2026.10.23 금요일
검색
'비밀번호' 검색결과
기간검색
-
~
검색영역
검색어
-
PHP 패치 나흘 전 이미 공격…서버 점검도 '17일 기록'부터 [경제일보] 웹사이트를 구동하는 프로그래밍 언어 PHP의 보안 패치가 공개되기 나흘 전부터 취약점을 악용하려는 공격이 포착됐다. 패치를 적용했더라도 그 이전에 서버가 침해됐는지 확인해야 하는 상황이다. 아마존은 이번 취약점의 조사 시작점을 공개일이 아닌 최초 공격 관측일인 17일로 잡으라고 권고했다. 23일 아마존웹서비스(AWS) 보안 블로그에 따르면 아마존 위협정보팀은 공격자를 유인해 활동을 관찰하는 시스템 ‘매드팟(MadPot)’에서 지난 17일 PHP 취약점 악용 시도를 확인했다. 두 취약점 ‘CVE-2026·109618’과 ‘CVE-2026·109619’의 상세 정보와 패치가 공개된 21일보다 나흘 앞선 시점이다. 공격은 상용 익명화 네트워크와 연결된 인터넷 주소에서 시작됐다. 당시 취약점 정보는 공개가 제한된 상태였다. 아마존은 공격자가 관련 정보를 어떻게 입수했는지는 파악되지 않았다고 밝혔다. 공개 당일에도 정식 발표 이전부터 추가 공격 시도가 이어졌다. 공격에 사용된 데이터와 익명화 인프라가 서로 달라 복수의 행위자가 관여했을 가능성이 있다는 게 아마존의 분석이다. 다만 관측된 시도가 실제 운영 시스템에서 침투에 성공할 수 있었는지는 기술적 분석이 진행 중이다. 공개 이후에는 공격 규모가 급격히 커졌다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 자사 네트워크에서 공식 발표 전 10시간 동안 수천건의 악용 시도가 관측됐으며, 발표 45분 뒤 수만건, 2시간 뒤 수십만건을 거쳐 수백만건으로 늘었다고 밝혔다. 이는 공격 시도 건수이며 피해 사이트나 정보 유출 건수를 뜻하지 않는다. 클라우드플레어는 별도 기술 설명에서 공격자들이 웹방화벽의 방어 규칙을 우회하려고 공격 데이터를 변형하는 모습도 확인했다고 밝혔다. 회사는 공개 전부터 방어 규칙을 적용했지만, 요청 정보만으로는 정상 접속과 공격을 구분하기 어려운 경우가 있어 서버 응답까지 함께 살폈다고 설명했다. PHP는 쇼핑몰과 게시판, 기업·공공기관 홈페이지에서 이용자 요청을 처리하는 서버용 언어다. 이번 결함은 로그인하지 않은 공격자가 서버에서 임의 코드를 실행할 수 있는 원격 코드 실행 취약점이다. 위험도는 국제 공통 취약점 평가체계(CVSS) 기준 각각 10점 만점에 9.2점이다. 해외에서는 피해 예방을 위해 서비스 접근을 차단하는 조치가 이어졌다. 일본의 노무라증권과 전일본공수(ANA), 동일본여객철도 등이 일부 인터넷 서비스를 중단했고, 핀란드에서도 정부 공공 웹서비스를 차단한 뒤 패치와 안전 점검을 진행했다. 예방적 중단과 해킹 피해에 따른 장애는 구분해야 한다. 국내에서도 과학기술정보통신부와 한국인터넷진흥원(KISA)이 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. KISA는 대표 홈페이지뿐 아니라 외주 제작 사이트, 이벤트·테스트 서버, 관리자 페이지와 PHP가 내장된 장비·솔루션까지 점검하도록 안내했다. 대응은 업데이트와 침해 조사 두 갈래다. 수정 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 적용 뒤에는 PHP 실행 서비스를 재시작하고 실제 웹서비스가 수정된 버전을 사용하는지 확인해야 한다. 임시 설정이나 웹방화벽만으로 두 취약점을 완전히 해결할 수는 없다. 접속 기록에서는 비정상적으로 큰 요청과 반복된 서버 오류, 예상하지 못한 프로그램 실행, 새로 생성되거나 변경된 PHP 파일 등을 살펴야 한다. 아마존은 최소 17일부터 조사하도록 권고했다. KISA도 20일 이후 기록 전체와 가능한 이전 기록까지 확인하고, 데이터베이스 비밀번호와 관리자 계정 등 주요 인증정보를 교체하도록 안내했다. 침해 흔적이 발견됐다면 재시작에 앞서 증거부터 보존해야 한다. KISA는 외부 접속을 차단한 뒤 신고하고 서버 기록과 실행 중인 프로그램, 네트워크 연결 정보를 확보하도록 권고했다. 이후 업데이트와 재시작, 악성파일 제거, 인증정보 교체를 진행하는 순서다.2026-10-23 10:34:32
-
내 이름 몰래 쓰려다 '추가 인증'…카카오, 명의도용 문턱 높인다 [경제일보] 다른 카카오계정에 자신의 명의가 등록되려 할 때 기존 계정에서 직접 확인하는 보안 장치가 생겼다. 이용자가 요청하지 않은 등록을 승인하지 않으면 진행을 막을 수 있다. 이미 사용하는 계정으로 명의 등록 의사를 한 번 더 확인해 도용을 예방하는 방식이다. 카카오는 이러한 기능을 담은 ‘내 명의 보호’를 도입했다고 22일 밝혔다. 같은 명의의 본인인증 정보를 다른 카카오계정에 새로 등록할 때, 해당 명의가 등록된 기존 계정을 통해 추가 인증을 거치도록 했다. 추가 인증은 기존 계정으로 받은 카카오톡 메시지에서 ‘허용하기’를 누르거나, 해당 계정의 이메일로 발송된 인증번호를 입력하는 방식이다. 본인이 새 계정에 명의를 등록하려는 경우에는 인증을 진행하고, 자신이 요청하지 않은 경우에는 승인하지 않아 등록을 차단할 수 있다. 설정은 카카오톡의 ‘설정→카카오계정→계정보안→내 명의 보호’에서 할 수 있다. 카카오계정 홈페이지의 계정보안 메뉴에서도 설정하거나 해제할 수 있다. 이번 기능은 계정에 접속하는 사람을 확인하는 기존 로그인 보안에 명의 등록 과정의 확인 절차를 더했다는 점에서 의미가 있다. 비밀번호를 지키는 것과 함께, 자신의 본인인증 정보가 다른 계정에 사용되는 과정도 관리하도록 한 것이다. 명의 보호가 필요한 배경에는 개인정보와 인증정보를 노리는 사칭 수법이 있다. 카카오는 공식 안전 가이드에서 이벤트 당첨이나 서비스 대행, 지인의 도움 요청을 가장해 계정 정보를 받아낸 뒤 탈취한 계정을 광고성 메시지 발송 등에 악용하는 사례를 경고하고 있다. 운영정책에는 고객센터를 사칭하거나 본인 확인을 명분으로 계정 정보를 요구하는 행위도 금지 대상으로 명시했다. 이런 환경에서는 실제 인증 메시지를 받았더라도 자신이 시작한 절차인지 확인하는 것이 중요하다. 타인의 요청에 따라 무심코 등록을 허용하거나 인증번호를 넘기면 추가 확인 절차의 보호 효과가 떨어질 수 있다. 카카오는 안전 가이드에서 비밀번호와 카카오톡 인증번호 등을 제3자에게 공유하지 말라고 안내한다. 명의 보호와 함께 기존 계정의 접속 보안을 관리할 수 있는 수단도 제공된다. 2단계 인증은 아이디와 비밀번호 입력 후 미리 설정한 추가 인증을 요구한다. 국가별 로그인 제한을 설정하면 허용한 국가에서만 로그인할 수 있다. 카카오는 2024년 11월 비밀번호 대신 지문·얼굴 인식이나 기기 잠금 해제로 인증하는 패스키 로그인도 도입했다. 이번 명의 보호 기능까지 더해지면서 이용자는 로그인과 명의 등록 단계에 각각 보안 장치를 설정할 수 있게 됐다. 추가 인증을 받는 기존 계정과 이메일의 보안도 함께 관리할 필요가 있다. 카카오 관계자는 “‘내 명의 보호’는 이용자가 자신의 명의 등록 과정을 직접 확인하고 관리할 수 있도록 마련한 기능”이라며 “앞으로도 이용자가 카카오계정을 보다 안전하게 이용할 수 있도록 계정 보안 기능을 지속적으로 강화해 나가겠다”고 밝혔다.2026-10-22 11:27:41
-
