2026.10.23 금요일
검색
'인증정보' 검색결과
기간검색
-
~
검색영역
검색어
-
한전 개인정보 유출 3만5528명…퇴직자 정보까지 관리 허점 도마에 [경제일보] 한국전력의 개인정보 유출 피해가 재직자를 넘어 퇴직자와 협력사 직원으로 확대됐다. 조사 과정에서 약 1만1000명의 추가 유출이 확인되면서 전체 피해 인원은 3만5528명으로 늘었다. 퇴직 전 수집한 정보와 본사 출입 인증정보까지 포함돼 인사·출입 관련 데이터의 보관과 접근 관리가 함께 점검 대상에 올랐다. 23일 국회 기후에너지환경노동위원회 소속 국민의힘 김소희 의원실이 한전에서 받은 자료에 따르면 이번 사고로 개인정보가 유출된 인원은 3만5528명이다. 최초 알려진 2만4000여명보다 약 1만1000명 늘어난 규모다. 추가로 확인된 대상에는 퇴직자 1만여명과 협력사 직원 68명 등이 포함됐다. 한전은 국가정보원, 기후에너지환경부와 조사하는 과정에서 추가 유출을 발견했으며 퇴직자의 경우 재직 당시 정보가 유출된 것이라고 설명했다. 이번 집계 확대는 조사로 피해 범위가 추가 확인된 것으로, 별도의 신규 유출 사고가 발생했다는 의미는 아니다. 한전은 앞서 지난 1일 외부 웹페이지에 직원 개인정보가 노출된 사실을 인지했다고 밝혔다. 유출 항목은 이름과 소속, 전화번호 등이다. 재직자 400명은 본사 출입시스템에서 사용하는 코드화된 안면인식 정보도 유출됐다. 연락처 등 인적 정보뿐 아니라 출입 인증에 쓰이는 데이터까지 사고 범위에 포함된 것이다. 안면인식 정보의 위험은 저장 방식과 인증 절차에 따라 달라진다. ‘코드화’됐다는 설명만으로 안전성을 판단하기는 어렵다. 유출 데이터가 다른 정보와 결합해 개인을 식별하거나 인증에 재사용될 수 있는지, 기존 등록정보에 어떤 보호조치를 했는지 확인이 필요하다. 한전 공식 홈페이지에는 지난 8일자로 ‘개인정보 유출사실 안내’와 ‘개인정보 유출사실 정정 및 추가 안내’가 게시돼 있다. 사고 이후 조사 결과를 반영해 안내를 보완해 온 만큼 최초 확인 범위와 추가 확인 시점, 대상별 통지 내용을 구분해 살펴볼 필요가 있다. 퇴직자 정보가 대거 포함된 점도 이번 사고의 주요 쟁점이다. 한전이 설명한 유출 대상은 재직 당시 정보다. 어떤 업무 목적으로 해당 정보를 계속 보관했는지, 보유기간과 접근권한을 어떻게 관리했는지가 사고 원인 조사와 함께 확인돼야 할 대목이다. 한전은 추가 피해 당사자에게 유출 사실을 알리고 개인정보보호위원회 신고를 마쳤다고 밝혔다. 전남경찰청에도 수사를 의뢰했다. 김동철 한전 사장은 지난 19일 국회 국정감사에서 “직원 개인정보 유출 사고로 국민들께 심려를 끼쳐 드린 점을 깊이 사과드린다”며 “사고가 재발하지 않도록 정보보안업무 전반에 걸쳐 근본적인 혁신을 추진하겠다”고 말했다.2026-10-23 10:41:02
-
PHP 패치 나흘 전 이미 공격…서버 점검도 '17일 기록'부터 [경제일보] 웹사이트를 구동하는 프로그래밍 언어 PHP의 보안 패치가 공개되기 나흘 전부터 취약점을 악용하려는 공격이 포착됐다. 패치를 적용했더라도 그 이전에 서버가 침해됐는지 확인해야 하는 상황이다. 아마존은 이번 취약점의 조사 시작점을 공개일이 아닌 최초 공격 관측일인 17일로 잡으라고 권고했다. 23일 아마존웹서비스(AWS) 보안 블로그에 따르면 아마존 위협정보팀은 공격자를 유인해 활동을 관찰하는 시스템 ‘매드팟(MadPot)’에서 지난 17일 PHP 취약점 악용 시도를 확인했다. 두 취약점 ‘CVE-2026·109618’과 ‘CVE-2026·109619’의 상세 정보와 패치가 공개된 21일보다 나흘 앞선 시점이다. 공격은 상용 익명화 네트워크와 연결된 인터넷 주소에서 시작됐다. 당시 취약점 정보는 공개가 제한된 상태였다. 아마존은 공격자가 관련 정보를 어떻게 입수했는지는 파악되지 않았다고 밝혔다. 공개 당일에도 정식 발표 이전부터 추가 공격 시도가 이어졌다. 공격에 사용된 데이터와 익명화 인프라가 서로 달라 복수의 행위자가 관여했을 가능성이 있다는 게 아마존의 분석이다. 다만 관측된 시도가 실제 운영 시스템에서 침투에 성공할 수 있었는지는 기술적 분석이 진행 중이다. 공개 이후에는 공격 규모가 급격히 커졌다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 자사 네트워크에서 공식 발표 전 10시간 동안 수천건의 악용 시도가 관측됐으며, 발표 45분 뒤 수만건, 2시간 뒤 수십만건을 거쳐 수백만건으로 늘었다고 밝혔다. 이는 공격 시도 건수이며 피해 사이트나 정보 유출 건수를 뜻하지 않는다. 클라우드플레어는 별도 기술 설명에서 공격자들이 웹방화벽의 방어 규칙을 우회하려고 공격 데이터를 변형하는 모습도 확인했다고 밝혔다. 회사는 공개 전부터 방어 규칙을 적용했지만, 요청 정보만으로는 정상 접속과 공격을 구분하기 어려운 경우가 있어 서버 응답까지 함께 살폈다고 설명했다. PHP는 쇼핑몰과 게시판, 기업·공공기관 홈페이지에서 이용자 요청을 처리하는 서버용 언어다. 이번 결함은 로그인하지 않은 공격자가 서버에서 임의 코드를 실행할 수 있는 원격 코드 실행 취약점이다. 위험도는 국제 공통 취약점 평가체계(CVSS) 기준 각각 10점 만점에 9.2점이다. 해외에서는 피해 예방을 위해 서비스 접근을 차단하는 조치가 이어졌다. 일본의 노무라증권과 전일본공수(ANA), 동일본여객철도 등이 일부 인터넷 서비스를 중단했고, 핀란드에서도 정부 공공 웹서비스를 차단한 뒤 패치와 안전 점검을 진행했다. 예방적 중단과 해킹 피해에 따른 장애는 구분해야 한다. 국내에서도 과학기술정보통신부와 한국인터넷진흥원(KISA)이 22일 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. KISA는 대표 홈페이지뿐 아니라 외주 제작 사이트, 이벤트·테스트 서버, 관리자 페이지와 PHP가 내장된 장비·솔루션까지 점검하도록 안내했다. 대응은 업데이트와 침해 조사 두 갈래다. 수정 버전은 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12다. 적용 뒤에는 PHP 실행 서비스를 재시작하고 실제 웹서비스가 수정된 버전을 사용하는지 확인해야 한다. 임시 설정이나 웹방화벽만으로 두 취약점을 완전히 해결할 수는 없다. 접속 기록에서는 비정상적으로 큰 요청과 반복된 서버 오류, 예상하지 못한 프로그램 실행, 새로 생성되거나 변경된 PHP 파일 등을 살펴야 한다. 아마존은 최소 17일부터 조사하도록 권고했다. KISA도 20일 이후 기록 전체와 가능한 이전 기록까지 확인하고, 데이터베이스 비밀번호와 관리자 계정 등 주요 인증정보를 교체하도록 안내했다. 침해 흔적이 발견됐다면 재시작에 앞서 증거부터 보존해야 한다. KISA는 외부 접속을 차단한 뒤 신고하고 서버 기록과 실행 중인 프로그램, 네트워크 연결 정보를 확보하도록 권고했다. 이후 업데이트와 재시작, 악성파일 제거, 인증정보 교체를 진행하는 순서다.2026-10-23 10:34:32
