개인정보는 이름, 이메일 주소, 배송 주소록(입력한 이름·전화번호 주소), 일부 주문 정보다. 쿠팡 측은 결제 정보, 신용카드 번호, 로그인 정보는 포함되지 않았다고 선을 그었다. 특히, 쿠팡은 해외 서버를 통해 올해 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다. 회사는 무단 접근 경로를 차단했으며 개인정보 유출을 인지한 지난달 18일 즉시 경찰청, 한국인터넷진흥원, 개인정보보호위원회 등에 이를 신고했다. 이후 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. 이와 관련해 배경훈 부총리는 지난 30일 긴급 대책회의를 열고 “정부는 이번 사고로 인한 국민 여러분의 불편과 심려를 해소할 수 있도록 최선의 노력을 다할 것”이라며 “쿠팡을 사칭하는 전화나 문자 등에 각별히 주의해 2차 피해가 일어나지 않도록 당부드린다”고 강조했다. 이날 배 부총리는 해킹 피해 확산을 방지하기 위해 민관합동조사단을 가동하고 쿠팡의 안전 조치 의무 위반 여부에 대한 조사에 나섰다고 밝혔다. 이번 개인정보 유출 사건으로 쿠팡에서 유출된 고객 계정은 약 3천370만개로, 올해 3분기 실적발표 컨퍼런스콜에서 프로덕트 커머스 부분 활성 고객 수가 2천470만명이라는 점을 감안하면 상당수의 정보가 유출된 것으로 파악된다. 또 정부는 개인정보가 인터넷상에서 유출될 가능성을 염두에 두고 3개월 간 다크웹(특수 경로로만 접근 가능한 웹사이트)을 포함한 '인터넷상 개인정보 유노출 및 불법유통 모니터링 강화 기간'을 운영한다. 과학기술정보통신부 관계자는 “쿠팡 멤버십 회원은 1천200만명 수준이지만, 한 사람이 여러 개 ID를 가지고 쓰는 경우가 있다보니 정확한 유출 규모나 숫자에 대해서는 개인정보보호위원회에서 지금 조사를 진행 중”이라며 “쿠팡과 관련된 정보가 혹시 다크웹에 올라오는지 여부도 집중적으로 보고 있지만, 아직까지 나타난 것은 없다”고 답했다. 이어 “결제 정보 등이 유출되지 않았다는 쿠팡의 주장이 맞는지는 조사를 해봐야하는 상황”이라며 “통관번호 등에 대한 유출 여부는 언급되지 않았지만 꾸려진 민관합동조사단을 통해 조사해나갈 예정”이라고 덧붙였다. 일각에서는 이번 개인정보 유출이 내부 직원 소행이라는 의혹이 제기됐다. 해당 직원이 개인정보를 유출한 뒤 한국을 떠나 중국에 체류 중이고, 협박성 이메일을 보낸 정황이 포착됐다는 것. 개인정보 유출 의혹을 받는 직원은 쿠팡 내부에서 인증 업무를 담당했던 것으로 알려졌다. 이 과정에서 인증토큰 서버인증키와 보안 취약점을 악용했을 가능성이 높다는 데 힘이 실린다. 박대준 쿠팡 대표는 “(직원 국적 등은) 수사 영역이고 수사에 적극 협조 중”이라며 “그 얘기를 하는 것 자체가 수사에 영향을 주는 만큼 말씀드리기 어렵다”고 말했다. 또 “피해자와 피해 범위, 유출 내용을 명확히 확정하는 게 우선”이라며 “그 다음 급한 것은 재발 방지 대책이다. 이런 부분이 확정되면 그 다음 피해에 대한 합리적 방안을 성실히 수행할 수 있을 것”이라고 부연했다.

2025.12.01 14:04박서린 기자

쿠팡, 개인정보 노출 3천370만개 확인..."진심으로 사과"

쿠팡은 개인정보가 노출된 고객 계정이 3천370만개로 확인됐다고 29일 밝혔다. 이는 지난 18일 파악된 4천500개 계정보다 약 7천500배 늘어난 수준이다. 쿠팡에 따르면 노출된 정보는 이름, 이메일 주소, 배송지 주소, 배송지 전화번호 등이다. 결제 정보나 신용카드 번호, 로그인 정보는 노출되지 않았다. 쿠팡은 해외 서버를 통해 지난 6월 24일부터 무단으로 개인정보에 접근한 것으로 추정하고 있다. 현재 접근 경로를 차단하고 내부 모니터링을 강화했다. 또 독립적인 리딩 보안기업 전문가를 영입하고 사법 기관 및 규제 당국과 지속적으로 협력하고 있다. 쿠팡 측은 “결제 정보, 신용카드 번호, 로그인 정보는 노출되지 않았으므로 쿠팡 이용 고객은 계정 관련 조치를 취할 필요가 없다”며 “이번 일로 인해 발생한 모든 우려에 대해 진심으로 사과 드리며, 고객 여러분께서 쿠팡을 사칭하는 전화, 문자 메시지 또는 기타 커뮤니케이션에 주의해달라”고 당부했다.