![[AI 스마트홈 격전] 가전 넘어 집 전체로…삼성·LG, 플랫폼 주도권 다툼](https://image.ajunews.com//content/image/2026/10/19/20261019170615731435.png)
가전 넘어 집 전체로…삼성·LG, 플랫폼 주도권 다툼 [경제일보] 삼성전자와 LG전자의 인공지능(AI) 경쟁이 개별 가전 성능을 넘어 집 전체를 관리하는 스마트홈 플랫폼으로 확대되고 있다. 여러 기기를 연결해 생활 패턴을 분석하고 에너지 관리와 가족 돌봄까지 제공하는 서비스가 차별화 요소로 부상하면서다. 양사는 스마트싱스와 씽큐를 중심으로 생태계를 넓히고 있으며, 글로벌 빅테크와의 플랫폼 경쟁도 치열해지고 있다. ◆ 삼성은 통합 생태계·LG는 맞춤형 서비스…AI홈 공략 차별화 삼성전자는 스마트싱스를 중심으로 갤럭시 스마트폰과 TV, 냉장고, 세탁기 등 다양한 제품을 하나의 생태계로 묶는 전략을 추진하고 있다. 스마트싱스의 전 세계 등록 이용자는 올해 6월 기준 4억6000만명을 넘어섰으며, 390개 이상의 협력사와 4700종 이상의 기기를 지원하고 있다. 폭넓은 자체 제품군과 외부 기기 연동 능력을 바탕으로 플랫폼 영향력을 확대하고 있다. 스마트싱스의 '패밀리 케어'는 떨어져 사는 가족의 활동 알림과 복약·통원 일정 관리 등을 지원하고, 'AI 절약 모드'는 지원 가전의 에너지 소비를 관리한다. 삼성전자는 갤럭시의 개인화 브리핑 기능인 '나우 브리프'에 스마트싱스 주요 기능을 연동했다. 이를 TV와 패밀리허브 냉장고에도 순차적으로 확대해 모바일에서 제공하던 서비스를 집 안의 다양한 기기에서 활용하도록 하고 있다. 지난달 독일 베를린에서 열린 IFA 2026에서는 모바일과 가전, TV를 결합한 'AI 리빙'을 강조했다. 비스포크 AI 패밀리허브는 식재료를 인식하고 관리하며 조리법을 추천하는 기능을 제공한다. 2026년형 TV에도 대화형 AI 기반의 '비전 AI 컴패니언'을 적용해 콘텐츠 관련 정보 탐색과 개인화된 서비스를 강화했다. LG전자는 씽큐를 기반으로 생활가전 운영 경험과 AI 에이전트를 결합하고 있다. IFA 2026에서 공개한 '씽큐 클로'는 AI홈 허브 '씽큐 온'에 탑재되는 실행형 AI 에이전트다. 문자 대화로 사용자의 의도와 생활 패턴을 파악하고 연결된 기기와 서비스를 조정한다. 귀가 일정에 맞춰 실내 환경을 관리하거나 손님 방문을 준비할 때 조리기기 사용을 지원하는 등 개인화된 AI홈 서비스 구현에 초점을 맞추고 있다. LG전자는 2024년 인수한 애트홈의 스마트홈 플랫폼 '호미(Homey)'를 활용해 외부 제조사 제품과의 연동 범위도 넓히고 있다. 호미는 5만개 이상의 사물인터넷(IoT) 기기 연동을 지원하며, 스마트 계량기와 태양광 설비, 가정용 배터리, 전기차 충전기 등을 가전과 연동하는 에너지 관리 시스템에도 활용된다. 공동주택과 상업시설의 가전·공조·에너지 설비를 통합 관리하는 '씽큐 프로'를 통해 기업 간 거래(B2B) 시장 공략도 강화하고 있다. LG전자는 제품 구매 이후에도 소프트웨어 업데이트로 새로운 기능을 추가하는 '씽큐 업'과 가전 상태를 분석해 이상 징후 및 관리 정보를 제공하는 '씽큐 케어'를 운영하고 있다. 두 서비스는 지난해 유럽 시장에 선보인 '씽큐 AI' 플랫폼에도 통합됐다. 제품 판매 이후에도 기능 개선과 유지관리 서비스를 제공해 고객과의 접점을 지속적으로 확보하는 전략이다. ◆ 빅테크와 경쟁·협력 확대…수익화·보안 관건 스마트홈 시장에서는 애플과 구글, 아마존 등 글로벌 빅테크의 영향력도 커지고 있다. 이들은 모바일 운영체제와 음성비서, 클라우드 서비스를 기반으로 가정 내 이용자 접점을 확대하고 있다. 삼성전자와 LG전자 역시 가전제품 판매 이후에도 고객이 자사 플랫폼을 지속적으로 이용하도록 유도해야 하는 상황이다. 최근 LG전자와 애플은 스마트홈 기기 공동 개발에 나서며 각자의 플랫폼을 유지하면서도 기기 연동 범위와 글로벌 고객 기반을 확대하고 있다. 양사는 지난 14일 카메라와 도어락, 온도 조절기 등 공동 개발한 사물인터넷(IoT) 기기 7종을 공개했다. 신제품은 씽큐와 애플 생태계에 모두 연동되며 연내 미국과 캐나다, 영국에 우선 출시될 예정이다. 공동 개발 제품은 LG전자 브랜드로 출시되며 LG전자가 제조와 판매, 고객 지원을 담당한다. 플랫폼 경쟁의 성과를 수익으로 전환하는 것은 과제다. 삼성전자의 영상디스플레이(VD)·생활가전(DA) 사업부는 올해 2분기 100억원의 영업손실을 기록했다. 부품 원가 상승과 시장 성장 정체 등으로 기존 제품 사업의 수익성이 악화된 가운데 새로운 사업 모델을 확대하고 있다. 삼성전자는 제품 판매와 유지관리 서비스를 결합한 '삼성 AI 구독' 사업을 강화하고 있다. 지난달 모바일을 제외한 AI 가전 구독 매출이 1조원 달성을 앞두고 있다고 밝혔다. 이와 별도로 기업용 통합 관리 플랫폼 스마트싱스 프로를 통해 공동주택과 호텔, 상업시설 등의 가전·공조·에너지 설비를 원격으로 관리하는 기업 간 거래(B2B) 사업을 추진하고 있다. LG전자는 구독 사업을 통해 제품 판매 이후의 매출 기반을 확대하고 있다. 지난해 제품과 서비스를 결합한 구독 매출은 2조5000억원에 육박해 전년 대비 29% 증가했다. 올해 2분기에도 6600억원으로 5% 늘었다. 보안 기술 확보에도 투자를 이어가고 있다. 삼성전자의 '녹스 매트릭스'는 스마트싱스로 연결된 기기들이 서로의 보안 상태를 점검하고 외부 위협을 탐지·차단하는 기술이다. '녹스 볼트'는 비밀번호와 인증 정보 등 민감한 데이터를 별도 보안 하드웨어에 저장한다. 올해 출시한 2026년형 비스포크 AI 스팀에는 두 기술을 적용하고 카메라로 촬영한 이미지와 영상 데이터에 종단 간 암호화 기술을 도입했다. LG전자는 자체 보안 시스템 'LG 쉴드'를 AI홈 허브 씽큐 온에 적용하고 있다. 개인정보 등 민감한 데이터를 암호화하고 암호화 키를 분리된 공간에 저장하는 방식이다. 외부에서 작동 코드나 데이터를 변조하지 못하도록 보호하고 위협·침입을 실시간으로 탐지해 차단하는 기능도 갖췄다. 애플 협력 IoT 기기 7종에도 LG 쉴드와 애플의 데이터 암호화 기술을 함께 적용했다. 업계 관계자는 "스마트홈 시장에서는 연결 기기 수보다 서로 다른 제조사의 제품을 얼마나 안정적으로 제어하고 관리할 수 있는지가 중요해지고 있다"며 "글로벌 빅테크와의 협력을 통해 자사 제품 중심의 생태계를 넘어 다양한 기기와 서비스를 확보하는 기업이 향후 AI홈 시장에서 주도권을 쥘 가능성이 크다"고 했다.2026-10-19 17:18:59
-
