ZDNet 검색 페이지

'KT 해킹'통합검색 결과 입니다. (14건)

KT, '안심플러스 무료 프로모션' 진행…연말까지 제공

KT가 인터넷 이용 고객의 해킹 위험과 자녀의 스마트폰 중독 현상을 예방할 수 있는 서비스를 무료로 제공한다. KT는 혹시 모를 해킹 피해를 예방하기 위해 자사 인터넷 신규·기존 고객을 대상으로 '안심플러스 무료 프로모션'을 제공한다고 4일 밝혔다. 이 프로모션은 전국 KT매장, 또는 고객센터(100번)에서 할 수 있으며, 월 4천400원 유료 서비스인 '안심플러스'를 올해 연말까지 무료로 제공한다. 기존 고객 가운데 이미 안심플러스, 토탈안심, PC안심 2.0 서비스 등을 이용하고 있다면 서비스 해지 또는 중단 후 해당 프로모션을 신청할 수 있다. 이번 프로모션은 중도 해지 시 위약금이 없으며, 별도 해지 신청 없이도 자동 종료되는 고객 친화적 구조로 마련됐다. 안심플러스는 집안의 WiFi에 연결된 PC, 스마트폰 등 모든 기기를 대상으로 ▲유해사이트·스미싱·악성코드 사전 차단 ▲유해 동영상 검사 및 삭제 ▲PC 원격점검 및 악성코드 치료 서비스를 제공한다. 또한 자녀의 PC 이용시간을 설정할 수 있는 기능도 포함돼 있어, 청소년 자녀가 있는 가정에서 유용하다. KT는 지난 5월부터 모바일 이용 고객을 대상으로 가족까지 최대 300만원 보장 가능한 '피싱·해킹 피해 보장 보험'을 무료 제공 중이며, 이번 유선 프로모션과 함께 고객의 디지털 안전을 유무선 전 영역으로 확대하고 있다. 권희근 KT 마케팅혁신본부장은 “KT 인터넷을 이용하는 고객이 안심하고 서비스를 사용할 수 있도록 '안심플러스 무료 프로모션'을 준비했다”며 “앞으로도 다양한 보안 혜택을 통해 고객 신뢰를 높여가겠다”고 밝혔다.

2025.07.04 09:37진성우

"모바일 신분증도 OK?"…'이것' 체크 안하면 대선 투표 하러 갔다가 '날벼락'

제21대 대통령 선거 본 투표가 3일 진행되고 있는 가운데 처음으로 모바일 신분증이 허용돼 관심이 집중된다. 이날 투표 시간은 오전 6시부터 오후 8시까지로, 만 18세 이상 유권자라면 누구나 참여할 수 있다. 투표에 참여하기 위해선 신분증을 반드시 지참해야 한다. 현재 본인 확인이 가능한 신분증으로는 주민등록증, 운전면허증, 여권, 공무원증, 국가보훈등록증(구 국가유공자증), 장애인복지카드, 학생증 등 관공서 또는 공공기관이 발행하고 사진이 첨부돼 있는 것만 인정된다. 모바일 신분증도 이번에 처음으로 가능해졌다. 다만 화면 캡처 등 이미지 파일은 인정되지 않는다. 스마트폰으로 패스(PASS) 앱이나 국내 SNS·포털 기반 모바일 신분증을 현장에서 구동할 수 있을 때만 유효하다. 최근 SK텔레콤 해킹 사고로 유심을 교체한 이들도 모바일 신분증을 이용하려면 투표 전 주의가 필요하다. 일부 서비스는 재등록을 해야 이용 가능하기 때문이다. SK텔레콤에 따르면 지난달 22일 대규모 유심 정보 해킹 사고 발표 이후 지난 1일까지 유심을 교체한 이들은 누적 575만 명이다. 아이폰(iOS)은 물론 삼성전자, 샤오미, 화웨이 등 안드로이드 운영체제(OS) 스마트폰 사용자 모두 신분증 서비스를 재등록해야 한다. 삼성전자 스마트폰에서 제공하고 있는 '삼성월렛' 모바일 신분증도 마찬가지다. PASS 측은 "재등록 안내 팝업이 뜨지 않거나, 유심 교체 후 이미 재등록을 완료한 고객은 기존처럼 바로 서비스 이용이 가능하다"고 설명했다. 카카오톡 지갑의 전자증명서를 이용해 본인확인을 하는 경우에는 신분증 재발급 필요는 없다. 그러나 유심을 교체했을 경우 카카오 인증서를 재발급받고 인증서 서명을 다시 해야 전자증명서를 발급받을 수 있다. 물리적으로 유심을 교체한 것이 아니라 소프트웨어 방식으로 유심 정보를 변경한 경우에는 별도의 재등록 없이 사용이 가능하다. 행정안전부에서 제공하는 모바일 신분증을 쓰는 경우에도 재설정 필요 없이 그대로 사용 가능하다. SK텔레콤, KT, LG유플러스 등 이동통신 3사는 선거 당일 통신망을 집중 모니터링할 계획이다. KT는 24시간 상시 모니터링을 진행하고, LG유플러스는 비상상황에 긴급 대응이 가능한 종합상황실을 운영한다.

2025.06.03 13:56장유미

[유미's 픽] "어차피 삼성이 주인공?"…국가AI컴퓨팅센터 신청 '디데이'에도 '미지근'