2025.11.29 19:06김민아 기자

대만 검찰, '인텔 이직' TSMC 전 고위임원 자택 압수수색

대만 검찰이 현지 주요 파운드리 TSMC의 영업비밀 유출 의혹과 관련된 전직 고위 임원 로웨이런(Wei-Jen Lo)의 자택을 압수수색했다고 로이터통신이 28일 보도했다. 현지 수사관은 수색영장에 따라 로웨이런의 자택 2곳을 수색하고, 컴퓨터와 USB 드라이브, 기타 증거들을 압수했다. 이에 대해 대만 검찰의 지식재산권 전담 부서는 성명을 통해 "로웨이런이 대만 국가보안법을 위반한 협의를 받고 있다"고 밝혔다. 앞서 TSMC는 23일 로웨이런을 상대로 대만 지식재산·상업법원에 소송을 제기한다고 밝힌 바 있다. 로웨이런은 최근 TSMC를 퇴직한 직후 인텔에서 집행부사장(EVP)을 맡았다. 이에 TSMC는 로웨이런에 영업비밀과 기밀 정보 유출 가능성 등을 제기했다. 인텔은 TSMC의 의혹을 전면 부인했다. 인텔은 "현재까지 파악한 바에 따르면, 로웨이런과 관련된 주장에 타당한 근거가 있다고 볼 이유가 없다"고 밝혔다. 또한 인텔은 회사가 엄격한 내부 정책과 통제 체계를 갖추고 있어, 제3자가 어떠한 기밀 정보나 지식재산을 사용 및 이전하는 것을 철저히 금지하고 있다고 강조했다. 로웨이런은 TSMC에서 21년간 근무하며 5~2나노미터(nm) 급의 최첨단 반도체 공정 양산을 주도한 것으로 알려졌다. 지난 2004년 TSMC에 입사하기 전에는 18년간 인텔에서 근무한 이력이 있다. 이후 올해 10월 인텔에 재합류한 것이다. TSMC는 성명을 통해 "로웨이런이 TSMC의 영업 비밀과 기밀 정보를 사용하거나, 유출 혹은 공개하거나, 이전할 가능성이 매우 높다고 판단된다"며 "이에 따라 법적 조치가 필요해졌다"고 밝혔다.

2025.11.29 09:41장경윤 기자

오픈AI, 파트너사 해킹으로 일부 데이터 유출..."데이터 악용 주의"

오픈AI의 파트너사에서 보안 사고가 발생해 일부 사용자의 이름, 이메일 등 개인정보가 유출됐다. 유출된 데이터 규모는 제한되지만 이를 악용한 추가 범죄가 예상되는 만큼 주의가 요구된다. 오픈AI는 파트너사인 웹 분석 업체 믹스패널 시스템에서 일부 사용자 계정의 웹 분석 데이터가 공격자에게 유출됐다고 28일 밝혔다. 믹스패널은 오픈AI API 제품 웹 콘솔 프론트엔드에서 트래픽과 사용 행태를 분석하는 도구로 쓰여 왔다. 지난 9일 믹스패널은 시스템 일부에 대한 비인가 접근을 탐지하고 고객사 데이터 일부가 외부로 반출된 정황을 확인했다. 이후 자체 조사를 거쳐 오픈AI에 해당 데이터셋을 전달했고 오픈AI는 이를 바탕으로 영향 범위를 분석하고 있다. 오픈AI 측은 유출된 정보가 오픈AI API 계정에 연결된 프로필과 웹 분석 정보로 한정되며 플랫폼을 통한 챗GPT와 기타 소비자용 서비스 이용자는 이번 영향 범위에 포함되지 않는다고 설명했다. 개발자용 API 콘솔 이용자가 아닌 일반 챗GPT 이용자 계정은 이번 사고와 무관하다는 의미다. 구체적으로는 API 계정에 등록된 이름과 이메일 주소, 브라우저를 기반으로 추정한 대략적인 위치 정보, 접속에 사용된 운영체제와 브라우저 정보, 플랫폼 접속 직전에 방문한 웹사이트, 조직과 사용자 ID 등이 포함된 것으로 알려졌다. 대화 내용, 프롬프트와 응답, API 사용 로그, 비밀번호, 자격 증명, API 키, 결제 정보, 신분증 등 민감 정보는 이번 유출 범위에 포함되지 않았다는 것이 오픈AI의 설명이다. 이번에 노출된 정보 자체는 제한적이지만, 공격자가 이를 피싱·소셜 엔지니어링 공격에 악용할 가능성은 남아 있다. 이름, 이메일, 계정 ID, 대략적 위치 정보만으로도 실제 개발자나 조직을 노린 그럴듯한 사기 메일을 만들어 낼 수 있기 때문이다. 보안 전문가들 역시 민감도가 낮은 정보라도 여러 출처에서 모이면 신뢰를 가장한 공격 메시지 제작에 충분히 활용될 수 있다고 지적한다. 믹스패널 측은 이번 침해가 문자메시지를 악용한 스미싱 형태의 피싱 공격에서 비롯됐다고 설명했다. 공격자는 내부 계정 가운데 하나를 속여 로그인 정보를 탈취한 뒤, 이 계정으로 더 넓은 권한을 확보해 데이터셋을 추출한 것으로 알려졌다. 같은 기간 믹스패널을 사용하던 다른 서비스 사업자들도 유사한 유형의 사고 통지를 받은 것으로 전해졌다. 오픈AI는 사고 인지 후 믹스패널을 프로덕션 환경에서 제거했다고 밝혔다. 이어 믹스패널이 제공한 데이터셋을 자체적으로 재검토하고 타 파트너사·벤더와 함께 사고 경위와 영향 범위를 파악하고 있다고 덧붙였다. 오픈AI는 이번 사건을 계기로 믹스패널 사용을 종료했으며, 전체 벤더 생태계를 대상으로 보안 점검을 확대하고 파트너·공급사에 대한 보안 요구 수준을 한층 높이겠다고 강조했다. 또 오픈AI는 조직 관리자와 계정 소유자를 대상으로 개별 이메일을 통해 사고 사실과 영향을 받았을 수 있는 정보 범위를 안내하고 있다. 다만 비밀번호나 API 키, 인증 토큰이 유출된 정황은 확인되지 않았기 때문에 이번 사고만을 이유로 한 일괄 비밀번호 변경이나 키 교체까지는 권고하지 않는다는 입장이다. 오픈AI는 사용자가 유념해야 할 보안 수칙도 함께 제시했다. 우선 발신자가 오픈AI라고 주장하더라도 뜻밖에 도착한 메일·메시지에 포함된 링크나 첨부파일은 신중하게 열어야 한다고 당부했다. 또 오픈AI 안내 메일은 공식 도메인에서만 발송되며 이메일·문자·채팅으로 비밀번호나 API 키, 인증 코드를 요구하는 일은 없다고 재차 강조했다. 계정 보호를 위해서는 가능하면 계정에 다단계 인증(MFA)을 활성화하고 기업·조직 차원에서는 SSO에 MFA를 적용해 방어력을 높일 것을 권고했다. 오픈AI는 "신뢰와 보안, 프라이버시는 우리의 제품과 조직, 미션의 근간으로 이번 사고와 같은 이슈가 발생할 경우 투명하게 알리고 대응 상황을 공유하겠다"며 "급속히 커지는 AI 인프라와 이를 둘러싼 공급망 전반이 공격 표면으로 노출되고 있는 만큼 내부 시스템뿐 아니라 외부 벤더에 대해서도 한층 높은 수준의 보안 검증과 모니터링을 이어가겠다"고 밝혔다.