할리스, 멤버십 해킹으로 고객 개인정보 유출…피해 규모 파악 중 [경제일보] 커피전문점 할리스의 멤버십 시스템에 외부 비인가 접근이 발생해 고객 개인정보가 유출된 것으로 확인됐다. 아이디와 비밀번호를 비롯해 이름·전화번호·주소 등 다수의 정보가 유출 대상에 포함됐지만 정확한 피해 고객 규모와 정보 악용 여부는 아직 확인되지 않았다. 19일 커피업계에 따르면 할리스는 지난 16일 멤버십 시스템에서 외부의 비인가 접근으로 고객 개인정보가 유출된 사실을 확인하고 같은 날 오후 9시36분께 홈페이지를 통해 이를 공지했다. 유출 대상은 2020년 2월 11일 이전 할리스 멤버십에 가입한 고객이다. 유출된 정보에는 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일을 비롯해 중복가입확인정보(DI)와 서비스 이용 관련 정보 등이 포함됐다. DI는 온라인 서비스에서 이용자가 동일인인지 확인하는 데 사용하는 식별정보다. 다만 할리스는 현재까지 개인정보가 유출된 고객이 정확히 몇 명인지 공개하지 않았다. 외부로 유출된 정보가 실제 부정 사용이나 추가 피해로 이어졌는지도 확인되지 않은 상태다. 할리스는 지난달 3일부터 이달 7일 사이 외부 해킹으로 개인정보가 유출된 것으로 추정하고 있다. 이에 비인가 접근 경로를 차단하고 인증 절차를 강화하는 한편 비정상적인 로그인 시도에 대한 모니터링도 확대했다. 관계기관 신고와 조사 협조도 진행하고 있다. 할리스는 사고 원인과 피해 범위를 추가로 파악하면서 고객 정보 보호와 피해 최소화를 위한 후속 조치에 나선다는 방침이다. 고객들에게는 멤버십 계정 비밀번호를 즉시 변경하고 같은 아이디와 비밀번호를 사용하는 다른 서비스의 비밀번호도 함께 바꿀 것을 당부했다. 개인정보 유출을 악용한 피싱 등 2차 피해 가능성에 대비해 출처가 불분명한 전화와 문자, 이메일에 응답하거나 포함된 링크를 누르지 말 것도 안내했다. 특히 할리스는 문자메시지를 통해 링크를 보내거나 비밀번호와 금융·결제 정보를 요구하지 않는다며 관련 내용을 요구하는 연락에 주의해야 한다고 강조했다. 할리스는 "이번 사고로 고객 여러분께 심려를 끼쳐드린 점 깊이 사과드린다"며 "고객 정보 보호와 피해 최소화를 위해 최선을 다하겠다"고 밝혔다. 개인정보 유출 사실이 알려진 가운데 지난 18일에는 할리스 모바일과 PC 홈페이지가 한때 접속되지 않는 현상도 발생했다. 다만 해당 접속 장애와 이번 개인정보 유출 사고의 연관성은 확인되지 않았다. 최근 기업을 대상으로 한 개인정보 침해 사고가 잇따르는 상황에서 일상적으로 이용하는 커피전문점 멤버십에서도 개인정보 유출이 발생하면서 기업의 고객정보 관리와 보안 체계 강화 필요성이 다시 제기될 것으로 보인다.2026-10-19 10:11:53
-
5대 은행장 '해킹 국감'…보안 구멍·피해보상 직접 답한다 [경제일보] 금융권 연쇄 해킹 사태의 책임을 묻기 위해 5대 은행장이 19일 국정감사 증인석에 선다. 고객정보 유출 경위와 보안 투자, 사고 이후 피해 구제가 핵심 쟁점이다. 금융당국 점검에서 보안패치와 인증체계의 허점이 드러난 만큼, 경영진이 위험을 보고받고 실제 개선으로 연결했는지도 검증 대상에 올랐다. 18일 국회와 금융권에 따르면 이환주 KB국민·정상혁 신한·이호성 하나·정진완 우리·강태영 NH농협은행장이 국회 정무위원회의 금융감독원 국감에 일반 증인으로 출석한다. 5대 은행장이 함께 증인으로 채택된 것은 횡령과 내부통제가 쟁점이었던 2022년 이후 4년 만이다. 이번 사태는 고객이 이용하는 인터넷·모바일뱅킹뿐 아니라 외부에서 접속하는 업무지원 시스템까지 보안 관리가 필요한 이유를 드러냈다. 신한은행의 대출모집인용 조회 서비스, 국민은행의 직원용 모바일 업무지원 시스템, 하나은행의 영업지원시스템에서 정보 유출이 발생했다. 우리·농협은행은 공격 시도를 차단했으며, 두 은행의 정보 유출은 확인되지 않은 것으로 전해졌다. 금융위는 지난 14일 신한은행 사고 전후로 침해사고가 확인된 금융사가 16곳, 유출 정보가 약 10만건이라고 밝혔다. 이는 은행·저축은행·가상자산사업자 등을 합친 수치다. 사고 간 연관성과 동일 공격자 여부, AI 활용 가능성은 정밀 조사 중이다. 전 금융권 555개사의 체크리스트 점검에서는 130개사가 미흡사항을 보고했다. 최신 보안패치 미적용, 기술지원이 끝난 시스템의 관리 부실, 24시간 관제 미구축, 외부 접점의 인증·접근권한 관리 누락 등이 확인됐다. AI 공격 대응과 함께 기존 보안조치의 이행 여부를 따져야 하는 배경이다. 신진창 금융위 사무처장은 14일 회의에서 “금융회사에서 기본적인 부분이 잘 지켜지지 않는 사례가 발견된 것은 매우 뼈아픈 부분”이라고 지적했다. 보안 예산도 편성과 집행을 나눠 볼 대목이다. 이양수 국민의힘 의원이 금감원에서 받은 자료에 따르면 5대 은행과 인터넷은행 3곳의 지난해 정보보호 예산은 3978억원, 집행액은 2744억원이었다. 집행률은 69.0%다. 국감에서는 예산 확대 계획과 함께 은행별 미집행 사유, 취약점 보고 이후의 조치 경위도 쟁점이 될 전망이다. 고객에게는 정보 유출 이후의 대응이 더 절박하다. 당국은 14일 기준 계좌 비밀번호·카드번호 등 직접적인 부정결제 우려가 있는 정보 유출은 확인되지 않았다고 밝혔다. 그러나 이름과 연락처, 소득·대출한도 등을 조합하면 은행 직원을 사칭한 맞춤형 대출 사기에 악용될 수 있다. 금융당국은 지난 6일부터 한 달간 2차 피해 특별대응기간을 운영하고 전담 상담창구와 고위험 거래 감시를 강화하도록 했다. 국민·하나은행은 정보 유출로 실제 고객 피해가 발생하면 전액 보상하겠다는 방침도 밝혔다. 보상 약속과 별개로 피해 신고 접수, 사고와의 연관성 확인, 지급까지의 절차가 국감에서 다뤄질 전망이다. 연합뉴스는 은행들이 주말에도 예상 문답과 후속 조치를 점검했다고 전했다. 한 은행 관계자는 연합뉴스에 “은행의 재발 방지 의지와 개선책을 설명하고, 잃어버린 신뢰를 다시 쌓아나가는 시작점이 되기를 기대한다”고 말했다. 5명의 행장은 모두 연말 임기가 만료된다. 이번 국감은 사고 예방과 사후 대응에 대한 경영 평가가 연말 인사와 맞물리는 자리이기도 하다. 당국은 대형 금융회사부터 취약점 점검·평가를 연 2회 이상으로 확대하고 중요 외부 접점을 필수 점검대상에 넣는 방안을 추진한다. 은행이 자체 파악한 위협정보의 공동 공유와 CEO·정보보호책임자 등의 보고체계·책임범위 정비도 추진 과제에 포함했다.2026-10-18 14:05:57
-
"내 정보 안다고 믿었다간"…빗썸, 유출 정보 악용한 2차 사기 경고 [경제일보] 이름과 휴대전화번호, 과거 이용 내역까지 정확히 안다고 정상적인 연락은 아니다. 다른 서비스에서 유출된 정보가 금융회사·거래소 직원을 사칭하는 재료로 쓰이고, 피해 예방이나 보상을 명목으로 추가 정보를 빼내는 사기로 이어질 수 있기 때문이다. 빗썸은 이러한 ‘개인정보 유출 이후의 2차 사기’를 주제로 10월 정보보호 캠페인을 진행한다고 16일 밝혔다. 이미 노출된 정보를 악용해 이용자의 경계심을 낮춘 뒤 계정과 자산에 접근하는 수법을 알리고, 대응 요령을 안내한다. 캠페인이 주목한 것은 실제 정보와 거짓 안내를 섞는 방식이다. 사기범은 이름·이메일·과거 주문번호·이용 서비스명 등을 제시한 뒤 “유출 보상 대상”이라거나 “보안 점검이 필요하다”고 접근한다. 상대가 자신을 잘 안다는 인상을 줘 가짜 로그인 페이지 접속, 원격제어앱 설치, 자금 이체를 유도한다. 유출된 정보를 두 가지 경로로 악용할 수 있다는 점도 문제다. 개인정보는 사칭 연락의 신뢰도를 높이는 데 쓰이고, 아이디·비밀번호 조합은 다른 서비스의 로그인에 반복 대입된다. 여러 사이트에서 같은 비밀번호를 쓰면 한 곳의 정보 노출이 다른 계정의 탈취로 번질 수 있다. 유출된 인증정보를 다른 서비스에 대입하는 공격을 ‘크리덴셜 스터핑’이라고 한다. 금융당국도 같은 위험을 경고하고 있다. 금융위원회는 지난 6일 금융권 개인정보 유출에 따른 보이스피싱·스미싱 소비자경보 ‘주의’를 발령했다. 당시 비밀번호·일회용 비밀번호(OTP) 정보가 유출되지 않았더라도, 성명과 주소 등 노출된 정보를 결합한 맞춤형 사기에 유의해야 한다고 설명했다. 