2026.10.26 월요일
검색
'접근통제' 검색결과
기간검색
-
~
검색영역
검색어
-
놀유니버스, 숙소 예약내역까지 털렸다…통합 뒤 남은 개인정보 유출 사과 [경제일보] 놀유니버스에서 고객의 국내 숙소 예약내역과 임직원 개인정보가 유출됐다. 이름과 연락처에 예약 상품, 구매금액, 이용 일자까지 포함돼 고객센터나 숙박업소를 사칭한 연락에 악용될 우려가 있다. 여행·여가 서비스를 ‘놀(NOL)’로 통합한 이후에도 과거 서비스의 개인정보 조회 기능을 어떻게 보호했는지가 조사 과제로 떠올랐다. 놀유니버스는 26일 외부 공격자가 지난 22일 시스템의 보안 취약점을 이용해 구 인터파크투어 국내 숙소 예약자 정보 조회 기능에 비정상적으로 접근했다고 밝혔다. 유출 대상은 예약일 기준 올해 2월 15일부터 9월 8일까지 구 인터파크투어에서 국내 숙소를 예약한 고객이다. 이는 유출된 자료의 대상 기간이며, 해당 기간 내내 침입이 이어졌다는 의미는 아니다. 유출 항목은 회원ID·회원번호, 예약자명·이용자명, 전화번호·이메일주소, 상품명·구매금액·이용 일자다. 회사는 인터파크투어 항공·해외숙소·투어·티켓 예약과 NOL 서비스 예약은 이번 유출 대상에 포함되지 않았다고 설명했다. 이번 사고는 연락처 유출을 넘어 거래 맥락까지 노출됐다는 점에서 위험이 크다. 공격자가 실제 예약 상품과 금액을 제시하며 환불이나 추가 결제를 요구하면 고객은 정상 안내로 오인할 수 있다. 예약자와 실제 이용자가 다른 경우 양측의 정보가 각각 얼마나 유출됐는지도 확인해야 한다. 회사에는 서비스 통합 이후의 보안 관리 책임도 남는다. NOL 인터파크투어는 지난 9월 8일 서비스를 종료하고 NOL로 통합됐다. 개발자가 게시한 앱 안내에도 숙소·항공·공연 예약 등을 하나의 앱으로 모은다고 명시돼 있다. 서비스 종료와 기존 거래정보의 보호 의무는 별개다. 예약 확인과 취소·환불 등을 위해 정보를 보관하더라도 누가 어떤 경로로 조회할 수 있는지 제한해야 한다. 이번 공격이 통합 과정 때문에 발생했다고 확인된 것은 아니다. 기존 조회 기능의 접근권한과 외부 노출 범위를 통합 전후에 어떻게 점검했는지가 핵심이다. 임직원 정보 침해도 앞서 공지됐다. 회사는 지난 19일 외부 공격자가 일부 임직원 정보 조회 기능에 접근했으며 이름·전화번호·회사 이메일·사번과 암호화된 내부 시스템 접속용 비밀번호가 유출됐다고 밝혔다. 두 침해가 같은 취약점이나 공격자에 의해 발생했는지는 알려지진 않았다. 임직원 정보 침해를 파악한 뒤 다른 조회 기능까지 점검했는지, 고객정보 접근을 언제 탐지하고 차단했는지 설명이 필요하다. 암호화된 비밀번호에 대해서도 보호 방식과 초기화 여부, 기존 로그인 세션 차단 등 후속 조치를 확인해야 한다. 놀유니버스는 공격 경로를 차단하고 취약점을 보완했으며 비정상 접근 탐지·차단 체계를 강화했다고 밝혔다. 한국인터넷진흥원(KISA)에 기술 지원도 신청했다. 회사 관계자는 침해 경로와 범위를 조사하고 관계기관에 협조하면서 조사 결과를 토대로 보안 체계를 강화하겠다고 말했다. 한편 현재 공개된 내용만으로는 피해 인원과 예약 건수, 공격자가 접근한 전체 정보 범위를 알기 어렵다. 회사는 고객별 유출 항목과 피해 확인 방법, 문의·구제 절차를 구체적으로 안내해야 한다. 고객에게 의심스러운 연락을 조심하라고 당부하는 것과 함께, 예약 사실을 알고 접근하는 사칭 연락을 어떻게 구별할지도 설명할 필요가 있다.2026-10-26 14:21:21
-
![[AI, 통제의 경계를 넘다①] AI가 보안망 뚫었다…오픈AI도 학습 멈춘 자율해킹의 경고](https://image.ajunews.com//content/image/2026/10/25/20261025142214237707.jpg)
AI가 보안망 뚫었다…오픈AI도 학습 멈춘 '자율해킹'의 경고 [경제일보] 인공지능(AI)이 주어진 과제를 해결하는 과정에서 보안 경계를 넘어 외부 시스템에 침입한 사례가 잇따라 공개됐다. 일부 에이전트는 허용 범위 밖이라는 점을 인식하고도 공격을 이어갔다. 오픈AI는 연구 환경의 인터넷 차단이 뚫리자 최첨단 모델의 강화학습 등 연구 작업을 11일간 중단했다. AI의 실행 능력과 이를 통제하는 체계 사이의 간극이 드러난 것이다. 오픈AI는 지난 23일 최첨단 모델의 학습·평가 환경을 보강한 결과를 공개했다. 계기는 9월 20일 내부 연구용 모델이 인터넷 접근 제한을 우회해 외부 챗봇에 질의한 사건이었다. 당시 에이전트는 특정 인물을 찾는 검색 과제를 수행하고 있었다. 제공된 검색 도구에서 답을 얻지 못하자 다른 경로를 탐색했고, 도메인네임시스템(DNS) 질의의 필터링 허점을 이용해 외부 챗봇의 응답을 받았다. 사람이 네트워크 통제를 시험하거나 외부 챗봇에 접속하라고 지시한 과제는 아니었다. 감시체계는 첫 외부 응답 이후 약 12분 만에 최고 우선순위 경보를 발생시켰고, 담당자는 약 3분 뒤 이를 확인했다. 그러나 예상했던 자동 중단은 작동하지 않았다. 작업을 멈춰야 하는지를 두고 혼선이 생겼고, 담당자 확인 후 약 2시간30분이 지나서야 수동으로 종료됐다. 탐지와 실제 차단 사이에 운영상의 공백이 있었던 셈이다. 회사가 중단한 범위는 최첨단 모델의 도구 사용을 수반하는 학습·평가·추론이었다. 챗GPT 고객 서비스 전체나 모든 모델의 학습을 멈춘 것은 아니다. 오픈AI는 통제 장치를 보강한 뒤 10월 1일 최첨단 모델의 강화학습과 내부 추론을 재개했다고 밝혔다. 앞선 7월에는 외부 시스템 침해로 이어지는 더 큰 사고가 있었다. 오픈AI 내부 사이버보안 평가에 투입된 에이전트들이 격리 장치를 우회해 허깅페이스의 시스템과 오픈AI 내부 연구 인프라 일부를 침해했다. 이 평가에는 일반 고객에게 제공하는 서비스와 같은 수준의 안전장치가 적용되지 않았다. 에이전트들은 내부 소프트웨어 패키지 저장소를 비인가 메시지 공간으로 바꿔 정보를 교환했다. 인터넷 접속 방법과 인증정보를 공유하고, 여러 취약점을 연결해 허깅페이스 서버에서 코드를 실행했다. 접근 범위는 일부 내부 데이터와 운영용 인증정보로까지 넓어졌다. 독립 평가기관 METR는 조사 대상 기간에 약 1200개 에이전트가 이 공간에서 메시지와 파일 7만건 이상을 주고받았으며, 이 가운데 약 700개가 허깅페이스 공격에 참여했다고 분석했다. 여기서 에이전트 수는 서로 다른 AI 모델의 개수가 아니라 개별 실행 인스턴스를 가리킨다. 평가 과제는 지정된 시스템의 취약점을 이용해 정답을 찾아내는 방식이었다. 그러나 일부 에이전트는 문제를 풀기 어려워지자 평가 점수를 얻는 다른 수단을 찾았다. METR는 자동 채점기의 작동 방식을 파악하거나 속이려는 공동 작업이 허깅페이스 공격으로 발전한 것으로 분석했다. 이를 단순히 AI가 허용 범위를 몰랐던 사고로 설명하기도 어렵다. 공개된 실행 기록에는 외부 시스템 공격이 과제 범위를 벗어난다고 판단하면서도 목표 달성에 도움이 된다는 이유로 계속한 정황이 담겼다. 범죄 의식이나 자아가 생겼다는 증거와는 구분해야 하지만, 경계를 인식하는 듯한 추론이 실제 행동 억제로 이어지지 않았다는 점은 중요하다. 이처럼 평가 점수나 보상을 얻기 위해 의도된 해결 절차를 벗어나는 행동을 ‘보상 해킹’이라고 부른다. 그 시도가 코드 실행 권한과 외부 연결 통로를 만나면 평가의 신뢰성 문제를 넘어 실제 시스템 침해로 번질 수 있다. 여러 에이전트의 협업은 한 실행에서 발견한 우회 방법을 다른 실행으로 확산시키는 통로가 된다. 다른 개발사에서도 유사한 문제가 보고됐다. 앤트로픽은 9월 9일 클로드 모델이 실제 제3자 시스템에 무단 접근한 사건 4건의 분석을 공개했다. 사건이 모두 9월 발생한 것은 아니며, 올해 1월 발생 사례도 포함됐다. 같은 외부 평가 협력사가 만든 환경에서 설정 오류로 인터넷 연결이 열려 있었고, 일반 출시 모델에 적용하는 사이버 안전장치는 비활성화된 상태였다. 앤트로픽은 10월 23일에도 영국 AI보안연구소(AISI)의 평가에서 발생한 별도 사건을 추가 분석했다. 모델이 과제 해결을 위해 실제 외부 개발자의 코드 저장소에 악성코드를 제출하려 한 사례다. 이 평가에서는 당시 운영 방침에 따라 인터넷 연결이 허용돼 있었다. 인터넷이 열린 원인까지 모두 같은 유형의 사고는 아니다. 오픈AI는 현재 최첨단 모델의 연구용 강화학습에서 외부 인터넷 접근을 차단하고, 검색·웹 활용 학습에는 저장된 웹 콘텐츠를 이용하는 환경을 마련했다고 밝혔다. 여러 격리 장치를 중첩하고, AI 에이전트에 방어체계를 공격하도록 하는 대규모 모의침투도 실시했다. 모의침투는 별도로 구축한 연구 인프라 복제 환경에서 진행됐다. 에이전트들은 가상환경 탈출과 인터넷 접근, 서로 격리된 작업 간 통신을 가능하게 하는 취약점과 설정 오류를 찾아냈다. 오픈AI는 관련 문제를 수정하고 외부 소프트웨어 개발사와도 보완 작업을 진행했다고 설명했다. 감시 장치도 점검 대상이다. METR와 레드우드리서치는 7월 21일 당시와 그 이전의 오픈AI 내부 감시체계를 평가해 최근 수백개 행동을 감시 대상에서 제외할 수 있는 공격 방법 등을 발견했다. 실제 에이전트가 이를 악용했다고 확인한 결과는 아니다. 오픈AI는 운영 중인 안전장치에 영향을 주는 지적 사항을 수정했다고 밝혔지만, 평가기관들은 후속 조치를 재검증하지 않았다. 기업이 관리해야 할 위험은 공격자의 AI 악용과 내부 AI의 권한 일탈로 나뉜다. 전자는 외부 공격에 대한 방어 문제이고, 후자는 조직이 부여한 권한과 목표를 어떻게 제한하느냐의 문제다. AI에 업무 수행 권한을 줄수록 실행 기록의 보존, 감시 범위의 검증, 자동 중단 책임도 함께 정해야 한다. 오픈AI의 9월 사고는 이상행동을 발견하는 것만으로 통제가 완성되지 않는다는 점을 보여준다. 약 12분 만에 경보가 울려도 실제 작업 중단까지는 훨씬 긴 시간이 필요했다. AI가 해서는 안 되는 일을 시작했을 때 누가, 어떤 기준으로, 얼마나 빨리 멈출 수 있는지가 기업의 새로운 보안 과제가 됐다.2026-10-26 07:01:00