-
정부, PHP 사이버위기 '주의' 격상…국내 취약 버전 추정 호스트 11만건 [경제일보] 쇼핑몰과 기업 홈페이지를 구동하는 프로그래밍 언어 PHP에서 로그인 없이 서버에 명령을 실행할 수 있는 치명적인 보안 취약점이 발견됐다. 개별 홈페이지의 제작상 문제가 아닌 PHP 자체 결함이어서 운영자는 서버 구동 환경까지 점검해야 한다. 고객정보를 보관하는 쇼핑몰은 홈페이지 침해가 데이터베이스 접근으로 이어질 위험에도 대비해야 한다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 높였다. 공격코드가 공개돼 피해가 확산할 가능성에 대비한 조치다. 정부는 침해사고 대응 인력을 늘리고 비상출동조를 상시 대기시키는 대응 체계를 가동했다. PHP는 서버에서 이용자 요청을 처리해 웹페이지를 만드는 언어다. 워드프레스와 그누보드 등 홈페이지 제작 도구에 쓰이며 기업·학교 홈페이지와 중소 쇼핑몰에도 폭넓게 활용된다. 안랩이 추산한 국내 취약 버전 사용 호스트는 약 11만건이다. 이는 취약 버전을 사용하는 것으로 추정되는 인터넷 자산 규모로, 피해가 확인된 사이트 수와는 다르다. 이번 취약점은 ‘CVE-2026·109618’과 ‘CVE-2026·109619’ 두 건이다. 국제 공통 취약점 평가체계(CVSS) 4.0 기준 각각 10점 만점에 9.2점으로 ‘치명적’ 등급이다. 메모리 부족이나 오류를 처리하는 과정의 결함을 악용하면 인증받지 않은 공격자가 서버에서 코드를 실행할 수 있다. PHP 개발팀은 웹 요청을 처리하는 PHP 설치 환경 전반을 점검 대상으로 제시했다. 특히 아파치 웹서버에 PHP를 모듈로 결합한 환경에서는 홈페이지 프로그램이 실행되기 전 공격이 가능한 사례가 입증됐다고 설명했다. 게시판이나 쇼핑몰 프로그램만 고쳐서는 대응이 끝나지 않는 이유다. 개발팀은 21일 수정 버전인 PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12를 공개했다. 운영자는 사용 중인 계열의 수정 버전이나 운영체제 공급업체가 제공하는 보안 패키지를 적용해야 한다. 업데이트 뒤에는 PHP 처리 프로세스나 해당 웹서버를 재시작해 이전 버전이 계속 실행되지 않도록 해야 한다. 정식 지원이 끝난 PHP 8.1 이하 버전은 지원 중인 상위 버전으로 전환하는 것이 원칙이다. 개발팀은 긴급 대응을 위해 7.4·8.0·8.1용 최소 소스 수정본도 제공했지만, 이는 정식 지원 재개와는 다르다. 별도 장기지원 서비스를 이용한다면 공급업체에 수정 사항 반영 여부를 확인해야 한다. 외주 제작 사이트와 웹호스팅 이용자는 제작업체·호스팅사에 실제 서비스 환경의 PHP 버전과 패치·재시작 완료 여부를 확인할 필요가 있다. 개발팀은 임시 설정 변경으로 일부 공격 경로를 줄일 수 있으나 완전한 해결책은 업데이트라고 명시했다. 한편 패치 이전 침해 여부 점검도 병행해야 한다. 정부는 취약점 정보가 알려진 지난 20일부터의 접속 기록과 악성파일 설치 여부를 확인하고 주요 인증정보를 교체하도록 권고했다. 업데이트와 임시 조치가 모두 어렵다면 외부 접속 차단이나 서비스 일시 중단을 검토해야 한다.2026-10-22 17:35:05
-
내 이름 몰래 쓰려다 '추가 인증'…카카오, 명의도용 문턱 높인다 [경제일보] 다른 카카오계정에 자신의 명의가 등록되려 할 때 기존 계정에서 직접 확인하는 보안 장치가 생겼다. 이용자가 요청하지 않은 등록을 승인하지 않으면 진행을 막을 수 있다. 이미 사용하는 계정으로 명의 등록 의사를 한 번 더 확인해 도용을 예방하는 방식이다. 카카오는 이러한 기능을 담은 ‘내 명의 보호’를 도입했다고 22일 밝혔다. 같은 명의의 본인인증 정보를 다른 카카오계정에 새로 등록할 때, 해당 명의가 등록된 기존 계정을 통해 추가 인증을 거치도록 했다. 추가 인증은 기존 계정으로 받은 카카오톡 메시지에서 ‘허용하기’를 누르거나, 해당 계정의 이메일로 발송된 인증번호를 입력하는 방식이다. 본인이 새 계정에 명의를 등록하려는 경우에는 인증을 진행하고, 자신이 요청하지 않은 경우에는 승인하지 않아 등록을 차단할 수 있다. 설정은 카카오톡의 ‘설정→카카오계정→계정보안→내 명의 보호’에서 할 수 있다. 카카오계정 홈페이지의 계정보안 메뉴에서도 설정하거나 해제할 수 있다. 이번 기능은 계정에 접속하는 사람을 확인하는 기존 로그인 보안에 명의 등록 과정의 확인 절차를 더했다는 점에서 의미가 있다. 비밀번호를 지키는 것과 함께, 자신의 본인인증 정보가 다른 계정에 사용되는 과정도 관리하도록 한 것이다. 명의 보호가 필요한 배경에는 개인정보와 인증정보를 노리는 사칭 수법이 있다. 카카오는 공식 안전 가이드에서 이벤트 당첨이나 서비스 대행, 지인의 도움 요청을 가장해 계정 정보를 받아낸 뒤 탈취한 계정을 광고성 메시지 발송 등에 악용하는 사례를 경고하고 있다. 운영정책에는 고객센터를 사칭하거나 본인 확인을 명분으로 계정 정보를 요구하는 행위도 금지 대상으로 명시했다. 이런 환경에서는 실제 인증 메시지를 받았더라도 자신이 시작한 절차인지 확인하는 것이 중요하다. 타인의 요청에 따라 무심코 등록을 허용하거나 인증번호를 넘기면 추가 확인 절차의 보호 효과가 떨어질 수 있다. 카카오는 안전 가이드에서 비밀번호와 카카오톡 인증번호 등을 제3자에게 공유하지 말라고 안내한다. 명의 보호와 함께 기존 계정의 접속 보안을 관리할 수 있는 수단도 제공된다. 2단계 인증은 아이디와 비밀번호 입력 후 미리 설정한 추가 인증을 요구한다. 국가별 로그인 제한을 설정하면 허용한 국가에서만 로그인할 수 있다. 카카오는 2024년 11월 비밀번호 대신 지문·얼굴 인식이나 기기 잠금 해제로 인증하는 패스키 로그인도 도입했다. 이번 명의 보호 기능까지 더해지면서 이용자는 로그인과 명의 등록 단계에 각각 보안 장치를 설정할 수 있게 됐다. 추가 인증을 받는 기존 계정과 이메일의 보안도 함께 관리할 필요가 있다. 카카오 관계자는 “‘내 명의 보호’는 이용자가 자신의 명의 등록 과정을 직접 확인하고 관리할 수 있도록 마련한 기능”이라며 “앞으로도 이용자가 카카오계정을 보다 안전하게 이용할 수 있도록 계정 보안 기능을 지속적으로 강화해 나가겠다”고 밝혔다.2026-10-22 11:27:41