이는 비밀번호를 바꾸는 조치와 사칭 연락을 가려내는 대응이 함께 필요하다는 뜻이다. 금융당국은 금융회사에 한 달간 2차 피해 특별대응기간과 피해 고객 전담 창구를 운영하고, 유출 정보를 결합한 이상거래탐지시스템(FDS) 대응도 강화하도록 지도했다. 빗썸은 보상이나 보안 점검 안내를 받으면 메시지 속 링크 대신 평소 쓰던 공식 앱·홈페이지에서 직접 확인할 것을 권고했다. 비밀번호는 다른 사이트와 겹치지 않게 설정하고, 노출된 비밀번호와 같거나 유사한 조합을 쓰는 서비스도 함께 변경하도록 안내했다. 계정에는 ‘2채널 인증’ 등 추가 인증 기능을 설정할 수 있다. 비밀번호만 알아서는 로그인하기 어렵게 만드는 장치다. 다만 사칭 사이트에 인증번호까지 직접 입력하면 추가 정보가 넘어갈 수 있어, 인증 기능을 켜는 것과 별개로 비밀번호·OTP·인증코드를 타인에게 전달하지 않는 것이 중요하다. 개인정보보호위원회와 한국인터넷진흥원(KISA)의 ‘털린 내 정보 찾기’에서는 계정정보의 불법 유통 여부를 조회할 수 있다. 명의도용 금융거래가 우려되면 금융회사의 안심차단서비스도 활용할 수 있다. 여신거래, 비대면 계좌개설, 오픈뱅킹 차단은 각각 대상이 다른 서비스이므로 필요한 항목을 확인해 신청해야 한다. 이미 의심스러운 프로그램을 설치했다면 감염 기기의 와이파이·모바일데이터 연결부터 끊어 추가 유출과 원격제어를 막아야 한다. 이후 감염되지 않은 별도 기기로 비밀번호 변경과 추가 인증 재설정, 발급한 API 키 삭제, 출금 주소·거래 내역 점검 등을 진행하도록 빗썸은 안내했다. 이상 거래는 빗썸 고객센터에 즉시 알리고 계정 보호 조치를 요청할 수 있다. 은행 계좌로 사기 자금을 송금했다면 경찰 112나 해당 금융회사에 지급정지를 요청해야 한다. 빗썸 관계자는 “개인정보는 한 번 유출되면 시간이 지난 뒤에도 다시 악용될 수 있어, 상대방이 내 정보를 알고 있다는 이유만으로 신뢰해서는 안 된다”고 말했다.2026-10-16 09:30:51
-
삼성전자 제품 3종, 옆 시선 막고 식재료 읽는다…美 타임지 '최고의 발명품' 선정 [경제일보] 옆 사람에게 스마트폰 화면이 보이는 불편, 냉장고 속 식재료를 일일이 확인하는 수고, 게임 화질과 화면 속도 사이의 선택. 삼성전자가 이런 사용상의 문제를 겨냥한 제품 3종으로 미국 시사주간지 타임의 ‘2026 최고의 발명품’에 이름을 올렸다. 삼성전자는 갤럭시 S26 울트라, 비스포크 AI 패밀리허브 냉장고, 오디세이 G8 게이밍 모니터가 각각 소비자 가전, 생활가전, 엔터테인먼트·게이밍 부문에 선정됐다고 16일 밝혔다. 타임은 독창성, 효과, 도전성, 영향력 등을 기준으로 올해 발명품 300개를 선정했다. 갤럭시 S26 울트라에서 주목받은 기능은 ‘프라이버시 디스플레이’다. 디스플레이가 빛을 내보내는 방식을 제어해 측면에서 화면 내용을 보기 어렵게 한다. 별도 사생활 보호 필름을 붙이는 대신 필요할 때 기능을 켜는 방식이다. 화면 전체뿐 아니라 특정 앱이나 비밀번호 입력, 팝업 알림 등에 맞춰 설정할 수 있다. 이동 중 업무 자료나 개인 메시지를 확인할 때 노출 범위를 이용자가 선택하도록 한 것이다. 다만 삼성전자는 각도와 밝기 등 환경에 따라 일부 정보가 보일 수 있다고 안내한다. 비스포크 AI 패밀리허브 냉장고는 내부 카메라로 식재료를 인식하고 목록을 관리하는 ‘AI 비전’이 평가받았다. 구글 제미나이를 결합해 신선식품에서 가공식품까지 인식 범위를 넓혔으며, 손으로 적은 용기 라벨도 읽는다. 보관 중인 재료를 파악해 장보기와 요리 추천으로 연결하는 데 초점을 맞췄다. 삼성전자가 지난 3월 공개한 국내 신제품은 기존에 신선식품 37종, 가공·포장식품 50종으로 제한됐던 인식 범위를 확대했다. 식품을 직접 등록하는 번거로움을 줄여 냉장고의 관리 기능을 실제 식생활에 활용하도록 한 변화다. 구매 이후에도 기능을 개선한다. 삼성전자는 지난 5월 미국 내 일부 기존 패밀리허브 냉장고에 소프트웨어 업데이트로 강화된 AI 비전을 제공하기 시작했다. 새 하드웨어로 교체하지 않아도 식재료 관리 기능을 높이는 방식이다. 지원 기능과 업데이트 일정은 국가·모델에 따라 다르다. AI 비전에는 와이파이 연결과 삼성 계정이 필요하며 냉동실 식품은 인식 대상에서 제외된다. 인식하지 못한 식품이나 잘못 작성된 목록은 이용자가 확인·수정해야 한다. 오디세이 G8은 32형 G80HS 모델이 선정됐다. 6K(6144×3456) 해상도에서 최대 165Hz를 지원하며, 듀얼 모드로 전환하면 해상도를 3K로 낮추는 대신 최대 330Hz로 작동한다. 주사율은 화면을 1초에 갱신하는 횟수로, 높을수록 빠른 움직임을 부드럽게 표현하는 데 유리하다. 정밀한 배경 묘사가 중요한 게임에서는 고해상도를, 빠른 반응이 필요한 슈팅·레이싱 게임에서는 고주사율을 선택할 수 있다. 타임도 선명한 화질과 경쟁 게임에 필요한 속도를 같은 모니터에서 전환해 쓸 수 있다는 점을 소개했다.2026-10-16 08:49:51
-
배달대행사 자체 사이트서 라이더 201명 개인정보 노출…배민 "당사 서비스 아냐" [경제일보] 국내 한 배달대행 업체가 자체 운영한 것으로 추정되는 사이트에서 라이더 약 201명의 개인정보가 별도 인증 절차 없이 외부에 노출된 정황이 확인됐다. 배달의민족 운영사 우아한형제들은 해당 사이트가 자사가 제공하거나 관리하는 서비스가 아니며, 해당 업체와 개인정보 위수탁 관계도 없다고 밝혔다. 15일 업계에 따르면 국내 배달대행 A업체가 운영하는 것으로 추정되는 사이트에서 라이더 약 201명의 이름과 전화번호가 담긴 데이터 폴더가 별도의 로그인 절차 없이 외부에서 접근 가능한 상태였던 것으로 파악됐다. 해당 사이트는 라이더가 이름과 전화번호 끝자리, 비밀번호 등을 입력해 자신의 배달 실적을 확인할 수 있도록 만든 서비스다. 다만 이용자 인증이 필요한 실적 조회 화면과 달리 개인정보가 저장된 일부 데이터 폴더에는 별도의 인증 절차 없이 접근할 수 있었던 것으로 전해졌다. 특히 별도의 해킹 프로그램이나 전문적인 기술 없이 웹주소에 특정 경로를 추가하는 방식으로 해당 정보에 접근할 수 있었던 것으로 알려졌다. 이에 따라 사이트 운영 과정에서 개인정보에 대한 접근 통제와 보안 설정이 충분히 이뤄지지 않았을 가능성이 제기된다. 이번 사안이 알려지자 우아한형제들은 배달의민족이 직접 운영하거나 관리하는 시스템에서 발생한 사고는 아니라는 입장을 내놨다. 우아한형제들은 "이번 사안은 특정 배달대행사에서 라이더 관련 정보를 자체 조회하기 위해 개별적으로 만든 사이트에서 발생한 것으로 파악되며 현재 해당 사이트는 폐쇄됐다"고 설명했다. 이어 "이 사이트는 배달의민족이 제공하거나 관리하는 서비스가 아니며 해당 대행사는 당사와 개인정보 위수탁 관계가 아니다"라고 밝혔다. 이에 따라 이번 개인정보 노출 정황은 배달 플랫폼이 직접 운영하는 서비스보다는 외부 배달대행 업체가 자체적으로 구축한 시스템의 관리 문제에 초점이 맞춰질 전망이다. 배달대행 업체는 통상 배달 플랫폼의 주문을 수행하기 위해 라이더 모집과 배차, 정산, 관리 등의 업무를 맡는다. 이 과정에서 라이더 관련 정보를 별도로 관리하는 경우가 있는 만큼 외부 협력사의 개인정보 보호와 시스템 보안 수준을 점검할 필요성도 제기된다.2026-10-15 14:06:08
-