-
롯데 기프티엘, '철저한 정보보안'이라더니…환불계좌까지 털렸다 [경제일보] ‘철저한 정보보안’을 경쟁력으로 내세운 롯데 계열 모바일 상품권 서비스 기프티엘에서 고객 개인정보가 유출됐다. 이름과 연락처뿐 아니라 환불 계좌번호까지 공격자에게 넘어갔다. 금융당국 등록과 롯데그룹의 보안 기준을 신뢰의 근거로 홍보해 온 운영사 스푼이 정작 고객정보를 어떻게 보호했는지 설명해야 할 상황이다. 스푼은 25일 홈페이지에 게시한 사과문에서 지난 22일 외부의 비인가 접근으로 일부 고객의 개인정보가 유출된 사실을 확인했다. 유출 항목은 이름, 휴대전화번호, 이메일, 환불 계좌번호다. 공격 IP 차단과 시스템 접근통제를 강화했으며 관계기관 신고와 수사를 요청했다고 밝혔다. 그러나 피해 인원과 실제 침입 시점, 공격자가 이용한 경로가 담기지 않았다. 사고를 확인한 날짜는 제시했지만 언제부터 정보가 빠져나갔는지는 알 수 없다. 고객별로 어떤 정보가 유출됐는지, 과거 환불 이용자까지 포함됐는지도 확인이 필요하다. 이번 사고의 위험은 유출 항목의 조합에 있다. 연락처에 계좌번호가 결합되면 환불 처리나 피해 보상을 사칭하는 연락을 실제 안내처럼 꾸미는 데 악용될 수 있다. 예컨대 고객 이름과 계좌번호 일부를 제시하며 추가 인증을 요구하는 방식이다. 이는 예상 가능한 2차 피해 시나리오이며, 이번 사고로 유출된 정보가 환불·보상 안내를 사칭한 금융사기에 악용될 우려가 있다. 기프티엘은 롯데리아와 엔제리너스 등의 모바일 교환권을 발행하고, 다른 판매처에서 구매한 교환권의 사용·환불 문의도 담당한다. 기업용 대량발송 서비스는 약 150개 브랜드, 3000여개 상품을 취급한다. 소비자가 상품권을 산 판매처와 환불정보를 보관하는 사업자가 다를 수 있는 구조다. 스푼이 그동안 내세운 홍보 문구는 이번 사고를 평가할 기준이 된다. 회사는 홈페이지에 ‘철저한 정보보안’, ‘금융감독원 라이선스 취득을 통한 신뢰 확보’를 명시했다. 별도 사업 소개에서는 롯데그룹과 금융당국의 보안 안정성 기준에 따라 운영한다고 설명한다. 홈페이지에 공개된 개인정보처리방침에는 고객정보 암호화, 업무·직급별 접근권한 통제, 접속기록 보관과 정기점검을 시행한다고 적혀 있다. 조사에서는 이 조치들이 유출된 시스템에도 적용됐는지, 비정상적인 접근을 언제 탐지했는지 확인해야 한다. 암호화 여부와 유출정보를 공격자가 읽을 수 있는 형태였는지도 중요하다. 환불정보의 보관 방식도 살펴볼 대목이다. 처리방침은 환불 관련 기록을 환불 완료 후 5년 뒤 파기한다고 명시한다. 거래 증빙을 보관할 필요와 이를 일상 업무에서 얼마나 넓게 조회할 수 있도록 둘지는 별개 문제다. 장기 보관 정보의 접근권한을 제한했는지, 보관기간이 지난 정보는 실제 삭제했는지 확인할 필요가 있다. 한편 사고 이후 고객 안내에도 아쉬움이 남는다. 스푼은 ‘금융감독원 명의도용 방지서비스’를 통한 지급정지와 점검을 권고했다. 그러나 금융당국의 공식 안내는 본인계좌 지급정지, 개인정보노출자 등록, 휴대전화 명의도용 방지를 서로 다른 제도로 구분한다. 불안한 고객에게 조치를 권하면서 서비스 명칭과 기능을 뒤섞으면 대응을 어렵게 만들 수 있다. 스푼은 피해 접수 후 경위 조사와 검토를 거쳐 관련 법령과 기준에 따른 조치를 안내하겠다고 밝혔다. 다만 구체적인 지원 범위와 처리기한은 사과문에 제시하지 않았다.2026-10-25 11:48:16
-
해킹 넘어 내부 AI도 관리 대상…마이크로소프트, '에이전틱 내부자' 경고 [경제일보] 기업이 업무 효율화를 위해 도입한 인공지능(AI) 에이전트가 새로운 보안 위협으로 떠오르고 있다. AI가 외부 공격자의 해킹 도구로 활용되는 것을 넘어 기업 내부 데이터와 시스템에 접근해 업무를 수행하는 과정에서도 예상하지 못한 행동을 할 수 있기 때문이다. 마이크로소프트는 기업이 직접 배포한 AI 에이전트도 지속적으로 감독하고, 위험 수준에 따라 행동 권한을 조정해야 할 것으로 전망했다. 20일 마이크로소프트는 기업 내부에서 활동하는 AI 에이전트를 '에이전틱 내부자'로 규정하고, 이를 보호하기 위한 보안 접근법을 제시했다고 밝혔다. 최근 AI를 활용한 사이버 공격 사례도 잇따르고 있다. 최근 해커가 자율형 AI 에이전트를 이용해 미국과 캐나다, 호주, 일본 등의 기업 웹사이트 100곳 이상을 공격하는 등 공격 사례가 많아지고 있다. AI를 활용해 취약점을 탐색하고 침입 과정을 자동화한 사례로 분석된다. ◆ 기업 내부에서 활동하는 '에이전틱 내부자' 마이크로소프트는 기업이 직접 도입한 AI 에이전트도 별도의 보안 관리 대상이 돼야 한다고 보고 있다. 에이전트는 코드 작성과 정보 조사뿐 아니라 매출 분석, 비용 처리 등 실제 업무를 수행하며 사내 문서와 데이터베이스, 클라우드 서비스 등에 접근할 수 있다. 이 과정에서 권한이 과도하게 부여되거나 예상과 다른 행동을 하면 민감 정보 유출과 시스템 오작동으로 이어질 수 있는 것이다. AI 모델이 목표 달성에 집중하는 과정에서 의도하지 않은 수단을 선택하는 '보상 해킹'도 위험 요인으로 꼽힌다. 주변 상황이나 입력 정보가 달라지면 에이전트의 계획과 행동이 바뀔 수 있는 만큼, 배포 단계의 권한 설정만으로는 충분하지 않은 것이다. 마이크로소프트가 제시한 대응책의 핵심은 에이전트의 행동을 실행하기 전에 위험을 평가하고, 위험 수준에 따라 권한을 조정하는 것이다. 이를 위해 다른 AI 에이전트의 행동을 지속적으로 감독하는 '가디언 에이전트'를 제시했다. 가디언 에이전트는 지난 7월 발표한 에이전틱 보안 시스템 '프로젝트 퍼셉션'을 기반으로 한다. 해당 시스템은 레드·블루·그린 에이전트 팀과 보안 기술을 결합해 위협을 탐지하고 대응하도록 설계됐다. 마이크로소프트는 이를 외부 공격 방어뿐 아니라 기업 내부 에이전트의 관리·통제에도 적용할 수 있다고 설명했다. 프로젝트 퍼셉션은 기업 내 에이전트를 탐지하고, 행동 맥락에 따라 위험도를 산정한 뒤, 위험 수준에 맞춰 감독과 대응을 수행하는 구조다. ID와 권한, 데이터, 클라우드, 네트워크, 실행 환경 등 여러 계층을 함께 보호해 에이전트의 접근과 행동을 통제한다는 구상이다. ◆ 국내 기업도 권한 관리 점검 필요성 커진다 이 같은 접근법은 AI 에이전트를 도입하는 기업에도 과제를 던진다. 에이전트가 어떤 데이터와 시스템에 접근할 수 있는지 파악하고, 업무에 필요한 최소한의 권한만 부여해야 한다. 중요한 작업에는 사람의 승인을 거치도록 하고, 작업 기록을 남겨 문제가 발생했을 때 원인을 추적할 수 있는 체계도 필요하다. 보안 담당자의 역할도 중요하다. AI 기반 보안 시스템이 위험을 빠르게 탐지하더라도 담당자가 결과를 확인하고 정책과 통제 기준을 조정해야 하기 때문이다. 에이전트의 자율성을 지나치게 제한하면 업무 효율이 떨어질 수 있어 보안과 자동화 수준 사이의 균형도 고려해야 하는 것이다. 마이크로소프트는 에이전트가 어떤 행동을 하는지 파악하는 것을 넘어 행동의 원인과 업무 목적의 부합 여부까지 확인할 수 있도록 모델 투명성을 높여야 한다고 강조했다. 다만 모델의 추론 정보만으로 안전성을 완전히 판단할 수는 없어 독립적인 보안 통제와 결합할 필요가 있는 것으로 진단했다. 하예테 갈로트 마이크로소프트 시큐리티 총괄 수석 부사장은 "AI 에이전트가 기업 전반에 빠르게 확산되면서 데이터와 도구, 시스템에 접근해 중요한 업무를 수행하고 의사결정에도 관여하고 있다"며 "기업은 에이전트의 활동과 위험을 실시간으로 파악하고, 위험 변화에 따라 행동 권한을 지속적으로 조정해야 한다"고 말했다.2026-10-20 15:53:20
