2026.10.16 금요일
검색
'개인정보유출' 검색결과
기간검색
-
~
검색영역
검색어
-
새마을금고, 해킹에 고객 400명대 정보 유출…중앙회 "피해 발생 시 전액 보상" [경제일보] 새마을금고에서 해킹 공격으로 고객 400명대의 개인정보가 유출됐다. 이름과 주소뿐 아니라 암호화된 주민등록번호와 계좌번호, 잔액 등 금융정보도 유출 항목에 포함됐다. 13일 금융권에 따르면 새마을금고는 지난 10일 오후 해킹 공격을 받아 고객 400명대의 일부 개인(신용)정보가 외부로 유출된 사실을 확인하고 이날 금융당국에 신고했다. 새마을금고중앙회는 이날 홈페이지에 신용공제대표이사 명의의 사과문을 게시하고 정보 유출 사실과 후속 조치를 안내했다. 중앙회가 확인한 항목은 △고객번호 △이름 △암호화된 주민등록번호 △계좌번호 △생년월일 △휴대전화번호 △집·회사 전화번호 △집·회사 주소 △이메일주소 △잔액 등이다. 중앙회는 정보 유출이 확인된 고객에게 문자로 개별 통지하고 있다. 홈페이지에서도 본인의 유출 여부와 유출 항목을 확인할 수 있도록 했다. 해킹 사실을 파악한 뒤에는 공격에 사용된 인터넷주소(IP)와 우회 접속 IP를 차단하고 홈페이지 취약점 점검과 보완 작업을 진행했다. 앞서 새마을금고는 해외 IP를 통한 비정상적인 접근을 차단한 바 있으나 이번에는 새로운 IP 수십개를 이용한 공격으로 정보가 유출된 것으로 알려졌다. 최근 금융권에서 잇따라 발생한 인공지능(AI) 에이전트 활용 추정 해킹과 이번 사고의 연관성은 아직 확인되지 않았다. 금융당국은 공격 경로와 수법 등을 포함해 사고 경위를 살펴보고 있다. 이달 들어서는 신한·KB국민·하나·BNK부산은행을 비롯해 예가람·웰컴저축은행, 현대캐피탈 등에서도 침해 사고가 확인됐다. 새마을금고중앙회 관계자는 "금번 유출로 인한 고객 피해가 발생할 경우 전액 보상할 것을 약속드린다"며 "개인(신용)정보 보호 체계와 관리 절차 전반을 점검하는 한편 보안 시스템을 강화해 유사한 사고가 재발하지 않도록 최선을 다하겠다"고 말했다.2026-10-13 17:44:58
-
개인정보위원장, 금융·공공 유출 중점 조사…최대 10% 과징금 엄정 운영 [경제일보] 개인정보보호위원회가 최근 금융권과 공공기관에서 발생한 개인정보 유출사고를 중점 조사한다. 반복적·중대한 위반에 매출액 최대 10%의 과징금을 부과하는 새 제재 체계를 엄정하게 운영하고, 기업의 예방 투자와 피해자의 권리 구제를 강화한다는 방침이다. 송경희 개인정보위 위원장은 13일 국회 정무위원회 국정감사 인사말에서 “작년부터 대규모 유출 사고들이 잇따라 발생함에 따라 개인정보 보호 체계를 근본적으로 전환할 필요가 커졌다”고 밝혔다. 이어 “중요 사건의 경우 전담 조사단을 구성해 엄정하고 신속하게 대응하겠다”며 주요 공공기관과 금융권 사고에 대한 집중 조사 방침을 제시했다. 정책 전환의 배경에는 사고 신고 증가가 있다. 개인정보위가 지난 7월 공개한 하반기 업무계획에 따르면 올해 상반기 유출 신고는 432건으로, 지난해 연간 447건에 근접했다. 사고 이후 조사·처분과 함께 위험요인을 미리 찾아 관리하는 예방체계의 필요성이 커진 것이다. 제재의 중심은 지난 9월 11일 시행된 개정 개인정보 보호법이다. 반복적·중대한 위반에 대해서는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 개인정보 보호를 위한 전문인력과 예산 지원 등 최종 책임자의 관리 의무를 명시하고, 개인정보보호책임자(CPO)의 독립성과 권한도 강화했다. 송 위원장은 새 과징금 체계가 실효성 있게 운영되도록 하겠다고 강조했다. 조사 비협조에 이행강제금을 부과하고 증거 은닉·폐기에 대한 제재를 강화하는 등 조사력을 높일 제도개선도 추진한다. 공공부문은 각 부처가 본부뿐 아니라 소속·산하기관까지 자체 점검하고, 주요 시스템은 개인정보위와 합동 점검하는 방식으로 관리한다. 개인정보위는 앞서 하반기 업무계획에서 공공부문 387개 집중관리시스템 가운데 점검 결과가 미흡하거나 대규모 주민등록번호를 보유한 시스템 등을 중점 관리 대상으로 제시했다. 피해구제 방식도 손질한다. 송 위원장은 유출 발생 시 기업이 관련 책임에 대해 전반적으로 입증하도록 법정 손해배상제도를 강화하겠다고 밝혔다. 징수한 과징금 수입을 국민의 권리 구제와 피해회복에 활용하는 기금도 추진한다. 제재로 거둔 재원을 피해자의 회복을 지원하는 데 연결하겠다는 구상이다. AI 개발에 필요한 개인정보 활용체계 개선도 병행한다. 지난 8월 국회 본회의를 통과한 AI 특례는 가명·익명정보만으로 개발이 어렵고 공익적·사회적 필요성이 인정되는 경우, 강화된 안전조치와 개인정보위의 심의·의결을 전제로 적법하게 수집한 개인정보를 활용할 수 있도록 하는 내용이다. 개인정보위는 특례 운영을 위한 하위법령과 세부 방안을 준비하는 한편, 여러 서비스를 연결해 작업하는 에이전틱 AI의 개인정보 처리 문제도 검토한다. 송 위원장은 “AI 특례를 통해 인공지능 개발 과정의 현장 애로를 해소하고 사회 난제 해결과 산업의 발전을 실질적으로 지원할 수 있도록 노력하겠다”고 말했다. 한편 스마트 글라스와 사망자 정보 처리기준 등 새로운 기술·생활 환경에서 발생하는 개인정보 문제도 다룬다. 송 위원장은 국제적 논의와 사례를 바탕으로 합당한 기준을 마련하겠다고 밝혔다.2026-10-13 11:13:31
-
금융권 해킹에 민간기업도 비상…정부, 2만8000곳 보안점검 권고 [경제일보] 금융권에서 잇따른 해킹 사고에 정부가 민간기업의 보안점검까지 확대했다. 금융회사에서 확인된 공격정보를 다른 업종에도 전파하고, 해외 클라우드 사업자에게 악성 행위 차단을 요청했다. 개별 금융회사의 사고 조사와 함께 유사 공격이 다른 기업으로 번지는 것을 막기 위한 대응이다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 긴급 대응체계를 가동하고, 정보보호최고책임자(CISO) 신고기업 약 2만8000개사에 보안점검 권고 메일을 발송했다고 4일 밝혔다. 현재 금융권 사고 조사와 대응은 금융위원회·금융감독원·금융보안원이 중심을 맡고 있다. 과기정통부와 KISA는 민간 정보통신서비스로의 공격 확산과 추가 피해를 막는 데 대응 역량을 집중한다. 금융당국이 전문인력 지원을 요청하면 즉시 현장에 투입할 수 있도록 준비하고 있다. KISA 인터넷침해대응센터(KISC)는 24시간 비상대응체계를 강화했다. 주요 기업 홈페이지의 이상 징후를 모니터링하고 침해사고 대응인력을 보강했다. 긴급 현장 지원을 위한 비상출동조도 상시 대기한다. 공격정보 공유 범위도 넓혔다. 보호나라와 사이버위협정보 분석·공유 체계(C-TAS)를 통해 기관과 기업에 위협정보를 제공하고, 이를 활용해 자체 보안 조치를 강화하도록 안내했다. C-TAS는 금융·전자상거래·호스팅·보안기업 등 여러 업종이 공격정보를 공유하는 체계다. 기업은 공격에 사용된 IP주소와 악성코드 정보를 받아 방화벽, 침입탐지·방지시스템, 백신 등에 적용할 수 있다. 한 기업에서 발견한 공격 흔적을 다른 기업의 탐지와 차단에 활용하는 방식이다. KISA는 중소기업도 위협정보를 이용할 수 있도록 개방형 C-TAS 누리집을 운영하고 있다. 회원가입과 관리자 승인 후 정보를 받을 수 있으며, 긴급 상황에서는 문자와 이메일 등으로 안내한다. 자체 분석인력이 부족한 기업도 공통 위협정보를 확보할 수 있는 통로다. 해외 사업자와의 협력도 추진한다. 