2025.11.28 10:26남혁우 기자

'2025 산업보안 컨퍼런스' 18일 열린다

산업기술보호의날을 맞아 글로벌 기술 유출 대응 방안을 모색하기 위한 컨퍼런스가 개최된다. 산업보안 컨퍼런스 조직위원회는 오는 18일 그랜드 인터컨티넨탈 서울 파르나스에서 '2025 산업보안 컨퍼런스'를 개최할 예정이라고 6일 밝혔다. 이번 컨퍼런스는 '기술패권 시대의 경제안보 전략, 보호, 협력 그리고 생존'이라는 주제로 열린다. 글로벌 기술 유출 대응 방안 및 첨단 보안기술 공유를 통해 우리 기업과 산업보안 정책이 나아가야할 방향을 모색하겠다는 취지다. 행사에는 ▲미국의 기술유출 대응 및 자국 기업과의 공조 현황 ▲인공지능(AI)을 활용한 국가핵심기술 식별 및 관리 ▲AI를 활용한 정보유출 방지와 보안 관리 ▲첨단기술법제 한계와 개선방안 ▲글로벌 기술안보 강화 시대의 산업기술 보호법 등 5가지 주제 발표가 이뤄진다.

2025.11.06 16:04김기찬 기자

"AI 에이전트가 쇼핑 경험 해쳐"…아마존, 퍼플렉시티에 '대리 물건 주문' 중단 요청

아마존이 인공지능(AI) 검색 스타트업 퍼플렉시티에 AI 브라우저 에이전트 '코멧'이 사용자를 대신해 온라인에서 물건을 구매하는 행동을 중단할 것을 요구하는 서한을 보냈다. 4일(현지시간) 블룸버그 등 외신에 따르면 사안에 정통한 관계자들은 아마존이 퍼플렉시티의 AI 에이전트가 사용자 대신 쇼핑할 때 이를 명확히 밝히지 않아 아마존의 서비스 약관을 위반했다고 밝혔다. 아마존은 이를 컴퓨터 사기 행위라고 주장했으며, 해당 기능이 자사 쇼핑 경험을 훼손하고 개인정보 유출 위험을 촉발한다고 지적했다. 반대로 퍼플렉시티는 자사 블로그에서 아마존이 경쟁 AI 쇼핑 에이전트를 보유한 상황에서 더 작은 경쟁사를 괴롭히고 있다고 반박했다. 퍼플렉시티는 “아마존은 사람들이 더 나은 삶을 살도록 돕는 혁신 기업을 위협하려고 한다”며 “사용자가 원하는 에이전트를 선택할 권리가 있어야 한다”고 강조했다. 아마존 약관에는 '데이터 마이닝(데이터 안에서 패턴 혹은 규칙, 관계 등을 찾아 활용할 수 있는 정보를 추출하는 기술), 로봇 및 유사 도구 사용' 금지 조항이 존재한다. 지난해 11월 아마존은 퍼플렉시티에 AI 에이전트의 상품 구매 기능을 협의 전까지 중단하라고 요청했고, 퍼플렉시티는 이에 응했다. 그러나 올해 8월 퍼플렉시티가 새 AI 에이전트 코멧으로 다시 사용자 계정에 로그인해 구매를 시도하자 아마존은 차단을 실시했다. 이후 퍼플렉시티는 이를 우회하는 업데이트를 배포한 한 것으로 알려졌다. 라라 헨드릭스 아마존 대변인은 “외부 에이전트가 고객 대신 상품을 구매한다면 투명하게 운영하고 서비스 제공자의 조건을 존중해야 한다”고 말했다. 그러면서 퍼플렉시티는 아마존의 차단 요청을 무시했으며 코멧이 아마존 이용 경험을 저하시킨다고 비판했다. 이에 퍼플렉시티는 에이전트가 사용자 대리인의 역할을 수행하는 것뿐이라며 사용자와 에이전트를 구분할 필요가 있다고 반박했다. 아라빈드 스리니바스 퍼플렉시티 최고경영자(CEO)는 “에이전트는 사용자와 동일한 권리와 책임을 가져야 한다”며 “아마존이 이를 감시할 권한은 없다”고 덧붙였다. 지난 1년 6개월 동안 퍼플렉시티는 무단 콘텐츠 사용, 불법 스크랩 데이터 활용 등 논란에 휩싸인 바 있다. 이와 관련해 퍼플렉시티는 코멧이 아마존 정보를 훈련이나 스크래핑에 사용하지 않으며 사용자의 구매 명령을 수행하는 것이라고 설명했다.