-
금융권 해킹에 민간기업도 비상…정부, 2만8000곳 보안점검 권고 [경제일보] 금융권에서 잇따른 해킹 사고에 정부가 민간기업의 보안점검까지 확대했다. 금융회사에서 확인된 공격정보를 다른 업종에도 전파하고, 해외 클라우드 사업자에게 악성 행위 차단을 요청했다. 개별 금융회사의 사고 조사와 함께 유사 공격이 다른 기업으로 번지는 것을 막기 위한 대응이다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 긴급 대응체계를 가동하고, 정보보호최고책임자(CISO) 신고기업 약 2만8000개사에 보안점검 권고 메일을 발송했다고 4일 밝혔다. 현재 금융권 사고 조사와 대응은 금융위원회·금융감독원·금융보안원이 중심을 맡고 있다. 과기정통부와 KISA는 민간 정보통신서비스로의 공격 확산과 추가 피해를 막는 데 대응 역량을 집중한다. 금융당국이 전문인력 지원을 요청하면 즉시 현장에 투입할 수 있도록 준비하고 있다. KISA 인터넷침해대응센터(KISC)는 24시간 비상대응체계를 강화했다. 주요 기업 홈페이지의 이상 징후를 모니터링하고 침해사고 대응인력을 보강했다. 긴급 현장 지원을 위한 비상출동조도 상시 대기한다. 공격정보 공유 범위도 넓혔다. 보호나라와 사이버위협정보 분석·공유 체계(C-TAS)를 통해 기관과 기업에 위협정보를 제공하고, 이를 활용해 자체 보안 조치를 강화하도록 안내했다. C-TAS는 금융·전자상거래·호스팅·보안기업 등 여러 업종이 공격정보를 공유하는 체계다. 기업은 공격에 사용된 IP주소와 악성코드 정보를 받아 방화벽, 침입탐지·방지시스템, 백신 등에 적용할 수 있다. 한 기업에서 발견한 공격 흔적을 다른 기업의 탐지와 차단에 활용하는 방식이다. KISA는 중소기업도 위협정보를 이용할 수 있도록 개방형 C-TAS 누리집을 운영하고 있다. 회원가입과 관리자 승인 후 정보를 받을 수 있으며, 긴급 상황에서는 문자와 이메일 등으로 안내한다. 자체 분석인력이 부족한 기업도 공통 위협정보를 확보할 수 있는 통로다. 해외 사업자와의 협력도 추진한다. 과기정통부는 금융보안원이 확인한 해외 공격자 IP주소와 관련 위협정보를 해당 클라우드 사업자에게 전달하고 악성 행위 차단 등 필요한 조치를 요청했다. 피해 기업의 접속 차단에 더해 인프라 사업자 측의 대응도 요청한 것이다. 이번 대응의 배경에는 금융권에서 확인된 외부 접점 시스템의 허점이 있다. 신한은행의 대출모집인용 조회 서비스, KB국민은행의 직원용 모바일 업무지원 시스템 등 고객이 직접 이용하는 금융거래 서비스 밖에서도 정보유출이 발생했다. 이에 금융위는 지난 2일 대고객 서비스 여부와 종류를 가리지 않고 외부에서 접근할 수 있는 전산시스템 전체를 점검하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로, 불필요한 정보 노출, 접근권한 관리 등을 확인하고 공격수법을 신속히 공유하라는 주문이다. 민간기업도 홈페이지와 업무지원 시스템을 함께 살펴야 하는 이유가 여기에 있다. 외부 접속이 가능한 시스템에서 고객이나 직원 정보를 조회할 수 있다면, 해당 경로의 인증과 접근통제가 실제로 작동하는지가 중요하다. 정부가 CISO 신고기업에 일괄 점검을 권고한 조치는 금융권에서 드러난 공격정보를 기업 내부의 점검과 보완으로 연결하려는 대응이다. 예방 훈련에도 AI를 활용한다. KISA는 지난 9월 발표한 ‘2026년 하반기 사이버 위기 대응 모의훈련’에 AI 에이전트를 이용한 홈페이지 모의침투를 시범 도입한다. AI가 홈페이지별 특성을 반영해 공격 시나리오를 만들고 다양한 침투 가능성을 점검하는 방식이다. 모의훈련은 오는 19일부터 30일까지 진행된다. 홈페이지 침투뿐 아니라 해킹 메일 대응, 디도스 공격 탐지·대응, 서버 취약점 점검도 포함한다. 참여 기업에는 훈련 종료 후 대응체계 개선에 활용할 분야별 가이드와 최근 침해사고 동향 자료를 제공할 예정이다.2026-10-05 11:05:26
-
국민·신한·하나, 1239억 쓰고도 뚫렸다…고객정보 새나간 '업무 쪽문' [경제일보] 한 해 정보보호에 1200억원 넘게 투입한 KB국민·신한·하나은행이 업무지원 시스템을 통한 고객정보 유출을 막지 못했다. 상시 보안관제와 전문조직, 국내외 인증을 갖췄지만 고객정보를 조회하는 경로에서 허점이 드러났다. 금융당국이 인공지능(AI)을 활용한 자동화 공격 가능성을 조사하면서 외부에 노출된 업무 시스템의 관리 방식도 도마에 올랐다. 5일 금융감독원이 국민의힘 이양수 의원에게 제출한 자료에 따르면 지난해 정보보호 집행액은 하나은행 530억200만원, KB국민은행 392억9700만원, 신한은행 316억7500만원이었다. 세 은행을 합하면 1239억7400만원이다. 은행들이 공개한 보안 체계도 촘촘했다. 연합뉴스가 각 금융지주의 올해 반기보고서를 분석한 내용에 따르면 신한은행은 금융위원회 주관 ‘개인신용정보 관리 및 보호 실태 점검’에서 6년 연속 S등급인 100점을 받았다. 국내외 정보보호 인증과 내부 해킹 대응조직을 갖추고, 북대서양조약기구(NATO) 사이버방위센터 주관 훈련에도 참여했다. KB금융은 올해 1월 그룹사이버보안센터를 출범시켰다. 공격자 관점에서 취약점을 찾는 ‘레드팀’과 침입을 탐지·차단하는 ‘블루팀’을 함께 운영하는 체계다. 하나은행도 그룹 통합 보안관제센터를 연중 가동하고, 업무상 필요한 경우에만 개인정보에 접근하도록 관리한다고 설명했다. 실제 공격은 대출모집인과 직원들이 사용하는 업무지원 경로를 파고들었다. 신한은행에서는 대출모집인용 간편조회 서비스, 국민은행에서는 직원용 모바일 업무지원 시스템, 하나은행에서는 영업지원시스템이 공격 대상이 됐다. 피해 규모는 신한은행 고객 약 2만5000명, 국민은행 고객·임직원 119명, 하나은행 고객 89명이다. 고객이 직접 이용하는 금융거래 서비스 밖에서도 개인정보를 조회할 수 있는 경로가 공격 통로로 악용된 것이다. 금감원은 지난 4일 긴급 점검회의에서 본인확인 없는 정보조회, 접근통제 누락, 알려진 취약점의 미조치 등을 사고 유형별 취약점으로 제시했다. AI 에이전트를 활용한 대량 자동화 공격을 추정하고 있으며, 개별 사고의 원인과 공격수법은 조사하고 있다. 이런 위협은 사고 전에도 예고됐다. 금융위는 지난 9월 3일 AI 보안 테스트 중간점검 결과를 공개하면서, 첨단 AI가 수백만~수천만 줄의 소스코드를 수시간 내 분석하는 취약점 탐색 능력을 보였다고 밝혔다. 기존 취약점을 넓은 범위에서 일관되게 찾아내는 능력도 확인했다. 당시 금융위는 외부에 노출된 전산자산의 식별·관리, 신속한 보안패치, AI를 활용한 방어체계 구축이 필요하다고 제시했다. 공격자가 약한 지점을 찾는 시간이 줄어드는 만큼 금융회사도 점검과 보완 속도를 높여야 한다는 경고였다. 이번 사고가 드러낸 문제는 보안조직이나 장비의 유무와 함께 실제 통제가 적용되는 범위다. 직원용·모집인용이라는 시스템의 명칭과 관계없이, 외부에서 접근해 고객정보를 조회할 수 있다면 인증과 접근권한을 같은 수준으로 관리해야 한다. 금융위가 지난 2일 내린 점검 지시도 이 부분에 집중됐다. 대고객 서비스 여부와 서비스 종류를 가리지 않고 외부에서 접근할 수 있는 시스템 전체를 파악하도록 했다. 개인정보 조회 과정에서 인증이 누락되는 경로와 불필요한 정보 노출도 점검 대상에 포함했다. 이억원 금융위원장은 4일 “아무리 견고한 보안 체계를 갖추고 있더라도 관리되지 않는 하나의 빈틈이 전체 보안 체계의 취약점이 될 수 있다”며 “AI 공격은 AI로 방어하는” 체계 마련을 주문했다. 접근할 때마다 신원과 권한을 검증하는 제로트러스트 원칙에 기반한 보안체계 전환도 강조했다. 중소 금융회사의 대응 여력은 별도의 과제다. AI 도구를 도입하더라도 탐지 결과를 분석하고 취약점을 보완할 전문인력과 운영비가 필요하다. 금융위는 한 회사에서 확인된 공격수법이 다른 회사에도 활용될 수 있다고 보고 공격 IP주소와 침해시도 내역을 공유하는 공동 대응을 추진하고 있다. AI 보안 테스트 참여 기회도 확대한다. 금융위가 9월 발표한 2차 망분리 규제 긴급완화 방안은 신청 대상에 중소 금융회사와 전자금융업자를 포함해 대상 기관을 49개사에서 75개사로 늘렸다. 선정 규모는 10개사에서 최대 15개사로 확대했다. 선정된 회사는 망분리를 대신할 통제수단을 마련한 뒤 AI와 보안 서비스를 활용해 취약점을 탐지·개선하게 된다. 금융위는 이달 중 비조치의견서를 발급할 계획이며, 테스트에서 축적한 대응 요령은 참여하지 않은 금융회사에도 전파한다는 방침이다.2026-10-05 11:03:04
-