과기정통부는 금융보안원이 확인한 해외 공격자 IP주소와 관련 위협정보를 해당 클라우드 사업자에게 전달하고 악성 행위 차단 등 필요한 조치를 요청했다. 피해 기업의 접속 차단에 더해 인프라 사업자 측의 대응도 요청한 것이다. 이번 대응의 배경에는 금융권에서 확인된 외부 접점 시스템의 허점이 있다. 신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원 시스템 등 고객이 직접 이용하는 금융거래 서비스 밖에서도 정보유출이 발생했다. 이에 금융위는 지난 2일 대고객 서비스 여부와 종류를 가리지 않고 외부에서 접근할 수 있는 전산시스템 전체를 점검하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로, 불필요한 정보 노출, 접근권한 관리 등을 확인하고 공격수법을 신속히 공유하라는 주문이다. 민간기업도 홈페이지와 업무지원 시스템을 함께 살펴야 하는 이유가 여기에 있다. 외부 접속이 가능한 시스템에서 고객이나 직원 정보를 조회할 수 있다면, 해당 경로의 인증과 접근통제가 실제로 작동하는지가 중요하다. 정부가 CISO 신고기업에 일괄 점검을 권고한 조치는 금융권에서 드러난 공격정보를 기업 내부의 점검과 보완으로 연결하려는 대응이다. 예방 훈련에도 AI를 활용한다. KISA는 지난 9월 발표한 ‘2026년 하반기 사이버 위기 대응 모의훈련’에 AI 에이전트를 이용한 홈페이지 모의침투를 시범 도입한다. AI가 홈페이지별 특성을 반영해 공격 시나리오를 만들고 다양한 침투 가능성을 점검하는 방식이다. 모의훈련은 오는 19일부터 30일까지 진행된다. 홈페이지 침투뿐 아니라 해킹 메일 대응, 디도스 공격 탐지·대응, 서버 취약점 점검도 포함한다. 참여 기업에는 훈련 종료 후 대응체계 개선에 활용할 분야별 가이드와 최근 침해사고 동향 자료를 제공할 예정이다.2026-10-05 11:05:26
-
국민·신한·하나, 1239억 쓰고도 뚫렸다…고객정보 새나간 '업무 쪽문' [경제일보] 한 해 정보보호에 1200억원 넘게 투입한 KB국민·신한·하나은행이 업무지원 시스템을 통한 고객정보 유출을 막지 못했다. 상시 보안관제와 전문조직, 국내외 인증을 갖췄지만 고객정보를 조회하는 경로에서 허점이 드러났다. 금융당국이 인공지능(AI)을 활용한 자동화 공격 가능성을 조사하면서 외부에 노출된 업무 시스템의 관리 방식도 도마에 올랐다. 5일 금융감독원이 국민의힘 이양수 의원에게 제출한 자료에 따르면 지난해 정보보호 집행액은 하나은행 530억200만원, KB국민은행 392억9700만원, 신한은행 316억7500만원이었다. 세 은행을 합하면 1239억7400만원이다. 은행들이 공개한 보안 체계도 촘촘했다. 연합뉴스가 각 금융지주의 올해 반기보고서를 분석한 내용에 따르면 신한은행은 금융위원회 주관 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 S등급인 100점을 받았다. 국내외 정보보호 인증과 내부 해킹 대응조직을 갖추고, 북대서양조약기구(NATO) 사이버방위센터 주관 훈련에도 참여했다. KB금융은 올해 1월 그룹사이버보안센터를 출범시켰다. 공격자 관점에서 취약점을 찾는 ‘레드팀’과 침입을 탐지·차단하는 ‘블루팀’을 함께 운영하는 체계다. 하나은행도 그룹 통합 보안관제센터를 연중 가동하고, 업무상 필요한 경우에만 개인정보에 접근하도록 관리한다고 설명했다. 실제 공격은 대출모집인과 직원들이 사용하는 업무지원 경로를 파고들었다. 신한은행에서는 대출모집인용 간편조회 서비스, 국민은행에서는 직원용 모바일 업무지원 시스템, 하나은행에서는 영업지원시스템이 공격 대상이 됐다. 피해 규모는 신한은행 고객 약 2만5000명, 국민은행 고객·임직원 119명, 하나은행 고객 89명이다. 고객이 직접 이용하는 금융거래 서비스 밖에서도 개인정보를 조회할 수 있는 경로가 공격 통로로 악용된 것이다. 금감원은 지난 4일 긴급 점검회의에서 본인확인 없는 정보조회, 접근통제 누락, 알려진 취약점의 미조치 등을 사고 유형별 취약점으로 제시했다. AI 에이전트를 활용한 대량 자동화 공격을 추정하고 있으며, 개별 사고의 원인과 공격수법은 조사하고 있다. 이런 위협은 사고 전에도 예고됐다. 금융위는 지난 9월 3일 AI 보안 테스트 중간점검 결과를 공개하면서, 첨단 AI가 수백만~수천만 줄의 소스코드를 수시간 내 분석하는 취약점 탐색 능력을 보였다고 밝혔다. 기존 취약점을 넓은 범위에서 일관되게 찾아내는 능력도 확인했다. 당시 금융위는 외부에 노출된 전산자산의 식별·관리, 신속한 보안패치, AI를 활용한 방어체계 구축이 필요하다고 제시했다. 공격자가 약한 지점을 찾는 시간이 줄어드는 만큼 금융회사도 점검과 보완 속도를 높여야 한다는 경고였다. 이번 사고가 드러낸 문제는 보안조직이나 장비의 유무와 함께 실제 통제가 적용되는 범위다. 직원용·모집인용이라는 시스템의 명칭과 관계없이, 외부에서 접근해 고객정보를 조회할 수 있다면 인증과 접근권한을 같은 수준으로 관리해야 한다. 금융위가 지난 2일 내린 점검 지시도 이 부분에 집중됐다. 대고객 서비스 여부와 서비스 종류를 가리지 않고 외부에서 접근할 수 있는 시스템 전체를 파악하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로와 불필요한 정보 노출도 점검 대상에 포함했다. 이억원 금융위원장은 4일 “아무리 견고한 보안 체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안 체계의 취약점이 될 수 있다”며 “AI 공격은 AI로 방어하는” 체계 마련을 주문했다. 접근할 때마다 신원과 권한을 검증하는 제로트러스트 원칙에 기반한 보안체계 전환도 강조했다. 중소 금융회사의 대응 여력은 별도의 과제다. AI 도구를 도입하더라도 탐지 결과를 분석하고 취약점을 보완할 전문인력과 운영비가 필요하다. 금융위는 한 회사에서 확인된 공격수법이 다른 회사에도 활용될 수 있다고 보고 공격 IP주소와 침해시도 내역을 공유하는 공동 대응을 추진하고 있다. AI 보안 테스트 참여 기회도 확대한다. 금융위가 9월 발표한 2차 망분리 규제 긴급완화 방안은 신청 대상에 중소 금융회사와 전자금융업자를 포함해 대상 기관을 49개사에서 75개사로 늘렸다. 선정 규모는 10개사에서 최대 15개사로 확대했다. 선정된 회사는 망분리를 대신할 통제수단을 마련한 뒤 AI와 보안 서비스를 활용해 취약점을 탐지·개선하게 된다. 금융위는 이달 중 비조치의견서를 발급할 계획이며, 테스트에서 축적한 대응 요령은 참여하지 않은 금융회사에도 전파한다는 방침이다.2026-10-05 11:03:04
-
![[류청빛의 요즘IT] 비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 연쇄 피해 주의](https://image.ajunews.com//content/image/2026/10/02/20261002175901590222.jpg)