LG전자·애플, 공동 개발 IoT 기기 7종 공개…12월부터 순차 출시 [경제일보] LG전자가 애플과 공동 개발한 사물인터넷(IoT) 기기 7종을 공개했다. 카메라와 도어락, 온도조절기 등을 애플 기기와 연결해 주거 공간을 관리하는 제품으로, 미국과 캐나다에서 오는 12월부터 순차 출시한다. 14일 LG전자에 따르면 양사는 13일(현지시간) 미국 뉴욕 맨해튼에서 신제품 발표 행사를 열었다. 공개한 제품은 실내 카메라, 투광조명 탑재 여부에 따른 실외 카메라 2종, 도어벨, 도어락, 온도조절기, 온도 센서다. 미국과 캐나다에서는 일부 제품을 2027년 초부터 판매한다. 영국에는 실내·외 카메라와 도어벨을 오는 12월부터 출시할 예정이다. 양사는 초기 제품 기획부터 하드웨어와 소프트웨어, 사용자 경험을 공동 개발했다. 신제품은 애플 홈과 LG전자의 가전 플랫폼 ‘씽큐’ 앱을 지원한다. 사용자는 아이폰으로 기기를 등록하고 집 밖에서도 상태를 확인하거나 제어할 수 있다. LG전자는 기존 가전 중심의 AI홈 서비스에 출입 관리와 실내·외 모니터링 기능을 더한다는 계획이다. 온도조절기는 사용자의 귀가·외출·취침 상태에 맞춰 냉난방을 조절한다. 별도 온도 센서를 다른 방에 설치하면 여러 공간의 온도와 습도를 확인할 수 있다. 도어락은 초광대역 무선통신(UWB) 기술을 활용해 사용자의 위치와 접근 방향을 인식한다. 홈 키를 설정한 호환 아이폰이나 애플워치를 소지하고 문에 다가가면 잠금이 자동으로 해제된다. 비밀번호와 물리적 열쇠 등으로도 문을 열 수 있다. 문 열림이나 훼손 시도를 감지하면 사용자에게 알림을 보낸다. 카메라 제품은 사람과 반려동물, 차량 등을 구분해 알림을 제공한다. 도어벨에는 방문자와 문 앞 택배를 각각 확인할 수 있는 전면·하단 카메라를 적용했다. 투광조명을 갖춘 실외 카메라는 움직임을 감지하면 주변을 비춘다. 실내 카메라는 가족 구성원이 귀가하면 렌즈 방향을 아래로 돌려 모니터링을 중단한다. 사용자가 직접 카메라 각도를 조절하거나 앱에서 제어할 수도 있다. 제품 이용에는 홈팟과 애플 TV 4K, 홈뷰 등 애플 홈 허브가 필요하다. 지원 기능과 호환 범위는 제품 모델과 국가에 따라 달라진다. 카메라의 이벤트 영상 기록을 아이클라우드에 저장하려면 아이클라우드 플러스를 구독해야 한다. 영상 요약과 자연어 검색 기능도 지원 기기와 구독 요금제 등의 조건을 충족해야 사용할 수 있다. 양사는 애플 홈 앱의 카메라 영상과 개인정보에 종단간 암호화를 적용한다고 밝혔다. LG전자는 이번 공동 개발 제품을 통해 가전과 IoT 기기를 연결하는 서비스 범위를 넓힐 방침이다.2026-10-14 14:00:46
-
"거래·출금 안 한다"는 말에 속지 마세요…두나무 API 키 주의보 [경제일보] 가상자산 거래소 계정을 노리는 사기 수법이 아이디·비밀번호를 직접 빼내는 방식에서 이용자에게 API 키를 넘기도록 유도하는 방식으로 확산하고 있다. 소셜미디어(SNS)에서는 '거래나 출금은 하지 않고 시장 데이터만 조회하겠다'며 업비트 계정이나 읽기 전용 API 키를 대여해 달라는 요구까지 등장했다. 10일 디지털자산 거래소 업비트를 운영하는 두나무에 따르면 최근 SNS를 중심으로 '원화(KRW) 마켓에 접근할 수 있는 업비트 계정'이나 '읽기 전용 API 키를 대여·구매한다'는 내용의 메시지가 확산하고 있다. 이들은 입출금이나 거래에는 관여하지 않고 시장 데이터 조회에만 사용한다며 계정이나 API 키 제공을 요구하는 것으로 알려졌다. 문제는 일반적인 시장 데이터 조회라면 애초에 이용자의 인증 API 키가 필요하지 않다는 점이다. 업비트의 시세·마켓 데이터는 인증 없이 접근할 수 있는 공개형 API를 통해 제공된다. 따라서 단순히 시장 데이터를 확인하기 위해 타인의 계정이나 인증 API 키를 요구한다는 설명은 정상적인 데이터 이용 목적과 맞지 않는다. API 키는 거래소 계정에 프로그램 방식으로 접근할 수 있도록 발급되는 인증정보다. 권한 설정에 따라 자산과 주문, 입출금 관련 정보를 조회하거나 거래 기능을 사용할 수 있어 아이디·비밀번호와 별개로 중요한 보안 수단으로 취급된다. 이용자가 이를 타인에게 넘길 경우 계정에 대한 통제권 일부를 외부에 넘기는 것과 마찬가지인 것이다. 특히 '읽기 전용'이라는 표현이 이용자의 경계심을 낮추는 수단으로 활용될 수 있다는 점이 문제로 꼽힌다. 거래나 출금 권한이 없다는 설명만으로 안전하다고 판단하기 쉽지만, 어떤 정보에 접근할 수 있는지와 해당 정보가 다른 공격으로 어떻게 활용될 수 있는지는 별개의 문제다. 공격자가 계정 정보나 거래 내역 등을 확보한 뒤 추가적인 피싱이나 사회공학 공격에 활용할 가능성도 배제하기 어렵다. 가상자산 거래에서 API 활용도가 높아지고 있다는 점도 공격자들이 API 키를 노리는 배경으로 분석된다. API는 자동매매 프로그램이나 자산관리 서비스, 거래 데이터 분석 등 정상적인 목적으로도 널리 사용된다. 이 때문에 일반 이용자 입장에서는 'API 키를 빌려달라'는 요구를 처음부터 사기나 해킹 시도로 인식하기 어려울 수 있다. 거래소 입장에서도 API가 새로운 보안 경계로 떠오르고 있다. 기존 계정 보안이 로그인 과정의 아이디·비밀번호와 다중인증 등을 중심으로 이뤄졌다면 API는 프로그램이 계정에 직접 접근하는 통로인 만큼 별도의 권한 관리와 호출 감시가 필요하기 때문이다. 두나무는 API를 통한 자산 접근 위험을 줄이기 위해 권한을 세분화하고 출금 기능에 추가적인 안전장치를 적용하고 있다. API 키에 '출금하기' 권한을 포함하더라도 기본적으로 출금을 차단하고, 이용자가 모바일 앱의 '더보기→보안인증→Open API 관리'에서 직접 출금 허용 기능을 활성화해야 실제 출금이 가능하도록 구현했다. 등록되지 않은 IP에서 API 호출이 발생했을 때 카카오톡 알림톡을 통해 이용자에게 알리는 기능도 제공한다. 이용자가 인지하지 못한 비정상적인 API 요청을 확인할 수 있도록 해 API 키가 외부에서 사용되는 상황을 조기에 파악할 수 있도록 한 것이다. 두나무는 API 키가 외부에 노출됐거나 유출이 의심되는 경우 해당 키를 즉시 삭제하고 새 키를 발급받을 것을 권고했다. 장기간 사용하지 않는 API 키 역시 삭제해 불필요한 접근 경로를 줄여야 한다고 강조했다. 계정 정보와 API 키를 타인에게 대여하거나 공유해서는 안 된다는 점도 재차 당부했다. 최근 큐싱(QR코드 피싱) 등 신종 사기가 이어지는 가운데 공격자들이 이용자에게 직접 인증정보를 넘기도록 유도하는 방식으로 수법을 넓히고 있다는 점도 주목된다. 악성 링크를 클릭하게 만드는 기존 피싱과 달리 API 키 대여 방식은 이용자에게 금전적 대가를 제시하거나 정상적인 데이터 사업처럼 설명할 수 있어 피해자가 위험성을 인지하기 어렵다는 특징이 있다. 두나무는 검증되지 않은 서비스를 내세워 계정이나 API 키를 요구하거나 허위·과장 광고로 이용자를 현혹하는 행위에 대해 강력하게 대응할 방침이다. 의심 행위에 이용됐거나 부당하게 대여된 계정은 이용을 정지하고 소명자료를 요구하며, 필요할 경우 수사기관 고발까지 진행한다는 계획이다. 두나무 관계자는 "단순 조회용이라는 말로 현혹하더라도 본인의 계정 정보나 API 키를 타인에게 넘기는 것은 자신의 금고 열쇠를 낯선 이에게 쥐여주는 것과 같다"며 "업비트는 앞으로도 투자자 보호를 최우선으로 삼고 모니터링을 강화해 악의적인 사기 행위로부터 회원의 자산을 안전하게 지키는 데 최선을 다하겠다"고 말했다.2026-10-10 15:00:00