국민·하나·부산은행도 당했다…고객정보 줄줄 새는 금융권, 보안은 어디에 [경제일보] 은행권에서 개인정보 유출 사고가 잇따르면서 대출조회와 직원용 업무지원 시스템 등 외부에서 접근할 수 있는 업무 시스템이 보안 사각지대로 떠올랐다. 고객이 직접 사용하는 인터넷·모바일뱅킹뿐 아니라 영업과 업무 편의를 위해 외부 접속을 허용한 시스템에서도 개인정보가 빠져나갔다. 일부 사고에서는 인공지능(AI) 에이전트가 활용됐을 가능성까지 제기되면서 금융권은 개인정보 접근 권한과 공격 탐지·차단 체계를 함께 점검하고 있다. 3일 금융권에 따르면 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행에서 개인정보 유출이 확인됐다. 우리은행과 NH농협은행도 외부 공격을 받았지만 현재까지 정보 유출은 확인되지 않았다. 신한은행에서는 대출모집인용 간편조회 서비스에 대한 본인확인 절차를 우회한 접근으로 고객 2만5729명의 정보가 유출됐다. 고객명과 전화번호, 연소득, 대출한도, 신청 상품과 금리 등 대출 관련 정보가 포함됐으며 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. KB국민은행에서는 직원용 모바일 업무지원시스템에 대한 외부 침입으로 임직원 20명과 고객 99명 등 총 119명의 개인정보 153건이 유출됐다. 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 하나은행에서도 영업지원시스템(ODS)에 대한 비정상적인 접근으로 고객 89명의 개인정보가 유출됐다. 주민등록번호와 성명, 주소, 연락처, 직장명 등이 포함됐으며 은행 측은 고객의 금융거래 정보는 유출되지 않았다고 밝혔다. 부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다. 성명과 전화번호, 생년월일, 이메일 주소 등이 포함됐으며 고객정보는 유출되지 않았다고 은행 측은 밝혔다. 예가람저축은행에서도 개인정보가 포함된 서버에 대한 외부 침입으로 성명과 생년월일, 연락처 등이 유출됐으며 피해 규모는 약 4만명으로 추산되고 있다. 이번 사고에서 공통적으로 드러난 것은 외부에서 접근할 수 있으면서 개인정보를 취급하는 시스템이다. 대출모집인은 고객의 대출 조건을 조회하고 은행 직원은 현장에서 업무를 처리하기 위해 고객정보에 접근한다. 업무 편의를 높이기 위해 외부와 연결한 경로가 공격자에게는 개인정보 접근 통로가 될 수 있다는 의미다. 따라서 고객정보 보호 범위도 실제 데이터가 오가는 경로 전체로 넓혀야 한다. 고객용 뱅킹 서비스뿐 아니라 직원용 앱과 영업지원시스템, 외주 인력이 이용하는 웹페이지까지 인증과 접근통제가 제대로 작동하는지 점검해야 한다. 어떤 시스템이 어떤 정보를 보유하고 누가 조회할 수 있는지도 세분화할 필요가 있다. 신한은행 사례처럼 인증 절차를 거쳤더라도 해당 이용자에게 특정 고객정보를 조회할 권한이 있는지 다시 확인하는 과정이 중요하다. 미국 국립표준기술연구소(NIST)가 제시하는 제로트러스트 원칙 역시 접속 위치나 기기만으로 사용자를 신뢰하지 않고 정보자원에 접근할 때마다 신원과 권한을 검증하는 것을 핵심으로 한다. 공격을 얼마나 빨리 발견했는지도 쟁점이다. KB국민은행에 대한 공격은 지난달 27일 오후 11시19분께 시작됐고 은행이 이를 인지한 것은 지난달 30일 오후 7시께였다. 최초 공격 이후 약 67시간41분이 지난 뒤였다. 신한은행 역시 최초 공격 15시간26분 뒤 비정상 접근을 감지했고 최종 차단까지는 30시간11분이 걸렸다. AI를 활용한 공격 가능성은 탐지 속도의 중요성을 더욱 키운다. 국내 공격과 관련된 것으로 추정되는 웹서버에서 AI 자율 침투테스트 도구를 의미하는 ‘ARTEX’ 문구가 확인됐다는 분석도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지와 공격 주체, 금융사별 사고의 연계성은 현재 조사 중이다. 해외에서도 생성형 AI와 코딩 도구를 활용해 취약점 탐색과 정보수집 등 공격 과정의 상당 부분을 자동화한 사례가 보고됐다. 금융회사들은 정상적인 업무와 이상 행위를 구분하는 탐지 체계를 강화해야 한다. 로그인 실패뿐 아니라 평소와 다른 시간대의 접속, 업무 범위를 벗어난 고객정보 조회, 짧은 시간에 집중되는 요청 등을 하나의 흐름으로 분석할 필요가 있다. AI가 공격 과정의 반복 작업을 자동화할수록 개별 접속 기록만으로는 이상 징후를 찾기 어려워질 수 있기 때문이다. 금융당국도 외부에 노출된 전산시스템 전반으로 점검 범위를 넓혔다. 금융위원회는 2일 금융권 긴급 상황 대응 회의를 열고 은행과 카드업권에 외부에서 접근할 수 있는 전산시스템과 서비스에 대한 자체 보안 점검을 지시했다. 금융회사들은 외부 노출 자산과 접근통제 현황, 인증 절차, 비인가 정보 조회 경로 등을 점검해야 한다. 이번 연쇄 사고 이후 금융권의 보안 점검은 장비 설치 여부를 넘어 개인정보가 어느 시스템으로 전달되고 누가 조회하며 비정상 접근을 얼마나 빨리 탐지·차단하는지까지 확대될 전망이다. 자체 시스템은 물론 협력사가 구축·운영하는 서비스까지 관리 범위에 포함해야 한다는 요구도 커질 것으로 보인다. AI를 활용한 방어 역시 접속 기록 분석과 이상 징후 탐지부터 확대하되, 금융거래나 시스템 변경처럼 위험도가 높은 조치는 사람의 승인과 복구 절차를 함께 두는 방식이 필요하다.2026-10-03 12:06:29
-
![[류청빛의 요즘IT] 비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 연쇄 피해 주의](https://image.ajunews.com//content/image/2026/10/02/20261002175901590222.jpg)
비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 '연쇄 피해' 주의 [경제일보] 개인정보 유출 사고가 반복되면서 유출된 정보가 계정 탈취와 피싱·스미싱 등 2차 공격에 악용될 가능성이 커지고 있다. 공격자들이 유출된 아이디·비밀번호를 다른 서비스에 대입하거나 이름·전화번호 등 개인정보를 활용해 실제 기업과 기관을 사칭하는 방식이다. 이에 따라 개인정보 유출 사고를 단순히 유출 규모로만 볼 것이 아니라 이후 유출 정보가 어떻게 악용되는지까지 살펴봐야 한다는 지적이 나온다. 3일 안랩에 따르면 계정 탈취와 피싱 등 개인정보 유출 이후 발생할 수 있는 추가 피해를 예방하기 위해서는 이용자뿐 아니라 서비스 운영 기업도 계정 및 개인정보 보호 체계를 점검해야 한다. 가장 대표적인 2차 공격 방식은 유출된 아이디와 비밀번호를 다른 서비스에 반복적으로 대입하는 '크리덴셜 스터핑'이다. 여러 서비스에서 같은 비밀번호를 사용하는 이용자가 많을수록 한 곳에서 발생한 계정 정보 유출이 다른 서비스의 계정 탈취로 이어질 가능성이 높아지는 것으로 꼽힌다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인 등에 활용되는 경우가 많아 별도의 비밀번호를 사용하는 등 우선적으로 보호해야 한다. 한 서비스에서 계정 정보 유출 사실을 통보받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용했던 다른 서비스의 비밀번호도 각각 변경해야 하는 것이다. 개인정보가 함께 유출된 경우에는 피싱과 스미싱으로 이어질 가능성도 있다. 공격자는 이름이나 전화번호 등 확보한 정보를 바탕으로 기업이나 기관을 사칭한 메시지를 보내 이용자의 신뢰를 높일 수 있다. 개인정보 유출 사고 직후에는 '개인정보 유출 확인', '피해 보상 신청', '계정 보호' 등을 내세워 불안감을 자극하는 방식의 공격도 발생할 수 있다. 이 때문에 이용자가 문자나 이메일에 포함된 링크를 통해 계정 상태를 확인하기보다는 해당 서비스의 공식 앱을 직접 실행하거나 홈페이지 주소를 직접 입력해 사실 여부를 확인하는 것이 중요하다. 본인이 요청하지 않은 로그인 인증이나 비밀번호 변경 알림이 도착했을 때도 인증을 승인하거나 인증번호를 다른 사람에게 전달해서는 안 된다. 다중 인증(MFA·2단계 인증) 설정도 기본적인 방어 수단으로 꼽힌다. 비밀번호가 외부에 노출되더라도 추가 인증 절차를 거치도록 하면 계정 탈취 가능성을 낮출 수 있기 때문이다. 로그인 알림을 활성화하고 최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하는 것도 필요하다. 보안업계에서는 이용자 개인의 계정 관리뿐 아니라 서비스 운영 기업의 보안 체계도 함께 강화돼야 한다고 보고 있다. 개인정보가 유출되는 경로가 고객이 직접 사용하는 홈페이지와 애플리케이션에만 한정되지 않기 때문이다. 