비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 '연쇄 피해' 주의 [경제일보] 개인정보 유출 사고가 반복되면서 유출된 정보가 계정 탈취와 피싱·스미싱 등 2차 공격에 악용될 가능성이 커지고 있다. 공격자들이 유출된 아이디·비밀번호를 다른 서비스에 대입하거나 이름·전화번호 등 개인정보를 활용해 실제 기업과 기관을 사칭하는 방식이다. 이에 따라 개인정보 유출 사고를 단순히 유출 규모로만 볼 것이 아니라 이후 유출 정보가 어떻게 악용되는지까지 살펴봐야 한다는 지적이 나온다. 3일 안랩에 따르면 계정 탈취와 피싱 등 개인정보 유출 이후 발생할 수 있는 추가 피해를 예방하기 위해서는 이용자뿐 아니라 서비스 운영 기업도 계정 및 개인정보 보호 체계를 점검해야 한다. 가장 대표적인 2차 공격 방식은 유출된 아이디와 비밀번호를 다른 서비스에 반복적으로 대입하는 '크리덴셜 스터핑'이다. 여러 서비스에서 같은 비밀번호를 사용하는 이용자가 많을수록 한 곳에서 발생한 계정 정보 유출이 다른 서비스의 계정 탈취로 이어질 가능성이 높아지는 것으로 꼽힌다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인 등에 활용되는 경우가 많아 별도의 비밀번호를 사용하는 등 우선적으로 보호해야 한다. 한 서비스에서 계정 정보 유출 사실을 통보받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용했던 다른 서비스의 비밀번호도 각각 변경해야 하는 것이다. 개인정보가 함께 유출된 경우에는 피싱과 스미싱으로 이어질 가능성도 있다. 공격자는 이름이나 전화번호 등 확보한 정보를 바탕으로 기업이나 기관을 사칭한 메시지를 보내 이용자의 신뢰를 높일 수 있다. 개인정보 유출 사고 직후에는 '개인정보 유출 확인', '피해 보상 신청', '계정 보호' 등을 내세워 불안감을 자극하는 방식의 공격도 발생할 수 있다. 이 때문에 이용자가 문자나 이메일에 포함된 링크를 통해 계정 상태를 확인하기보다는 해당 서비스의 공식 앱을 직접 실행하거나 홈페이지 주소를 직접 입력해 사실 여부를 확인하는 것이 중요하다. 본인이 요청하지 않은 로그인 인증이나 비밀번호 변경 알림이 도착했을 때도 인증을 승인하거나 인증번호를 다른 사람에게 전달해서는 안 된다. 다중 인증(MFA·2단계 인증) 설정도 기본적인 방어 수단으로 꼽힌다. 비밀번호가 외부에 노출되더라도 추가 인증 절차를 거치도록 하면 계정 탈취 가능성을 낮출 수 있기 때문이다. 로그인 알림을 활성화하고 최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하는 것도 필요하다. 보안업계에서는 이용자 개인의 계정 관리뿐 아니라 서비스 운영 기업의 보안 체계도 함께 강화돼야 한다고 보고 있다. 개인정보가 유출되는 경로가 고객이 직접 사용하는 홈페이지와 애플리케이션에만 한정되지 않기 때문이다. 안랩은 서비스 운영 기업이 API(응용프로그램 인터페이스)에 대한 인증과 접근 통제를 강화하고 이상 행위를 지속적으로 모니터링해야 한다고 권고했다. 특히 API 요청 과정에서 특정 이용자의 정보에 접근할 수 있는 권한이 적절하게 검증되는지 점검해야 한다는 설명이다. 예를 들어 요청 파라미터를 변조해 다른 이용자의 정보를 조회하거나 자동화된 방식으로 대량의 정보를 반복 조회하는 공격을 막기 위해 데이터 단위의 접근 권한을 확인해야 한다. 일정 시간 동안 허용되는 API 요청 횟수를 제한하고 반복적인 정보 조회나 무차별 대입 등 비정상적인 요청을 탐지·차단하는 체계도 필요하다. 고객이 직접 이용하는 서비스 외에 관리자 페이지와 내부 업무 시스템, 협력사가 사용하는 업무 지원 시스템까지 보안 점검 범위를 확대해야 한다는 점도 강조됐다. 외부에서 접속할 수 있는 시스템을 파악하고 사용하지 않는 계정이나 불필요한 외부 접속 경로를 차단하는 한편 퇴사자와 계약이 종료된 협력사의 계정이 남아 있지 않은지 정기적으로 확인해야 한다. 특히 관리자나 협력사 계정에 과도한 권한이 부여돼 있을 경우 계정 하나가 침해됐을 때 대규모 고객정보 접근으로 이어질 수 있다. 이에 따라 업무에 필요한 범위 내에서만 권한을 부여하고 외부 접속과 관리자 계정에는 다중 인증을 적용하는 등 접근통제를 강화해야 한다. 고객정보 자체를 최소화하는 것도 기업의 보안 부담을 줄이는 방법으로 꼽힌다. 업무에 필요하지 않은 개인정보까지 보관하지 않고 보유기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다. 업무 화면이나 API 응답에서도 전체 개인정보 대신 실제 업무에 필요한 정보만 제공하고, 이름이나 전화번호 일부를 가리는 등 노출 범위를 줄일 필요가 있다. 대량의 고객정보를 조회하거나 다운로드할 수 있는 권한 역시 실제 업무에 필요한 담당자로 제한해야 한다. 중요 정보의 조회·다운로드·반출 기록을 남기고 비정상적인 대량 조회가 발생했을 때 이를 빠르게 파악할 수 있도록 로그 관리와 이상행위 모니터링 체계를 갖추는 것도 중요하다. 결국 개인정보 유출 사고 이후 이용자에게 비밀번호 변경이나 피싱 주의를 당부하는 것만으로는 2차 피해를 모두 막기 어렵다는 지적이다. 이용자는 서비스별로 독립된 비밀번호와 다중 인증을 사용하고 로그인 기록을 확인하는 등 계정 보안을 관리해야 하며, 기업은 고객용 홈페이지와 앱을 넘어 API와 관리자 페이지, 내부 업무 시스템까지 접근통제 범위를 확대해야 한다는 것이다. 양하영 안랩 ASEC 실장은 "계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다"며 "서비스별로 서로 다른 비밀번호를 사용하고 다중 인증을 설정하는 등 일상에서 실천할 수 있는 기본적인 보안 수칙을 지키는 것만으로도 계정 탈취와 2차 피해 위험을 줄이는 데 도움이 된다"고 말했다. 이어 "서비스 이용자는 평소 사용하는 서비스의 보안 설정을 점검하고, 서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 점검해야 한다"고 덧붙였다.2026-10-03 09:00:00
-
신한 이어 하나은행도 뚫렸다…AI 해킹으로 고객 89명 개인정보 유출 [경제일보] 하나은행에서도 해킹 사고로 고객 개인정보가 유출된 것으로 확인됐다. 앞서 신한은행과 KB국민은행에서도 비슷한 사고가 알려지면서 은행권 전반이 AI 해킹 공격에 노출됐다는 우려가 나온다. 하나은행은 외부 해킹 세력에 의해 고객 89명의 정보가 빠져나간 것으로 파악됐다고 2일 밝혔다. 유출된 정보는 △주민번호 △성명 △주소 △이메일 주소 △전화번호 △휴대번호 △직장명이다. 사고는 외부 해킹 에이전트가 영업지원시스템(ODS)에 시도한 비정상적인 접근에서 비롯된 것으로 전해졌다. 은행 측은 해당 시스템이 인터넷뱅킹과 모바일뱅킹 거래 시스템과는 별개의 채널이라 금융거래 정보 유출과는 관련이 없는 것으로 확인했다고 설명했다. 하나은행은 피해 고객을 대상으로 개별 통보를 진행하고 있다. 이번 정보 유출로 실제 피해가 발생하면 관련 규정에 따라 전액 보상할 방침이다. 신한은행은 앞서 1일 통신 전문 구조(코드)가 무단 해킹당해 약 2만5000명의 고객 정보가 유출됐다고 밝혔다. KB국민은행도 같은 날 고객 119명의 개인정보가 유출됐다고 공개했다. 금융위원회는 이날 신진창 사무처장 주재로 금융권 '긴급 상황 대응 회의'를 열었다. 회의에서는 최근 금융사 정보 유출 사건과 공격유형·수법 등을 공유했다. 금융위는 은행과 카드업권에 자체 보안 점검도 지시했다. 하나은행 관계자는 "이번 사고를 매우 엄중하게 받아들이고 있으며, 유관기관과 긴밀히 협조해 철저한 원인 규명과 함께 재발 방지 대책 마련에 최선을 다하겠다"며 "손님 여러분께 심려를 끼쳐드린 점에 대해 깊이 사과드린다"고 말했다.2026-10-02 18:27:41
-