-
"내 정보 안다고 믿었다간"…빗썸, 유출 정보 악용한 2차 사기 경고 [경제일보] 이름과 휴대전화번호, 과거 이용 내역까지 정확히 안다고 정상적인 연락은 아니다. 다른 서비스에서 유출된 정보가 금융회사·거래소 직원을 사칭하는 재료로 쓰이고, 피해 예방이나 보상을 명목으로 추가 정보를 빼내는 사기로 이어질 수 있기 때문이다. 빗썸은 이러한 ‘개인정보 유출 이후의 2차 사기’를 주제로 10월 정보보호 캠페인을 진행한다고 16일 밝혔다. 이미 노출된 정보를 악용해 이용자의 경계심을 낮춘 뒤 계정과 자산에 접근하는 수법을 알리고, 대응 요령을 안내한다. 캠페인이 주목한 것은 실제 정보와 거짓 안내를 섞는 방식이다. 사기범은 이름·이메일·과거 주문번호·이용 서비스명 등을 제시한 뒤 “유출 보상 대상”이라거나 “보안 점검이 필요하다”고 접근한다. 상대가 자신을 잘 안다는 인상을 줘 가짜 로그인 페이지 접속, 원격제어앱 설치, 자금 이체를 유도한다. 유출된 정보를 두 가지 경로로 악용할 수 있다는 점도 문제다. 개인정보는 사칭 연락의 신뢰도를 높이는 데 쓰이고, 아이디·비밀번호 조합은 다른 서비스의 로그인에 반복 대입된다. 여러 사이트에서 같은 비밀번호를 쓰면 한 곳의 정보 노출이 다른 계정의 탈취로 번질 수 있다. 유출된 인증정보를 다른 서비스에 대입하는 공격을 ‘크리덴셜 스터핑’이라고 한다. 금융당국도 같은 위험을 경고하고 있다. 금융위원회는 지난 6일 금융권 개인정보 유출에 따른 보이스피싱·스미싱 소비자경보 ‘주의’를 발령했다. 당시 비밀번호·일회용 비밀번호(OTP) 정보가 유출되지 않았더라도, 성명과 주소 등 노출된 정보를 결합한 맞춤형 사기에 유의해야 한다고 설명했다. 이는 비밀번호를 바꾸는 조치와 사칭 연락을 가려내는 대응이 함께 필요하다는 뜻이다. 금융당국은 금융회사에 한 달간 2차 피해 특별대응기간과 피해 고객 전담 창구를 운영하고, 유출 정보를 결합한 이상거래탐지시스템(FDS) 대응도 강화하도록 지도했다. 빗썸은 보상이나 보안 점검 안내를 받으면 메시지 속 링크 대신 평소 쓰던 공식 앱·홈페이지에서 직접 확인할 것을 권고했다. 비밀번호는 다른 사이트와 겹치지 않게 설정하고, 노출된 비밀번호와 같거나 유사한 조합을 쓰는 서비스도 함께 변경하도록 안내했다. 계정에는 ‘2채널 인증’ 등 추가 인증 기능을 설정할 수 있다. 비밀번호만 알아서는 로그인하기 어렵게 만드는 장치다. 다만 사칭 사이트에 인증번호까지 직접 입력하면 추가 정보가 넘어갈 수 있어, 인증 기능을 켜는 것과 별개로 비밀번호·OTP·인증코드를 타인에게 전달하지 않는 것이 중요하다. 개인정보보호위원회와 한국인터넷진흥원(KISA)의 ‘털린 내 정보 찾기’에서는 계정정보의 불법 유통 여부를 조회할 수 있다. 명의도용 금융거래가 우려되면 금융회사의 안심차단서비스도 활용할 수 있다. 여신거래, 비대면 계좌개설, 오픈뱅킹 차단은 각각 대상이 다른 서비스이므로 필요한 항목을 확인해 신청해야 한다. 이미 의심스러운 프로그램을 설치했다면 감염 기기의 와이파이·모바일데이터 연결부터 끊어 추가 유출과 원격제어를 막아야 한다. 이후 감염되지 않은 별도 기기로 비밀번호 변경과 추가 인증 재설정, 발급한 API 키 삭제, 출금 주소·거래 내역 점검 등을 진행하도록 빗썸은 안내했다. 이상 거래는 빗썸 고객센터에 즉시 알리고 계정 보호 조치를 요청할 수 있다. 은행 계좌로 사기 자금을 송금했다면 경찰 112나 해당 금융회사에 지급정지를 요청해야 한다. 빗썸 관계자는 “개인정보는 한 번 유출되면 시간이 지난 뒤에도 다시 악용될 수 있어, 상대방이 내 정보를 알고 있다는 이유만으로 신뢰해서는 안 된다”고 말했다.2026-10-16 09:30:51
-
"거래·출금 안 한다"는 말에 속지 마세요…두나무 API 키 주의보 [경제일보] 가상자산 거래소 계정을 노리는 사기 수법이 아이디·비밀번호를 직접 빼내는 방식에서 이용자에게 API 키를 넘기도록 유도하는 방식으로 확산하고 있다. 소셜미디어(SNS)에서는 '거래나 출금은 하지 않고 시장 데이터만 조회하겠다'며 업비트 계정이나 읽기 전용 API 키를 대여해 달라는 요구까지 등장했다. 10일 디지털자산 거래소 업비트를 운영하는 두나무에 따르면 최근 SNS를 중심으로 '원화(KRW) 마켓에 접근할 수 있는 업비트 계정'이나 '읽기 전용 API 키를 대여·구매한다'는 내용의 메시지가 확산하고 있다. 이들은 입출금이나 거래에는 관여하지 않고 시장 데이터 조회에만 사용한다며 계정이나 API 키 제공을 요구하는 것으로 알려졌다. 문제는 일반적인 시장 데이터 조회라면 애초에 이용자의 인증 API 키가 필요하지 않다는 점이다. 업비트의 시세·마켓 데이터는 인증 없이 접근할 수 있는 공개형 API를 통해 제공된다. 따라서 단순히 시장 데이터를 확인하기 위해 타인의 계정이나 인증 API 키를 요구한다는 설명은 정상적인 데이터 이용 목적과 맞지 않는다. API 키는 거래소 계정에 프로그램 방식으로 접근할 수 있도록 발급되는 인증정보다. 권한 설정에 따라 자산과 주문, 입출금 관련 정보를 조회하거나 거래 기능을 사용할 수 있어 아이디·비밀번호와 별개로 중요한 보안 수단으로 취급된다. 이용자가 이를 타인에게 넘길 경우 계정에 대한 통제권 일부를 외부에 넘기는 것과 마찬가지인 것이다. 특히 '읽기 전용'이라는 표현이 이용자의 경계심을 낮추는 수단으로 활용될 수 있다는 점이 문제로 꼽힌다. 거래나 출금 권한이 없다는 설명만으로 안전하다고 판단하기 쉽지만, 어떤 정보에 접근할 수 있는지와 해당 정보가 다른 공격으로 어떻게 활용될 수 있는지는 별개의 문제다. 공격자가 계정 정보나 거래 내역 등을 확보한 뒤 추가적인 피싱이나 사회공학 공격에 활용할 가능성도 배제하기 어렵다. 가상자산 거래에서 API 활용도가 높아지고 있다는 점도 공격자들이 API 키를 노리는 배경으로 분석된다. API는 자동매매 프로그램이나 자산관리 서비스, 거래 데이터 분석 등 정상적인 목적으로도 널리 사용된다. 이 때문에 일반 이용자 입장에서는 'API 키를 빌려달라'는 요구를 처음부터 사기나 해킹 시도로 인식하기 어려울 수 있다. 거래소 입장에서도 API가 새로운 보안 경계로 떠오르고 있다. 