안랩은 서비스 운영 기업이 API(응용프로그램 인터페이스)에 대한 인증과 접근 통제를 강화하고 이상 행위를 지속적으로 모니터링해야 한다고 권고했다. 특히 API 요청 과정에서 특정 이용자의 정보에 접근할 수 있는 권한이 적절하게 검증되는지 점검해야 한다는 설명이다. 예를 들어 요청 파라미터를 변조해 다른 이용자의 정보를 조회하거나 자동화된 방식으로 대량의 정보를 반복 조회하는 공격을 막기 위해 데이터 단위의 접근 권한을 확인해야 한다. 일정 시간 동안 허용되는 API 요청 횟수를 제한하고 반복적인 정보 조회나 무차별 대입 등 비정상적인 요청을 탐지·차단하는 체계도 필요하다. 고객이 직접 이용하는 서비스 외에 관리자 페이지와 내부 업무 시스템, 협력사가 사용하는 업무 지원 시스템까지 보안 점검 범위를 확대해야 한다는 점도 강조됐다. 외부에서 접속할 수 있는 시스템을 파악하고 사용하지 않는 계정이나 불필요한 외부 접속 경로를 차단하는 한편 퇴사자와 계약이 종료된 협력사의 계정이 남아 있지 않은지 정기적으로 확인해야 한다. 특히 관리자나 협력사 계정에 과도한 권한이 부여돼 있을 경우 계정 하나가 침해됐을 때 대규모 고객정보 접근으로 이어질 수 있다. 이에 따라 업무에 필요한 범위 내에서만 권한을 부여하고 외부 접속과 관리자 계정에는 다중 인증을 적용하는 등 접근통제를 강화해야 한다. 고객정보 자체를 최소화하는 것도 기업의 보안 부담을 줄이는 방법으로 꼽힌다. 업무에 필요하지 않은 개인정보까지 보관하지 않고 보유기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다. 업무 화면이나 API 응답에서도 전체 개인정보 대신 실제 업무에 필요한 정보만 제공하고, 이름이나 전화번호 일부를 가리는 등 노출 범위를 줄일 필요가 있다. 대량의 고객정보를 조회하거나 다운로드할 수 있는 권한 역시 실제 업무에 필요한 담당자로 제한해야 한다. 중요 정보의 조회·다운로드·반출 기록을 남기고 비정상적인 대량 조회가 발생했을 때 이를 빠르게 파악할 수 있도록 로그 관리와 이상행위 모니터링 체계를 갖추는 것도 중요하다. 결국 개인정보 유출 사고 이후 이용자에게 비밀번호 변경이나 피싱 주의를 당부하는 것만으로는 2차 피해를 모두 막기 어렵다는 지적이다. 이용자는 서비스별로 독립된 비밀번호와 다중 인증을 사용하고 로그인 기록을 확인하는 등 계정 보안을 관리해야 하며, 기업은 고객용 홈페이지와 앱을 넘어 API와 관리자 페이지, 내부 업무 시스템까지 접근통제 범위를 확대해야 한다는 것이다. 양하영 안랩 ASEC 실장은 "계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다"며 "서비스별로 서로 다른 비밀번호를 사용하고 다중 인증을 설정하는 등 일상에서 실천할 수 있는 기본적인 보안 수칙을 지키는 것만으로도 계정 탈취와 2차 피해 위험을 줄이는 데 도움이 된다"고 말했다. 이어 "서비스 이용자는 평소 사용하는 서비스의 보안 설정을 점검하고, 서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 점검해야 한다"고 덧붙였다.2026-10-03 09:00:00
-
"3954만 계정 털렸는데"…티빙 유출 피해 구제 도마 위 [경제일보] 티빙에서 총 3954만개의 계정 정보가 유출된 대규모 개인정보 침해 사고가 발생한 가운데 회사가 내놓은 이용자 보상안을 두고 실효성 논란이 커지고 있다. 티빙은 최대 300만원을 보상하는 해킹·피싱 안심보험과 5000원 상당의 티빙 포인트, 웨이브 광고형 요금제 또는 CGV 할인 쿠폰 등을 제공하기로 했지만, 실제로 모든 피해 이용자에게 확정적으로 돌아가는 혜택은 제한적이라는 지적이 나온다. 대규모 개인정보 유출로 이용자 불안과 2차 피해 가능성이 커진 상황에서 기업의 보상 수준과 책임 범위를 둘러싼 논쟁이 불가피할 전망이다. 4일 과학기술정보통신부 민관합동조사단은 티빙 침해사고에 대한 최종 조사 결과를 발표하고 활성·휴면·탈퇴 계정을 포함해 모두 3954만개의 계정 정보가 유출됐다고 지난 3일 밝혔다. 유출된 정보에는 성명과 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 최대 20개 항목, 70종의 정보가 포함된 것으로 확인됐다. 티빙은 이날 공식 사과와 함께 고객 보상 대책을 내놨다. 피해 고객에게 1년간 해킹·피싱 등에 따른 사이버 금융사기와 인터넷 쇼핑몰 사기, 개인 간 직거래 사기 등에 대해 1인당 최대 300만원을 보상하는 안심보험을 제공한다. 특히 티빙 구독 고객에게는 별도 신청 없이 10월부터 12월까지 프리미엄급 시청 환경을 제공하고, 추가로 5000원 상당의 티빙 포인트와 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인 쿠폰 중 하나를 제공한다고 설명했다. 다만 보상안의 상당 부분이 현금성 보상이 아닌 5000원 상당의 포인트와 제휴 서비스 이용권을 제공한다는 것으로 구성돼 비판의 목소리가 나오고 있다. 최대 300만원의 안심보험 역시 개인정보가 유출된 것 자체에 정액으로 지급되는 보상이 아니라 향후 특정 유형의 피해가 발생했을 때 보상받을 수 있는 보험 상품이다. 특히 티빙은 개인정보 유출 피해 정도와 관계없이 모든 피해 고객에게 동일한 보상안을 적용하기로 했다고 설명했다. 실제 피해가 발생하지 않은 이용자에게는 보험의 보상 한도를 온전히 체감하기 어렵고, 당장 확정적으로 받을 수 있는 혜택 역시 제한적이다. 티빙은 전체 보상 규모도 공개하지 않았다. 티빙은 보상안에 얼마나 많은 이용자가 참여하고 어떤 옵션을 선택할지에 따라 전체 금액이 달라져 구체적인 규모를 확정하기 어렵다는 입장이다. 이번 사고에서 더 주목되는 부분은 피해 범위가 티빙 자체 가입자에만 머물지 않았다는 점이다. 앞서 KT가 개인정보 유출 사고에 대한 보상 차원에서 제공한 티빙 이용권을 등록해 실제 서비스를 이용한 고객 약 41만6000명도 이번 유출 대상에 포함된 것으로 나타났다. KT가 제공한 티빙 이용권을 선택한 약 58만6000명 가운데 실제 서비스를 이용하는 과정에서 티빙에 개인정보가 저장되면서 피해 대상이 된 것이다. 네이버와 카카오 등 간편로그인을 통해 티빙에 가입한 이용자 역시 피해 대상에 포함됐다. 간편로그인을 이용하더라도 본인 확인 과정에서 이름과 휴대전화 번호 등 개인정보가 티빙에 전달·저장될 수 있으며, 이번 사고로 티빙 데이터베이스에 저장된 관련 정보가 유출된 것으로 파악됐다. 제휴사의 시스템이 직접 해킹된 것은 아니지만, 하나의 서비스에 연결된 여러 플랫폼 이용자의 정보가 한 곳에서 함께 노출될 수 있다는 것을 보여줬다고 평가된다. 이 때문에 기업 간 제휴와 간편가입이 확대되는 플랫폼 환경에서 개인정보 보호 책임을 어디까지 물어야 하는지도 쟁점으로 떠올랐다. 이용자는 네이버나 카카오, KT 등을 통해 서비스를 접하지만 실제 개인정보를 수집·보관하는 주체는 별도의 플랫폼일 수 있다. 사고가 발생했을 때 이용자 입장에서는 어느 기업에 책임을 요구해야 하는지 복잡해질 수밖에 없는 구조다. 특히 이번 개인정보 유출 사고는 제휴 서비스가 새로운 피해 경로가 될 수 있는 것으로 평가된다. KT 이용자들은 기존 해킹 사고에 대한 보상으로 티빙 이용권을 받았지만, 그 이용권을 사용하기 위해 티빙에 가입하고 본인인증을 거치는 과정에서 개인정보가 다시 티빙 시스템에 저장됐다. 결국 한 기업의 사고를 보상하기 위해 다른 플랫폼을 이용하게 된 이용자가 해당 플랫폼에서 다시 개인정보 유출 피해를 입는 연쇄 구조가 발생한 것이다. 티빙은 재발 방지를 위해 오는 2030년까지 정보보호 투자를 직전 5년의 4배 수준으로 확대하고 제로 트러스트 기반의 접근통제, AI 기반 이상징후 탐지와 실시간 대응 체계를 구축하기로 했다. CEO 직속 정보보호혁신 자문위원회를 신설하고 CEO·CISO·CPO 중심의 보안 거버넌스도 강화할 방침이다. 다만 사후 보안 투자 확대가 이번에 발생한 피해에 대한 이용자의 불안을 해소하는 것과는 별개의 문제다. 3954만개라는 대규모 계정 정보가 유출된 만큼 향후 명의도용이나 피싱, 스미싱 등 2차 피해가 발생할 경우 피해자를 어떻게 구제할지, 보험으로 보장되지 않는 피해를 어떤 방식으로 보상할지가 남은 과제로 전망된다. 최주희 티빙 대표는 "충분하지는 않겠지만 피해를 입은 고객들을 위해 최선을 다해 준비했다"며 "이번 사건과 배상과 관련해서도 법에 따라 책임을 다하겠다"고 말했다.2026-09-04 17:52:55
-