"추석 선물이 도착했습니다"…개인정보까지 파고드는 정밀 스미싱 [경제일보] '추석 선물이 도착했습니다', '배송 주소가 잘못돼 배송이 보류됐습니다' 같은 문자를 받았을 때 무심코 링크를 눌렀다가는 개인정보와 금융정보를 탈취당할 수 있다. 특히 최근에는 과거처럼 불특정 다수에게 어색한 문구를 대량으로 보내는 방식에서 벗어나 실제 사용자 정보를 일부 활용해 신뢰도를 높이는 정밀 타깃형 스미싱까지 등장했다. 추석 명절 택배와 선물 관련 연락이 늘어나는 만큼 공격자가 명절 상황에 맞춰 개인정보를 활용할 가능성도 커지고 있다. 25일 보안업계에 따르면 한국인터넷진흥원(KISA)은 최근 추석을 대비해 '추석 특별 경품', '배송 조회', '교통법규 위반' 등을 미끼로 한 스미싱·피싱 등 사이버사기에 주의할 것을 당부했다. 또한 대기업을 사칭한 경품 이벤트 페이지나 배송 지연을 가장한 문자 등을 통해 개인정보 탈취나 송금 피해가 발생할 수 있다고 경고했다. 특히 올해는 공격자가 문자 수신자의 개인정보를 일부 알고 있는 것처럼 보이도록 만들어 신뢰도를 높이는 방식이 나타나면서 주의가 요구된다. 안랩은 지난 3월 '유출된 개인정보 기반 정밀 타겟형 스미싱 공격 증가 주의'라는 보안 권고를 통해 다양한 데이터 유출 사고로 확보한 개인정보를 악용한 정밀 타깃형 스미싱·피싱 공격이 증가하고 있다고 분석했다. 공격자가 실제 사용자 정보 일부를 활용하거나 유사 정보를 이용해 신뢰도를 높이고, 공공기관·금융기관·글로벌 서비스 등을 사칭해 정상적인 업무나 절차 안내처럼 위장하는 방식이다. 공격 방식도 단순히 악성 링크를 누르게 하는 데 그치지 않는다. 안랩에 따르면 공격자는 '서비스 이용 관련 확인이 필요하다', '요청한 내용이 처리됐다', '계정 상태 점검을 위해 추가 인증이 필요하다'는 식의 자연스러운 문구로 사용자의 확인이나 인증 행동을 유도한다. 이후 외부 링크를 통해 추가 개인정보 입력을 요구하는 방식이 활용된다. 이 때문에 이름이나 실제 이용 서비스와 비슷한 정보가 포함됐다는 이유만으로 문자 메시지를 정상 안내로 판단해서는 안 되는 것으로 평가된다. 공격자가 확보한 개인정보나 공개된 정보를 조합해 실제 상황처럼 보이는 메시지를 만들 수 있기 때문이다. SK쉴더스도 추석을 앞두고 택배와 선물 등을 소재로 한 스미싱에 주의해야 한다고 강조했다. 지난 7일 SK쉴더스는 '주소가 잘못돼 배송이 보류됐다'거나 '추석 선물이 도착했다'는 식의 문구가 명절을 앞두고 실제로 기다리던 배송이나 선물과 겹치면서 이용자의 경계심을 낮출 수 있다고 진단했다. 특히 공격자가 유출된 개인정보나 공개된 정보를 활용해 문자에 이름이나 실제 주문 정보처럼 보이는 내용을 섞을 수 있다고 지적했다. 공격자가 노리는 것도 단순한 문자 클릭이 아니다. 배송 오류나 반송, 배송비 재결제, 모바일 상품권 수령 등을 내세워 개인정보나 금융정보를 입력하게 하거나 악성 앱 설치를 유도하는 방식으로 이어질 수 있다. SK쉴더스는 실제 배송이나 상품권을 기다리고 있는지, 링크 주소가 공식 서비스의 도메인과 일치하는지, 결제나 앱 설치를 급하게 요구하는지를 확인해야 한다고 설명했다. 개인정보가 공격에 활용될 경우 피해자가 스미싱 여부를 판단하기는 더 어려워진다. SK쉴더스는 별도의 자료에서도 개인정보 유출 이후 스미싱, 계정 탈취, 명의도용, 지인 사칭 등 2차 피해로 이어질 수 있으며 공격자가 이름과 배송 정보, 거래 내역 등을 활용해 실제 상황처럼 보이는 문자를 만들 수 있다고 강조했다. 과거 스미싱은 문법이 어색하거나 출처가 불분명한 문자, 지나치게 부자연스러운 링크 등으로 의심할 수 있는 경우가 많았다. 다만 최근에는 정상적인 안내문처럼 문구를 구성하고, 사용자가 실제로 이용했을 법한 서비스나 상황을 끼워 넣는 방식으로 공격의 신뢰도를 높이고 있다. 추석은 해당 스미싱 공격이 자연스럽게 섞일 수 있는 환경으로 꼽힌다. 택배와 선물 배송이 평소보다 늘어나고 모바일 상품권이나 명절 관련 이벤트도 많아지기 때문이다. 실제 KISA 역시 올해 추석을 앞두고 배송 조회, 추석 특별 경품, 교통법규 위반 등을 소재로 한 스미싱을 주요 주의 대상으로 제시했다. 피해를 막기 위해서는 문자에 포함된 링크를 바로 누르지 않는 것이 우선이다. 배송 여부는 문자 속 링크가 아니라 택배사의 공식 애플리케이션이나 홈페이지에서 직접 확인하고, 쇼핑몰 주문 내역에서도 실제 배송 정보가 있는지 확인하는 방식이 안전하다. KISA는 의심되는 문자 메시지를 이용자가 직접 확인할 수 있는 '스미싱 확인서비스'도 운영하고 있다. 카카오톡 '보호나라' 채널에서 의심 메시지를 입력하면 정상·주의·악성 여부를 확인할 수 있다. 최초 신고된 메시지는 분석 과정에서 '주의'로 표시될 수 있으며, 약 10분 뒤 재검사하면 정상 또는 악성 여부를 확인할 수 있다. 이미 링크를 눌렀다고 해서 모두 같은 수준의 피해가 발생하는 것은 아니다. KISA는 문자에 포함된 인터넷 주소를 클릭한 것만으로 악성 앱에 감염되는 것은 아니지만, 해당 주소를 통해 앱을 설치했다면 모바일 백신을 통한 점검이나 경찰·서비스센터 등의 도움을 받아야 한다고 안내한다. 개인정보나 금융 정보를 입력했다면 관련 계정과 금융 서비스에 대한 추가 조치도 필요하다. 금전 피해가 발생했거나 범죄가 의심되는 경우에는 전기통신금융사기 통합 대응단 1394에 신고하고, 사이버 보안 관련 상담은 KISA 118을 이용할 수 있다. KISA는 스미싱 문자 자체도 스마트폰의 스팸 신고 기능이나 보호나라의 스미싱·피싱 확인 서비스를 통해 신고·확인할 수 있도록 돕고 있다.2026-09-25 09:00:00
-
과방위 국감 증인 42명 채택…통신·플랫폼 '보안 책임' 집중 추궁 [경제일보] 다음 달 열리는 국회 과학기술정보방송통신위원회 국정감사에서 통신·플랫폼 기업의 개인정보 보호와 사이버 침해사고 대응이 핵심 쟁점으로 다뤄진다. 홈쇼핑 거래관행과 글로벌 플랫폼의 이용자 보호, 방송 현안도 함께 감사대에 오른다. 국회 과방위는 22일 전체회의를 열고 증인 29명과 참고인 13명 등 42명에 대한 ‘2026년도 국정감사 증인 및 참고인 출석요구의 건’을 의결했다. 과방위 국감은 10월 6일부터 23일까지 18일간 진행된다. 추가 의결에 따라 명단은 바뀔 수 있다. 10월 6일 과학기술정보통신부 국감에서는 정보보호 문제가 집중적으로 다뤄질 전망이다. 통신업계에서는 이종현 SK텔레콤 정보보호 최고책임자(CISO), 이상윤 전 KT 정보보안실장, 홍관희 전 LG유플러스 정보보안센터장이 증인으로 채택됐다. SK텔레콤에는 2025년 사이버 침해사고 이후 유심 정보 보호와 피해보상, 정보보호 관리체계 개선 상황을 물을 예정이다. KT와 LG유플러스에는 침해사고 대응과 보안조직 개편 이후 투자·인력 운영, 경영진 보고체계 등을 확인한다. 전직 보안책임자까지 증인으로 부른 만큼 사고 당시 의사결정과 현재 개선조치가 함께 검증 대상에 오를 것으로 보인다. 플랫폼과 서비스 기업 경영진도 대거 명단에 포함됐다. 김진아 메타코리아 대표는 개인정보 침해와 사칭계정 대응 문제로 출석 요구를 받았다. 박수경 듀오 대표와 홍승일 힐링페이퍼 대표, 임한욱 토스페이먼츠 대표, 신용석 토스페이먼츠 CISO도 개인정보 유출 사고와 관련해 증언대에 선다. 김정훈 우아한형제들 CISO와 브렛 앤서니 매티스 쿠팡 CISO에게는 침해사고 대응과 후속 개선조치를 묻는다. 