"정부에서 하는 대구센터나 행안부, 복지부 등 여러 안건들이 있어 (국가AI컴퓨팅센터 구축 사업에 대해) 잘 검토하겠습니다. 국가에서 하는 것인 만큼 다방면으로 보고 있습니다." 지난 3월 '제40기 정기 주주총회'에서 이 같은 각오를 밝혔던 이준희 삼성SDS 대표가 '쩐의 전쟁'으로 치달은 국가AI컴퓨팅센터 사업에서 승기를 잡을 수 있을지 주목된다. 이달 30일 공모 마감을 앞두고 삼성SDS가 삼성전자, 네이버, 엘리스그룹과 컨소시엄을 구성해 사업 참여 검토에 나선 상황인 만큼 유력 후보로 보는 것이 중론이다. 업계에 따르면 국가AI컴퓨팅센터 특수목적법인(SPC) 컨소시엄 주사업자로 삼성 측이 도전장을 던질 것으로 알려지면서 다른 기업들이 참여 의욕을 상실한 분위기다. 당초 통신 3사와 함께 LG CNS 등 대기업 IT 서비스 계열사, 아마존웹서비스(AWS), 오라클 등 글로벌 기업들이 컨소시엄을 구성해 치열한 접전을 벌일 것으로 예상됐으나, 삼성 측이 의욕적으로 나선다는 소식에 선뜻 나서지 못하는 분위기다. 국가AI컴퓨팅센터는 공공참여자와 민간참여자가 공동출자해 SPC를 설립해 구축·운영한다. 공공참여자는 기획재정부, 과학기술정보통신부 등 정부를 비롯해 산업은행·기업은행 등 국책은행이다. 민간참여자는 ▲데이터센터 기업 ▲클라우드 기업 ▲통신서비스 기업 ▲건축·건설 기업 ▲지자체·도시공사 등이 참여한다. 일단 삼성SDS는 컨소시엄을 구성해 이번에 도전장을 내밀 것으로 알려졌다. 이 컨소시엄은 정부가 연내 확보할 계획인 그래픽처리장치(GPU) 1만 장을 네이버 데이터센터 각 세종 등 기존 인프라에서 우선 구동한 후 비수도권에 국가 AI 컴퓨팅센터를 신규 구축하는 방안을 마련 중인 것으로 전해졌다. 삼성SDS, 네이버 등은 일단 참여를 신중하게 검토 중이란 입장이다. SK텔레콤도 당초 SK브로드밴드, 아마존웹서비스(AWS)와 함께 사업 참여 접수에 나설 것으로 알려져 기대감을 높였다. SK텔레콤은 울산 지역에 100㎽급 AI 데이터센터(AIDC)를 건립하기 위해 AWS와 공동투자·기술 협력 방안 등을 논의하기도 했다. 하지만 SK텔레콤이 최근 대규모 해킹 사태로 혼란을 겪으면서 SK 측의 참여는 '안갯속'으로 빠져들었다. 업계 관계자는 "SKT가 해킹 사건으로 난감해진 상황에서 국가 AI 컴퓨팅센터에 참여한다는 의사를 내비친다면 여론이 더 악화될 가능성이 있어 섣불리 나서지 못하는 듯 하다"며 "검토는 하고 있다지만, 내부 분위기도 그렇고 컨소시엄 구성 등 준비 과정을 고려하면 사실상 참여는 어려울 듯 하다"고 말했다. KT도 분위기는 크게 다르지 않다. 회사 측은 검토 중이라는 입장이지만, 업계에선 컨소시엄 구성, 세부 제안 내용 등 중비 과정을 고려하면 사실상 참여하기는 쉽지 않을 것으로 봤다. 업계 관계자는 "SKT와 KT는 각각 AWS, 마이크로소프트(MS)와의 계약 관계에 따라 그래픽처리장치(GPU)에 대한 약정 물량이 있는 상황"이라며 "원래는 약정 물량 일부를 국가AI컴퓨팅센터 SPC에 넣어 활용하려고 했는데, 갑작스럽게 정부에서 GPU 1만 장을 들여올 것이란 계획이 생기면서 GPU가 남을 수도 있는 상황이 생겨 참여하기가 다소 애매하게 됐다"고 설명했다. 이어 "정부가 연내 1만 장의 GPU를 발주한 후 이를 나중에 설립되는 SPC에 넘겨준다는 조건을 달게 되면서 당초보다 국가AI컴퓨팅센터 SPC 사업이 기업들에게 매력적으로 여겨지고는 있다"면서도 "GPU 1만 장을 수용할 수 있는 CSP 업체들이 국내에 세 곳 정도밖에 없다는 점을 감안하면 이들과 함께 손잡고 참여할 수 있는 컨소시엄은 많지 않은 상황"이라고 덧붙였다. 그러면서 "삼성 측은 막대한 현금을 보유하고 있다는 점에서 의욕적으로 이 사업에 나설 경우 상대할 수 있는 경쟁사들이 없을 것"이라며 "현재로선 삼성 측이 사업을 맡을 것이란 기대감이 크다"고 덧붙였다. 실제 삼성SDS가 지난해 말 기준 보유한 현금·현금성자산·단기금융상품은 총 6조240억4천800만원, 이익잉여금은 8조원에 달한다. 이 자금을 바탕으로 글로벌 SaaS 기업 인수합병(M&A) 등에 나설 것으로 기대감을 모으고 있지만, 아직까지 실현되진 않고 있다. 이 같은 상황에서 삼성SDS는 국가 AI 컴퓨팅센터를 비롯한 공공 AI 사업 수주와 관련해 직접 참여하겠다는 의지를 의욕적으로 드러내 주목 받았다. 안정태 삼성SDS 최고재무책임자(CFO)는 지난 3월 주총에서 "정부가 진행하는 AI 데이터센터 사업 수주에도 직접 참여하려고 노력 중"이라며 "공공 AI에 관심이 많아 관심을 갖고 살펴보는 중으로, 클라우드와 신기술 투자, 데이터센터 확장 등을 통해 기업 가치를 높일 것"이라고 밝힌 바 있다. LG CNS도 검토 중이란 입장은 보였지만, 다소 미적지근한 반응이다. 컨소시엄에 함께 참여할 것으로 보였던 LG유플러스가 불참하는 쪽으로 가닥을 잡은 것이 영향을 준 것으로 분석된다. 카카오엔터프라이즈 등 일부 IT 서비스 대기업들과 중견·중소기업들도 컨소시엄 주사업자들이 선뜻 나서지 않으면서 참여 검토가 흐지부지된 분위기다. 외국계 기업들도 마찬가지다. 글로벌 협력이 필수 참여 조건으로 붙었지만 컨소시엄 구성을 두고 관망하는 모양새다. 국내에서 공공 분야 AI·클라우드 사업 참여 사례 확보가 필요함에도 불구하고 확실한 주사업자가 나타나지 않으면서 상황이 애매해졌다. 한 외국계 기업 관계자는 "중견기업과 컨소시엄을 구성해 참여하려고 검토했지만, 분위기가 선뜻 나서려는 것 같진 않다"며 "내부에서도 사업 참여 결정을 두고 너무 조심스러워 하는 분위기"라고 밝혔다. 이 같은 상황 속에 정부는 일단 이날까지 국가AI컴퓨팅센터 참여 희망 기업·컨소시엄의 사업 참여 계획서를 접수하고 6월부터 기술·정책 평가(1단계)를 거쳐 7월 투자·대출 등 금융심사(2단계) 후 이르면 8월 말께 최종 적정 기업 또는 컨소시엄을 선정한다는 계획을 세웠다. 또 9월에는 특별위원회를 개최해 사업 시행계획을 보고한 후 10월께 특수목적법인(SPC) 설립을 위한 협약을 민간참여자와 체결할 예정이다. SPC 설립 후에는 오는 11월부터 사업에 착수할 계획이다. 센터 설립 시기는 오는 2027년으로 설정됐으며 내년에 착공을 시작할 예정이다. 업계 관계자는 "국가AI컴퓨팅센터 SPC의 공공 지분율이 51%라는 점에서 사업 자율성에 다소 제약이 있는 데다 수익성에 대한 구체적인 얘기가 없어 낮을 것으로 보는 시각이 많다"며 "공모지침서상 연대보증과 청산·손해배상 가능성에 대한 부담도 클 것으로 보이는데 참여하는 것에 비해 기업에게 돌아갈 이점은 크지 않다는 것이 참여를 망설이게 하는 이유"라고 설명했다. 이 탓에 일각에선 공모 마감일에 신청에 나서는 컨소시엄은 삼성 측이 유일할 것으로 보여 유찰될 가능성이 클 것으로 예상했다. 접수기한 내 1개 이하 컨소시엄이 사업 참여를 신청할 경우 사업은 유찰되며 연장 공고가 이뤄질 예정이다. 연장공고에도 최종적으로 1개 컨소시엄만 신청하면 공모지침상 평가기준에 의거, 적정 사업자인지 판단을 거쳐 수의계약을 체결하게 된다. 업계 관계자는 "재공고가 이뤄진다고 해도 자금 동원력이 큰 삼성 측이 참여하게 되면 다른 기업들이 사업자로 선정될 가능성은 낮을 것으로 보인다"며 "수천억원이 투입되는 장기 사업인 데다 낮은 수익성이 우려된다는 점에서 현재 공개된 조건에선 참여 결정을 내리기 쉽지 않다"고 말했다. 그러면서 "정부가 유찰 후 좀 더 구체적인 조건을 마련해 재공고를 하게 되면 참여 의지를 보이려는 기업들이 더 생길 수는 있을 듯 하다"고 덧붙였다.