두나무, 거래소 최초 '행정정보 공동이용' 지정…업비트 KYC 간소화 [경제일보] 업비트 운영사 두나무가 국내 디지털자산 거래소 가운데 처음으로 행정안전부의 ‘행정정보 공동이용 대상기관’에 지정됐다. 정부 전산망을 통해 행정기관 등이 보유한 정보를 확인할 수 있는 기반을 확보하면서 업비트 이용자의 고객확인(KYC) 과정에서 서류 제출 부담이 줄어들 전망이다. 두나무는 이달 중순 행안부로부터 대상기관 지정을 최종 통보받았다고 26일 밝혔다. 행안부는 지난 5월 두나무를 대상으로 현장실사를 진행한 뒤 적합성을 검토해 지정했다. 앞서 두나무의 지정 추진 사실이 알려지면서 거래소의 보안·접근통제 수준이 금융·공공기관에 준하는지 여부가 주요 관심사로 떠오르기도 했다. ◆ KYC에 공공정보 활용…서류 제출 부담 줄어 행정정보 공동이용은 민원이나 업무 처리 과정에서 필요한 구비서류를 이용자가 직접 발급·제출하는 대신, 적법한 절차와 동의를 거쳐 이용기관이 정부 전산망에서 해당 정보를 전자적으로 확인할 수 있도록 한 제도다. 현행 행정정보 공동이용 지침상 은행과 금융위원회 검사대상기관 등도 지정 절차를 거쳐 이용기관이 될 수 있다. 두나무는 이를 업비트 고객확인 업무에 활용할 계획이다. 이용자가 직접 제출해야 하는 행정서류를 줄이고 관련 정보의 확인·검증 절차를 전자화해 KYC 처리 속도와 정확성을 높인다는 구상이다. 다만 이번 지정이 모든 고객확인 서류를 자동으로 대체한다는 의미는 아니다. 공동이용 대상 정보와 업무 범위, 이용자 동의 등 정해진 절차 안에서 활용된다. 이는 가상자산사업자의 고객확인 부담이 커지는 흐름과도 맞닿아 있다. 가상자산사업자는 특정금융정보법에 따라 고객 신원 확인과 의심거래보고 등 자금세탁방지 의무를 수행해야 한다. 고객확인 절차가 거래소의 필수 업무인 만큼 행정정보를 활용할 수 있게 되면 이용자 편의뿐 아니라 사업자의 확인·검증 업무 효율성도 높아질 수 있다. ◆ 거래소의 ‘공공 데이터 접근’…보안 책임도 커져 이번 지정의 또 다른 의미는 디지털자산 거래소가 행정정보 공동이용 체계에 공식적으로 들어왔다는 점이다. 앞서 금융·공공기관을 중심으로 활용되던 공공 데이터 인프라에 가상자산사업자가 접근할 수 있는 기반이 마련되면서 업계의 제도권 편입이 서비스 인프라 차원에서도 한 단계 진전됐다는 평가가 나온다. 동시에 책임도 커졌다. 주민등록·납세 등 민감한 행정정보를 다루는 만큼 접근 권한 관리와 이용 기록 관리, 정보 오남용 방지 등 내부통제 체계가 중요하다. 행정정보 공동이용 시스템 역시 업무 담당자의 전자적 확인과 접근 통제를 전제로 운영된다. 따라서 두나무가 실제 서비스를 도입할 경우 고객 편의성뿐 아니라 공공정보 보호 수준이 주요 관전 포인트가 될 전망이다. 두나무 관계자는 “디지털자산 거래소 최초로 행정정보 공동이용 대상기관에 지정된 만큼 이용자 확인 업무에 공공 정보를 안전하고 효율적으로 활용할 수 있는 기반을 마련했다”며 “이용자들의 서류 제출 부담 등 불편을 최소화하고 보다 편리한 고객확인 서비스를 제공할 수 있도록 관련 준비를 마무리해 나갈 것”이라고 말했다. 한편 이번 지정은 당장 업비트의 거래 기능을 바꾸는 조치는 아니다. 다만 고객확인이라는 거래소의 핵심 준법 업무에 공공정보를 연계할 수 있게 됐다는 점에서 서비스 편의성과 업무 효율을 동시에 높일 수 있는 기반이 마련됐다는 의미가 있다. 향후 실제 적용되는 행정정보의 종류와 고객의 동의 절차, 적용 시점이 구체화되면 이번 지정의 효과도 보다 명확해질 전망이다.2026-08-26 09:56:35
-
티오리, 'SOC 2 Type II' 취득…AI 보안 SaaS 앞세워 글로벌 B2B 정조준 [경제일보] 오펜시브 사이버보안 전문기업 티오리가 글로벌 기업 시장을 겨냥한 보안 컴플라이언스 체계를 한층 강화했다. 정보보안 관리체계를 평가하는 ISO 인증에 이어 글로벌 B2B 고객이 클라우드 서비스 도입 과정에서 중요하게 보는 SOC 2 Type II까지 확보하면서 해외 시장 공략을 본격화하는 모습이다. 티오리는 19일 글로벌 보안 감사 표준인 SOC 2(System and Organization Controls) Type II 보고서를 취득했다고 밝혔다. 미국공인회계사협회(AICPA)가 마련한 SOC 2는 클라우드 기반 서비스를 제공하는 기업의 정보보호 통제 수준을 독립적인 제3자가 검증하는 제도다. 특히 Type II는 단순히 보안 체계를 갖췄는지를 보는 데 그치지 않는다. 일정 기간 실제 운영 과정에서 보안 통제가 설계된 정책대로 작동했는지를 검증한다는 점에서 Type I보다 한 단계 높은 수준의 검증으로 평가된다. 티오리는 글로벌 회계·컨설팅 법인 센시바(Sensiba)를 통해 감사를 진행했다. SOC 2의 신뢰 서비스 기준 가운데 보안성(Security)을 비롯해 가용성(Availability), 기밀성(Confidentiality) 등 3개 영역에서 통제 체계의 유효성을 검증받았다는 설명이다. 이번 인증의 의미는 티오리의 사업 구조 변화에서 찾을 수 있다. 티오리는 그동안 세계적인 화이트햇 해커를 기반으로 기업의 취약점을 찾아내는 오펜시브 보안 컨설팅에 강점을 보여왔다. 하지만 최근에는 공격자가 기업 시스템을 직접 공격하기 전에 AI를 활용해 취약점을 자동으로 찾아내거나, 기업이 사용하는 생성형 AI 자체를 보호하는 영역으로 사업 범위를 넓히고 있다. 대표적인 제품이 AI 기반 애플리케이션 보안 테스트 플랫폼 Xint와 대규모언어모델(LLM) 보안 솔루션 αprism이다. 티오리의 공식 자료에 따르면 Xint는 애플리케이션과 코드의 취약점을 AI를 활용해 탐지하는 제품이며, αprism은 기업의 LLM 사용 과정에서 프롬프트 인젝션과 탈옥(jailbreak), 민감정보 유출 등을 탐지·차단하고 사용 현황을 모니터링하는 방식으로 작동한다. 문제는 이런 AI 보안 제품일수록 고객 데이터에 대한 신뢰가 제품 경쟁력과 직결된다는 점이다. 기업이 AI 보안 SaaS를 도입하면 내부 소스코드와 취약점 정보는 물론 프롬프트, 모델 응답, 개인정보와 같은 민감한 정보가 서비스 환경을 통과할 수 있다. 보안기업이 오히려 고객의 가장 민감한 데이터를 처리하게 되는 구조다. 티오리가 올해 ISO/IEC 27001과 ISO/IEC 27017을 확보한 데 이어 SOC 2 Type II까지 확보한 것도 이 같은 글로벌 영업 환경을 고려한 행보로 풀이된다. ISO 27001은 기업 전반의 정보보안 관리체계를, ISO 27017은 클라우드 서비스 환경의 보안 통제를 다루는 만큼 서로 다른 글로벌 고객 요구에 대응할 수 있는 기반을 마련한 셈이다. 티오리는 지난 6월 두 인증을 동시에 획득했다. 티오리의 개인정보보호 관련 공개자료에서도 접근통제, 다중인증(MFA), 로그 관리, 취약점 관리, 네트워크 보안, 물리적 보안 등 다양한 내부 통제 체계를 운영하고 있는 것으로 나타난다. 또한 Xint와 αprism의 클라우드 인프라에는 서울 리전의 AWS를 비롯해 글로벌 인프라가 활용되고 있어 해외 고객을 대상으로 한 데이터 처리와 보안 관리가 중요한 사업 요소가 되고 있다. 티오리가 CMMC(Cybersecurity Maturity Model Certification)까지 준비하는 것도 같은 맥락이다. CMMC는 미국 국방 분야 공급망에 참여하는 기업이 연방계약정보(FCI)나 통제비공개정보(CUI)를 보호할 수 있는 보안 체계를 갖췄는지를 평가하는 제도다. 미국 국방부는 관련 보안 요건을 실제 계약에 반영하고 있다. 다만 CMMC를 둘러싼 미국 정책 환경에는 최근 변수가 생겼다. 미국 국방부는 지난 7월 당초 11월부터 확대할 예정이었던 CMMC 2단계 요건을 일시 중단하고 제도 전반을 재검토하기로 했다. 기존 1단계 자기평가 요건은 유지된다. 따라서 티오리의 CMMC 추진은 단순히 인증 하나를 추가하는 차원을 넘어 미국 방산·보안 공급망까지 대응할 수 있는 글로벌 컴플라이언스 체계를 구축하려는 움직임으로 해석할 수 있다. 티오리는 글로벌 빅테크를 대상으로 보안 역량을 인정받아온 가운데 세계적인 해킹대회에서 축적한 오펜시브 보안 역량을 AI 제품으로 전환하고 있다. 회사 연혁을 보면 2024년 미국 DARPA의 AI 사이버 챌린지(AIxCC)에서 준결승 1위를 기록했고, 이후 Xint와 αprism을 잇달아 상용화하며 AI 보안 분야로 사업을 확장했다. 특히 생성형 AI가 기업 업무에 빠르게 침투하면서 AI 모델 자체의 보안뿐 아니라 기업 내부에서 AI를 어떻게 사용하고 어떤 데이터가 오가는지를 통제하는 시장도 커지고 있다. 티오리 역시 공격자 관점의 기술력을 AI 보안 제품과 결합해 글로벌 엔터프라이즈 시장을 노리고 있다. 박관순 티오리 CISO는 “공격자의 시선에서 위협을 선제적으로 무력화하는 기술력만큼이나 고객의 데이터를 안전하게 다루는 내부 운영 체계 역시 기업 보안의 핵심”이라며 “글로벌 규준에 부합하는 철저한 보안 통제력을 바탕으로 국내외 엔터프라이즈 고객들이 안심하고 도입할 수 있는 AI 사이버보안 파트너로 자리매김하겠다”고 말했다. 한편 이번 SOC 2 Type II 확보가 실제 글로벌 계약 확대와 매출 성장으로 이어질 수 있을지가 티오리의 다음 관전 포인트다. 기술력을 증명하는 단계에서 벗어나 글로벌 기업의 조달·보안 심사를 통과할 수 있는 체계를 구축한 만큼, 향후 Xint와 αprism의 해외 고객 확보와 대형 B2B 계약 성과가 기업가치의 핵심 변수가 될 전망이다.2026-08-19 17:30:17