-
![[2026 국감] 배경훈 LGU+ 조사 방해 밝혀지면 위약금 면제 요청…국감서 경고](https://image.ajunews.com//content/image/2026/10/06/20261006145709821720.jpg)
배경훈 "LGU+ 조사 방해 밝혀지면 위약금 면제 요청"…국감서 경고 [경제일보] LG유플러스의 해킹 은폐·조사 방해 의혹이 가입자 위약금 면제 문제로 번졌다. 정부는 고의적인 증거인멸이나 계약상 핵심 의무 위반이 확인되면 위약금 면제를 추진하겠다는 입장을 밝혔다. 전화번호와 연결된 가입자 식별번호를 바꾸는 작업도 이달 말 자동 원격 업데이트로 확대할 계획이다. 배경훈 부총리 겸 과학기술정보통신부 장관은 6일 국회 과학기술정보방송통신위원회 국정감사에서 LG유플러스의 해킹 은폐가 사실로 밝혀지면 가입자 위약금을 면제해야 하느냐는 조경태 국민의힘 의원의 질의에 “고의로 증거인멸, 여러 가지 조사 방해 이런 것들이 밝혀지면 당연히 위약금 면제를 요청해야 한다”고 답했다. 이어 “중대한 서비스 장애나 계약상 핵심 의무 위반 사례가 적발되면 위약금 면제가 시행되도록 정부도 적극적으로 나서겠다”고 말했다. 해킹 사건 수사 상황에 대해서는 “아직 진행 중”이라고 설명했다. 수사를 통해 확인되는 회사의 책임을 가입자 보호 조치와 연결하겠다는 취지다. 이번 의혹의 중심에는 LG유플러스의 계정·비밀번호 관리 시스템인 APPM 관련 서버가 있다. 과기정통부는 지난해 민관합동조사 과정에서 일부 서버의 폐기 사실을 확인하고, 고의적인 조사 방해 여부를 확인하기 위해 지난해 12월 경찰에 수사를 의뢰했다. 경찰은 올해 3월 서울 강서구 마곡 사옥을 압수수색해 서버·시스템 데이터와 운영체제 재설치 관련 자료 등을 확보한 것으로 알려졌다. 개인정보보호위원회도 지난 7월 같은 사안에 대해 수사 의뢰를 결정했다. 개인정보위는 외부에 공개된 임직원·협력사 직원의 이름과 계정 등이 회사 시스템에서 실제 보유·관리하던 정보라고 확인했다. 그러나 조사 착수 전에 관련 서버의 운영체제가 재설치되거나 서버가 폐기돼 정확한 유출 경위와 추가 유출 여부를 확인하는 데 한계가 있었다고 밝혔다. LG유플러스는 서버 폐기가 사전에 계획된 시스템 정비에 따른 것으로, 해킹 은폐와는 관련이 없다는 입장을 밝혀왔다. 정부는 서버 처리의 고의성과 조사에 미친 영향을 수사로 확인하고 있다. 이 사건은 침해사고 이후 증거 보존을 둘러싼 제도 문제도 드러냈다. 개인정보위는 조사 중 증거 은닉·폐기에는 제재가 가능하지만 조사 착수 전 행위에는 제재 규정이 미비하다고 설명했다. 이에 조사 전 증거 은닉·폐기에 대한 처벌과 자료 보전명령 등 제도 개선을 추진하겠다고 밝혔다. 이날 국감에서는 해킹 은폐 의혹과 별도로 LG유플러스의 국제이동가입자식별번호(IMSI) 생성 방식도 지적됐다. IMSI는 통신망에서 가입자를 식별하는 정보로 유심과 통신사 시스템에 저장된다. 조 의원은 LG유플러스가 가입자 전화번호를 포함해 IMSI를 만들어온 점을 들어, 식별번호가 포착되면 전화번호까지 노출될 수 있다고 지적했다. LG유플러스는 이 문제에 대응해 지난 4월 13일부터 난수를 도입한 새 IMSI 체계를 적용하는 유심 업데이트·무료 교체를 시작했다. 대상에는 자사 이동전화 가입자뿐 아니라 해당 망을 사용하는 알뜰폰 고객과 스마트워치 등 추가 기기 이용자도 포함된다. 업데이트가 가능한 유심은 정보를 변경하고, 교체가 필요한 유심은 새 카드로 바꾸는 방식이다. 회사 측은 기존 체계도 국제표준에 부합하며, 가입자를 인증할 때는 IMSI 외에 암호화된 키 값 등을 추가로 확인한다고 설명했다. 새 체계에서는 가입자 코드에 난수를 적용해 보안 수준을 높인다는 방침이다. 조 의원은 지난달 21일 기준 유심 교체율이 30%대에 머물고 있다며 고객 안내 방식도 문제 삼았다. 회사가 ‘안전한 통신 서비스 이용을 위한 무료 유심 교체’라고 안내해 이용자들이 조치의 필요성을 충분히 느끼지 못한다는 지적이다. 배 부총리는 이에 일정 부분 공감하며 이달 말 자동 원격 업데이트를 시행할 계획이라고 밝혔다. LG유플러스는 이미 앱과 홈페이지에서 고객이 대상 여부를 확인하고 직접 진행하는 온라인 간편 업데이트를 제공하고 있다. 이번 계획은 아직 전환하지 않은 이용자에게 자동 원격 방식을 적용하는 것으로, 기존 고객 신청 방식과 구분된다. 한편 정부의 후속 대응은 수사 결과에 따른 위약금 면제 검토와 가입자 식별체계 전환으로 이어질 전망이다. 개인정보위는 경찰 수사로 새로운 사실관계가 확인되면 행정조사를 재개해 추가 조사와 제재를 진행할 수 있다고 밝혔다.2026-10-06 14:57:49
-
SKT, '잘못 입력' 대신 '다시 확인'…AI로 고객 안내문구 쉬운 말 쓴다 [경제일보] SK텔레콤이 고객의 실수를 지적하는 안내를 상황 해결 방법을 알려주는 문구로 바꾼다. 모바일 서비스에서 고객이 무엇을 다시 확인하고 어떻게 다음 단계로 이동해야 하는지 쉽게 설명하고, 직원이 작성한 문구는 AI로 점검하는 방식이다. SKT는 한글날을 앞두고 ‘UX 라이팅(사용자 경험을 고려한 문구 작성) 가이드’를 개발해 실무에 적용한다고 6일 밝혔다. 고객·구성원 조사와 언어 전문가 자문을 거쳐 만든 기준으로, 배너와 상품·이벤트 페이지, 공지사항 등 고객 접점에서 활용한다. 대표적인 사례는 비밀번호 입력 오류 안내다. ‘잘못 입력하셨습니다’ 대신 ‘비밀번호를 다시 확인해 주세요’라는 표현을 권장한다. 이용할 수 없는 서비스를 안내할 때도 가능한 시간과 후속 안내를 함께 제시하도록 했다. 고객이 화면을 보고 취해야 할 행동을 구체적으로 알게 하려는 취지다. 문구 작성 원칙은 쉬움, 도움, 신뢰, 공감 등 네 가지다. 서비스 이용 단계별로 고객이 느끼는 기대와 불안, 당혹감, 의심 등을 살피는 ‘고객 감정 지도’도 도입했다. 같은 내용을 전달하더라도 고객이 처한 상황에 맞춰 설명 방식과 어조를 고르는 기준이다. 외국어와 한자어는 일상에서 쓰는 표현으로 다듬는다. 예컨대 ‘세션이 만료되었습니다’는 ‘로그인 시간이 지났습니다’로 풀어 쓴다. 가족 형태나 성별 등을 일반화하는 표현도 점검하고, 이모지가 글자를 대신하지 않도록 해 장애가 있는 고객도 안내 내용을 이해할 수 있게 했다. 가이드 적용을 돕는 도구는 자체 개발한 AI 에이전트 ‘소통이’다. 사내 소통 가이드 23종과 언어 검토 데이터 5만여건을 학습했다. 직원이 안내 문구를 검토하면 더 적절한 표현을 제안하고, 외부 데이터와 연동해 신조어 사용의 적절성도 살핀다. 텍스트와 함께 이미지에 담긴 위험 요소도 점검한다. 배경에는 통신 상품의 복잡한 용어와 다양한 고객층 사이의 간극이 있다. 약정과 결합상품, 요금 청구 조건 등을 이해해야 하는 고객에게 안내 문구는 상품 선택과 서비스 이용을 돕는 정보다. 직원에게 익숙한 표현도 고객에게는 다시 설명이 필요한 용어일 수 있다. SKT는 이러한 문제를 다루기 위해 2018년 고객언어연구팀을 만들었다. 2024년 공식 인터뷰에서 연구팀은 ‘일할 과금’을 ‘사용한 날만큼 요금 청구’로, ‘선납’을 ‘미리 냄’으로 바꾸는 등 어려운 통신 용어를 개선해왔다고 설명했다. 2019년과 2022년에는 구성원용 글쓰기 가이드북도 발간했다. AI 활용 역시 기존 활동에서 이어진다. 