기존 계정 보안이 로그인 과정의 아이디·비밀번호와 다중인증 등을 중심으로 이뤄졌다면 API는 프로그램이 계정에 직접 접근하는 통로인 만큼 별도의 권한 관리와 호출 감시가 필요하기 때문이다. 두나무는 API를 통한 자산 접근 위험을 줄이기 위해 권한을 세분화하고 출금 기능에 추가적인 안전장치를 적용하고 있다. API 키에 '출금하기' 권한을 포함하더라도 기본적으로 출금을 차단하고, 이용자가 모바일 앱의 '더보기→보안인증→Open API 관리'에서 직접 출금 허용 기능을 활성화해야 실제 출금이 가능하도록 구현했다. 등록되지 않은 IP에서 API 호출이 발생했을 때 카카오톡 알림톡을 통해 이용자에게 알리는 기능도 제공한다. 이용자가 인지하지 못한 비정상적인 API 요청을 확인할 수 있도록 해 API 키가 외부에서 사용되는 상황을 조기에 파악할 수 있도록 한 것이다. 두나무는 API 키가 외부에 노출됐거나 유출이 의심되는 경우 해당 키를 즉시 삭제하고 새 키를 발급받을 것을 권고했다. 장기간 사용하지 않는 API 키 역시 삭제해 불필요한 접근 경로를 줄여야 한다고 강조했다. 계정 정보와 API 키를 타인에게 대여하거나 공유해서는 안 된다는 점도 재차 당부했다. 최근 큐싱(QR코드 피싱) 등 신종 사기가 이어지는 가운데 공격자들이 이용자에게 직접 인증정보를 넘기도록 유도하는 방식으로 수법을 넓히고 있다는 점도 주목된다. 악성 링크를 클릭하게 만드는 기존 피싱과 달리 API 키 대여 방식은 이용자에게 금전적 대가를 제시하거나 정상적인 데이터 사업처럼 설명할 수 있어 피해자가 위험성을 인지하기 어렵다는 특징이 있다. 두나무는 검증되지 않은 서비스를 내세워 계정이나 API 키를 요구하거나 허위·과장 광고로 이용자를 현혹하는 행위에 대해 강력하게 대응할 방침이다. 의심 행위에 이용됐거나 부당하게 대여된 계정은 이용을 정지하고 소명자료를 요구하며, 필요할 경우 수사기관 고발까지 진행한다는 계획이다. 두나무 관계자는 "단순 조회용이라는 말로 현혹하더라도 본인의 계정 정보나 API 키를 타인에게 넘기는 것은 자신의 금고 열쇠를 낯선 이에게 쥐여주는 것과 같다"며 "업비트는 앞으로도 투자자 보호를 최우선으로 삼고 모니터링을 강화해 악의적인 사기 행위로부터 회원의 자산을 안전하게 지키는 데 최선을 다하겠다"고 말했다.2026-10-10 15:00:00
-
LG유플러스, 챗GPT에 플러그인 '너겟' 연동…AI가 통신상품 탐색창구로 [경제일보] LG유플러스가 자사 홈페이지와 애플리케이션(앱)에 집중됐던 통신상품 탐색 경로를 생성형 인공지능(AI) 플랫폼으로 넓히고 있다. 챗GPT 대화 과정에서 온라인 전용 요금제 '너겟'의 상품과 혜택을 확인할 수 있도록 하면서 AI를 통신상품 판매 과정의 새로운 접점으로 확대한다. 6일 LG유플러스는 지난달 16일부터 챗GPT에서 자사 온라인 전용 요금제 너겟의 상품과 혜택 정보를 확인할 수 있는 '유플러스' 플러그인을 출시했다고 밝혔다. 기존에는 고객이 통신사 홈페이지나 앱에 직접 접속한 뒤 요금제 목록을 살펴보고 데이터 제공량과 월 정액, 혜택 등을 비교해야 했다. 반면 이번 서비스에서는 챗GPT 대화창에서 원하는 조건을 입력하면 너겟 상품과 혜택 정보를 확인할 수 있다. 통신상품을 찾기 위해 고객이 통신사 채널을 먼저 방문하는 방식에서 벗어나 AI 플랫폼이 상품 탐색의 출발점이 될 수 있도록 한 것이다. 이번 플러그인은 너겟 요금제와 혜택을 확인하는 기능에 초점을 맞춰 설계됐다. 고객은 요금제 목록을 확인한 뒤 특정 상품을 선택해 데이터 제공량과 월 이용료, 주요 혜택 등의 정보를 살펴볼 수 있다. 상품 정보는 너겟 홈페이지의 내용을 기반으로 제공해 기존 공식 채널과 정보 차이를 줄이는 것을 목표로 구성했다. 가입 절차는 아직 기존 채널과 분리돼 있다. 챗GPT에서 상품을 확인한 뒤 실제 가입을 진행하려면 공식 너겟 홈페이지로 이동해야 한다. 본인인증과 가입 신청, 개인정보 및 인증정보 처리 등은 LG유플러스의 공식 채널에서 이뤄진다. LG유플러스는 향후 챗GPT에서 상품을 찾는 단계에서 나아가 고객이 원하는 조건을 구체적으로 선택할 수 있도록 기능을 확대할 계획이다. 이달 중 요금제 유형과 유심 종류, 개통 방식 등을 선택하는 기능을 추가할 예정이다. 상품 탐색 과정에서 고객이 자신의 조건을 좁혀가며 적합한 요금제를 찾을 수 있도록 하는 방식이다. 이번 LG유플러스의 챗GPT 플러그인은 통신상품 판매 과정에서 AI 플랫폼이 차지하는 역할이 확대되는 흐름으로 분석된다. 기존 통신상품 판매는 홈페이지나 앱, 대리점 등 통신사가 직접 운영하는 채널을 중심으로 이뤄졌다. 고객이 상품을 검색하고 비교한 뒤 가입으로 넘어가는 과정도 대부분 통신사 자체 채널 안에서 진행됐다. 반면 생성형 AI가 상품 탐색 단계에 들어오면 고객이 통신사 홈페이지를 방문하기 전에 AI에게 먼저 원하는 조건을 설명하고 상품을 추천받는 경로가 생긴다. '데이터를 많이 쓰는 사람에게 적합한 요금제', '월 요금이 낮은 상품', '특정 혜택이 포함된 요금제'처럼 자연어로 조건을 입력하고 후보 상품을 좁혀가는 방식이다. AI가 검색과 비교를 대신하면서 통신사의 상품 판매 퍼널에서 가장 앞단인 '상품 발견' 단계가 외부 플랫폼으로 이동할 수 있는 것으로 풀이된다. LG유플러스는 너겟을 시작으로 향후 통합요금제까지 상품 탐색 범위를 확대할 계획이다. 온라인 전용 상품에 한정하지 않고 보다 다양한 통신상품을 AI 플랫폼에서 확인할 수 있도록 하겠다는 것이다. 상품정보 확인에 이어 요금제 유형과 유심, 개통 방식까지 선택할 수 있게 되면 AI가 단순한 정보 제공 창구를 넘어 실제 가입을 결정하는 과정에도 영향을 미칠 전망이다. 방욱재 LG유플러스 디지털플랫폼개발Lab장은 "이번 플러그인은 고객이 챗GPT 대화 중 유플러스의 요금제와 혜택 정보를 확인할 수 있도록 상품 정보 제공 경로를 확대한 것"이라며 "너겟을 시작으로 향후 통합요금제까지 상품 탐색 범위를 단계적으로 확대하겠다"고 말했다.2026-10-06 14:44:09
-