2025.05.30 07:01장유미

KT, 매장 방문 이용자 가족에 '피싱·해킹 안심 보험' 무료

KT는 5월27일부터 8월31일까지 전국 KT 매장을 방문하는 이용자를 대상으로, 가족까지 보장되는 '피싱·해킹 안심 보험'을 6개월간 무료로 제공하는 프로모션을 진행한다고 밝혔다. KT 모바일 이용자(미성년자 제외)는 전국 KT 매장을 방문해 비치된 QR코드를 통해 간편하게 가입할 수 있으며, 본인뿐만 아니라 법적 배우자 및 13세 이상 30세 미만의 자녀도 보장 한도 내에서 함께 보장받을 수 있다. 보험은 현대해상과 제휴해 제공되며 피싱, 파밍, 스미싱 등 사이버 금융사기로 인해 예금이 출금되거나 신용카드가 부정 사용된 경우 최대 300만 원까지 보상받을 수 있다. 보장 기간은 가입일로부터 6개월이다. 피싱·해킹과 같은 금융 사고를 사전에 예방할 수 있는 서비스도 함께 운영 중이다. '번호도용문자 차단 서비스'는 스팸·스미싱 문자에 이용자의 전화번호가 악용되는 것을 방지해주며, '명의도용 방지 서비스'는 PASS 앱을 통해 제공돼 타인의 무단 가입을 제한하고 명의 도용 피해를 예방한다. 이들 서비스는 마이케이티 앱, KT.COM, PASS 앱을 통해 간편하게 가입 가능하다. 또한 '후후'앱에서는 AI 기반 실시간 보이스피싱 탐지 기능은 물론, 악성 앱 검사, 모바일 보안 상태 점검 등 다양한 보안 기능을 손쉽게 이용할 수 있다. 오성민 KT 영업채널본부 상무는 “KT는 이용자의 안전을 최우선으로 생각하며 가족 모두가 안심하고 서비스를 이용할 수 있도록 다양한 보호 서비스를 지속적으로 마련하겠다”고 밝혔다.

2025.05.28 09:36최이담

보안 없이 AI시대 없다···"보안 투자 비율 10% 의무화 필요"

윤석열 전 대통령의 탄핵 이후 들어서는 새 정부는 정치 혼란 속에서도 산업과 기술의 방향을 다시 세울 중대한 책임을 떠안았다. 동시에 세계는 기술의 또 다른 거대한 전환점을 맞고 있다. 인공지능(AI)이 특정 산업의 기술을 넘어, 모든 산업에 스며드는 '기반 인프라'로 자리 잡고 있는 것. 자동차에서 헬스케어, 게임, 미디어, 금융에 이르기까지 AI는 이미 산업 생태계의 기초 체력으로 작동하기 시작했다. 지디넷코리아는 창간 25주년을 맞아 이 격변의 시점에서 AI 기반 산업 대전환기에 진입한 대한민국의 산업 현장을 진단하고, 각 산업 전문가들과 함께 'AI 시대, 새 정부가 해야 할 일'을 짚어본다. [편집자주] SK텔레콤(SKT) 해킹 사태로 온 나라가 떠들썩하다. 이런 사태가 다시 일어나지 않도록 하려면 새 정부는 무얼해야 할까. 산학 보안전문가들은 정보보호에 대한 투자 확대와 정부의 사전 예방 정책을 주문했다. 한국정보보호산업협회(KISIA)에 따르면 2023년 기준 한국 사이버 보안 시장 규모는 세계 10위다. 이를 떠받치는 국내 정보 보안 업체는 814개사다. 이 가운데 최근 3년 평균 매출이 800억원 넘는 중견기업은 안랩·이글루코퍼레이션·윈스 3개사 뿐이다. 사실상 중소기업이 모여 세계 10위가 됐다고 볼 수 있다. 우리나라의 보안 분야 잠재력은 크다고 평가된다. 실제 국내 사이버 보안 산업은 최근 3년 동안 연 평균 11.83% 성장했다. 세계 사이버 보안산업 성장률(11.9%)과 비슷한 수준이다. 같은 기간 국내 소프트웨어(SW) 산업 성장률(7.98%)보다 높다. 우리나라는 북한이라는 세계 최고 수준 해커 국가가 '상수'로 존재한다. 어떻게 대응하는냐에 따라 세계최고 방패국가가 될 수 있는 것이다. 와중에 한국 사이버 보안 역사에 흑역사로 남을 사건이 터졌다. 국내에서 가장 많은 사람이 이용하는 이동통신사 SK텔레콤이 해킹당한 사실이 지난달 알려졌다. 2천600만명의 가입자식별모듈(USIM·유심) 정보가 빠져나갔다. 국가 감독과 대기업 보안을 믿었던 국민 절반이 개인정보 유출로 전전긍긍하고 있다. 산업계는 '사이버 보안 없이 AI 시대는 없다'고 지적한다. 맞는 말이다. 보안이 뒷받침되지 않으면 국민은 마음놓고 AI를 쓸 수 없다. “AI 투자 100조 중 10조원은 정보보호에” 국내 정보보호 산업을 대표하는 KISIA는 인재를 키우고 수출을 늘리면 한국이 세계 3위 사이버 보안 강국이 될 수 있다고 봤다. 정부 투자가 절실하다는 입장이다. 조영철 KISIA 회장(파이오링크 대표)은 “AI에 100조원을 투자하면 10조원 이상 정보보호에 써야 한다”며 “공공·민간 분야가 정보화에 투자할 때 보안 투자 비율을 10% 이상으로 의무화해야 한다”고 주장했다. 배환국 KISIA 수석부회장(소프트캠프 대표)은 “정부가 AI를 위한 보안(Security for AI), 보안을 위한 AI(AI for Security) 둘 다 중요한 정책으로 다루길 바란다”며 “AI 발전이 중요한 만큼 이를 지킬 보안도 더불어 진흥해야 한다”고 강조했다. 그러면서 “성능 좋은 자동차는 엔진·가속페달과 아울러 브레이크 페달도 뛰어나다”며 “보안은 단순한 브레이크가 아니라 안전 장치”라고 들려줬다. 김진수 KISIA 수석부회장(트리니티소프트 대표)은 “정보 보호에 더 투자하지 않으면 AI로 인한 수준 높은 공격을 감당할 수 없다”며 “하루빨리 최악에 대비해 대규모 모의 해킹을 해 봐야 한다”고 지적했다. 그는 “KISIA가 '정보 보호 예산을 2배로 늘려야 한다'고 하니 비웃는 소리가 들린다”며 “심각한 사고가 나면 '큰돈이 아니구나' 깨달을 것”이라고 덧붙였다. “국가, AI보안 챙겨야 북한·중국 맞서” 개별 기업도 국가 차원의 AI 보안 체계를 주문했다. 윤두식 이로운앤컴퍼니 대표는 “국가 차원의 AI 보안 체계를 세워야 한다”며 “적극적으로 예산을 투입해 국가 사이버 보안 콘트롤타워를 설립해야 한다”고 밝혔다. 윤 대표는 “AI 시대가 다가오면서 미국과 중국의 엄청난 AI 기술과 자본에 한국은 밀렸다”며 “이대로는 북한·중국처럼 나라 지원을 받고 공격하는 데 당할 수밖에 없다”고 꼬집었다. 최영철 SGA솔루션즈 부회장은 “새로운 정부는 SK텔레콤 같은 해킹 사태가 다시 생기지 않도록 정보기술(IT) 보안 예산을 크게 늘려 민간·공공·국방 보안 체계를 강하게 할 필요가 있다”며 “여기에 '제로 트러스트(Zero Trust)'처럼 새로운 방법을 빠르게 적용할 기반을 다져야 한다”고 밝혔다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 개념이다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 강병탁 AI스페라 대표는 “정부가 서비스형 소프트웨어(SaaS)를 전략적으로 투자할 자산으로 봐야 한다”며 “한국 공공기관이 여전히 구축에만 의존하는 데 반해 해외는 이미 SaaS 중심으로 AI를 도입한다”고 전했다. 이어 “한국은 SaaS를 도입하는 예산을 아예 편성하지 않는다”며 “SaaS를 비용으로 여긴다”고 분석했다. “디지털 안전은 곧 국민의 삶” 학계는 더 다양한 생각을 내놨다. 박영호 한국정보보호학회장(세종사이버대 정보보호학과 교수)은 '디지털 국민복원력 법(가칭)'을 새 정부에 제안했다. SK텔레콤 해킹 사례에서 보듯 사이버 사고는 개인정보 유출을 넘어 온국민이 불편하고 불안해지기 때문이다. 박 교수는 “디지털 안전은 곧 국민의 삶”이라며 “현행 '정보통신망 이용촉진 및 정보보호 등에 관한 법률'과 '전자정부법' 등은 기술과 공공기관 관리를 집중하지, 국민 복지는 뒷전”이라고 짚었다. 이어 그는 “통신·금융·의료 등을 '사이버 공공재'로 지정하고서 사고 피해자에게 금융을 지원하고 대체 서비스를 알리고 심리 상담을 하자”며 “재난 교육처럼 사이버 위기 대응 교육을 정규화하고, 국가 주도로 AI 통합 사이버 관제탑(SOC)을 설치할 필요가 있다”고 제시했다. 염흥열 한국개인정보보호책임자(CPO)협의회장(순천향대 정보보호학과 명예교수)은 “SK텔레콤이 해킹당해 온나라가 손실 입었으니 부문별 위험을 평가하는 게 좋다”며 “국민이 인터넷 세상을 믿을 수 있어야 한다”고 말했다. 염 협의회장은 “AI 보안과 개인정보 보호에 힘쓰는 국가 체계를 확립해야 한다”며 AI 보안 산업 육성, 인력 양성, 국제 표준화 추진을 과제로 꼽았다. 김용대 한국과학기술원(KAIST) 과학치안연구센터장(전기 및 전자공학부 교수)은 “정책으로 '보안하고 싶다'는 동기를 부여해야 한다”며 “한국 보안 정책은 개인·기업·국가가 '보안하고 싶다'고 생각하고 적은 '해킹하지 말아야겠다'는 생각을 하게 하느냐”고 되물었다. 김 교수는 “'석 달에 한 차례 비밀번호를 바꾸라'기에 어딘가 적어두거나 기억하기 쉽게 숫자만 바꿔쓰는 사람이 많고, 회사는 '보안하려면 돈 든다'면서 최소 규제만 충족하려고 몇 가지 보안 장비만 설치한다”며 “과학기술정보통신부에 '침해대응과'는 있지만 '침해예방과'는 없는 현실을 봐도 일 터지고 나야 대응하는 데 급급하다”고 말했다.