2025.11.05 09:03박서린 기자

"다크웹까지 살핀다"...카카오페이, '내 정보 유출 진단' 서비스 출시

카카오페이(대표 신원근)가 사용자의 정보 유출 불안감을 해소하고 선제적인 보안 관리를 지원하기 위해 '내 정보 유출 진단' 서비스를 출시했다고 29일 밝혔다. 최근 해킹과 정보 유출 사고에 대한 불안감이 커지고 있는 상황에서 카카오페이는 생활 금융 플랫폼으로서의 보안 책임을 강화하고 사용자가 안심하고 편리한 금융 생활을 누릴 수 있도록 이번 서비스를 기획했다. 이는 결제, 송금 등 금융 생활의 편의를 넘어 사전 예방 및 상시 진단이라는 실질적인 보안 경험을 제공하려는 노력의 일환이다. '내 정보 유출 진단'은 이메일 주소만 입력하면 다크웹 등에서 유출된 것으로 의심되는 정보를 선제적으로 탐지하고, 유출 여부 및 보안 진단 결과를 알림톡으로 안내하는 서비스다. 진단할 이메일을 입력하면 '진단 중' 화면이 노출되며, 서비스 안정성을 위해 이메일 수정은 하루 최대 3회로 제한된다. 특히 카카오페이 연동 이메일뿐 아니라 타 도메인의 이메일 주소까지 등록할 수 있어 사용자가 보유한 모든 디지털 계정을 포괄적으로 관리할 수 있다. 진단이 완료되면 유출이 감지되지 않았을 경우 '안전하다'는 알림톡이, 유출 의심이 감지되었을 경우 '유출 의심 감지' 알림과 함께 '진단 내역 바로가기' 버튼이 제공된다. 유출 내역 화면에서는 유출된 도메인 주소, 유출 정보(이메일, 비밀번호)를 확인할 수 있으며, 도메인 주소 확인이 어려운 경우 '다크웹에서 확인'이라는 메시지가 고지된다. 또한, 유출이 확인된 사용자는 알림톡을 통해 해당 사이트의 비밀번호 변경 등 보안 조치를 취하도록 안내받는다. 조치 후 서비스 내 '조치 완료' 버튼을 클릭하면 해당 내역에 '확인 완료' 표시가 노출돼 보안 관리 현황을 한눈에 확인할 수 있다. 조치 이후에도 동일 이메일에서 새로운 유출이 탐지되면 추가 알림을 발송해 지속적인 상시 모니터링 서비스를 제공한다. 특히, '내 정보 유출 진단'은 대부분의 유사 서비스와 달리 모든 사용자에게 무료로 제공되는 점에서 의미가 크다. 이는 최근 급증하는 보안 위협으로부터 사용자들이 비용 걱정 없이 스스로를 지킬 수 있도록 돕겠다는 카카오페이의 적극적인 의지가 반영된 결과다. 이 서비스는 카카오페이앱과 카카오톡 내 카카오페이홈에서 보안·인증 메뉴 또는 검색에서 '내 정보 유출 진단'을 입력하면 이용할 수 있다. 카카오페이는 “'내 정보 유출 진단' 서비스는 '앱 통합 보안 솔루션', '가족 보안 지킴이' 등 기존 보안 기능과 더불어 사용자의 불안감을 해소하기 위한 카카오페이의 선제적 노력의 일환”이라며 “앞으로도 카카오페이는 금융 생활의 편의를 넘어 사용자가 가장 안심하고 신뢰할 수 있는 생활 금융 플랫폼이 되기 위해 보안 기술에 대한 투자를 아끼지 않겠다”고 말했다. 카카오페이는 '앱 통합 보안 솔루션'을 통해 사용자의 잠재적인 보안 위협을 다각도로 관리하고 있다. 이 솔루션은 안전하지 않은 환경이나 악성 앱의 위변조 시도, 피싱 등의 위협을 사전에 감지하여 사용자에게 알림을 제공한다. 특히 안드로이드 사용자의 경우 악성 앱 발견 시 즉시 삭제 기능을 지원하며, '카카오페이 백신' 기능을 통해 사용자가 스스로 기기 탈옥 여부, 앱 위변조 등을 점검할 수도 있다. 실제로 카카오페이는 이 솔루션을 통해 지난 5월 한 달간 7만 건 이상의 가상자산 폰지 사기 관련 악성 앱을 탐지하여 사용자에게 안내한 바 있다. 또한, 자체적으로 개발한 이상거래탐지시스템(FDS)에 따라 의심 거래, 이상 거래를 실시간으로 분석하고 탐지하여 보이스피싱, 온라인 사기를 예방하고 있으며, 카카오페이 서비스를 악용한 불법 거래에 대해서는 즉시 이용을 제한하는 강력한 제재를 적용하고 있다. 분실 신고, 착오 송금 중개, 도용 신고, 구매 분쟁 신고를 위한 금융안심센터도 365일 24시간 운영하고 있다. 이외에도 금융 사기에 취약한 가족 구성원을 보호하는 '가족 보안 지킴이', 카카오페이 송금 서비스 이용 시 상대의 사기 의심 이력을 미리 파악해 피해를 예방할 수 있는 '사기 이력 탐지기', 자산관리에 연결된 계좌의 도용 및 사기 의심 계좌 등록 여부를 확인할 수 있는 '계좌지킴이' 서비스를 제공하는 등 다층적인 보안 체계를 구축하고 있다.

2025.10.29 23:55안희정 기자

개보위 "로봇청소기 실태점검·SK쉴더스 유출 조사 착수"

개인정보보호위원회(이하 개보위)가 로봇청소기에 부착된 카메라·마이크 등 영상·음성 장비로 인한 개인정보 유출 우려에 대응해 사전 실태점검에 착수했다. 또 최근 침해사고가 발생한 SK쉴더스에 대해서도 개인정보 유출 조사를 진행 중이다. 개보위는 24일 설명자료를 통해 삼성전자, LG전자, 로보락, 에코백스, 샤오미 등 주요 로봇청소기 브랜드 제품을 대상으로 사전 실태점검을 진행 중이라고 밝혔다. 우선 개인정보 처리방침 분석 등을 통해 기초 사실관계를 파악하고, 현장 실사와 사업자 대상 자료 제출 요구를 병행해 정밀 점검하고 있다. 아울러 해당 브랜드 제품을 직접 구매·확보해 기능을 검증하고 있다. 해외 제조사 제품은 개보위가 직접 구매했으며, 국내 제조사 제품은 개보위 내 타 부서가 이미 확보한 장비를 조사에 활용하고 있다고 설명했다. 개보위는 "디지털 증거물에 대한 감식 등을 담당한 포렌식 랩을 연내 구축·운영할 예정"이라며 "나아가 사물인터넷(IoT) 기반 가전, AI 에이전트 등 생활 속 개인정보 수집 기반의 신기술·신서비스에 대한 개인정보 침해 우려를 선제적으로 해소하기 위해 '신서비스·제품 기술분석센터'(가칭) 마련에 관계부처와 적극 협조해 나갈 계획"이라고 밝혔다. 한편 개보위는 해커에 의해 SK쉴더스 업무 자료가 유출돼 다크웹에 게시된 SK쉴더스를 대상으로 개인정보 유출조사에 착수했다. 그간 자료 요구 등을 통해 사실관계를 확인해 왔으며, 22일 오후 11시경 SK쉴더스가 개인정보 유출을 신고함에 따라 즉시 정식 조사로 전환했다. 개보위는 유출 경위·규모와 개인정보보호법 위반 여부를 면밀히 확인할 계획이다.