연구팀은 2024년 T 다이렉트샵 상품 이미지에 시각장애인을 위한 설명 문구를 생성하는 AI를 적용했다고 밝혔다. 상품명과 요금, 혜택을 입력하면 고객 언어 원칙에 맞춰 마케팅 문자를 작성하는 방식도 개발하고 있었다. 이번에는 문구의 적절성을 직원이 즉시 검토할 수 있도록 지원한다. 멤버십 바코드에 시각장애인을 위한 대체 텍스트를 도입한 것도 연구팀의 기존 활동이다. 화면에 보이는 정보를 소리로 전달하는 설명 문구를 더해 고객이 혜택을 이용할 수 있도록 했다. 이번 이모지 기준 역시 안내의 의미가 글로 전달되도록 접근성을 고려한 것이다. 고객이 안내를 읽고 실제로 어떻게 행동하는지 확인하는 작업도 진행해왔다. SKT는 지난 6~7월 T 월드와 T 다이렉트샵 이용자 테스트에서 정보 탐색 중 망설임과 반복 확인이 나타나는 지점을 살폈다고 밝혔다. 조사 결과는 담당 부서의 이용 안내와 화면 구성, 고객 소통 방식을 점검하는 자료로 활용됐다. 이혜연 SKT 고객가치혁신실장은 “고객이 서비스에서 만나는 문구 한 줄은 SK텔레콤이 고객에게 건네는 말”이라며 고객의 마음을 헤아리는 언어로 서비스 경험을 개선하겠다고 밝혔다.2026-10-06 11:19:15
-
SKT, 고객 감정까지 읽는 'UX 라이팅'…AI 에이전트로 문구 실시간 검토 [경제일보] SK텔레콤이 고객이 서비스 이용 과정에서 마주하는 문구를 단순한 안내 수단이 아닌 고객 경험의 일부로 보고 관리 체계를 강화한다. 고객의 감정과 상황을 고려해 표현을 바꾸는 'UX 라이팅 가이드'를 마련한 데 이어 인공지능(AI) 에이전트를 활용해 구성원이 작성한 문구를 실시간으로 검토하는 방식까지 도입했다. 고객센터나 상품 추천을 넘어 기업이 고객과 소통하는 언어 자체에 AI를 적용하고 있다. 6일 SK텔레콤은 한글날을 앞두고 고객이 이해하기 쉬운 우리말과 서비스 이용 과정에서 느낄 수 있는 감정까지 고려한 'UX 라이팅 가이드'를 개발하고 이를 실무 현장에 적용한다고 밝혔다. 이번 가이드는 고객이 모바일 서비스를 이용하면서 마주하는 문구를 쉽게 이해하고 다음 행동으로 자연스럽게 이어갈 수 있도록 하는 데 초점을 맞춰 설계됐다. SK텔레콤 고객 언어 연구팀은 고객·구성원 조사와 언어 전문가 자문을 거쳐 서비스 이용 경험과 구성원의 지향점, 언어 전문가의 관점을 가이드에 반영했다. 특히 단순히 어려운 단어를 쉬운 표현으로 바꾸는 데 그치지 않고 고객이 서비스 이용 과정에서 느끼는 감정까지 고려하도록 한 것이 특징이다. SK텔레콤은 서비스 이용 여정과 감정의 흐름을 한눈에 살필 수 있는 '고객 감정 지도'를 도입해 고객이 느낄 수 있는 기대·불안·당혹감·의심·만족감 등을 고려해 문구를 작성할 수 있도록 구성했다. 예를 들어 비밀번호를 잘못 입력했을 때 '잘못 입력하셨습니다'처럼 고객의 실수를 지적하는 표현 대신 '비밀번호를 다시 확인해 주세요'라는 문구를 사용하도록 명시했다. 서비스 이용 시간이 아닐 경우에도 '서비스 이용 시간이 아닙니다'라고만 안내하는 대신 이용 가능한 시간을 구체적으로 제시하고 이후 안내까지 제공하는 방식이다. 이번 가이드는 고객에게 오류나 제한 사항을 통보하는 데서 그치지 않고 다음 행동을 제시하는 방식으로 안내문을 바꾸겠다는 의미로 풀이된다. 디지털 서비스가 복잡해질수록 고객이 화면에서 접하는 문구가 서비스 이용 과정의 이해도와 편의성에 영향을 줄 수 있다는 판단이 반영됐다. SK텔레콤은 고객과의 소통 원칙도 '쉬운', '도움이 되는', '믿을 수 있는', '공감하는' 등 4가지로 정리했다. 어려운 한자어나 외국어 대신 일상적인 표현을 사용하고, 고객이 실제로 필요한 정보를 구체적으로 전달하는 방식이다. 시대에 따라 달라지는 사회적 감수성도 반영했다. '효자 상품' 대신 '인기 상품', '부모님 동의' 대신 '보호자 동의' 등 특정 대상을 일반화하거나 일부 고객을 배제할 수 있는 표현을 다듬었다. 이모지 사용에도 기준을 마련했다. 글만으로 전달하기 어려운 감정을 표현할 수 있도록 하되 장애가 있는 고객을 포함해 모든 고객이 안내 내용을 이해할 수 있도록 이모지가 글자를 대신하지 않도록 구현했다. 피부색이나 성별을 특정하지 않는 등 이모지를 사용할 때 고려해야 할 기준도 함께 제시했다. SK텔레콤은 가이드의 활용도를 높이기 위해 AI 에이전트 '소통이'도 함께 활용한다. 구성원이 방대한 가이드 문서를 직접 찾아보지 않아도 고객 안내 문구를 입력하면 AI가 실시간으로 표현을 검토하고 수정·보완 방향을 제안하는 방식이다. '소통이'는 이번 UX 라이팅 가이드를 비롯해 사내 커뮤니케이션 가이드 23종과 5만여건의 언어 검토 데이터를 학습했다. 외부 데이터와 연동해 빠르게 생겨나고 사라지는 신조어의 사용 적절성도 검토하며 텍스트뿐 아니라 이미지에 담긴 위험 요소까지 점검한다. SK텔레콤 구성원은 누구나 '소통이'를 활용해 고객 안내 문구를 검토하고 더 나은 표현을 제안받을 수 있다. 적용 대상도 특정 서비스에 한정하지 않고 배너, 상품·이벤트 페이지, 공지사항 등 고객이 SK텔레콤을 만나는 접점 전반으로 확대한다. 이혜연 SK텔레콤 고객가치혁신실장은 "고객이 서비스에서 만나는 문구 한 줄은 SK텔레콤이 고객에게 건네는 말"이라며 "한글날을 맞아 선보인 이번 가이드와 '소통이'를 통해 고객의 마음을 먼저 헤아리는 공감의 언어로 고객 경험을 바꿔 나가겠다"고 말했다.2026-10-06 08:57:23
-
![[류청빛의 요즘IT] 비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 연쇄 피해 주의](https://image.ajunews.com//content/image/2026/10/02/20261002175901590222.jpg)
비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 '연쇄 피해' 주의 [경제일보] 개인정보 유출 사고가 반복되면서 유출된 정보가 계정 탈취와 피싱·스미싱 등 2차 공격에 악용될 가능성이 커지고 있다. 공격자들이 유출된 아이디·비밀번호를 다른 서비스에 대입하거나 이름·전화번호 등 개인정보를 활용해 실제 기업과 기관을 사칭하는 방식이다. 이에 따라 개인정보 유출 사고를 단순히 유출 규모로만 볼 것이 아니라 이후 유출 정보가 어떻게 악용되는지까지 살펴봐야 한다는 지적이 나온다. 3일 안랩에 따르면 계정 탈취와 피싱 등 개인정보 유출 이후 발생할 수 있는 추가 피해를 예방하기 위해서는 이용자뿐 아니라 서비스 운영 기업도 계정 및 개인정보 보호 체계를 점검해야 한다. 가장 대표적인 2차 공격 방식은 유출된 아이디와 비밀번호를 다른 서비스에 반복적으로 대입하는 '크리덴셜 스터핑'이다. 여러 서비스에서 같은 비밀번호를 사용하는 이용자가 많을수록 한 곳에서 발생한 계정 정보 유출이 다른 서비스의 계정 탈취로 이어질 가능성이 높아지는 것으로 꼽힌다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인 등에 활용되는 경우가 많아 별도의 비밀번호를 사용하는 등 우선적으로 보호해야 한다. 한 서비스에서 계정 정보 유출 사실을 통보받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용했던 다른 서비스의 비밀번호도 각각 변경해야 하는 것이다. 개인정보가 함께 유출된 경우에는 피싱과 스미싱으로 이어질 가능성도 있다. 