2025.05.26 08:58유혜진

코인베이스, 개인정보 유출 고객에게 5500억원 보상

미국 암호화폐 거래소 코인베이스가 개인정보를 유출 당한 이용자에게 4억 달러(약 5500억원)까지 돌려주겠다고 나섰다. 23일(현지시간) 미국 잡지 와이어드에 따르면 코인베이스는 '보상 비용으로 많게는 4억 달러가 들 것'이라고 미국 증권거래위원회(SEC)에 보고했다. 지난주 코인베이스는 해킹당해 소비자 이름, 주소, 이메일 주소, 전화번호, 신분증 정보 등이 빠져나갔다고 밝혔다. 해커가 수집한 고객 정보로 연락해 코인베이스라고 사칭한 뒤 '암호화폐를 나눠주겠다'고 속이려 했다고 코인베이스는 설명했다. 또 해커가 이용자 개인정보를 빼내기 위해 내부 직원을 매수했다며 내부자는 시스템 접근 권한을 악용했다고 전했다.

2025.05.24 08:27유혜진

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

신규가입 제한에 SKT 갤S25엣지 예약 '차질'

SK텔레콤이 사이버 침해사고 이후 정부의 행정지도에 따라 신규 가입자 모집을 중단하면서, 갤럭시S25엣지 사전예약에 혼선이 빚어지고 있다. 이에 KT와 LG유플러스는 반사이익 기회로 삼아 마케팅 공세에 나서고 있다. 오는 23일 공식 출시를 앞두고 있는 삼성전자 갤럭시S25 엣지 사전예약은 지난 14일부터 20일까지 진행됐다. 그런 가운데 SK텔레콤이 010 신규가입과 번호이동 가입이 중단되면서 기기변경 예약만 받을 수 있는 제한적 판매 구조가 형성됐다. 통신유통 현장에서 사이버 침해사고로 신제품에 대한 기대감은 예년보다 낮다는 반응이 나온다. 업계 한 관계자는 "최근에는 교체 주기도 길어지고, SK텔레콤 해킹 이슈까지 겹치면서 소비자 심리가 많이 위축돼 있다"며 "오프라인 매장의 예약율도 기대만큼 오르지 않고 있고, 온라인도 대기 수요 중심으로 양분된 분위기"라고 말했다. 특히 신규 가입자 모집 중단 조치가 유통망에 직격탄으로 돌아오고 있다. SK텔레콤 유통망의 상당 부분을 차지하는 소매 대리점은 신규가입 개통이 전면 차단돼 손님을 돌려보내는 일이 반복되고 있다. 반면, 판매점이나 온라인 채널은 비교적 정상적인 판매를 이어가면서 온도차도 뚜렷해지고 있다. SK텔레콤 대리점 한 관계자는 "기기변경 외에는 아무런 수익이 없는 상태"라며 "유심 교체는 돈이 되지 않아 지금은 급여와 임대료를 어떻게 낼지 걱정해야 할 상황"이라고 말했다. 실제 해킹 사태 이후 SK텔레콤의 가입자 이탈은 급증했다. 한국통신사업자연합회(KTOA)에 따르면, 4월 한 달 동안 SK텔레콤에서 다른 통신사로 옮겨간 가입자는 23만6천901명으로, 전월 대비 약 87% 늘었다. 같은 기간 순감 이용자 수는 11만4천330명에 달했으며, 해킹 사실이 공론화된 4월22일부터 30일까지 일주일 사이에만 9만명이 순감한 것으로 나타났다. 그런 가운데 KT와 LG유플러스는 이번 상황을 반사이익의 기회로 삼아 사전예약 프로모션을 강화하고 있다. LG유플러스는 갤럭시S25 엣지 예약자 대상으로 AI 번역 기능 체험, 데이터 쿠폰, 최대 20만 원 상당의 할인을 제공하며, 중고폰 보상 프로그램도 운영 중이다. KT 역시 20~30대 고객층을 겨냥한 요금제 연계 이벤트와 콘텐츠 구독 혜택을 결합해 적극적인 마케팅에 나서고 있다. 이에 대해 판매점 관계자는 "갤럭시 S25 엣지로 번호이동을 문의하는 고객이 적지 않은데, 현재는 모두 기기변경 고객만 받는 상황이라 예약 자체가 줄어들고 있다"며 "신제품 마케팅 타이밍에 이런 상황이 겹쳐 SK텔레콤 입장에서는 아쉬움이 클 것"이라고 말했다. 다른 유통업계 관계자는 "이통 3사 간 스마트폰 초기 판매 비중은 점유율과 직결되는 민감한 부분"이라며 "SK텔레콤의 가입 제한이 장기화될 경우, 시장 균형에도 영향을 미칠 수 있다"고 말했다. 한편, SK텔레콤은 현재 유심 보호 서비스 확대, 예약 시스템 개편 등으로 고객 불편 최소화에 나서고 있지만, 신규 가입과 번호이동 재개 시점은 아직 확정되지 않았다. SK텔레콤 관계자는 “신규 가입 중단은 유심 교체 업무에 집중하기 위한 조치로, 기다리시는 분이 많기에 그 부분을 해소하는 게 먼저라고 생각한다”며 “지금은 고객 불편 및 보호 조치에 집중할 시기로, 신규 가입 재개 시점은 아직 미정”이라고 밝혔다.