AI 가속 서버서 x86 앞선 Arm…에이전트 실행·보안까지 확장 [경제일보] AI 인프라에서 Arm의 영역이 에이전트 실행과 보안 통제로 넓어지고 있다. GPU 등 가속기를 탑재한 서버 시장에서 Arm 기반 플랫폼에 대한 투자가 x86을 앞선 가운데, AI의 작업을 수행하는 CPU와 행동을 감시하는 DPU 양쪽에 Arm 기술이 활용되고 있다. 시장조사업체 IDC가 집계한 올해 1분기 Arm 기반 가속 서버 지출액은 530억달러로, x86 기반 서버의 346억달러를 웃돌았다. 지난해 4분기 시작된 역전 흐름이 이어졌다. 대형 고객들이 엔비디아 GB200 등 랙 단위 시스템을 도입하면서 서버 플랫폼의 무게중심이 이동했다. Arm이 지난달 28일 공개한 기술 자료는 이러한 인프라 변화가 에이전틱 AI에서 갖는 의미를 짚었다. 에이전트는 질문에 답하는 데 그치지 않고 기업 데이터를 읽고 외부 도구를 호출하며 작업을 완수한다. 여러 에이전트가 오래, 동시에 작동할수록 이를 실행할 컴퓨팅과 접근 권한을 통제할 컴퓨팅이 함께 필요해진다. CPU는 에이전트의 실행 환경, 작업 순서 조율, 도구와 애플리케이션 실행을 맡는다. GPU가 모델 연산을 가속하는 동안 CPU가 실제 업무 수행을 뒷받침하는 구조다. DPU는 네트워크·보안 기능을 호스트 CPU에서 분리해 독립적인 감시와 격리, 보안 정책 집행을 담당한다. Arm 기반 CPU는 AWS의 그라비톤, 구글의 액시온, 마이크로소프트의 코발트, 엔비디아의 베라로 확산돼 있다. 각각 설계는 다르지만 Arm 소프트웨어 생태계와 호환된다. Arm도 올해 3월 자체 설계한 데이터센터용 ‘AGI CPU’를 공개하며 설계 기술 라이선스와 CPU 제품을 함께 제공하는 방향으로 사업을 넓혔다. 엔비디아가 지난달 28일 발표한 ‘오픈 에이전트 세이프티 플랫폼’은 실행과 보호를 분리한 구조를 구현하는 사례다. 에이전트 실행 환경인 ‘오픈셸’과 감시 기능을 맡는 ‘센트리’, DPU인 ‘블루필드4’를 결합한 참조 설계다. 오픈셸은 에이전트 주변에 격리된 실행 환경을 만들고 접근 가능한 파일과 네트워크, 도구, 인증정보를 관리한다. 에이전트 프로세스 바깥에서 정책을 집행해 모델이 어떤 답변을 생성하든 정해진 접근 경계를 유지하도록 설계했다. 센트리는 블루필드4에서 에이전트의 요청과 응답, 데이터·도구 접근을 감시한다. 신원과 권한을 확인하고 허용 범위를 벗어나려는 에이전트를 격리한다. 엔비디아는 밀리초 단위로 격리·중단할 수 있다고 설명했다. 블루필드4에는 Arm 네오버스 V2 기반 CPU 코어 64개가 탑재된다. 작업을 실행하는 서버와 별도의 처리 자원으로 보안을 관리해 호스트가 침해돼도 통제 기능을 유지하도록 하는 방식이다. 이 구조는 기업이 AI에 더 많은 권한을 맡기면서 필요한 보안 기능을 인프라에 결합한다. Arm 기술의 활용 범위도 작업 실행에서 이를 보호하는 인프라 프로세서로 확대되는 셈이다. 기업 서비스 연동도 진행 중이다. 세일즈포스와 엔비디아는 오픈셸을 슬랙에 통합해 담당자가 에이전트 활동과 감사 기록을 확인하고 추가 권한 요청을 승인하거나 거절할 수 있도록 했다. SAP는 기업용 AI 플랫폼의 줄 스튜디오 실행 환경에 오픈셸을 결합하고 있다.2026-10-02 12:33:20
-
美 캘리포니아, 오픈AI에 소환장…AI '무단 해킹' 개발사 책임 조사 [경제일보] 미국 캘리포니아주가 외부 시스템에 무단 침입한 인공지능(AI) 에이전트의 통제 실패에 대해 오픈AI의 법적 책임을 조사하고 있다. 연구·평가 단계에서 발생한 해킹이 개발사의 안전조치와 사고 대응에 대한 규제당국의 검증으로 이어졌다. 캘리포니아주 법무장관실은 1일(현지시간) 오픈AI에 조사용 소환장을 송달했다고 밝혔다. 실제 송달일은 지난달 30일이다. 지난달 시작한 AI 개발 플랫폼 허깅페이스 침입 조사의 후속 조치로, 오픈AI와 해당 모델의 사이버 보안 사고·위험을 폭넓게 들여다본다. 롭 본타 법무장관은 최첨단 AI 모델이 사이버 방어에 쓰일 수 있지만, 개발 기업에는 모델이 공격을 실행하거나 돕지 않도록 할 도덕적·법적 책임이 있다고 강조했다. 책임을 다하지 못한 개발사에 법적 책임을 물을 수 있으며, 오픈AI가 이에 해당하는지 확인하겠다는 입장이다. 이번 조사의 출발점은 지난 7월 오픈AI 내부 사이버 보안 평가 중 발생한 허깅페이스 침입이다. AI 에이전트는 주어진 과제를 수행하기 위해 도구를 사용하고 작업을 이어가는 시스템이다. 당시 일부 에이전트는 인터넷 접근과 상호 통신을 제한한 실험환경의 통제를 우회했다. 오픈AI가 공개한 기술 보고서는 에이전트들이 내부 소프트웨어 관리 시스템을 게시판처럼 사용해 정보를 교환하고, 외부 인터넷에 접근했다고 설명했다. 이후 노출된 인증정보와 보안 취약점을 이용해 허깅페이스 서버에서 코드를 실행하고 일부 비공개 데이터에도 접근했다. 회사는 사안의 중심에 일반에 공개되지 않은 내부 연구용 모델이 있었으며, 평가 환경에는 외부 서비스와 같은 수준의 안전장치를 적용하지 않았다고 밝혔다. 당시 침입이 자사 고객 데이터나 제품 기능·가용성에는 영향을 주지 않았다는 설명도 내놨다. 조사 범위는 허깅페이스 한 곳에 머물지 않는다. 로이터통신은 1일 오픈AI가 에이전트의 무단 활동과 관련해 100곳 넘는 기관에 통보했다고 보도했다. 회사는 보안 통제 우회와 서비스 가용성 저해 가능성 등을 기준으로 관련 기관에 순차적으로 알리고 있다. 오픈AI는 연구 인프라의 격리 수준을 높이고 인터넷 접근과 모델 접근 권한을 제한하는 등 안전조치를 강화하고 있다고 설명했다. 학습·평가 과정에서 모델이 인터넷을 사용한 기록도 폭넓게 검토하고 있다. 주·연방 당국의 대응도 확대됐다. 아이오와주가 이끄는 15개 주 법무장관 연합은 관련 문서·데이터·통신 기록 보존과 안전성이 입증되기 전 문제의 시험 활동 중단을 요구했다. 로이터는 연방거래위원회(FTC)도 오픈AI·앤트로픽 등 AI 기업의 기술이 소비자에게 미칠 위험을 조사하며 자료 제출과 경영진 증언을 요구할 계획이라고 전했다. 본타 장관은 트럼프 행정부의 주 차원 AI 규제 제한 시도에도 캘리포니아의 주민 보호 권한을 지키겠다고 밝혔다. 이번 소환장은 진행 중인 조사를 위한 조치로, 법무장관실은 오픈AI의 위법 여부를 아직 확정하지 않았다.2026-10-02 08:16:11
-