최주희 티빙 대표와 윤상현 CJ ENM 대표는 티빙 개인정보 침해사고와 고객 보상, 모회사 차원의 보안 투자·감독체계를 놓고 질의를 받을 전망이다. 윤구 구글코리아 사장은 앱마켓 정책과 유튜브 구독료 차이 문제로 채택됐다. 생성형 AI 서비스의 안전성과 관련해서는 김종윤 스캐터랩 대표가 증인 명단에 올랐다. 10월 12일 방송미디어통신위원회 국감에서는 홈쇼핑과 플랫폼 이용자 보호 문제가 다뤄진다. 허서홍 GS리테일 대표와 김재겸 롯데홈쇼핑 대표에게 판매수수료와 납품대금, 방송 편성·계약조건 등 중소 납품업체와의 거래관행을 확인한다. 마크 리 애플코리아 대표는 긴급구조 시 위치정보 연계 문제로, 오연주 텔레그램 국내담당자와 신창섭 X코리아 대표는 불법정보와 마약류 판매 게시물에 대한 신고·차단 체계와 반복 계정 대응 문제로 출석 요구를 받았다. 통일TV 송출 중단과 YTN 매각, KBS 이사회 구성 등 방송 현안도 감사 대상이다. 10월 13일 한국항공우주연구원 관련 감사에서는 보안과제 반출 의혹을, 15일 한국인터넷진흥원(KISA) 감사에서는 법인카드 부정사용 의혹을 각각 다룬다. 올해 과방위 국감의 관건은 사고 경위를 재확인하는 데 그치지 않고 보안 투자와 최고경영진의 책임, 피해자 보호 대책을 구체적으로 끌어내는 데 있다. 증인이 정당한 사유 없이 출석하지 않으면 국회증언감정법에 따라 고발 대상이 될 수 있다.2026-09-22 11:52:53
-
카카오게임즈 개인정보 유출 243명으로 확대…일주일 만에 103명 추가 확인 [경제일보] 카카오게임즈 해킹 사고의 개인정보 유출 피해자가 140명에서 243명으로 늘었다. 최초 유출을 확인한 지 일주일 만에 피해 이용자 103명이 추가되면서 초기 조사와 피해 범위 산정이 충분했는지를 둘러싼 점검도 불가피해졌다. 카카오게임즈는 지난 21일 오후 6시22분 RINK 서비스 이용자 103명의 개인정보가 추가로 유출된 사실을 확인했다고 홈페이지에 공지했다. 지난 14일 파트너스와 RINK 이용자 140명의 유출 사실을 파악한 데 이은 2차 확인이다. 이번 추가 피해는 새로운 공격이 발생한 것이 아니라 기존 침해 사고의 영향 범위를 조사하는 과정에서 드러났다. 추가 유출이 확인된 서비스는 RINK이며 노출 정보는 카카오게임즈가 회원 구분을 위해 부여한 자체 식별코드와 일부 이용자의 국가코드다. RINK는 PC에서 실행 중인 카카오게임즈 게임을 스마트폰으로 전송해 원격 조작할 수 있도록 지원하는 서비스다. 1차 조사에서는 RINK의 자체 식별코드·일부 국가코드와 콘텐츠 창작 지원 서비스인 파트너스의 외부 연동용 타사 식별코드 또는 타사 아이디가 유출된 것으로 파악됐다. 공격은 지난 12일 오후 10시44분부터 13일 오후 7시37분 사이 발생한 것으로 추정된다. 외부 공격자가 두 서비스 시스템의 취약점을 이용해 비정상적으로 접근했고 이 과정에서 개인정보가 빠져나갔다. 카카오게임즈는 접근 경로와 관련 계정을 차단하고 취약점 보완, 로그·증거자료 확보와 이상 징후 모니터링 강화에 나섰다. 회사 측은 이름·주소·성별과 비밀번호 등 중요도가 높은 정보는 유출되지 않았다고 설명했다. 식별코드와 국가코드만으로 개인을 특정하기 어려워 악용 위험도 낮다는 입장이다. 다만 식별값은 다른 정보와 결합될 경우 계정 추적이나 사칭에 활용될 가능성을 완전히 배제하기 어렵다. 카카오게임즈도 이용자에게 출처가 불분명한 인터넷 주소와 첨부파일을 열지 말고 요청하지 않은 로그인·결제·비밀번호 변경 알림을 확인하라고 당부했다. 회사나 관계기관을 사칭해 비밀번호와 인증번호, 계좌정보를 요구하는 연락에도 주의를 요청했다. 회사는 개인정보보호위원회 등 관계기관에 신고하고 외부 보안 전문기관과 사고 원인 및 영향 범위를 조사하고 있다. 피해자에게는 이메일로 개별 통지했으며 개인정보 침해 여부를 확인할 수 있는 조회 페이지와 전담 신고 창구도 운영한다. 현재 조사가 끝나지 않은 만큼 피해 규모가 다시 늘어날 가능성도 남아 있다. 취약점의 구체적인 성격과 외부 공격자의 실제 열람·반출 범위, 추가 피해 발생 여부를 얼마나 신속하게 확정하고 재발 방지책을 내놓느냐가 관건이다.2026-09-22 11:34:43
-
![[데스크칼럼] 개인정보 유출의 값이 2만원인가](https://image.ajunews.com//content/image/2026/09/07/20260907093313274254.jpeg)
개인정보 유출의 값이 2만원인가 3954만개 계정이 털렸다. 실제 피해자 수와 같은 숫자는 아니다. 중복 계정이 포함돼 있다. 그래도 작다고 할 수 없는 규모다. 이름과 휴대전화번호, 이메일, 생년월일, 연계정보(CI) 등이 빠져나갔고 소스코드가 담긴 개발 프로젝트 361건도 유출됐다. 티빙은 7일부터 피해 고객 보상 신청을 받는다. 회사가 산정한 1인당 보상 패키지의 체감가치는 약 2만원이다. 문제는 액수가 크고 작으냐만이 아니다. 개인정보 유출 사고가 날 때마다 기업이 사과하고 포인트와 쿠폰을 주고 보안 투자를 늘리겠다고 약속하는 장면이 반복되는 데 있다. 이번 사고는 고도의 해킹 기술에 속수무책으로 당한 사건이라고 보기 어렵다. 정부 조사 결과 개발·운영환경 접속키가 소스코드에 그대로 노출되거나 평문으로 저장돼 있었다. 모든 개발자가 전체 개발 프로젝트에 접근할 수 있었고, 2024년 모의해킹에서 같은 취약점을 발견하고도 충분한 개선 조치를 하지 않았다. 사고 뒤에 보안을 강화하는 것은 어렵지 않다. 진짜 보안은 사고가 나기 전에 돈을 쓰는 일이다. 티빙은 앞으로 정보보호 투자를 늘리고 전문 인력도 확충하겠다고 했다. 필요한 조치다. 그러나 이런 투자가 사고가 난 뒤에야 시작된다는 것이 문제다. 개인정보를 많이 가진 기업일수록 보안은 비용으로 보이기 쉽다. 매출을 직접 만들지 않고 눈에 띄는 성과도 내기 어렵기 때문이다. 사고가 없으면 투자 효과조차 설명하기 힘들다. 그러다 문제가 터지면 그동안 아낀 비용보다 훨씬 큰 값을 치른다. 개인정보를 바라보는 기업의 시각부터 달라져야 한다. 고객 데이터는 기업이 마음대로 활용할 수 있는 자산이 아니다. 이용자가 맡긴 정보다. 많이 모을수록 가치가 커지는 동시에 책임도 커진다. 한번 밖으로 나간 전화번호와 CI는 비밀번호처럼 간단히 바꿀 수도 없다. 그런데 사고의 책임은 여전히 보안 담당 부서에 집중되는 경우가 많다. 접근권한을 얼마나 줄일지, 보안 인력을 얼마나 둘지, 시스템 구축에 얼마를 쓸지는 실무자가 혼자 결정할 수 있는 일이 아니다. 결국 경영의 문제다. 대규모 플랫폼의 개인정보 보호를 최고정보보호책임자 한 사람의 업무로 남겨둬서는 안 되는 이유다. 정부도 과징금 액수만 높이는 데 머물러서는 안 된다. 최소권한 원칙이 실제 현장에서 지켜지는지, 접속키와 인증정보를 어떻게 관리하는지, 모의해킹에서 발견된 취약점을 언제까지 고치도록 할 것인지 기준을 더 엄격하게 만들어야 한다. 중대한 취약점을 알고도 방치했다면 경영진의 관리 책임까지 물을 수 있어야 한다. 사고 공시도 달라질 필요가 있다. 얼마나 많은 정보가 빠져나갔는지만 알릴 것이 아니라 왜 사고가 났는지, 과거 어떤 경고가 있었는지, 누가 개선 여부를 확인했는지까지 공개해야 한다. 그래야 시장도 기업의 보안 수준을 판단할 수 있다. 티빙의 2만원 보상이 적절한지는 이용자마다 판단이 다를 것이다. 그러나 이번 사고가 남긴 질문은 금액보다 크다. 3954만개 계정이 유출된 뒤 2만원 상당의 혜택을 주는 것으로 신뢰가 돌아오는 것은 아니다. 개인정보를 맡아놓고 제대로 지키지 못한 책임에는 가격표를 붙이기 어렵다. 보안은 사고 뒤 고객에게 지급하는 보상비가 아니다. 사고가 나지 않도록 기업이 먼저 부담해야 할 비용이다.2026-09-07 11:10:55