2025.05.20 17:35최이담

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

카스퍼스키 "SKT 해킹, 이렇게 하면 막을 수 있었다"

러시아 정보보호 기업 카스퍼스키는 14일 기자간담회를 열고 "SK텔레콤(SKT) 같은 대형 해킹 사고는 발생하기 전 다크웹(Dark web)에서 징조가 나타난다"고 밝혔다. 다크웹은 인터넷을 쓰지만, 접속하려면 특정 프로그램을 사용해야 하는 웹을 가리킨다. 이날 아드리안 히아 카스퍼스키 아시아·태평양지역 사장은 서울 여의도 페어몬트호텔에서 열린 기자간담회에서 “SK텔레콤 사태를 포함해 최근 몇 달 동안 심각한 침해 사고가 한국은 물론이고 일본과 싱가포르에서도 나타났다”며 “카스퍼스키가 날마다 새롭게 찾은 바이러스는 2023년 40만개에서 2024년 47만개로 20% 늘었다”고 말했다. 그는 “이렇게 급증하는 이유는 북한 라자루스 같은 사이버 범죄 집단이 인공지능(AI)을 기반으로 수준 높은 공격을 하기 때문”이라며 “방화벽 하나로 막다가 '위험하다'니까 2개, 3개, 10개로 막는 데만 급급해서이기도 하다”고 지적했다. 카스퍼스키는 고객에게 “왼쪽으로 가라”고 조언한다. 더 앞으로 가서 예방하라는 뜻이다. 히아 사장은 “SK텔레콤처럼 심각한 사고가 터지기 앞서 다크웹을 살펴보면 징조를 미리 알아챌 수 있다”며 “해커를 겨냥한 스파이 역할을 하면 된다”고 조언했다. 그러면서 “카스퍼스키는 사이버 범죄 조직 동향을 알아둔다”며 “라자루스가 요새 무엇을 하는지 끊임없이 추적한다”고 설명했다. 또 “요즘 라자루스는 공격 형태를 바꿨다”며 “고객 환경을 바로 뚫고 들어가려 시도하기보다 공급망에 덫을 놓고 침투한다”고 전했다. 이어 “해커는 새롭게 공격하기 전에 모여서 채팅하고 제안을 주고받는다”며 “이런 침해 징조를 다크웹에서 찾으려고 한다”고 덧붙였다. 이효은 카스퍼스키 한국지사장은 “카스퍼스키에 다크웹을 집중해 살펴보는 '디지털 발자국 전문가'라는 직무가 있다”며 “해킹 징조를 알아보기도 하지만, 해커가 이후 '무엇을 털었다'거나 '현상금 얼마 걸었다'고 자랑하는지도 알 수 있다”고 강조했다. 카스퍼스키는 믿음직한 사이버 보안 기업이 되고자 '글로벌 투명성 이니셔티브(Global Transparency Initiative)'를 추진한다. 서울과 일본 도쿄, 이탈리아 로마, 스위스 취리히, 말레이시아 쿠알라룸푸르 등 세계 13개 도시에서 투명성센터를 운영한다. 고객과 협력사가 카스퍼스키 제품의 소스 코드, 위협 탐지 기술, 업데이트 시스템 등을 직접 검토할 수 있다. 이 지사장은 “러시아에 본사를 뒀다는 지정학적 문제 때문에 미국 같은 외국으로부터 억울하게 왜곡되는 경우가 종종 있다”며 “오해와 편견을 미리 불식시키려고 투명성센터 13곳을 운영한다”고 밝혔다. 그는 “관심있는 누구나 카스퍼스키 소프트웨어 소스 코드를 볼 수 있다”며 “이렇게 자신있고 당당하게 개방한 보안 회사는 세계에 카스퍼스키밖에 없다”고 강조했다. 히아 사장도 “뒷문(Backdoor)이 전혀 없다는 사실을 보여주려고 투명성센터를 세웠다”고 첨언했다. 백도어는 정상적인 보호·인증 절차를 우회해 정보통신망에 접근할 수 있도록 설치되는 프로그램이나 기술적 장치를 의미한다. 카스퍼스키는 러시아 업체라는 점을 오히려 강점으로 내세우기도 했다. 히아 사장은 “카스퍼스키는 세계 모든 지역에서 활동하는 유일한 정보보호 기업”이라며 “러시아와 중국과 북한까지 포함하는 회사는 카스퍼스키밖에 없다”고 소개했다. 그물을 넓게 칠 수 있어 경쟁사보다 탐지 역량이 뛰어나다는 입장이다. 카스퍼스키는 국제형사경찰기구(ICPO·인터폴) 및 각국 법 집행 기관과도 손잡았다. 히아 사장은 “카스퍼스키는 현지 위협에 대응하고 예상하고자 그 지역 인력에 투자한다”며 “삼성과 SK 등도 고객이라 북한 위협을 막고 중요한 자산을 관리하기 위해 한국 정부와도 협력한다”고 언급했다. 히아 사장은 “고객으로부터 '카스퍼스키는 AI를 어떻게 활용하느냐'는 질문을 받곤 한다”며 “14년 전부터 머신러닝 기술로 매일 47만개 넘는 바이러스를 발견·분석·차단한다, 이는 사람이 감당하기 힘든 숫자”라고 부연했다. 카스퍼스키는 1997년 설립 이래 6개 대륙 200개국에 30개 지사를 뒀다. 22만개사 4억명 고객의 10억개 기기를 지켰다. 이 가운데 아시아 33개국에 협력·총판사가 3천개 이상. 한국 협력사는 200개사 넘는다. 카스퍼스키는 엔드포인트 보호를 비롯해 클라우드 보안, 운영기술(OT) 보안, 위협 인텔리전스(Threat Intelligence) 등을 제공한다. 사이버 위협 인텔리전스(CTI), 인공지능(AI), 글로벌 리서치·분석팀(GReAT), 위협 분석, 운영기술(OT) 보안 센터도 운영한다. 지난해 카스퍼스키는 1년 전보다 11% 늘어난 8억2천200만 달러(약 1조1천823억) 매출을 달성했다. 역대 최고 실적이다. 이날 기자간담회는 카스퍼스키 연례 보안 설명회 '사이버 인사이트'를 앞두고 진행됐다. 카스퍼스키는 15일 서울 여의도 콘래드호텔에서 열리는 이 행사에 100개 고객사, 온라인에서도 1천500개사가 참여한다고 내다봤다.