2025.10.24 17:38김기찬 기자

개보위, '취준생 730만명 정보 유출' 인크루트에 과징금 4.6억원

인크루트가 올해 초 해킹으로 전체 회원 약 730만명의 개인정보가 유출된 사건과 관련 4억6천만원이 넘는 과징금 제재를 받았다. 개인정보보호위원회는 23일 전체회의에서 개인정보보호 법규를 위반한 인크루트에 대해 4억6천300만원의 과징금을 부과했다고 밝혔다. 이와 함께 전문 개인정보보호책임자(CPO) 신규 지정, 정보주체에 대한 피해회복 지원 등 재발방지를 위한 시정조치도 의결했다. 앞서 인크루트는 지난 2월 해킹으로 인해 회원 약 730만명의 개인정보가 유출되는 사고가 일어났다. 조사 결과 인크루트는 '개인정보 보호법'에 따른 안전조치 의무를 소홀히 한 것으로 확인됐다. 인크루트는 3만5천건이 넘는 개인정보가 유출돼 2023년 7월에도 개보위의 제재처분을 받은 바 있다. 개보위에 따르면 신원미상의 해커는 올해 1월 인터넷망에 접속한 인크루트 직원의 업무용 PC를에 악성코드를 감염시켰다. 이후 해커는 개인정보취급자의 데이터베이스(DB) 접속계정을 탈취해 내부시스템에 침투했으며 전체회원 727만5천843명의 개인정보와 이력서·자기소개서·자격증사본 등 회원 개인저장파일 5만4천475건 등 총 438GB에 달하는 취업 관련 정보를 1달여에 걸쳐 유출시켰다. 조사 결과 업무 시간 외 비정상적인 DB 접속기록이 존재했고, 내부자료를 외부로 유출하면서 비정상적인 대용량 트래픽이 발생했다. 그럼에도 인크루트는 이상행위에 대한 대응을 소홀히 해 약 2달이 지난 후 해커의 협박메일을 수신하고 나서야 유출 사실을 인지한 것으로 드러났다. 게다가 민감정보를 포함한 다량의 개인정보를 다운로드 또는 파기할 수 있는 개인정보취급자의 컴퓨터에 대한 인터넷망 차단조치를 하지 않은 것으로 파악됐다. 이에 개보위는 개인정보 유출이 반복되는 상황을 심각하게 인식해 반복적 위반에 대해 법을 엄격히 적용했다. 과징금 4억6천300만원을 부과하고 이를 홈페이지에 공표할 것을 명령했다. 또한 구체적인 재발방지 계획을 마련해 60일 이내에 개보위에 보고할 것을 시정명령했다. 개보위는 “유출사고가 반복되는 기업 등 개인정보 보호에 현저히 소홀한 기업에 대해서는 징벌적 효과를 갖는 과징금 제도 개선안을 마련하고 있으며 이를 통해 제재의 실효성을 더욱 강화할 계획”이라고 말했다. 이번 사안에 대해 인크루트는 “이번 사태를 엄중히 받아들이고 앞으로 고객의 개인정보 보호를 위해 최선을 다할 것”이라고 밝혔다.

2025.10.23 14:44박서린 기자

채현일 의원 "국정자원 800억원 사업제안서 유출…국가 신뢰 무너뜨려"

국가정보자원관리원(국정자원)이 800억 원 규모의 정부 핵심 사업 문서를 외부에 유출하고 이후에도 부실한 관리로 조직 운영의 허점을 드러냈다는 지적이 국정감사에서 제기됐다. 지난달 대전 본원 화재 사고까지 겹치며 안일한 관리 실태가 다시금 도마 위에 올랐다. 더불어민주당 채현일 의원은 14일 행정안전위원회의 행정안전부 대상 국정감사에서 '국가융합망 2차 사업 제안요청서' 유출 사건을 비판하며 대대적인 감사를 촉구했다. 국가융합망 사업은 51개 정부 부처와 지자체, 공공기관 3천300개 회선을 하나로 통합하는 정부통합전선망 구축 사업이다. 1차 사업은 2021년 5월 추진됐고 내년부터 2차 사업이 진행될 예정으로 5년간 총 800억 원이 투입된다. 해당 제안요청서 유출 사건은 사업 공고가 확정되기 전인 지난 5월 발생해 논란이 인 바 있다. 채 의원은 "해당 문건은 비공개로 지정돼 있었지만 국정자원 내부 직원 전체가 열람과 출력 권한을 가진 상태였다"며 "누가 유출했는지도 파악이 어려운 구조적 보안 취약성이 드러났다"고 비판했다. 이어 "국가 핵심사업 요청서가 사업자에게 미리 유출됐다면 이는 단순 행정 착오가 아니라 국가기관의 공정성과 신뢰성을 무너뜨리는 중대 사건"이라고 덧붙였다. 그러면서 "이번 화재 사고도 이런 안전불감증과 관리 부실의 연장선상에 있다"며 "국정자원 전반에 대한 대대적인 감사와 재발 방지 대책이 필요하다"고 덧붙였다. 이에 대해 윤호중 행안부 장관은 부처 내 기강 해이 문제를 인정했다. 행안부는 지난 6월 내부 감사를 진행했으나 유출자를 특정하지 못했고 현재 대전지방경찰청이 관련자 11명에 대한 수사를 진행 중이다. 채 의원은 "국정자원 전반에 대한 감사와 후속 조치를 통해 국가융합망 2차 사업이 차질 없이 추진되도록 해야 한다"고 강조했다. 이재용 국가정보자원관리원장은 "염려하신 부분은 모두 타당하다"며 "다만 이 사업은 국내 주요 통신망 사업자들이 모두 참여하는 만큼, 유출 사고 이후에는 최종본을 기준으로 투명하게 공개하려고 노력했다"고 해명했다.