-
3954만 계정 유출에 고개 숙인 티빙…최주희 대표 "보안 체계 근본부터 재구축" [경제일보] 티빙이 3954만개 계정의 개인정보가 유출된 대규모 침해사고와 관련해 공식 사과했다. 최주희 티빙 대표가 직접 설명회에 나서 보안 체계를 원점에서 다시 구축하겠다고 밝히면서 사고 수습과 신뢰 회복에 나섰다. 최 대표는 3일 서울 중구 코리아나호텔에서 열린 ‘사이버 침해사고 정보보안 강화 및 고객 보상 설명회’에서 “대표이사로서 무거운 책임을 느끼며 진심으로 머리 숙여 사과드린다”고 말했다. 이어 “사고 이후 관계기관 조사에 성실히 협조했고 필요한 긴급 보안 조치를 시행했다”며 “민관합동조사단의 최종 조사 결과를 겸허히 받아들이고 지적된 사항에 대한 시정조치와 재발방지 대책을 끝까지 이행하겠다”고 밝혔다. 이날 과학기술정보통신부 민관합동조사단은 티빙 침해사고로 총 3954만개 계정의 개인정보가 유출됐다고 발표했다. 이 가운데 활성 계정은 2206만개다. 한 이용자가 여러 계정을 보유한 사례가 포함돼 있어 실제 피해 인원과는 차이가 있다. 유출 정보에는 아이디와 이름, 휴대전화번호, 이메일, 생년월일, 연계정보(CI) 등이 포함됐다. 다만 모든 계정에서 동일한 정보가 빠져나간 것은 아니다. 조사 결과 공격자는 개발자의 접속키를 탈취해 지난 5월 말 개발환경에 침입했고, 이후 운영환경과 데이터베이스까지 접근한 것으로 파악됐다. 특히 티빙이 2024년 모의해킹 과정에서 접속키 노출 취약점을 확인하고도 개선을 마치지 못한 점이 드러나면서 내부 보안 관리 책임도 커졌다. 사고 신고가 늦어진 점도 문제로 지적됐다. 티빙은 5월31일 오전 사고를 인지했지만 한국인터넷진흥원(KISA) 신고는 다음 날 오후 이뤄졌다. 법정 신고기한 24시간을 넘긴 것으로 과기정통부는 최대 3000만원의 과태료를 부과할 예정이다. 티빙은 이날 보안 투자와 인력 확대 계획도 내놨다. 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 수준으로 늘리고, 전문 인력은 내·외부를 포함해 현재의 3배 수준으로 확대한다. 올해 안에 내부 정보보호 인력도 10명까지 충원한다. CEO 직속 ‘정보보호혁신 자문위원회’를 신설해 외부 전문가의 검증을 받고 접근권한과 접속키 관리, 이상징후 탐지 등 내부 보안 체계도 전면 손질할 계획이다. 피해 고객을 대상으로는 ‘해킹·안심 1년 보험’과 프리미어급 시청환경 업그레이드, 5000원 상당 포인트 등을 제공한다. 최 대표는 “충분하지는 않겠지만 피해를 입은 고객들을 위해 최선을 다해 준비했다”며 “이번 사건과 배상과 관련해서도 법에 따라 책임을 다하겠다”고 말했다.2026-09-03 18:15:56
-
티빙, 접속키 하나로 개발망·운영망 연쇄 침투…3954만 계정 유출 [경제일보] 온라인동영상서비스(OTT) 티빙에서 중복을 포함한 이용자 계정 3954만개와 소스코드 등 개발 프로젝트 361건이 유출됐다. 접속키를 소스코드에 그대로 넣어두고 개발자에게 과도한 접근 권한을 부여한 보안 관리 부실이 피해를 키운 것으로 조사됐다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 등으로 구성된 민관합동조사단은 3일 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 조사단은 개발자 단말기 9대와 보안장비, 데이터베이스(DB), 시스템 로그를 분석해 공격 경로와 피해 규모를 확인했다. ◆ 활성·휴면·탈퇴 계정까지 유출…피해자 수는 미확정 조사단이 확인한 유출 계정은 3954만697개다. 로그인 가능한 계정 2206만3021개뿐 아니라 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개까지 포함됐다. 티빙 시스템에 남아 있던 계정이 사실상 모두 유출된 것이다. 실제 피해자는 계정 수보다 적을 것으로 보인다. 한 사람이 여러 경로로 가입한 경우가 많았고, 최대 13개 계정을 가진 이용자도 확인됐다. 연계정보(CI)가 있는 1904만개 계정의 중복을 확인한 결과 약 580만개가 동일인 계정이었다. 이를 제외하면 CI로 구분되는 이용자는 약 1324만명이다. 문제는 CI가 없는 나머지 2040만개 계정이다. 이들 계정은 동일인 여부를 가려내기 어려워 현재로서는 전체 피해자 수를 확정할 수 없다. 휴면·탈퇴 회원 정보를 계속 보유한 것이 적절했는지를 포함해 정확한 피해 규모는 개인정보보호위원회가 추가 조사할 예정이다. 가입 경로별로는 네이버·카카오·애플 등 SNS 간편가입 계정이 2247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체 가입은 726만개였다. 임정규 과기정통부 정보보호네트워크정책관은 SNS 간편가입과 관련해 외부 SNS 계정까지 해킹된 것은 아니라고 설명했다. 간편가입 과정에서 티빙에 전달된 정보와 티빙이 별도로 수집한 휴대전화 번호, CI, 생년월일 등이 유출됐다는 것이다. 유출 정보는 아이디와 성명, 생년월일, 휴대전화 번호, 이메일 주소, CI 등 20개 항목·세부 유형 약 70종이다. CI 보유 계정에서는 평균 11.1개 항목, CI가 없는 계정에서는 평균 4.6개 항목이 유출됐다. 비밀번호는 일방향 암호화돼 복호화가 불가능한 상태였다. 반면 휴대전화 번호와 이메일 주소는 암호화키까지 함께 빠져나가 복호화할 수 있는 것으로 확인됐다. 조사단은 이를 사실상 평문으로 유출된 것과 같은 수준으로 판단했다. ◆ 개발키 탈취한 공격자, 운영 접속키 43개까지 확보 공격자는 5월 29일부터 31일 사이 티빙 개발자의 개발환경 접속키를 이용해 내부 시스템에 침투했다. 이 키로 전체 개발 프로젝트에 접근해 추천·검색 알고리즘과 이용자 관리·인증, 결제, 유료서비스 운영체계 등이 포함된 프로젝트 361건, 30.35GB를 빼냈다. 개발 소스코드 안에는 운영환경 접속키 43개가 숨김 처리 없이 입력돼 있었다. 이른바 ‘하드코딩’ 방식이다. 프로그램 설정값과 DB 아이디·비밀번호도 별도 암호화 없이 저장돼 공격자는 개발환경에서 운영환경까지 접근 범위를 넓힐 수 있었다. 공격자는 5월 30일 DB에 공격 도구를 삽입해 1차 유출을 시도했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 사용률이 100%까지 치솟자 티빙이 해당 작업을 차단했다. 박용규 KISA 디지털위협대응본부장은 “1차 시도 때 발생한 것은 보안 알람이라기보다 시스템 이상 알람이었다”며 “티빙이 원인을 조사하는 사이 2차 시도가 발생했다”고 설명했다. 공격자는 다음 날 별도 운영환경 접속키로 가상서버를 만들었다. CPU 사용률을 10% 이하로 유지해 과부하 경보를 피하면서 이용자 정보 24GB를 저장한 뒤 외부 서버로 전송했다. 이후 흔적을 줄이기 위해 가상서버를 삭제했다. 조사단은 개발환경 침투 이후의 이동 경로는 복원했지만 최초 개발자 접속키가 어떻게 탈취됐는지는 확인하지 못했다. 임 정책관은 “개발자 단말기 포렌식과 여러 공격 시나리오를 분석했지만 최초 탈취 경로를 확인하는 것은 불가능했다”며 “공격자와 최초 침투 경로는 경찰 수사를 통해 밝혀질 것으로 기대한다”고 말했다. ◆ 2년 전 접속키 노출 경고받고도 개선 안 해 티빙은 2024년 모의해킹에서 접속키 노출 취약점을 지적받았지만 개선하지 않았다. 