2025.05.14 17:48유혜진

'SKT 해킹' BPF도어 뭐기에…"해커들 뒷문"

과학기술정보통신부가 1주일 동안 SK텔레콤(SKT) 침해 사고를 조사한 결과를 29일 발표했다. 조사에 따르면, 이번 침해 사고에서 단말기 고유식별번호(IMEI)는 유출되지 않은 것으로 확인했다. 민관합동조사단은 SK텔레콤이 공격 받은 정황이 있는 3가지 서버 5대를 조사했다. 다른 중요 정보가 포함된 서버도 살피고 있다. 조사단은 지금까지 SK텔레콤에서 유출된 정보는 가입자 전화번호, 가입자식별키(IMSI) 등 유심(USIM)을 복제하는 데 쓰일 수 있는 4가지와 유심 정보 처리 등에 필요한 SK텔레콤 관리용 정보 21종이라고 전했다. 특히 조사단은 침투에 사용된 BPF 도어(Berkeley Packet Filter Door) 계열 악성 코드 4가지를 발견했다고 밝혔다. BPF 도어는 리눅스 운영체제(OS)에 내장된 네트워크 모니터링·필터 기능을 수행하는 BPF를 악용한 백도어(Backdoor)다. 은닉성이 높아 해커 통신 내역을 알아채기 어려운 특징이 있다. 이희조 고려대 컴퓨터학과 교수는 이날 지디넷코리아와의 통화에서 “해커가 BPF 도어를 설치했다는 사실보다 어떤 경로로 들어와 설치했는지, 이후 무슨 정보를 빼냈는지, 다음에 행할 더 큰 공격을 위한 단계로 쓴 것인지 조사단이 여부를 알아야 한다”고 말했다. 이 교수는 “SK텔레콤 말고도 KT나 LG유플러스 등이 비슷한 공격을 받았는지 확인해야 또 다른 피해를 막을 수 있다”고 덧붙였다. “BPF, 해커가 드나들려고 숨기는 뒷문” 정보보호 전문가들은 BPF를 리눅스 기반 운영체제에서 통신 정보를 감시하는 문이라고 비유했다. BPF 도어는 해커가 관리자 몰래 BPF에 만든 뒷문이다. 이 뒷문으로 드나들며 정보를 빼낼 수 있다는 얘기다. 박기웅 세종대 정보보호학과 교수는 “BPF는 시스템 내부 상황을 자세히 보려고 만들어진다”며 “시스템 주인이 아니라 공격자가 제어하면 악용된다”고 말했다. 그러면서 “집주인이 홈모니터링 시스템에 접속해 편리하게 집을 관리할 수 있지만, 도둑이 접속하면 범죄에 쓰이는 이치”라고 예를 들었다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “BPF 도어는 탐지하기 어려운 뒷문이라고 볼 수 있다”며 “해커가 일단 보안 취약점을 악용해 정보 시스템에 성공적으로 침투하고 나서 설치하는 악성 코드로, 해커가 다시 들어오려고 숨겨놓는 뒷문”이라고 표현했다. 익명을 요청한 보안 관련 교수도 “BPF 도어란 쉽게 얘기해 관리자 몰래 서버를 드나들 수 있는 비밀 통로”라며 “해커가 일단 서버에 침입하고 나서 다음에 다시 편하게 들어오려고 만드는 뒷문”이라고 빗댔다. 그러면서도 “'나 말고 다른 해커까지 들락거리면 곤란하다'고 생각한다”며 “나만 편하게 오가려고 '최고의 비밀번호(magic password)를 걸어둔 뒷문을 설치한다”고 전했다. 그는 “'열려라 참깨'라는 비밀번호 문자를 네트워크에 보내면 문이 열리게 해둔다”며 “이때 BPF 도어가 네트워크 통신에 '열려라 참깨'라고 입력됐는지 알아채 문이 열리도록 한다”고 설명했다. 국내에서 BPF 도어와 그 변종으로 인한 피해가 얼마나 생겼는지 통계는 없다. 다만 BPF 도어용 악성 코드가 누구나 보고 수정·배포할 수 있는 오픈 소스로 풀린 지 몇 년 흘렀기에 국내외에서 종종 쓰이는 것으로 전문가들은 보고 있다. 염흥열 협의회장은 “중국계로 추정되는 해커 조직이 정부·통신사·금융사 등 주요 기반 시설을 공격하려고 BPF 도어를 쓰는 것으로 알려졌다”고 언급했다. BPF 도어 수법은 2021년 영국 회계·경영 컨설팅 업체 프라이스워터하우스쿠퍼스(PwC) 위협 보고서에 처음 등장했다. 중국 해커 조직 '레드멘션'이 중동·아시아 통신·물류·교육 업체를 BPF 도어로 공격한 것으로 전해졌다. 미국 보안 기업 트렌드마이크로에 따르면 최근 한국·홍콩·미얀마·말레이시아·이집트의 통신·금융·소매 기업이 BPF 도어 공격을 당했다. “가치있는 회사일수록 보안 투자해야” 박기웅 교수는 “BPF 도어 기법을 포함해 모든 공격에는 공통점이 하나 있다”며 “보안 통제가 깨진 것”이라고 지적했다. “BPF 공격 또한 공격자가 일단 관리자 권한을 얻어서 벌어진 일”이라며 “시스템 권한을 관리하고 내부 소프트웨어 취약점을 분석해 적극적으로 모의 해킹하고 점검해야 한다”고 주장했다. 다만 “완벽한 해결책은 아니다”라며 “공격자가 항상 우위에 있고, 지키는 사람은 100만개를 잘 지켜도 1개만 뚫리면 공격당하는 곳이 이곳의 생태”라고 고개를 저었다. 염흥열 협의회장은 “먼저 원인을 조사해 그 결과에 따라 미흡한 점을 보완해야 한다”며 “특별히 보안 제품이나 서비스, 전담 인력을 늘릴 필요가 있다”고 조언했다. 이어 비정상적인 공격을 검출하는 네트워크 기반 탐지, 비정상적인 트래픽을 막는 방화벽 규칙 강화 등을 권했다. 'SK텔레콤이 당할 수밖에 없었는지, 평소 투자나 방어가 부족해서 이렇게 됐는지' 묻는 물음에 박기웅 교수는 “북한·중국과 가까워 한국 통신사는 지정학적으로 공격 대상이 되기 쉬운 데 비해 많이 투자하기는 어려운 처지”라며 “미국 마이크로소프트(MS)처럼 수백조원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것과 1천억원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것은 비교하기 힘들다”고 답했다. SK텔레콤은 지난해 매출 17조9천406억원, 영업이익 1조8천234억원을 기록했다. 2000년 1분기부터 지난해 4분기까지 100개 분기 연속, 25년째 흑자다. 보안 관련 한 교수는 “BPF 도어를 막으려면 꾸준히 서버에 보안 패치를 설치하고 무결성을 검증하고 비정상적인 접근이 있는지 살펴보는 수밖에 없다”며 “보안에 충분히 투자하고서도 단 한 번의 공격을 알아채지 못해 해킹 당하는 한편 별로 투자하지 않았지만 전혀 해킹 당하지 않는 회사도 있다”고 말했다. 이 교수는 “결국 회사에 훔칠 만한 정보가 있다면 해커가 위험과 어려움을 무릅쓰고 해킹한다”며 “이 정도 공격을 100% 완벽하게 막을 수 없어서 SK텔레콤이 아닌 다른 기업이더라도 방어하기 쉽지 않았을 것”이라고 추정했다. SK텔레콤은 그만큼 가치 있는 정보를 많이 가진 회사다. 시장 점유율 40%에 이르는 국내 1위 통신사다. 유심 정보를 탈취당한 가능성이 있는 이용자는 SK텔레콤 가입자 2천300만명과 SK텔레콤 망을 이용하는 알뜰폰 가입자 187만명을 더해 총 2천500만명에 달한다. 보안 업계 관계자는 “미국 행정부는 '리눅스용 백신과 엔드포인트 탐지·대응(EDR·Endpoint Detection & Response) 시스템을 설치하라'고 권고한다”며 “통신사 시설이 워낙 크고 많으니 모든 시스템을 최신으로 유지하기 어렵겠지만 보안에 계속 투자하고 최신 위협에 대처하는 능력을 갖춰야 한다”고 강조했다. 조사 중…"보안 정책 개선해야" 보안 전문가들은 이번 사태에 대해 조사로 끝나서는 곤란하다고 입을 모았다. 보안 정책을 개선하는 계기로 삼아야 한다는 거시다. 한국 보안 규제는 강하지만, 일이 터져야 급급하다고 평가된다. 과학기술정보통신부에 '침해대응과'는 있어도, '침해예방과'는 없는 현실이 이를 나타낸다. 김승주 고려대 정보보호대학원 교수는 “이 악성 코드는 변종이 많다는 게 특징”이라며 “소스 코드가 공개됐더라도 변형이 많이 만들어진데다 스텔스 기능까지 겸해 탐지하기 어려울 수 있다”고 말했다. 한국과학기술원(KAIST) 과학치안연구센터장인 김용대 카이스트 전기및전자공학부 교수는 일률적인 규제로는 제대로 보안할 수 없다는 입장이다. 김용대 교수는 “인프라가 다른 상황에서 획일적인 체크리스트는 결국 기업이 최소한 조건만 만족하려고 하게 만든다”며 “자신의 인프라를 모른 채 어떻게 해커와 싸울 수 있겠느냐”고 되물었다. 그는 “2021년 'Log4j 사태'처럼 아직 패치되지 않은 취약점이 공개된 적이 있다”며 “해커는 한국 서버가 이런 취약점이 있는지 원격에서 확인해 해킹했지만, 국가는 '누구든지 원하지 않는 트래픽을 보낼 수 없다'는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 때문에 어떤 서버가 취약한지 알 수 없었다”고 비판했다. 그러면서 “해커는 원격으로 마음껏 취약점을 찾고 해킹해 들어온다”며 “우리 스스로 못 봐서 안전하게 만들 수 있는 기회가 없는 마당에, 적은 우리를 분석해 들어오면 결국 적에게 공격을 할 동기를 주는 셈”이라고 꼬집었다. 이어 “미국 사이버인프라보안국(CISA)이나 영국 국립사이버보안센터(NCSC)는 한국과 반대로 민간 시스템 보안을 먼저 지원하고, 취약점 보고자를 법적으로 보호하고, 정부 차원의 기술적 개입과 점검을 가능하게 만드는 법·제도를 병행한다”며 “국가는 통제자가 아니라, 모두가 보안을 하고 싶게 만드는 설계자가 돼야 한다”고 덧붙였다. 한편 KT와 LG유플러스도 안전하지만은 않다는 설도 나온다. 지난해 7월과 12월 한국 통신사가 BPF 도어 공격을 이미 당했다는 지적도 있다. 어느 통신사가 얼마나 큰 피해를 입었는지는 밝혀지지 않았다. 미국 정보보호 기업 트렌드마이크로는 이런 내용의 보고서 '아시아·중동을 표적으로 삼은 BPF 도어의 숨겨진 컨트롤러'를 지난 14일 발표했다.