2025.10.14 17:49한정호 기자

건보공단서 대부업체에 직장가입자 수백명 정보 유출돼

국민건강보험공단에서 5년간 개인정보 노출로 국민 수백 명이 피해를 본 것으로 나타났다. 김윤 더불어민주당 의원이 건보공단으로부터 제출받은 '최근 5년간 무단열람, 유출 등 개인정보 관련 사건 발생 현황'에 따르면, 2021년~2025년 확인된 개인정보 보호 위반 사건은 32건으로, 피해자는 441명으로 확인됐다. 건보공단 직원 일탈로 발생한 사건이 22건으로 가장 많았다. 이에 따른 피해자 수는 247명. 심지어 대부업체에 119명의 직장가입자 정보를 넘기거나 친인척 요구로 타인의 정보를 들여다보다 적발된 사례도 있었다. 이 밖에도 '관리 소홀' 사유는 6건으로 피해자는 없었다. '업무상과실'로 발생한 사건 3건으로 12명의 피해자가 발생했다. 특히 지난달 1일 건보공단 장기요양기관 포털의 '전산오류'로 182명의 개인정보가 유출되기도 했다. 이렇게 유출된 개인정보에는 ▲성명 ▲생년월일 ▲전화번호 ▲직장 정보 ▲진료 내역 ▲소득 ▲자격 정보 등이 포함돼 있었다. 하지만 건보공단의 개인정보 관리 수준 평가에 높은 점수를 받은 것으로 확인됐다. 건보공단은 2021년 직장가입자 119명의 직장 정보가 대부업자에게 유출됐지만 개인정보보호위원회가 시행하는 '공공기관 개인정보 관리수준 진단'에서 양호 등급을 받았다. 2022년에는 최고 수준인 S등급을, 2023년 A등급, 2024년 다시 S 등급을 받았다. 연도별 개인정보 관련 사건은 ▲2021년 6건 ▲2022년 4건 ▲2023년 4건 ▲2024년 6건 등이다. 올해는 10월까지 이미 12건의 위반 사고가 터졌다. 관련해 개인정보 보호법은 1천 명 이상의 유출이 아닐 시 개인정보보호위원회 신고나 대외 고지나 의무가 발생하지 않는다. 김윤 의원은 “임직원 개인 일탈로 개인정보가 반복적으로 유출된 것은 건보공단이 사태의 심각성을 간과한 채 방치해온 결과”라며 “건보공단은 개인정보 보호 체계를 강화하고 재발 방지에 만전을 기해야 한다”라고 지적했다.

2025.10.13 09:23김양균 기자

시큐다임, 디지털 미래혁신대상서 과기정통부 장관상 수상

데이터 분석 및 네트워크 보안 전문 기업 시큐다임이 30일 개최된 과학기술정보통신부(과기정통부) 주관 '제 9회 대한민국 디지털 미래혁신대상'에서 과기정통부 장관상을 수상했다. 2014년 설립된 시큐다임은 데이터 분석과 네트워크 보안 기술을 기반으로 내부 정보 유출과 외부 위협을 효과적으로 차단하는 정보보호 전문 기업이다. 정보보안 전문가들이 주축이 돼 설입 이후 꾸준히 기술력과 신뢰성을 쌓아 올렸다. 특히 2021년에 출시한 네트워크 시큐리티 플랫폼 'LocKard'는 삼성, 현대, SK 등 국내 10대 그룹 계열사로 확산되며 시장에서 높은 평가를 받았다. 이를 기반으로 최근 3년 연속 매출 100억원 이상을 달성하며 보안업계에서 입지를 확고히했다. LocKard는 내외부의 모든 패킷이 흘러가는 구간에 설치되어 풀패킷을 저장함으로서 포렌식 분석을 통해 실시간 정보 유출을 탐지할 수 있으며, 이미 정보 유출이 발생한 이후에도 저장된 패킷 분석을 통하여 정보 유출 발생 경로 및 정보 유출 행위를 한 내부자를 찾을 수 있는 기술이다. 올해는 기존 기술력에 AI기술을 접목한 차세대 정보유출방지솔루션인 'LocKard AI'를 새롭게 선보인다. 이같은 성과를 바탕으로 시큐다임은 이번 장관상뿐 아니라 중소벤처기업부, 기술보증기금, 벤처캐피탈협회 등 다양한 기관으로부터 수상했다. 시큐다임은 "앞으로도 신뢰성, 안정성, 혁신성을 두루 갖춘 기술로 글로벌 정보보안 시장을 선도해 나갈 것"이라고 밝혔다.

2025.10.01 13:04김기찬 기자

"다수 자산운용사 해킹"…개보위, 조사 착수

올해 가장 왕성한 활동을 보이고 있는 랜섬웨어 그룹 '킬린(Qilin)이 국내 다수의 자산운용사를 해킹해 내부 데이터를 탈취했다고 공개한 가운데 개인정보보호위원회(개보위)가 본격적인 조사에 착수했다.(☞ 세계적 해킹그룹 국내 금융사 2곳 해킹..."고객 명단에 유명 정치인 포함") 개보위는 최근 다수의 자산운용사로부터 개인정보 유출 신고를 접수받아 조사에 착수했다고 24일 밝혔다. 개보위에 따르면 킬린의 공격을 받은 자산운용사들은 전산설비 서비스 등을 제공하는 업체인 '지제이텍'에서 제공하는 파일서버 서비스를 이용하는 것으로 알려졌다. 이에 다수의 자산운용사가 개보위에 유출 정황을 인지하고 신고한 것으로 보인다. 개보위는 지제이텍을 중심으로 구체적인 유출 경위 및 피해 규모, 안전조치 의무 준수 여부 등을 확인할 예정이다. 아울러 개보위는 "최근 랜섬웨어를 이용한 개인정보 유출 사고가 늘고 있는 만큼 각 사업자들은 운영 중인 서비스에 대한 취약점 점검 및 보안 업데이트 실시, 회원 데이터베이스 등 주요 파일을 별도 백업·보관하는 등 각별한 주의가 필요하다"고 강조했다.