접속키를 평문으로 저장하거나 사내 메신저로 공유했고, 키 발급·변경·폐기 절차도 제대로 마련하지 않은 것으로 나타났다. 개발자별 업무 범위를 구분하지 않고 모든 개발자에게 전체 프로젝트 접근 권한을 준 점도 피해를 키웠다. 업무에 필요한 만큼만 권한을 부여하는 ‘최소권한 원칙’이 적용되지 않아 접속키 하나가 전체 개발 프로젝트 유출로 이어졌다. 접근제어와 관제에도 허점이 있었다. 인가된 인터넷주소(IP)만 접속하도록 제한하거나 다중인증(MFA)을 적용하는 통제가 미흡했다. 티빙은 CPU 부하 등 시스템 상태를 주로 감시했지만 대량 정보 조회와 비정상적인 데이터 이동을 실시간으로 탐지·차단할 체계는 갖추지 못했다. 시스템 로그도 선별적으로 저장했다. 새로 도입한 가상사설망(VPN) 장비에는 기존 로그 관리정책을 적용하지 않아 접속기록이 약 6일치만 남아 있었다. 업무용 PC의 백신 설치 여부와 최신 버전 관리 등 정기적인 보안점검도 미흡했던 것으로 조사됐다. 전체 임직원 265명 가운데 개발자는 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다. 조사단은 이 인력으로 상시 보안관제와 취약점 점검, 이상행위 탐지를 수행하는 데 한계가 있었을 것으로 판단했다. ◆ CISO 보고까지 14시간…법정 신고기한도 넘겨 초동 대응도 늦었다. 5월 30일 오후 DB 서버 과부하가 발생한 뒤 정보보호 최고책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸렸다. 정보보안팀에 사고가 전달된 시점은 5월 31일 오전 10시 10분이었지만 KISA 신고는 6월 1일 오후 3시 8분에 이뤄졌다. 침해사고 인지 후 24시간 이내 신고하도록 한 정보통신망법을 위반한 것이다. 개인정보 유출 신고는 별도 절차로 진행됐다. 개인정보위는 티빙이 6월 2일 개인정보 유출 정황을 인지하고 3일 오전 2시께 신고했다고 밝혔다. 개인정보위는 안전조치와 정보 보유·파기, 이용자 통지 의무 위반 여부를 조사하고 있다. 과기정통부는 신고 지연에 대해 3000만원 이하의 과태료를 부과할 예정이다. 티빙에는 접속키 관리체계 개편과 접근권한 축소, 이상행위 탐지 강화, 보안인력·예산 확충, 로그 보관정책 개선을 요구했다. 티빙은 9월 중 재발방지 이행계획을 제출해야 한다. 정부는 2027년 1월 이행 여부를 점검하고 보완이 필요한 경우 시정조치를 명령할 방침이다. ◆ “추가 공격·다크웹 유통 아직 없어”…후속 점검 필요 소스코드 유출에 따른 위험은 남아 있다. 공격자가 인증과 결제 구조, 외부 응용프로그램 인터페이스(API), 내부 업무 로직을 분석해 새로운 취약점을 찾을 수 있기 때문이다. 접속키 폐기·재발급에 그치지 않고 유출된 코드의 취약점 점검과 주요 인증체계 교체까지 필요하다는 지적이 나온다. 임 정책관은 “소스코드 유출에 따른 취약점을 악용한 추가 공격 정황은 현재까지 확인되지 않았다”며 “이용자 피해 사례와 다크웹을 통한 불법거래·유통 정황도 탐지되지 않았다”고 밝혔다. 티빙은 홈페이지를 통해 개인정보 유출 내역 조회 페이지를 열고 사과했다. 티빙은 “회원에게 심려를 끼쳐드린 점을 깊이 사과드린다”며 이용자가 유출 여부와 항목을 개별적으로 확인할 수 있도록 했다. 한편 이용자는 티빙과 동일한 비밀번호를 다른 서비스에서도 사용했다면 함께 변경하는 것이 안전하다. 티빙이나 CJ ONE을 사칭해 본인확인·환불·보상을 내세우는 문자와 이메일의 링크도 주의할 필요가 있다. 정부 브리핑 시점까지 구체적인 피해구제와 보상 방안은 공개되지 않았다. 정확한 피해자 수와 탈퇴 회원 정보의 보유 근거, 유출된 소스코드의 교체 범위도 추가 확인이 필요한 사안으로 남았다.2026-09-03 16:42:22
-
쿠팡, 상반기 영업손실 1조원…과징금·세금·화재 '삼중 악재' [경제일보] 개인정보 유출 사태의 여파를 겪고 있는 쿠팡이 올해 상반기 1조원이 넘는 영업손실을 기록하며 수익성에 빨간불이 켜졌다. 대규모 과징금에 세무조사에 따른 추가 세금, 물류센터 화재 손실까지 잇따른 일회성 비용이 실적을 끌어내린 가운데 하반기에도 부담이 이어질 것이라는 전망이 나온다. 쿠팡Inc는 4일(현지시간) 미국 증권거래위원회(SEC)에 제출한 2분기 실적보고서를 통해 2분기 영업손실이 5억5600만달러(약 8350억원)를 기록했다고 밝혔다. 지난해 같은 기간 1억4900만 달러 흑자에서 적자로 돌아선 것이다. 1분기 영업손실 2억4200만 달러(약 3545억원)를 합하면 상반기 누적 영업손실은 7억9800만 달러(약 1조1895억원)에 달한다. 이는 2021년 뉴욕증시 상장 이후 분기 기준 최대 적자 규모다. 실적 악화의 가장 큰 요인은 개인정보 유출 사고에 따른 비용이다. 개인정보보호위원회가 부과한 6246억원 규모의 과징금과 고객 보상을 위한 이용권 지급 비용이 반영되면서 수익성이 크게 훼손됐다. 하반기에도 비용 부담은 계속될 전망이다. 쿠팡은 이날 국세청 세무조사 결과 법인세와 부가가치세 등을 포함한 약 2억800만 달러(약 3000억원)의 추가 세액을 통보 받았다고 공시했다. 회사는 과세 처분에 불복해 이의 절차를 진행할 계획이다. 최근 발생한 인천 물류센터 화재에 따른 손실도 3분기 실적에 반영된다. 재고자산과 고정자산, 판매자 재고 보상 등을 포함한 손실 규모는 약 2억4600만 달러(약 3500억원)로 추산된다. 보험 가입으로 일부 보전이 가능하지만 실제 보험금 지급까지는 시간이 걸릴 것으로 예상된다. 여기에 공정거래위원회가 조사 중인 최혜대우 요구와 끼워팔기 의혹도 남아 있어 추가 비용 발생 가능성도 배제하기 어렵다. 업계에서는 올해 연간 영업손실이 역대 최대였던 2021년(약 1조7000억원)을 넘어설 가능성도 제기하고 있다. 과거 물류 투자 확대에 따른 '계획된 적자'와 달리 과징금과 세금 등 외부 변수에 따른 비용 증가가 실적 악화의 핵심이라는 분석이다. 다만 쿠팡은 고객 지표가 회복세를 보이고 있다는 점에 기대를 걸고 있다. 2분기 프로덕트 커머스 활성 고객 수는 2470만명으로 지난해 같은 기간보다 3% 증가했고 1분기(2390만명)보다도 늘었다. 신규 고객 유입이 이어지면서 와우 멤버십 회원 수도 개인정보 유출 사고 이전 수준을 회복한 것으로 나타났다. 김범석 쿠팡Inc 의장은 실적 발표 콘퍼런스콜에서 "기존 고객의 구매 규모가 지속적으로 늘고 신규 고객도 꾸준히 유입되면서 성장을 견인하고 있다"고 말했다. 쿠팡은 계란 초저가 판매와 99원 생리대, 웰컴쿠폰 등 공격적인 프로모션도 이어가고 있다. 다만 이에 따라 프로덕트 커머스 부문의 매출총이익률은 지난해보다 2.1%포인트 하락한 30.5%를 기록했다. 회사는 확대된 마케팅 비용이 구조적인 변화가 아닌 성장 회복을 위한 단기 투자라고 설명했지만 3분기에는 추가 세금과 물류센터 화재 손실, 추석 연휴에 따른 계절적 영향까지 겹칠 것으로 예상돼 단기간 내 수익성 개선은 쉽지 않을 것으로 전망된다.2026-08-05 10:46:13
-