2025.04.29 16:52유혜진

이번엔 SKT 해킹···전문가 "서버 보호 대책 미흡했을 것"

SK텔레콤(SKT)에 해킹 사건이 발생했다. 악성 코드가 심어져 이용자 유심(USIM)과 관련한 일부 정보가 유출된 정황이 확인됐다. 유심은 통신망에서 개인을 식별하고 인증하는 정보를 저장하는 매체다. 이동통신사는 국내 최고 수준으로 보안에 신경쓰는 것으로 알려졌다. 하지만 해커는 약점을 파고들었다. 전문가들은 기업과 소비자 모두 지속적으로 관심을 갖고 사고를 예방해야 한다고 입을 모았다. SK텔레콤은 19일 오후 11시경 해커에 의한 악성코드로 인해 자사 고객의 유심 관련 일부 정보가 유출된 정황을 확인했다고 22일 밝혔다. 유출 가능성 인지 후 SK텔레콤은 즉시 해당 악성코드를 삭제하고 해킹 의심 장비를 격리 조치했다. 한국인터넷진흥원(KISA)에 침해 사고 사실을 20일 신고했고, 개인정보보호위원회에도 22일 오전 10시 알렸다. 이에, 개인정보위는 즉각 조사에 착수했다고 발표했다. 과기정통부도 피해 현황 및 사고원인 조사 등을 진행하고 있다고 밝혔다. 또 과기정통부는 개인정보 유출 가능성 등 피해 현황과 보안취약점 등 사고 중대성을 고려, 면밀한 대응을 위해 과기정통부 정보보호네트워크정책관을 단장으로 하는 비상대책반도 구성했다. 필요시 민관합동조사단을 구성하고 심층적인 원인분석 및 재발방지 대책 마련을 추진할 방침이라고 밝혔다. 시스템 침입 경로, 해킹 방식, 서버 보안 취약점 등 사고 원인 결과가 나오려면 며칠이 걸릴 전망이다. “신종기법인지 여부는 조사 결과 두고봐야" 정보보호 전문가들은 서버에 악성 코드가 심어져 SKT가 해킹당한 것으로 추정했다. 한국정보보호학회 공급망보안연구회를 이끄는 이만희 한남대 정보보호학과 교수는 이날 지디넷코리아와의 통화에서 “지금껏 알려진 바로는 SKT 내부 시스템에 악성 코드가 설치돼 해킹됐다”며 “보안 취약점이 원인이 될 수 있고, 사회 공학적인 기법일 수도 있고, 공급망 공격까지 가능한 점을 미뤄 보면 무한한 공격 기법이 있다”고 말했다. 이 교수는 “신종 기법이라면 어쩔 수 없지만 쉽게 막을 수 있던 공격이라면 기업의 보안 관행이 문제일 수 있다”며 “조사 결과를 봐야 판단할 수 있다”고 설명했다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “SKT 가입자의 유심 관련 정보를 저장한 서버가 해킹된 것 같다”며 “고객 인증·식별 정보를 보관하는 서버 보호 대책이 기술·관리·조직적으로 미흡해 뚫린 것 같다”고 추정했다. 국내 한 정보보호 기업 관계자는 “통신사는 높은 수준으로 보안하지만 완벽할 수는 없기에 공격자가 보안 요소 중 가장 약한 '사람'을 노린다”며 “기업 담당자가 자주 바뀔뿐더러 보안 교육 받은 사람이라도 방심하는 일이 잦다”고 지적했다. “기업, 유심 복제 막고 지속 투자해야” 전문가들은 기업에 지속적인 관심과 투자를 주문했다. 염흥열 CPO협의회장은 “SKT가 과학기술정보통신부·한국인터넷진흥원(KISA)과 정확한 유출 원인, 규모, 항목 등을 조사하고 있다”며 “불법 유심으로 기기를 변경하거나 비정상적으로 인증하는 시도를 막아야 한다”고 주장했다. 특히 “최악의 경우 유심을 복제할 수 있다”며 “어느 고객 유심이 다른 휴대폰에 장착되더라도 못 쓰게 하는 '유심 보호 서비스'를 적용해야 한다”고 강조했다. 고객 유심을 통신사가 바꿔주는 대책도 언급했다. 한 보안 기업 대표는 “대기업은 보안에 많이 투자했지만 여전히 사고가 난다”며 훈련 – 암호화 및 백업 – 취약점 분석 – 태세 관리로 지속적으로 보안을 챙겨야 한다고 주문했다. 또 다른 보안 회사 대표는 “도둑은 가장 가벼우면서도 돈이 되는 물건을 훔친다”며 “기업에서 가장 중요한 물건은 정보(데이터)”라고 분석했다. 기업은 데이터를 백업하고 암호로 숨겼는지 자주 살펴야 한다는 입장이다. 그는 “기업이 매년 보안 훈련한다지만, 조사해 보면 1년에 한두 번 훈련한다는 답이 80%”라며 “진정 훈련했다고 할 수 있느냐”고 되물었다. 그는 “많은 돈을 들인 성벽이 오래되면 구멍이 날 수 있어 잘 점검해야 한다”며 “보안 인프라 투자와 함께 임직원 훈련을 함께 해야 한다”고 조언했다. 이만희 교수는 “해킹 기법은 날마다 발전한다”며 “기밀과 사용자 개인정보를 관리하는 모든 기업은 최신 보안 기술을 써야 한다”고 지적했다. 공급망 보안도 그런 예로, 미리 준비하거나 빠르게 도입하면 그만큼 안전하지만 의무가 될 때까지 기다리면 늦어버린다는 의견이다. 이 교수는 “기업은 보안이 컴플라언스를 위한 비용이 아닌 신뢰를 높이는 투자로 생각해야 한다”며 “담당자도 지속적으로 교육할 필요가 있다”고 했다. “소비자, 유심 보호 무료 서비스 쓰세요” 소비자는 유심 보호 서비스를 쓰는 한편 평소 출처를 알 수 없는 링크를 누르지 않는 게 좋다. 염흥열 교수는 “'유심 보호 서비스'를 고객은 무료로 쓸 수 있다”며 “유심이 복제되지 않게 막아야 한다”고 말했다. 이만희 교수는 “한국의 많은 기업이 정보보호 관리 체계(ISMS·Information Security Management system) 인증을 받는 등 노력하고 있다”며 “소비자는 이런 기업 제품을 쓰는 게 저렴한 외산 제품을 선택하는 것보다 개인정보 유출 우려가 확률적으로 덜하다”고 주장했다. 이어 “문자메시지(SMS)나 이메일에 포함된 링크는 가급적 누르지 말아야겠다”고 덧붙였다. 국내 정보보호 기업 관계자 역시 “꾸준히 훈련하는 수밖에 없다”며 “이메일 첨부 파일이나 문자 링크를 무심코 누르지 않는 게 기본”이라고 조언했다.