LG유플러스, 해외여행부터 집콕까지…추석 생활 맞춤 서비스 선봬 [경제일보] LG유플러스가 추석 연휴를 맞아 해외여행과 귀성, 집콕 등 고객의 생활 상황에 맞춘 서비스를 내놓는다. 해외에서는 로밍과 인공지능(AI) 통화 서비스를 제공하고, 장기간 집을 비우는 고객에게는 스마트홈 보안 서비스를, 집에서 연휴를 보내는 고객에게는 AI·콘텐츠 구독 혜택을 제공한다. 통신 서비스에 AI와 스마트홈을 결합해 연휴 기간 고객 접점을 넓히는 전략이다. 23일 LG유플러스는 추석 연휴를 맞아 고객의 다양한 연휴 계획에 맞춘 서비스와 혜택을 운영한다고 밝혔다. 해외여행객을 겨냥한 LG유플러스의 대표 서비스는 로밍이다. LG유플러스의 5G 로밍은 지난 7월 기준 전 세계 100개 국가·자치령에서 이용할 수 있다. 현지 통신망과 지원 단말에 따라 5G 제공 여부가 달라지며 5G가 지원되지 않는 지역에서는 LTE나 3G로 연결된다. AI 통화 앱 '익시오(ixi-O)'를 활용한 로밍 서비스도 확대했다. 익시오 로밍콜은 LG유플러스 로밍 요금제에 가입했거나 와이파이 환경을 이용하는 고객이 해외에서 음성통화를 할 때 국제 통화요금을 별도로 부담하지 않고 통화할 수 있는 서비스다. 익시오 로밍콜은 지난 7월 일본에서 처음 시작한 뒤 현재 170여개국으로 서비스 지역을 확대했다. LG유플러스는 해외여행객의 통화 수요에 대응하면서 기존 데이터 중심의 로밍 서비스에 AI 통화 기능을 결합하는 방식으로 서비스를 확대하고 있다. AI는 해외여행뿐 아니라 상품 탐색 단계에서도 고객 접점으로 활용된다. LG유플러스는 챗GPT에서 온라인 전용 요금제 '너겟'의 상품과 혜택 정보를 확인할 수 있는 '유플러스' 플러그인을 제공하고 있다. 고객은 챗GPT 대화창에서 너겟 요금제의 종류와 데이터 제공량, 월 이용요금, 주요 혜택 등을 확인할 수 있다. 관심 있는 상품을 선택하면 너겟 공식 홈페이지로 연결돼 가입 절차를 진행할 수 있다. 본인 확인이나 가입 신청처럼 개인정보와 인증정보 입력이 필요한 과정은 LG유플러스 공식 채널에서 진행된다. 통신사 상품을 확인하는 접점을 기존 홈페이지나 앱에서 외부 AI 서비스까지 넓힌 것이 특징이다. AI를 단순한 부가 기능으로 활용하는 데 그치지 않고 고객이 상품을 탐색하고 선택하는 과정까지 연결하려는 방식이다. LG유플러스는 장기간 집을 비우는 고객을 위한 스마트홈 서비스도 운영한다. 최근 출시한 '홈캠 Lite'는 3년 약정 기준 월 5500원에 QHD 화질과 AI 감지 기능을 제공한다. 홈캠 Lite에는 보안칩과 영상 암호화, 2단계 인증 기능이 적용됐다. 화재와 영상 해킹으로 인한 피해를 보상하는 보험도 포함했다. 귀성이나 여행으로 집을 비우는 기간 동안 집 안 상황을 확인하고 보안을 관리하려는 고객을 겨냥한 서비스다. AI·콘텐츠 구독 서비스도 추석 연휴에 맞춰 할인 혜택을 제공한다. LG유플러스는 오는 30일까지 AI·콘텐츠 구독 상품을 처음 이용하는 고객에게 최대 5000원의 할인 혜택을 제공한다. 이벤트 대상 상품에는 최대 45%의 청구 할인이 적용되며 구체적인 할인 금액과 조건은 상품과 이용 방식에 따라 달라진다. 멤버십 프로그램 '유플투쁠'을 통한 소비 혜택도 마련했다. 컬리·사조몰·오뚜기몰 등 쇼핑 제휴 혜택과 숙박·문화·외식 관련 혜택을 제공하며, 오는 24일에는 장기 고객을 대상으로 이마트24 할인 혜택도 운영한다. LG유플러스는 이번 추석 프로모션을 통해 고객의 연휴 상황에 따라 서로 다른 서비스를 연결한다는 전략이다. 해외 여행객에게는 로밍과 AI 통화를 제공하고, 집을 비우는 고객에게는 스마트홈 보안을, 집에서 시간을 보내는 고객에게는 AI·콘텐츠 구독과 멤버십 혜택을 제공한다는 구상이다. 특히 익시오 로밍콜과 챗GPT 기반 너겟 상품 조회, AI 감지 기능이 적용된 홈캠 등을 통해 AI 활용 영역을 통신·통화에서 상품 탐색과 스마트홈으로 넓히고 있다. 연휴 기간 발생하는 고객의 생활 수요를 기존 통신 서비스와 AI·스마트홈 서비스로 연결해 고객 접점을 확대한다. LG유플러스 관계자는 "LG유플러스는 추석 연휴 기간 고객이 해외에서는 로밍 서비스를, 집을 비울 때는 스마트홈 서비스를, 집에서는 AI·콘텐츠와 멤버십 혜택을 상황에 따라 이용할 수 있도록 관련 서비스와 이벤트를 운영할 계획"이라며 "고객의 다양한 연휴 계획에 맞춘 서비스와 혜택을 운영한다"고 말했다.2026-09-23 09:00:00
-
메타 '뮤즈' 무료 공세…AI 경쟁, 성능 넘어 '서비스 연결망'으로 [경제일보] 메타의 개인 인공지능(AI) 에이전트 ‘뮤즈(Muse)’가 출시 2주 만에 미국 양대 앱마켓 무료 앱 1위에 오르며 돌풍을 일으키고 있다. AI 경쟁의 무게중심도 모델 성능에서 예약·구매·결제까지 처리할 수 있는 ‘서비스 연결망’으로 옮겨가는 모습이다. 지난 8일 미국에서 출시된 뮤즈는 이용자가 목표를 제시하면 웹사이트를 찾아다니며 정보를 조사하고 이메일 작성, 양식 입력, 상품 구매, 예약 등을 대신 수행한다. 메타는 민감한 작업을 처리할 때 이용자의 승인을 받도록 하고, 전용 클라우드 가상환경에서 에이전트와 이용자 정보를 관리한다고 설명했다. 시장 관심을 끈 것은 무료 이용량이다. 마크 저커버그 메타 최고경영자는 일반 이용자에게 매주 최대 1억 토큰을 제공하겠다는 구상을 밝혔다. 토큰은 AI가 문장을 읽고 생성할 때 사용하는 기본 단위로, 1억 토큰은 영어 약 7500만 단어에 해당한다. 이를 경쟁사의 API 가격에 대입하면 규모가 더 분명해진다. 입력 90%, 출력 10%로 가정할 경우 1억 토큰을 처리하는 비용은 앤트로픽 ‘클로드 소네트5’가 약 280달러, 오픈AI ‘GPT-5.3 코덱스’가 약 297.5달러다. 환율에 따라 차이가 있지만 매주 약 40만원어치의 처리량인 셈이다. 다만 실제 사용량과 비용은 입력·출력 비율, 캐시 적용 여부, 작업 종류에 따라 크게 달라질 수 있다. 개인 구독 상품은 토큰 한도를 공개하지 않아 API 요금을 기준으로 비교했다. 뮤즈가 완전히 무료인 것은 아니다. 메타는 사용량이 많은 이용자를 겨냥해 월 20달러와 100달러짜리 유료 상품도 운영한다. 기본 사용자를 무료로 끌어들인 뒤 외부 서비스와의 거래 연결 및 유료 기능으로 수익을 확보하려는 전략으로 풀이된다. 메타는 외부 사업자가 뮤즈와 서비스를 연결할 수 있도록 ‘커넥터’ 생태계를 확대하고 있다. 쇼피파이와 스트라이프는 상품 검색과 결제를 지원하지만 아마존은 고객 인증정보와 개인정보 보호 문제를 들어 뮤즈의 쇼핑몰 접근과 대리 구매를 차단했다. AI에 연결하면 신규 거래를 확보할 수 있지만 고객 데이터와 추천·광고 접점을 메타에 내줄 수 있다는 우려도 나온다. PC 지원 여부는 제품을 구분해 볼 필요가 있다. 개인용 뮤즈는 iOS·안드로이드 앱뿐 아니라 웹사이트에서도 제공돼 윈도우 PC에서 브라우저로 바로 이용할 수 있다. 별도 윈도우 앱 출시 일정은 공개되지 않았다. macOS 중심으로 알려졌던 제품은 개발자용 코딩 에이전트 ‘뮤즈 코드’로, 메타는 지난 16일 WSL 없이 작동하는 윈도우 네이티브 버전을 출시했다. 한편 뮤즈의 확산 여부는 연결되는 서비스의 수뿐 아니라 개인정보 보호와 실행 오류에 대한 신뢰 확보에 달렸다. AI가 이용자를 대신해 돈을 쓰고 계약하는 단계로 진입하면서 플랫폼 간 주도권 경쟁도 한층 거세질 전망이다.2026-09-22 16:52:49