AI 시대 보안 경쟁력은 대응력…SK쉴더스, 탑서트 분석 공개 [경제일보] SK쉴더스가 생성형 AI 확산으로 고도화되는 사이버 위협 환경 속에서 침해사고 대응 역량의 중요성을 강조하며 실제 사고 조사 사례를 공개했다. 단순 복구를 넘어 공격 원인과 확산 경로를 규명하는 전문적인 침해사고 조사가 기업의 핵심 보안 경쟁력으로 부상하고 있다는 분석이다. 18일 SK쉴더스는 자사 침해사고 대응 전문 조직 '탑서트(Top-CERT)'의 실제 조사 경험을 바탕으로 한 기술 리포트를 발간했다고 밝혔다. 이번 보고서는 랜섬웨어와 개인정보 유출, 공급망 공격 등 실제 침해사고 사례를 재구성해 사고 이후 대응 체계의 중요성을 설명하는 데 초점을 맞췄다. 최근 기업을 겨냥한 사이버 공격은 AI 기술과 결합하며 더욱 정교해지고 있다. 공격자가 AI를 활용해 취약점 탐색과 공격 자동화를 수행하면서 랜섬웨어와 공급망 공격의 위협도 빠르게 커지는 추세다. 과학기술정보통신부와 한국인터넷진흥원(KISA)에 따르면 지난해 국내 침해사고 신고 건수는 2383건으로 2023년 1277건 대비 두 배 가까이 증가했다. 이에 보안업계에서는 예방 중심 보안 체계만으로는 한계가 있다고 보고 있다. 공격을 막는 것 못지않게 사고 발생 이후 침투 경로와 피해 범위를 정확히 규명하고 재발을 방지하는 대응 체계가 중요해진 것이다. 실제 보고서도 침해사고 조사의 핵심 가치로 사고 원인 규명, 비즈니스 연속성 확보, 피해 범위 확정, 보안 체계 고도화를 제시했다. 이번 리포트에는 랜섬웨어 공격으로 서비스가 중단된 온라인 결제 기업 사례가 포함됐다. 당시 공격자는 백업본까지 삭제한 뒤 거액의 몸값을 요구했지만 조사 과정에서 메모리에 남아 있던 복구 키를 추출해 데이터를 복구하는 데 성공했다. 이를 통해 별도의 몸값 지불 없이 원본 데이터를 복원하고 재감염 경로까지 차단할 수 있었다. 개인정보 유출 사고 대응 사례도 소개됐다. 고객정보 100만건을 보유한 이커머스 기업은 공격자가 로그를 삭제해 유출 규모를 파악하지 못한 상황이었다. 자칫 전체 고객 대상 개인정보 유출 통보와 수백억원 규모의 보상 리스크로 이어질 수 있었지만 디스크 포렌식을 통해 삭제된 압축파일과 전송 흔적을 복구한 결과 실제 유출 규모는 일부 고객 데이터 5000건 수준으로 확인됐다. 이를 통해 기업은 피해 범위를 정확히 특정하고 대응 비용과 평판 리스크를 줄일 수 있었다. 반복적인 랜섬웨어 재감염 사례에서는 단순 복구가 근본적인 해결책이 될 수 없다는 점도 확인됐다. 조사 결과 기업 내부에서는 복구가 반복됐지만 외부 웹 서버에 설치된 웹쉘이 공격자의 재침입 거점으로 활용되고 있었다. 탑서트는 최초 침투 지점을 찾아 차단하고 관리형 탐지·대응(MDR) 체계를 도입해 내부망 확산을 방지했다. 공급망 공격 사례에서는 공격자 인프라를 역추적해 유출 데이터와 공격 경로를 규명함으로써 보안 사각지대를 확인하고 대응 체계를 개선한 사례도 공개됐다. SK쉴더스는 침해사고 조사가 단순한 사고 수습 비용이 아니라 기업의 자산과 브랜드 신뢰, 비즈니스 연속성을 지키기 위한 투자라고 강조했다. 특히 AI 기반 공격 환경에서는 자동화 도구나 단편적인 로그 분석만으로는 한계가 있으며 전문 조사 조직을 통한 정밀 분석이 중요하다고 설명했다. 김병무 SK쉴더스 사이버보안부문장 부사장은 "이제 기업의 보안 경쟁력은 공격을 얼마나 잘 막느냐뿐 아니라 사고 발생 이후 얼마나 신속하고 정확하게 대응하느냐에 의해 결정된다"며 "침해사고 조사는 단순한 사고 수습 비용이 아니라 기업의 핵심 자산과 브랜드 신뢰를 지키기 위한 필수적인 투자"라고 말했다.2026-06-18 17:07:25
-
"해외 IP 로그인 감지" 문자 주의… 빗썸, 피싱 예방 가이드 공개 [경제일보] 빗썸이 정보보호의 날을 맞아 이용자를 노린 사칭 피싱 범죄 예방 활동에 나섰다. 가상자산 거래소를 사칭한 문자와 이메일, 가짜 홈페이지 등이 갈수록 정교해지는 가운데 투자자 보호와 보안 인식 제고를 강화하기 위한 조치로 풀이된다. 12일 빗썸은 사내 정보보호의 날을 맞아 이용자들이 피싱 범죄를 스스로 식별하고 대응할 수 있도록 주요 사칭 피싱 수법과 예방 수칙을 담은 가이드를 공개했다고 밝혔다. 최근 피싱 범죄는 실제 기업과 구분하기 어려울 정도로 고도화되고 있다. 거래소나 금융기관을 사칭해 '해외 IP 로그인 시도 감지' 등의 문구를 담은 문자 메시지를 발송하거나, 보안 점검을 가장한 이메일로 이용자를 유인하는 방식이 대표적이다. 또한 검색 엔진 광고나 검색 결과를 활용해 가짜 홈페이지를 노출한 뒤 이용자가 직접 계정 정보를 입력하도록 유도하는 사례도 늘고 있다. 특히 최근에는 발신자명과 디자인, 안내 문구까지 실제 서비스와 유사하게 제작돼 이용자가 진위를 판단하기 어려운 경우가 많은 것으로 알려졌다. 이에 단순한 스미싱을 넘어 계정 탈취와 개인 정보 유출, 금융 사기 등으로 이어질 가능성이 높아지고 있다. 빗썸은 피싱 공격에 노출될 경우 계정 ID와 비밀번호는 물론 SMS 인증 번호와 OTP 코드, 휴대 전화 번호, 이메일 주소, 이름, 생년월일 등 개인 정보가 유출될 수 있다고 설명했다. 또한 금융·결제 정보까지 탈취될 경우 추가 피해로 이어질 가능성도 존재한다. 특히 빗썸은 동일한 비밀번호를 여러 서비스에서 사용하는 이용자의 경우 거래소 계정 탈취를 시작으로 다른 온라인 서비스 계정까지 피해가 확산될 수 있어 각별한 주의가 필요하다고 강조했다. 계정이 탈취될 경우 자산 이동이 이뤄질 수 있으며 피해 발생 이후 복구 과정도 복잡해질 수 있기 때문에 가상자산 거래는 계정 보안이 무엇보다 중요하다. 이에 국내 가상자산 거래소들은 투자자 보호센터 운영과 이상거래 탐지 시스템 고도화, 보안 캠페인 등을 통해 이용자 보호 역량을 강화하고 있다. 빗썸은 이용자들에게 발신자 정보를 확인할 때 일부 주소만 보지 말고 전체 주소를 끝까지 확인해야 한다고 안내했다. 또한 '즉시 확인', '지금 당장 조치' 등 긴급성을 강조하는 안내 문구가 포함된 메시지는 한 번 더 의심하고, 공식 앱이나 홈페이지에서 동일한 공지가 있는지 직접 확인하는 것이 중요하다고 설명했다. 링크 클릭에도 주의가 필요하다. 링크를 누르기 전 공식 URL과 일치하는지 반드시 확인해야 하며, 가능하면 문자나 이메일 속 링크를 이용하기보다 직접 앱을 실행하거나 주소를 입력해 접속하는 것이 안전하다. 만약 의심스러운 링크를 클릭했거나 개인정보를 입력했다면 즉시 대응해야 한다. 우선 네트워크 연결을 차단하고 계정 비밀번호 변경과 2단계 인증 설정 등 보호 조치를 취해야 한다. 이어 백신 프로그램을 활용한 정밀 검사와 운영체제(OS), 주요 소프트웨어 업데이트도 필요하다. 피해가 의심될 경우에는 관련 기관 신고도 가능하다. 빗썸 계정에서 이상 거래가 확인되면 빗썸 투자자보호센터에 즉시 연락해야 하며, 해킹 및 악성코드 피해는 한국인터넷진흥원(KISA) 118 상담센터, 보이스피싱·스미싱 관련 상담은 경찰청 182 또는 112, 금융사기 신고는 금융감독원 1332를 통해 지원받을 수 있다. 빗썸 관계자는 "사칭 피싱은 진짜와 구분하기 어려울 만큼 정교해지고 있어, 발신자 주소와 공식 URL을 한 번 더 확인하는 작은 습관이 가장 확실한 예방책"이라며 "빗썸은 이용자의 자산과 개인정보를 지키기 위한 보안 안내와 보호 조치를 지속적으로 강화해 나가겠다"고 말했다.2026-06-12 14:27:46
많이 본 뉴스
영상
Youtube 바로가기
![[사설] 흔들리는 증시와 AI 대전환, 금융의 기본과 상식부터 바로 세워라](https://image.ajunews.com/content/image/2026/10/16/20261016092344750114_518_323.jpg)