2025.09.24 17:54김기찬 기자

조좌진 롯데카드 대표 "침해 행위만으로는 보고 의무없어"

조좌진 롯데카드 대표가 해킹 사실을 뒤늦게 금융감독원에 보고했다는 지적에 대해, 법적으로 문제가 없다고 답변했다. 24일 오전 국회 과학기술정보방송통신위원회에서 열린 해킹 사고 청문회에서 조좌진 대표는 "침해 행위만으로는 보고 의무가 없다"며 "전자금융거래법에선 침해 행위와 침해 사고를 구분하고 있으며, 침해 행위로 시스템이 교란되거나 마비돼야 사고가 된다"고 답변했다. 롯데카드는 악성코드가 감염된 사실을 최초로 확인한 날을 8월 26일로 보고 있다. 그러나 롯데카드는 금융감독원에 침해 사고 신고를 9월 1일에 했다. 기간 차이가 난다는 점에서 늑장 대응을 한 것이 아니냐는 지적이 나왔다. 롯데카드 회원 960만명 중 297만명, 약 200기가바이트(GB)의 정보가 유출됐다. 이 중 28만명은 연계정보(CI), 주민등록번호, 카드번호, CVC 번호 등이 유출돼 부정 사용 가능성이 있는 것으로 파악됐다. 롯데카드의 대주주인 MBK파트너스는 보안 투자 강화와 함께 매각 추진 의사를 밝혔다. 윤종하 MBK파트너스 부회장은 올해도 롯데카드를 매각할 것이냐는 질문에 "그렇다"고 답했다.

2025.09.24 15:14손희연 기자

롯데카드 보안투자 두고 MBK vs 금감원 공방

개인정보를 비롯해 결제정보까지 200기가바이트(GB)까지 정보를 유출한 롯데카드의 보안 투자 실태를 두고, 롯데카드의 최대주주인 사모펀드 MBK파트너스와 금융감독원의 집계가 달라 공방이 이어질 것으로 관측된다. 금감원에 이어 개인정보보호위원회(개보위)·방송통신위원회(방통위) 등 주요 정부 부처가 롯데카드 사태 조사를 벌이고 있는 가운데, 롯데카드의 제재에 귀추가 쏠리고 있다. 최근 MBK파트너스는 "롯데카드의 정보보안 및 IT 투자를 꾸준히 확대해왔다"고 밝혔지만, 국회 정무위원회 의원들이 금감원으로부터 받은 정보보호 예산 현황에서는 롯데카드가 정보보호 예산을 줄인 것으로 나타났다. 국민의힘 강민국·김상훈 의원이 금감원에 받은 자료에 따르면 롯데카드의 올해 정보보호 예산 편성액은 128억 원으로 지난해 151억 원과 비교해 15.2% 감소했다. KB국민카드와 삼성카드·우리카드·신한카드 등은 예산을 늘렸다. MBK는 올해 롯데카드의 보안투자는 약 128억원으로 2024년 117억원과 비교해 11억원 증가했다고 해명했지만, 금감원 자료에 따르면 롯데카드의 올해 정보보호예산은 96억원으로 32억원 줄었다. 정보보호 예산뿐만 아니라 정보보호 내부 인력에 대해서도 MBK와 금감원 간 의견이 엇갈린다. 더불어민주당 김용만 의원이 금감원으로부터 받은 자료에 따르면 2024년 롯데카드의 정보기술(IT) 부문 총인력 대비 정보보호 인력 비중은 13.3%로 2022년 24.6% 대비 11.3%p 줄었다. 롯데카드 IT 임원 역시 3명으로 전체 임원(45명)의 7% 수준으로 8개 전업 카드사 중 최하위권으로 집계됐다. 전체 카드업권의 IT 임원 비중은 11% 수준이다. 보안 투자와 인력, 비중 등에 대한 MBK와 금감원 수치가 차이가 생기면서, 24일 국회 과학기술정보방송통신위원회가 여는 청문회에서 의원들의 질의가 쏟아질 것으로 보인다. 현재 MBK 김병주 회장과 롯데카드 조좌진 대표가 증인으로 채택됐다. ESG 평가기관 서스틴베스트는 '정보보호' 사안에서 심각성이 중대하다고 판단하며 롯데카드에 대한 ESG 평가 감점이 불가피하다고 밝혔다. 이날 서스틴베스트는 컨트로버시 보고서를 통해 롯데카드 사건에 대해 심각성 '상'으로 평가했다. 감점으로 인해 등급하락 가능성이 높다는 얘기다. 서스틴베스트는 매년 상·하반기 기업의 ESG 등급을 발표하며 사회적 논란이 된 사건은 '컨트로버시(Controversy)' 평가를 통해 반영한다. 사건은 심각도(Level 1~5)로 구분되며, Level 5(심각성 '상')으로 분류되면 기업 전체 등급에 큰 영향을 미친다.