-
"'무손실 AI 매매' 믿었다간 지갑 털린다"…빗썸, 가짜 프로그램 경보 [경제일보] ‘인공지능(AI)이 알아서 매매해 고수익을 낸다’, ‘API 키만 연결하면 손실 없이 거래할 수 있다’는 광고를 앞세운 가상자산 악성코드가 확산하고 있다. 자동매매 프로그램으로 위장해 이용자의 거래소 계정과 개인지갑 정보를 빼가는 방식이다. 빗썸은 9월 정보보호 캠페인으로 가짜 AI 자동매매 프로그램과 투자 분석 도구를 통한 악성코드 피해 예방 활동을 진행한다고 9일 밝혔다. 공격자는 검색광고와 사회관계망서비스(SNS), 메신저 등에 자동매매 프로그램을 홍보한 뒤 실행파일이나 압축파일 설치를 유도한다. 프로그램을 실행하면 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키, 거래소 API 키, 개인지갑의 개인키와 시드 구문 등이 외부로 전송될 수 있다. API 키는 외부 프로그램이 거래소 계정의 시세 조회와 주문 기능 등을 사용할 수 있도록 발급하는 인증정보다. 이용자가 부여한 권한에 따라 자산 조회와 매수·매도, 출금까지 가능해 사실상 금융계좌의 비밀번호와 비슷하게 관리해야 한다. 출금 권한이 없는 API 키도 안전하다고 볼 수 없다. 공격자가 임의로 주문을 내거나 거래량이 적은 가상자산을 비정상적인 가격에 사고팔아 손실을 일으킬 수 있다. 로그인 세션 쿠키가 탈취되면 비밀번호 입력 없이 접속 상태가 재현될 가능성도 있다. 실제 출금 과정에서는 추가 인증과 거래소 보안정책에 따라 공격이 차단될 수 있어, 정보 탈취가 곧바로 자산 출금으로 이어진다고 단정해서는 안 된다. 해외에서는 유사 공격이 이미 확인됐다. 보안 연구진은 올해 초 개인용 AI 에이전트 ‘오픈클로’의 확장 프로그램 장터에서 가상자산 자동매매·지갑 관리 도구로 위장한 악성 프로그램을 발견했다. 해당 프로그램은 거래소 API 키와 지갑 정보, 브라우저 비밀번호를 탈취하도록 설계됐다. 공개된 악성 확장 프로그램만 수백 개에 달한 것으로 조사됐다. 미국 연방수사국(FBI)도 생성형 AI가 사기 광고와 가짜 프로필, 피싱 메시지를 더 빠르고 정교하게 제작하는 데 활용되고 있다고 경고했다. AI가 투자 수익을 만들어주는 것이 아니라 투자자를 속이는 외형을 만드는 도구로 사용되는 셈이다. 빗썸은 출처가 불분명한 실행파일과 압축파일을 내려받지 말고 공식 채널에서 제공하는 서비스만 이용할 것을 당부했다. API 키를 발급할 때는 출금 권한을 제외하고 조회와 주문 등 필요한 기능만 허용해야 한다. 사용하지 않거나 외부에 노출된 키는 즉시 폐기하고, 가능하다면 접속 허용 IP도 제한하는 편이 안전하다. 악성코드 감염이 의심되면 해당 기기의 인터넷 연결을 먼저 차단해야 한다. 감염되지 않은 다른 기기에서 거래소 비밀번호를 바꾸고 API 키와 로그인 세션을 폐기한 뒤 출금 주소와 최근 거래 내역을 확인해야 한다. 개인지갑의 시드 구문이 유출됐다면 기존 지갑을 계속 사용하지 말고 안전한 환경에서 새 지갑을 만든 뒤 자산을 옮겨야 한다. 빗썸은 자체 제공하는 ‘AI 트레이드 킷’을 공식 대안으로 제시했다. 챗GPT와 클로드 등 AI 서비스와 연동해 코딩 없이 자동매매할 수 있으며, 이용자 기기에 API 키 정보를 별도로 저장하지 않는다고 설명했다. 한편 ‘공식’이라는 이유만으로 투자 손실이나 보안 위험이 사라지는 것은 아니다. AI 자동매매 서비스는 이용자 대신 주문을 수행할 뿐 수익을 보장하지 않는다. 거래소는 사기 예방 캠페인과 함께 API 권한을 세분화하고 이상 주문을 조기에 탐지하는 장치, 사고 발생 시 책임 범위를 이용자가 이해하기 쉽게 공개해야 한다.2026-09-10 08:07:24
-
![[데스크칼럼] 개인정보 유출의 값이 2만원인가](https://image.ajunews.com//content/image/2026/09/07/20260907093313274254.jpeg)
개인정보 유출의 값이 2만원인가 3954만개 계정이 털렸다. 실제 피해자 수와 같은 숫자는 아니다. 중복 계정이 포함돼 있다. 그래도 작다고 할 수 없는 규모다. 이름과 휴대전화번호, 이메일, 생년월일, 연계정보(CI) 등이 빠져나갔고 소스코드가 담긴 개발 프로젝트 361건도 유출됐다. 티빙은 7일부터 피해 고객 보상 신청을 받는다. 회사가 산정한 1인당 보상 패키지의 체감가치는 약 2만원이다. 문제는 액수가 크고 작으냐만이 아니다. 개인정보 유출 사고가 날 때마다 기업이 사과하고 포인트와 쿠폰을 주고 보안 투자를 늘리겠다고 약속하는 장면이 반복되는 데 있다. 이번 사고는 고도의 해킹 기술에 속수무책으로 당한 사건이라고 보기 어렵다. 정부 조사 결과 개발·운영환경 접속키가 소스코드에 그대로 노출되거나 평문으로 저장돼 있었다. 모든 개발자가 전체 개발 프로젝트에 접근할 수 있었고, 2024년 모의해킹에서 같은 취약점을 발견하고도 충분한 개선 조치를 하지 않았다. 사고 뒤에 보안을 강화하는 것은 어렵지 않다. 진짜 보안은 사고가 나기 전에 돈을 쓰는 일이다. 티빙은 앞으로 정보보호 투자를 늘리고 전문 인력도 확충하겠다고 했다. 필요한 조치다. 그러나 이런 투자가 사고가 난 뒤에야 시작된다는 것이 문제다. 개인정보를 많이 가진 기업일수록 보안은 비용으로 보이기 쉽다. 매출을 직접 만들지 않고 눈에 띄는 성과도 내기 어렵기 때문이다. 사고가 없으면 투자 효과조차 설명하기 힘들다. 그러다 문제가 터지면 그동안 아낀 비용보다 훨씬 큰 값을 치른다. 개인정보를 바라보는 기업의 시각부터 달라져야 한다. 고객 데이터는 기업이 마음대로 활용할 수 있는 자산이 아니다. 이용자가 맡긴 정보다. 많이 모을수록 가치가 커지는 동시에 책임도 커진다. 한번 밖으로 나간 전화번호와 CI는 비밀번호처럼 간단히 바꿀 수도 없다. 그런데 사고의 책임은 여전히 보안 담당 부서에 집중되는 경우가 많다. 접근권한을 얼마나 줄일지, 보안 인력을 얼마나 둘지, 시스템 구축에 얼마를 쓸지는 실무자가 혼자 결정할 수 있는 일이 아니다. 결국 경영의 문제다. 대규모 플랫폼의 개인정보 보호를 최고정보보호책임자 한 사람의 업무로 남겨둬서는 안 되는 이유다. 정부도 과징금 액수만 높이는 데 머물러서는 안 된다. 최소권한 원칙이 실제 현장에서 지켜지는지, 접속키와 인증정보를 어떻게 관리하는지, 모의해킹에서 발견된 취약점을 언제까지 고치도록 할 것인지 기준을 더 엄격하게 만들어야 한다. 중대한 취약점을 알고도 방치했다면 경영진의 관리 책임까지 물을 수 있어야 한다. 사고 공시도 달라질 필요가 있다. 얼마나 많은 정보가 빠져나갔는지만 알릴 것이 아니라 왜 사고가 났는지, 과거 어떤 경고가 있었는지, 누가 개선 여부를 확인했는지까지 공개해야 한다. 그래야 시장도 기업의 보안 수준을 판단할 수 있다. 티빙의 2만원 보상이 적절한지는 이용자마다 판단이 다를 것이다. 그러나 이번 사고가 남긴 질문은 금액보다 크다. 3954만개 계정이 유출된 뒤 2만원 상당의 혜택을 주는 것으로 신뢰가 돌아오는 것은 아니다. 개인정보를 맡아놓고 제대로 지키지 못한 책임에는 가격표를 붙이기 어렵다. 보안은 사고 뒤 고객에게 지급하는 보상비가 아니다. 사고가 나지 않도록 기업이 먼저 부담해야 할 비용이다.2026-09-07 11:10:55