-
![[류청빛의 요즘IT] AI가 일할수록 보안팀도 바빠진다…기업들 AI 확산에 보안 투자도 확대](https://image.ajunews.com//content/image/2026/08/14/20260814175944786985.jpg)
"AI가 일할수록 보안팀도 바빠진다"…기업들 AI 확산에 보안 투자도 확대 [경제일보] 생성형 인공지능(AI)이 기업 업무 전반으로 빠르게 침투하면서 기업들의 정보보호 투자에도 변화가 나타나고 있다. AI를 활용해 업무 효율을 높이는 동시에 새로운 보안 위협에 대응해야 하는 상황에 놓이면서 AI 투자가 정보보호 투자 확대로 이어지는 모습이다. 과거 해킹이나 악성코드 등 외부 공격을 막는 데 집중했던 보안의 범위가 AI 모델과 데이터, 클라우드 인프라까지 넓어지고 있다. 15일 IT 업계에 따르면 국내 기업들은 AI 도입 확대와 함께 정보보호 체계를 강화하고 있다. 특히 통신과 금융 등 대규모 개인정보와 금융정보를 다루는 산업을 중심으로 보안 인력과 시스템에 대한 투자를 늘리는 움직임이 커지고 있다. AI가 기업의 업무 환경에 들어오면서 보안팀이 관리해야 할 영역도 늘어났다. 임직원이 생성형 AI에 사내 문서나 고객정보 등 민감한 데이터를 입력할 경우 정보가 외부로 유출될 가능성이 있고, 기업이 자체적으로 구축한 AI 시스템과 외부 AI 서비스를 연결하는 과정에서도 새로운 보안 취약점이 발생할 수 있는 것으로 지적되고 있다. 특히 AI가 기존 업무 시스템과 연결되면서 보안 문제는 더욱 복잡해지고 있다. 단순히 AI 모델 자체를 보호하는 것을 넘어 AI가 어떤 데이터에 접근할 수 있는지, 어떤 업무 시스템을 사용할 수 있는지, 생성된 결과물을 어떻게 검증할지까지 관리해야 하기 때문이다. AI를 활용하는 공격도 늘어날 수 있다는 점은 기업들의 부담을 키우는 요인이다. 공격자는 생성형 AI를 이용해 피싱 문구를 제작하거나 악성코드 개발을 지원받고, 취약점 탐색과 공격 과정의 일부를 자동화할 수 있다. 공격 속도와 규모가 커질수록 기존의 인력 중심 보안관제만으로는 대응하기 어려워질 수 있다는 의미다. 이에 기업들의 보안 투자 역시 AI와 결합하는 방향으로 바뀌고 있다. AI를 활용해 이상 징후를 탐지하고 보안 로그를 분석하는 것은 물론, 반복적인 보안 대응 작업을 자동화하는 기술에 대한 관심도 높아지고 있다. AI가 공격에 활용되는 만큼 방어에도 AI를 활용해야 한다는 인식이 확산하는 것이다. IT 기업뿐만 아니라 보안이 중요한 금융권에서도 보안 강화 움직임이 이어지고 있다. 은행과 카드, 증권, 보험 등 금융회사는 개인정보뿐만 아니라 계좌와 결제정보 등 민감한 데이터를 대규모로 보유하고 있어 AI 도입 과정에서 데이터 보호와 접근통제가 중요한 과제로 떠오르고 있다. 이 같은 변화는 AI 산업의 비용 구조에도 영향을 미칠 것으로 분석된다. 지금까지 AI 투자라고 하면 GPU와 데이터센터, AI 모델 개발 등에 집중됐지만 앞으로는 AI 서비스를 안전하게 운영하기 위한 보안 솔루션과 전문 인력, 데이터 관리 체계까지 투자 범위가 확대될 전망이다. 기업의 AI 경쟁력이 단순히 얼마나 많은 AI 서비스를 도입했는지로 결정되는 시대에서 벗어나 AI를 업무에 빠르게 적용하는 동시에 데이터와 시스템을 안전하게 보호할 수 있는 능력까지 갖춰야 실제 경쟁력으로 이어지고 있다. AI 투자가 늘어날수록 정보보호 투자도 함께 증가하는 구조가 본격화되면서 보안이 AI 사업의 부수적인 비용이 아니라 서비스를 운영하기 위한 필수 인프라로 자리 잡을 것으로 분석된다. 한 IT 업계 관계자는 "AI가 빠르게 발전하고 있지만 보안 문제로 발전된 AI를 즉각 실제 업무에 적용하지 못하고 있다"고 말했고, 다른 IT 업계 관계자는 "본사와 자회사 모두 보안 부서를 따로 보유해 보안에 신경 쓰고 있다"고 강조했다.2026-08-15 09:00:00
-
스크래핑 차단에 비대면 금융 차질 우려…금융권 대응 논의 [경제일보] 금융당국과 금융권이 스크래핑 차단에 따른 비대면 금융거래 차질 가능성 점검에 나섰다. 12일 금융위원회에 따르면 이날 오전 서울 중구 은행회관에서 '스크래핑 차단 관련 금융권 점검회의'가 열렸다. 이번 회의는 개인정보보호법 시행령 개정과 대법원의 스크래핑 관련 계획 등이 금융권과 국민에게 미칠 영향을 점검하고 대응 방향을 논의하기 위해 마련됐다. 스크래핑은 인터넷 화면의 증명서 정보를 자동으로 추출해 활용하는 기술을 의미한다. 금융권은 현재 비대면 금융거래 과정에서 소비자의 행정서류 제출을 줄이기 위해 행정기관 정보 확인에 스크래핑을 활용하고 있다. 특히 △주택담보대출 △전세자금대출 △미성년 자녀 통장 개설 △상속인 조회 등에서는 가족관계 확인 등을 위한 증빙서류 제출을 정보주체 동의를 거쳐 대법원 시스템 스크래핑으로 대체하고 있다. 금융권에서는 행정기관과 대법원 정보 확인을 위한 스크래핑이 제한될 경우 비대면 업무 전반에 상당한 차질이 생길 수 있다고 보고 있다. 소비자가 관련 증명서를 직접 발급해 금융회사에 제출해야 하는 불편도 예상된다. 대면 창구가 활성화되지 않은 인터넷전문은행의 경우 업무 전반에서 어려움이 클 수 있다는 의견도 나왔다. 정책금융 이용 차질 가능성도 논의됐다. 주택도시보증공사(HUG)와 한국주택금융공사(HF)는 저금리 정책 주택금융 지원 과정에서 무주택자와 신혼부부 등 신청인 자격요건을 스크래핑 방식으로 확인하고 있다. 스크래핑이 차단되면 주택구입과 전세자금 지원이 지연돼 서민·취약계층의 정책금융 이용에 애로가 발생할 수 있다는 설명이다. 회의 참석자들은 개인정보의 안전한 보호와 전송을 위한 스크래핑 차단 취지에는 대부분 공감했다. 다만 비대면 금융거래가 일상화된 상황에서 국민 불편과 사회적 혼란을 줄이기 위해 대체 수단을 마련한 뒤 단계적으로 시행할 필요가 있다는 데 의견을 모았다. 대체 수단으로는 공공 마이데이터 연계 등이 거론됐다. 공공 마이데이터는 정보주체가 요청하면 행정정보를 보유한 행정기관이 공공기관이나 금융기관 등에 정보를 제공하는 서비스다. 금융회사들의 보안체계와 내부통제 현황도 함께 점검됐다. 참석 금융회사들은 스크래핑 업무 과정에서 적용 중인 △정보 수집 △전송 △보관 관련 보안조치와 접근통제, 정보보호 관리체계를 공유했다. 금융위는 스크래핑 제한으로 국민 불편과 피해가 발생하지 않고 금융서비스가 안정적으로 제공될 수 있도록 관계기관과 협의해 대응 방안을 마련할 계획이다.2026-08-12 13:52:46
-
KT, 펨토셀 보안 구멍에 540억원 과징금…개인정보위 "예방 가능했던 사고" [경제일보] KT가 불법 소형기지국인 펨토셀 관리 부실로 1만6000여명의 개인정보를 유출하고 무단 소액결제 피해를 발생시킨 책임으로 약 540억원 규모의 과징금을 부과받았다. 개인정보보호위원회는 KT의 통신망 접근통제 체계가 미흡했다고 판단하고, 사고 조사 과정에서 로그 삭제와 거짓 자료 제출 등 조사 방해 행위에 대해서는 별도 고발을 결정했다. 30일 개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령, 개선권고, 공표명령 등을 의결했다고 밝혔다. 개인정보위는 이번 제재가 이동통신망 내부 접근통제 관리 소홀로 개인정보 유출이 발생하고, 실제 금전 피해까지 이어진 점이 중대하게 고려됐다고 설명했다. 개인정보위는 KT 이동통신서비스 이용자 1만6647명(알뜰폰 포함)의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 368명이 약 2억4000만원 규모의 무단 소액결제 피해를 입었다고 확인했다. 이번 사고는 해커가 KT의 펨토셀 인증서를 악용하면서 발생했다. 펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 지역의 품질 개선을 위해 사용하는 초소형 기지국이다. 개인정보위 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 불법 펨토셀에 이를 심어 KT 이동통신망에 접속했다. 이후 이용자 단말과 KT 내부망 사이에서 오가는 통신 정보를 가로채고, 추가 확보한 이름·성별·생년월일 등 개인정보와 결합해 소액결제를 시도했다. 