공격자는 이름이나 전화번호 등 확보한 정보를 바탕으로 기업이나 기관을 사칭한 메시지를 보내 이용자의 신뢰를 높일 수 있다. 개인정보 유출 사고 직후에는 '개인정보 유출 확인', '피해 보상 신청', '계정 보호' 등을 내세워 불안감을 자극하는 방식의 공격도 발생할 수 있다. 이 때문에 이용자가 문자나 이메일에 포함된 링크를 통해 계정 상태를 확인하기보다는 해당 서비스의 공식 앱을 직접 실행하거나 홈페이지 주소를 직접 입력해 사실 여부를 확인하는 것이 중요하다. 본인이 요청하지 않은 로그인 인증이나 비밀번호 변경 알림이 도착했을 때도 인증을 승인하거나 인증번호를 다른 사람에게 전달해서는 안 된다. 다중 인증(MFA·2단계 인증) 설정도 기본적인 방어 수단으로 꼽힌다. 비밀번호가 외부에 노출되더라도 추가 인증 절차를 거치도록 하면 계정 탈취 가능성을 낮출 수 있기 때문이다. 로그인 알림을 활성화하고 최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하는 것도 필요하다. 보안업계에서는 이용자 개인의 계정 관리뿐 아니라 서비스 운영 기업의 보안 체계도 함께 강화돼야 한다고 보고 있다. 개인정보가 유출되는 경로가 고객이 직접 사용하는 홈페이지와 애플리케이션에만 한정되지 않기 때문이다. 안랩은 서비스 운영 기업이 API(응용프로그램 인터페이스)에 대한 인증과 접근 통제를 강화하고 이상 행위를 지속적으로 모니터링해야 한다고 권고했다. 특히 API 요청 과정에서 특정 이용자의 정보에 접근할 수 있는 권한이 적절하게 검증되는지 점검해야 한다는 설명이다. 예를 들어 요청 파라미터를 변조해 다른 이용자의 정보를 조회하거나 자동화된 방식으로 대량의 정보를 반복 조회하는 공격을 막기 위해 데이터 단위의 접근 권한을 확인해야 한다. 일정 시간 동안 허용되는 API 요청 횟수를 제한하고 반복적인 정보 조회나 무차별 대입 등 비정상적인 요청을 탐지·차단하는 체계도 필요하다. 고객이 직접 이용하는 서비스 외에 관리자 페이지와 내부 업무 시스템, 협력사가 사용하는 업무 지원 시스템까지 보안 점검 범위를 확대해야 한다는 점도 강조됐다. 외부에서 접속할 수 있는 시스템을 파악하고 사용하지 않는 계정이나 불필요한 외부 접속 경로를 차단하는 한편 퇴사자와 계약이 종료된 협력사의 계정이 남아 있지 않은지 정기적으로 확인해야 한다. 특히 관리자나 협력사 계정에 과도한 권한이 부여돼 있을 경우 계정 하나가 침해됐을 때 대규모 고객정보 접근으로 이어질 수 있다. 이에 따라 업무에 필요한 범위 내에서만 권한을 부여하고 외부 접속과 관리자 계정에는 다중 인증을 적용하는 등 접근통제를 강화해야 한다. 고객정보 자체를 최소화하는 것도 기업의 보안 부담을 줄이는 방법으로 꼽힌다. 업무에 필요하지 않은 개인정보까지 보관하지 않고 보유기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다. 업무 화면이나 API 응답에서도 전체 개인정보 대신 실제 업무에 필요한 정보만 제공하고, 이름이나 전화번호 일부를 가리는 등 노출 범위를 줄일 필요가 있다. 대량의 고객정보를 조회하거나 다운로드할 수 있는 권한 역시 실제 업무에 필요한 담당자로 제한해야 한다. 중요 정보의 조회·다운로드·반출 기록을 남기고 비정상적인 대량 조회가 발생했을 때 이를 빠르게 파악할 수 있도록 로그 관리와 이상행위 모니터링 체계를 갖추는 것도 중요하다. 결국 개인정보 유출 사고 이후 이용자에게 비밀번호 변경이나 피싱 주의를 당부하는 것만으로는 2차 피해를 모두 막기 어렵다는 지적이다. 이용자는 서비스별로 독립된 비밀번호와 다중 인증을 사용하고 로그인 기록을 확인하는 등 계정 보안을 관리해야 하며, 기업은 고객용 홈페이지와 앱을 넘어 API와 관리자 페이지, 내부 업무 시스템까지 접근통제 범위를 확대해야 한다는 것이다. 양하영 안랩 ASEC 실장은 "계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다"며 "서비스별로 서로 다른 비밀번호를 사용하고 다중 인증을 설정하는 등 일상에서 실천할 수 있는 기본적인 보안 수칙을 지키는 것만으로도 계정 탈취와 2차 피해 위험을 줄이는 데 도움이 된다"고 말했다. 이어 "서비스 이용자는 평소 사용하는 서비스의 보안 설정을 점검하고, 서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 점검해야 한다"고 덧붙였다.2026-10-03 09:00:00
-
中 연계 해커, 美 AI 정책 전문가 겨냥…백악관 인사·앤트로픽 사칭 [경제일보] 중국과 연계된 것으로 평가되는 해킹 그룹이 전직 백악관 인사와 앤트로픽 고위 직원을 사칭해 미국 AI 정책 전문가들의 계정 탈취를 시도한 정황이 공개됐다. AI 규제와 수출 통제를 둘러싼 논의에 접근하려는 정보 수집 활동이라는 분석이다. 미국 보안기업 프루프포인트는 1일(현지시간) ‘TA419’의 표적 피싱 보고서를 공개했다. 이 그룹은 최소 지난해 4월부터 미국·일본의 싱크탱크, 방산업체, 대학, 법무법인 관계자들을 겨냥해왔다. AI 정책 전문가 대상 공격은 올해 2월과 7월 확인됐다. 7월 공격에서는 린 파커 전 백악관 과학기술정책실(OSTP) 수석부실장과 경제·외교정책 전문가 하이디 크레보-리디커의 이름을 도용했다. 가상의 AI 정책 자문위원회 참여나 상원 외교위원회의 AI 수출 통제·공급망 보고서 작성을 제안하며 답장을 유도했다. 첫 이메일부터 악성 링크를 보내지 않고 대화를 시작해 신뢰를 쌓는 방식이었다. 상대가 응답하면 추가 자료를 공유한다며 링크를 보냈고, 이를 누르면 여러 경로를 거쳐 가짜 마이크로소프트 원드라이브 로그인 페이지로 연결됐다. 공격은 비밀번호 수집에 그치지 않았다. 실제 마이크로소프트 로그인 절차를 중계하면서 다중인증 이후 로그인 상태를 유지하는 ‘세션 쿠키’까지 가로채도록 설계됐다. 인증을 정상적으로 마친 이용자도 계정 접근 권한을 빼앗길 수 있는 구조다. 2월에는 앤트로픽 고위 직원 행세를 하며 미국 싱크탱크의 AI 정책 분석가에게 클로드의 군사적 활용에 관한 의견을 요청했다. 당시 논쟁이던 사안을 접촉 명분으로 활용한 것이다. 로이터는 공격 대상이 여러 기관의 10명 미만이라고 전했다. 백악관 출신인 앨릭스 엥글러 펜실베이니아대 미디어·기술·민주주의센터 소장도 파커 명의의 AI 정책 프로젝트 초청 이메일을 받았다. 그는 이상함을 느껴 다른 전문가들에게 확인한 뒤 사칭임을 알아챘다고 밝혔다. 프루프포인트는 공격 인프라와 수법, 표적의 특성을 토대로 중국 연계 활동으로 판단했다. 미국의 AI 정책·규제 동향을 파악하려는 목적이라는 설명이다. 다만 공개 보고서에는 실제 계정 탈취나 정보 유출의 성공 여부가 제시되지 않았다. 주미 중국대사관은 로이터의 논평 요청에 즉각 답하지 않았다. 프루프포인트는 예상치 못한 협업 제안은 별도 연락 수단으로 진위를 확인하고, 가짜 사이트에서 인증이 작동하지 않는 패스키 등 피싱에 강한 인증 수단을 사용할 것을 권고했다.2026-10-02 08:24:31
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 온누리상품권의 거품을 걷어라… 혈세 쓴 책임부터 물어야](https://image.ajunews.com/content/image/2026/10/23/20261023100836286597_518_323.jpg)