2025.04.22 20:15유혜진

"AI시대 안전한 정보 활용 돕는 CPO 모여라"

“한국개인정보보호책임자(CPO)협의회는 인공지능(AI) 시대 정보를 안전하게 활용할 수 있게 CPO 위상을 높일 것입니다. 개인정보보호처리자를 비롯한 산업계와 학계, 정부가 다함께 발전하도록 역할을 다하겠습니다.” 윤수영 CPO협의회 사무국장은 지난 8일 서울 여의도에서 지디넷코리아와 만나 이같이 밝혔다. CPO(Chief Privacy Officer)는 조직에서 개인정보 보호 계획을 세우고 시행하는 책임을 진다. 개인정보 처리 실태를 조사하고, 개인정보가 새어 나가지 않도록 내부 통제 시스템을 만든다. 기업과 공공기관 등에서 개인정보 처리를 책임질 CPO를 정해야 한다. 소상공인기본법에 따른 소상공인은 사업주나 대표가 CPO다. CPO협의회는 지난해 9월 출범했다. 111개 기업과 기관의 CPO들이 개인정보 보호 정책을 나누며 활동하고 있다. 부회장사는 21개다. LG유플러스, 우아한형제들(배달의민족), 카카오, 쿠팡, 삼성서울병원, 국립암센터, SK텔레콤, 한국전력공사, 삼성전자, 기아, 비바리퍼블리카(토스), KB국민은행, 국민건강보험공단, 넷마블, 한국교통안전공단, LG전자, 현대자동차, 삼성화재, 메타코리아(페이스북), KT, 한국인터넷진흥원이다. 이들 부회장사는 분기마다 당국 고위관계자와 만나 주요 정책을 공유한다. 올해에는 한전KPS·한국여성인권진흥원·신한금융지주·전북은행이 새로운 회원으로 발을 들였다. 회장은 염흥열 순천향대 정보보호학과 명예교수가 맡았다. 윤 국장은 한국 규제가 복잡한 만큼 협의회에 가입하면 정보를 얻을 수 있다고 소개했다. 그는 “개인정보처리자 이익을 대변해 개인정보보호위원회와 제도를 개선할 것”이라며 “2023년 개인정보보호법이 개정된 뒤 개인정보보호위원회 설립 허가를 받은 협의회는 한국CPO협의회가 최초이자 유일하다”고 말했다. 협의회는 CPO 전문성을 키우고자 지난 2월과 이달 초 KPPI(KCPO Prime Privacy Insight) 설명회를 열었다. 각각 '개인정보 처리 통합'과 '개인정보 안전성 확보 조치 기준'을 안내했다. 이달 말부터는 브릿지포럼을 열고 네트워크를 강화할 참이다. 오는 30일 '공공기관 개인정보 보호 수준 평가 대응 전략'을 다룬다. '주요 과징금 처분 사례 및 방지 방안'과 '전 분야 마이데이터 제도 시행 대응 전략'도 상반기 논의하기로 했다. 윤 국장은 “협의회 CPO 현황을 조사해 올해 처음 발표하려고 한다”며 “개인정보를 적극적으로 지킨 회원이 9월 30일 개인정보보호의 날을 기념해 유공자 표창을 받을 수 있도록 개인정보보호위원회와 협의할 것”이라는 계획을 전했다. 협의회는 최근 서울여대와 개인정보보호 분야 협약서(MOU)를 썼다. 산학 연계 교육 과정을 개발하고 공동 연구 과제를 수행하기로 했다. 윤 국장은 “서울여대는 국내 대학 가운데 처음 개인정보보호전공을 만들어 2024학년도부터 신입생을 뽑았다”며 “협의회가 인재를 기르는 데에도 한몫하겠다”고 강조했다. 윤 국장은 서울대 소비자학과에서 학·석·박사 학위를 받았다. 이베이와 필립모리스 한국지사에서 CPO를 지냈다. 그는 “소비자 지키는 방법을 생각하다 25년 동안 개인정보 보호하는 일을 했다”며 “소비자와 기업을 잇는 CPO 모임을 만들겠다”고 밝혔다.

2025.04.14 16:10유혜진

지금 뜨는 기사

이시각 헤드라인

[ZD브리핑] 삼성·LG전자 2분기 실적 잠정치 발표…9일 美 상호관세 유예 종료

EU "AI법 유예 없다"…내년까지 전면 시행 방침 유지

美, AI 반도체 우회 수출 차단…말레이시아·태국에도 규제 추진

전 국민 최대 45만원 '소비쿠폰' 지급…21일부터 신청

ZDNet Power Center