2025.09.23 15:31손희연 기자

롯데카드 조좌진 대표, 정보보호투자 1100억원 많지 않은 이유

개인정보뿐만 아니라 결제정보까지 털린 롯데카드가 5년 간 정보 보호 관련한 투자를 1천100억원 규모로 집행하겠다고 밝혔지만, 아주 큰 규모는 아닌 것으로 추정된다. 23일 국민의힘 강민국 의원이 금융감독원으로부터 받은 자료 '국내 카드사별 정보기술예산 및 정보보호 예산 현황'을 분석해보면 롯데카드는 2020년부터 2025년 8월까지 정보보호예산으로 총 606억여원을 배정했다. 연평균으로 따지면 100억원 수준이다. 예산을 배정했지만 100% 집행한 것은 아니다. 6년 동안 442억여원을 집행했으며 매해 73억원 수준을 평균적으로 집행했다. 6년 간 평균 집행률은 82% 정도였다. 조좌진 롯데카드 대표가 공언한 5년 간 1천100억원의 정보보호 관련 투자를 과거 흐름에 맞춰 역산해보면, 롯데카드는 매년 220억원 수준의 정보보호 예산·매년 180억원여의 관련 집행을 한다고 관측할 수 있다. 같은 기간 8개 카드사(현대카드·우리카드·롯데카드·삼성카드·신한카드·비씨카드·하나카드·KB국민카드)는 어땠을까. 8개 카드사의 정보보호예산 평균액은 115억9천만원이고 정보보호 집행액은 90억6천만원이다. 이제까지 롯데카드가 정보보호에 들인 돈을 다른 카드사와 비교해보면 큰 수준이 아니기 때문에, 조 대표가 약속한 금액이 카드사 평균을 웃돈다고 하더라도 의미있다고 보긴 어렵다. 심지어 롯데카드는 정보보호 예산을 2024년 122억4천500만원에서 올해 96억5천600만원으로 25억9천00만원 줄였다. 2014년 대규모 개인정보 유출을 같이 겪었던 KB국민카드가 정보보호 예산 배정과 집행액이 8개 카드사 중 가장 커, 롯데카드와 대조적인 양상이다. KB국민카드의 6년 평균 정보보호 예산은 115억9천만원, 정보보호 평균 집행액은 134억원이다. 물론 최악의 대규모 정보유출 사고를 낸 롯데카드보다 정보보호 예산과 집행액이 더 적은 곳도 있어 또다른 유출 사고 가 이어질지 우려된다. 비씨카드의 6년 평균 정보보호 투자 예산액은 53억원, 평균 집행액은 36억원으로 KB국민카드의 각각 3분의 1, 4분의 1수준인 것으로 집계됐다.

2025.09.23 11:16손희연 기자

금융사 IT 인력 살펴봤더니…

6개 금융업권(은행·카드·생명보험·손해보험·증권·저축은행)의 IT 인력이 최근 5년간 평균 10%대에 머물고 있는 것으로 나타났다. 국민의힘 강민국 의원이 금융감독원을 통해 받은 '국내 주요 금융업권 IT 인력 현황'에 따르면 올해 8월말 기준 6개 금융업권의 전체 임·직원 대비 IT 인력이 차지한 비중은 평균 11% 수준이었다. 최근 롯데카드의 대규모 정보 유출을 비롯해 랜섬웨어 해킹 등 사이버 공격이 지속되고 있음에도 불구하고 IT 인력은 크게 늘지 않은 것으로 조사됐다. 2021년 9%였던 IT인력 비중은 ▲2022년(9%) ▲2023년 10% ▲2024년 11%로 답보상태였다. 최근 빈번하게 발생하고 있는 금융업권 해킹과 전산장애 등 사이버 보안 위협이 지속적으로 증가하는 금융시장 현실에도 불구하고, 국내 금융업권의 IT 인력 비중과 신규 채용 규모가 정체되어 있는 것으로 조사됐다. 특히 카드업권 IT 인력 비중에 다른 업권보다 높은 가운데 롯데카드의 IT 임원 인력은 고작 3명 뿐인 것으로 나타났다. 카드업권 중 IT 인력 비중은 20% 수준이었으며, 가장 많은 인력을 보유한 곳은 현대카드로 전체 임직원 2천204명 대비 IT 인력이 616명으로 28%로 집계됐다. 카드업권에 이어 ▲생명보험 15%(IT 3천362명/전체 2만3천166명) ▲증권 11%(IT 4천293명/전체 3만8천701명) ▲저축은행 11%(IT 1천31명/전체 9천456명) ▲은행 10%(IT 1만1천553명/전체 11만654명) ▲손해보험 9%(IT 3천177명/전체 3만3천824명) 순으로 집계됐다. 생명보험업권 중 IT 인력 비중은 AIA생명보험이 34%(IT 236명/전체 691명)로 가장 높았으며, DB생명보험이 6%(IT 36명/전체 597명)로 가장 낮았다. 증권업권 중 IT 인력 비중은 토스증권이 61%(IT 265명/전체 437명)로 가장 높았으며, 코리아에셋투자증권이 2%(IT 5명/전체 207명)로 가장 낮았다. 저축은행업권 중 IT인력 비중은 하나저축은행이 22%(IT 36명/전체 161명)로 가장 높았으며, 안양저축은행이 2%(IT 1명/전체 46명)로 가장 낮았다. 은행업권 중 IT 인력 비중은 카카오뱅크가 50%(IT 869명/전체 1천740명)로 가장 높았으며, 기업은행이 6%(IT 806명/전체 1만3천482명)로 가장 낮았다. 특히 은행업권의 경우 인터넷전문은행 3사(케이뱅크·카카오뱅크·토스뱅크)가 비대면 업무라는 특수성으로 다른 은행들에 비해 월등히 IT인력 비중이 높았다. 케이뱅크와 토스뱅크는 모두 각각 49% 수준이었다. 손해보헌업권 중 IT인력 비중은 카카오페이손해보험이 48%(IT 121명/전체 251명), 흥국화재가 5%(IT 54명/전체 1천37명)로 가장 낮았다. 강민국 의원은 “디지털·인공지능(AI) 경제의 확산에 따라 전 산업군에서 IT 인력 수요가 급증하고 있으나 금융업권 IT 인력 비중은 10% 수준"이라며 "'전자금융거래법'의 하위 규정에 대폭 강화된 IT 인력 확보 수준을 명문화시키고, 정보유출 등 중대한 금융 IT사고 발생 시 징벌적 과징금 부과 등의 제도개선 방안을 마련하는 것이 필요하다”고 말했다.

2025.09.22 10:24손희연 기자

Prev 1 2 3 4 5 6 7 8 9 Next