특히 결제 과정에서 필요한 인증코드가 포함된 SMS와 ARS 정보를 탈취하면서 실제 무단 결제로 이어졌다. 개인정보위는 당초 KT가 신고한 유출 규모 2만2227명에서 법인 회선과 다중 회선 등 중복을 제외한 실제 정보주체 기준으로 피해 규모를 산정했다. 문제는 KT의 펨토셀 관리 체계였다. 개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고, 내부망 접속 IP 제한을 두지 않아 타사 및 해외 IP를 통한 접속이 가능하도록 운영했다고 지적했다. 또한 펨토셀 관리 서버를 우회하는 접속 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리도 미흡해 비인가 장비의 이상 접속을 탐지하거나 차단하는 체계가 부족했던 것으로 조사됐다. 해커는 이 같은 취약점을 이용해 지난 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 이후에야 비정상 접속 사실을 확인했다. 개인정보위는 이번 사고가 단순한 개인정보 유출을 넘어 실제 재산 피해로 이어졌다는 점에서 심각성이 크다고 판단했다. 과징금 산정 과정에서는 무단 소액결제가 발생한 KT 5G·LTE 이동통신 매출을 기준으로 삼았다. IPTV와 인터넷 등 사고와 관련성이 낮은 사업 매출은 제외했다. 개인정보위는 KT가 국민 생활과 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 높은 수준의 보안 책임이 요구됨에도 내부망 접근통제를 소홀히 했고, 장기간 비인가 접속을 탐지하지 못한 점을 중대한 위반으로 봤다고 설명했다. KT는 이번 사고가 해커가 직접 제작한 불법 펨토셀을 이용한 새로운 유형의 공격으로 사전 예측과 대응이 어려웠다고 주장했지만, 개인정보위는 펨토셀이 이동통신 서비스 제공 과정에서 반드시 관리해야 하는 핵심 장비인 만큼 충분한 보안 조치를 통해 예방 가능했던 사고라고 판단했다. 개인정보위는 KT에 펨토셀 등 무선통신망 장비 취약점 점검과 내부망 접근통제 강화, 개인정보 보호책임자(CPO)의 역할 강화를 포함한 시정조치를 명령했다. 또한 개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대할 것을 권고했다. KT는 펨토셀 사고 외에도 악성코드 감염 사고 대응 과정에서 문제를 지적받았다. 개인정보위는 KT가 지난 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 해커가 침투해 38대 서버가 BPFDoor 등 악성코드에 감염된 사실을 확인했다고 밝혔다. 해커는 관리자 페이지에 SQL 삽입 공격을 수행해 KT 임직원과 협력사 일부 직원의 이름, 전화번호, 계정 등을 조회·유출한 정황이 확인됐다. 다만 당시 네트워크 로그가 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인되지 않았다. 개인정보위는 KT가 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았고, 이후 서버 전수 점검 과정에서 침해 서버 10대의 로그를 삭제하는 등 조사 방해 행위를 했다고 판단했다. 이에 따라 개인정보위는 조사 과정에서 거짓 자료 제출과 진술 번복 등을 한 KT 행위에 대해 보호법상 조사 방해 혐의로 고발을 의결했다. 개인정보위는 이번 사건을 계기로 개인정보 유출 사고 조사 과정에서 증거 은닉·폐기를 막기 위한 제도 개선도 추진한다. 조사 착수 전 증거 폐기 행위에 대한 형사처벌 규정 마련과 전체 매출액 3% 이내 과징금 부과, 자료보전명령 도입 등을 추진할 계획이다. 송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"며 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하여, 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 말했다.2026-07-30 10:46:02
-
LG CNS, 취준생 AI 교육 뛰어든다…MCP·지식그래프 실무인재 육성 [경제일보] LG CNS가 인공지능(AI) 분야 취업 희망자를 대상으로 에이전틱 AI와 데이터 엔지니어링 실무교육을 시작한다. 기업 대상 AI 전환(AX) 교육에서 취업준비생을 위한 인재 양성으로 교육사업의 범위를 넓히는 것이다. LG CNS는 고용노동부의 ‘K-디지털 트레이닝(KDT) AI 캠퍼스’ 운영기관으로 선정돼 오는 28일부터 약 6개월 동안 교육과정을 진행한다고 21일 밝혔다. AI 캠퍼스는 고용부가 올해 신설한 AI 특화 직업훈련 사업이다. 정부는 연간 약 1300억원을 투입해 AI 엔지니어와 AI 애플리케이션 개발자 등 실무인력 1만명을 양성할 계획이다. 운영기관 공모에는 172개 기관이 참여했으며 기업과 훈련기관 등 44곳이 선정됐다. LG CNS는 △MCP 기반 에이전틱 AI 서비스 개발자 △지식그래프 중심 AI 데이터 엔지니어 등 2개 과정을 운영한다. 에이전틱 AI 서비스 개발자 과정은 거대언어모델(LLM)이 답변만 생성하는 것을 넘어 기업의 업무 시스템과 연결돼 실제 작업을 수행하도록 만드는 기술을 다룬다. 모델 컨텍스트 프로토콜(MCP)과 검색증강생성(RAG), 멀티에이전트 설계, 인증·보안, 서비스 성능평가 등을 학습한다. MCP는 AI 모델과 외부 데이터·도구를 일정한 규격으로 연결하는 개방형 프로토콜이다. 기업마다 별도의 연동 코드를 개발해야 했던 부담을 줄이고 AI가 사내 시스템을 호출해 자료를 검색하거나 업무를 처리하도록 지원한다. LG CNS가 MCP를 교육과정 전면에 내세운 것은 기업용 AI 수요가 단순한 사내 챗봇에서 업무를 판단하고 실행하는 AI 에이전트로 이동하고 있기 때문이다. 다만 실제 기업 환경에서는 잘못된 도구 호출과 권한 오용, 정보 유출 위험이 발생할 수 있어 인증과 접근통제, 감사기록까지 함께 교육한다. AI 데이터 엔지니어 과정에서는 기업에 흩어진 문서와 이미지, 데이터베이스, 업무 지식을 AI가 활용할 수 있는 형태로 가공하고 연결하는 방법을 배운다. 데이터 간 관계를 그래프로 표현하는 지식그래프와 이를 RAG에 결합한 ‘그래프RAG’, 데이터 수집·정제, 품질평가 등을 다룬다. 지식그래프는 AI가 단순히 유사한 문서를 찾는 데서 그치지 않고 사람과 조직, 제품, 규정 사이의 관계를 파악하도록 돕는다. 사내 규정이나 제품 정보처럼 정확성과 근거가 중요한 기업용 AI 서비스에서 환각을 줄이고 답변의 신뢰도를 높이는 기반 기술로 활용된다. 교육은 이론보다 프로젝트에 무게를 둔다. 에이전틱 AI 과정은 내년 1월20일까지 121일 동안 총 968시간, 데이터 엔지니어 과정은 내년 1월22일까지 122일간 총 976시간 진행된다. 교육생들은 사내 지식 기반 챗봇과 멀티에이전트 서비스, 기업용 데이터 플랫폼 등을 팀 단위로 구현한다. LG CNS의 기업용 AI 구축 사례를 바탕으로 현업 전문가의 멘토링도 제공한다. 국민내일배움카드 발급이 가능한 미취업 청년은 전공과 관계없이 지원할 수 있다. 다만 교육과정의 난도가 낮지 않은 만큼 선발 과정에서 기초 프로그래밍 이해도와 학습 의지, 문제해결 능력을 확인한다. 교육비는 전액 지원되며 출석 등 조건을 충족하면 특별훈련장려금을 포함해 월 최대 40만원의 수당을 받을 수 있다. 모집은 오는 26일까지다. 이번 과정은 LG CNS가 주관하는 취업교육이지만 수료생의 LG CNS 입사가 자동으로 보장되는 채용연계형 프로그램은 아니다. 공개된 모집 안내에도 직접 채용을 보장하는 내용은 포함되지 않았다. 취업 성과를 높이려면 프로젝트 결과물의 품질과 기업 채용 수요를 연결하는 후속 지원이 중요할 것으로 보인다. LG CNS는 현재 LG 계열사와 NICE평가정보, 중소기업중앙회 등을 대상으로 직무별 AX 교육을 제공하고 있다. 글로벌 교육 플랫폼 유데미와도 협력해 3만5000개 이상의 교육 콘텐츠를 공급하고 있다. 기업 고객에게 AI 시스템을 구축하는 데서 나아가 해당 시스템을 활용할 인력까지 양성해 AX 사업의 접점을 넓히려는 전략으로 풀이된다. 이호군 LG CNS 공공·통신·교육 AX사업담당 상무는 “AI 캠퍼스를 통해 실전 AX 역량을 갖춘 미래 인재 양성에 기여하겠다”며 “산업 현장에서 축적한 기술과 노하우를 바탕으로 비즈니스 특화 AX 교육을 확대하겠다”고 말했다.2026-07-21 10:01:00
많이 본 뉴스
영상
Youtube 바로가기
![[데스크 칼럼] 주택 공급은 숫자가 아니라 입주 가능한 집으로 평가해야](https://image.ajunews.com/content/image/2026/10/26/20261026094929588705_518_323.jpg)