-
개인정보위, 29일 KT 펨토셀 해킹 심의…소액결제 피해가 수위 가른다 [경제일보] KT의 불법 초소형 기지국인 펨토셀 해킹 사고에 대한 개인정보보호위원회의 제재 수위가 이르면 이번 주 결정된다. 개인정보 유출 규모는 SK텔레콤이나 쿠팡보다 작지만 유출 정보가 무단 소액결제에 악용돼 금전 피해로 이어진 점이 주요 변수다. 개인정보위는 오는 29일 전체회의에서 KT의 개인정보보호법 위반 여부와 과징금, 시정명령 등 제재안을 심의할 예정이다. 이날 의결이 마무리되면 처분 결과는 30일 공개될 전망이다. 위원 간 추가 논의가 필요하면 결론이 차기 회의로 미뤄질 수도 있다. 개인정보위는 SK텔레콤 유심 정보 유출 사건을 심의할 때도 첫 회의에서 결론을 내리지 못하고 후속 회의에서 최종 제재안을 의결했다. 과학기술정보통신부 민관합동조사단 조사 결과 불법 펨토셀을 통해 KT 이용자 2만2227명의 가입자식별번호(IMSI)와 단말기식별번호(IMEI), 전화번호가 유출됐다. 이 가운데 368명에게 777건, 약 2억4300만원의 무단 소액결제 피해가 발생했다. 불법 펨토셀에는 KT망 접속에 필요한 인증서와 인증서버 IP 정보가 저장돼 있었으며, 해당 장비를 거치는 통신 트래픽을 외부로 전송하는 기능도 확인됐다. 공격자는 탈취한 가입자·단말기 정보와 다른 경로에서 확보한 개인정보를 결합해 ARS와 문자 인증을 가로챈 것으로 조사됐다. 개인정보위는 KT가 불법 장비의 내부망 접속을 차단할 안전조치를 충분히 마련했는지, 이상 징후를 적시에 탐지하고 신고했는지 등을 살펴본 것으로 전해졌다. 단순 정보 유출을 넘어 개인정보가 실제 결제 범죄에 이용된 점은 제재 수위를 높일 수 있다. 현행 개인정보보호법상 과징금은 전체 매출액에서 위반행위와 무관한 매출을 제외한 금액을 기준으로 최대 3%까지 부과할 수 있다. KT의 최근 3년 무선서비스 연평균 매출 약 6조6689억원에 3%를 단순 적용하면 약 2000억원이지만 실제 부과액은 이보다 달라질 가능성이 크다. 개인정보위는 위반 정도와 기간, 피해 규모, 안전조치 의무 위반 내용과 사고 이후 대응 등을 종합해 과징금을 산정한다. 9월 시행되는 반복적·대규모 침해사고 대상 최대 10% 징벌적 과징금은 이번 KT 사건에는 적용되지 않는다. 앞서 개인정보위는 SK텔레콤에 1347억9100만원, 쿠팡에 총 6246억원의 과징금을 부과했다. KT는 유출 인원이 상대적으로 적지만 2차 금전 피해가 확인됐다는 차이가 있다. 반면 피해액 보전과 위약금 면제, 보안 투자 확대 및 재발 방지책은 감경 사유로 고려될 수 있다. 한편 이번 결정은 통신사가 코어망뿐 아니라 펨토셀과 같은 접속 장비의 인증정보와 접근권한까지 어느 수준으로 관리해야 하는지 보여주는 기준이 될 전망이다.2026-07-27 17:03:45
-
개인정보위, 본인정보 전송 사전협의 31일까지 연장…서비스 중단 막는다 [경제일보] 개인정보보호위원회가 본인전송요구권 확대 시행을 앞두고 공공기관과 개인정보 전송 대리인 간 사전협의 신청 기간을 오는 31일까지 연장한다. 기존 스크래핑 방식으로 제공되던 서비스가 제도 전환 과정에서 갑자기 중단되는 일을 막기 위한 조치다. 개인정보위는 본인전송요구권 사전협의 지원 시범운영 신청을 20일부터 31일까지 추가로 받는다고 밝혔다. 본인전송요구권은 정보주체가 기업이나 공공기관이 보유한 자신의 개인정보를 본인에게 보내달라고 요구할 수 있는 권리다. 이용자가 직접 요구할 수 있고 애플리케이션 운영사 등 대리인에게 권리 행사를 위임할 수도 있다. 다만 대리인이 아이디와 비밀번호 등을 이용해 웹사이트 정보를 자동으로 가져오는 스크래핑 방식으로 개인정보 전송을 요청할 때는 사전에 정보전송자와 협의해야 한다. 전송 대상과 목적·범위·방식, 위임권 확인 절차, 보안조치와 사고 발생 시 책임 등을 미리 정하도록 한 것이다. 스크래핑은 별도 전송 시스템을 구축하지 않아도 정보를 가져올 수 있어 여러 데이터 서비스에서 활용돼 왔다. 하지만 대리인이 인증정보를 보관하거나 여러 개인정보를 한꺼번에 수집할 수 있어 정보 유출과 과도한 수집 위험이 있다는 지적도 받아왔다. 개인정보위는 제도 시행에 앞서 지난달 25일부터 이달 10일까지 사전협의 지원 시범운영을 진행했다. 이 기간 70여개 기업·기관이 약 150건의 협의를 신청했다. 이후에도 문의와 추가 신청이 이어지면서 접수 기간을 31일까지 늘리기로 했다. 연장 기간 안에 사전협의를 신청한 대리인과 정보전송자는 협의가 끝날 때까지 현재 사용 중인 전송 방식을 한시적으로 유지할 수 있다. 모든 스크래핑 서비스에 일괄적으로 유예기간을 주는 것은 아니며, 기간 내 협의를 신청한 경우에만 적용된다. 본인전송요구권 확대 제도는 8월 20일부터 주요 공공시스템 운영기관을 대상으로 우선 시행된다. 대규모 시스템을 운영하는 민간 기업·기관에는 내년 2월부터 단계적으로 적용될 예정이다. 개인정보위는 21일 주요 공공시스템 운영기관과 준비 현황을 점검하고 22일에는 기업·기관을 대상으로 설명회를 개최한다. 시범운영이 종료된 뒤에도 대리인과 정보전송자 간 자율적인 사전협의 체계는 계속 운영된다.2026-07-20 10:39:01
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 온누리상품권의 거품을 걷어라… 혈세 쓴 책임부터 물어야](https://image.ajunews.com/content/image/2026/10/23/20261023100836286597_518_323.jpg)