"한국인터넷진흥원"에 대한 통합검색 결과
통합검색(24)
정치(1)
검색결과 총 24건
배경훈 과기장관 "통신사 해킹 근본 대책 찾겠다" 배경훈 과학기술정보통신부 장관이 KT 무단 소액결제, SKT 개인정보 유출과 같은 통신사 사이버 침해 사고가 잇따르는 데 대한 입장을 밝혔다. 12일 배 장관은 서울 광화문에서 취임 50일을 기해 열린 기자 간담회에서 반복되는 통신사 사이버 침해 사고에 높아지는 국민 불편·우려에 대한 입장을 묻는 말에 “기존보다 반걸음, 한걸음 빠른 대응책을 고민해 해결책을 찾아나가겠다”고 답했다. 먼저 가장 최근인 KT 사이버 침해 사건에 대해서는 "(사건 발생 시기로 알려진) 8월 22일 이전부터 문제가 됐던 것들이 지금 터지는 것 아닌가 해서 종합적인 연관 관계를 분석 중"이라고 설명했다. 배 장관은 “AI에 관심을 가지는 것 이상으로 정보 보호 체계에 대한 관심을 많이 갖고 있으며, AI 대전환 시대에 앞서서 우리가 반드시 해결해야 하는 문제가 해킹 이슈”라고 강조했다. 또 "AI를 악용한 해킹 기술이 발전하는 상황에서 근본적인 대책을 세워야 하는데 거기에 대한 준비가 되어 있는가에 대한 고민이 매우 많다"고 했다. 배 장관은 "정보 보호 대전환 체계를 만드는 것이 매우 중요하며 류제명 2차관을 단장으로 정보 보호 대응 태스크포스(TF) 팀을 꾸려 할 수 있는 최대한의 대응을 해보고자 한다"고 덧붙였다. 또 사이버 침해를 당한 기업이 당국에 신고하지 않으면 당국 개입이 어려운 현행 제도를 개선할 필요성도 언급했다. 정보통신망법은 정보통신 서비스 제공자가 침해 사고를 인지하면 24시간 이내에 과학기술정보통신부 장관이나 한국인터넷진흥원(KISA)에 신고하고 위반 시 3천만원 이하의 과태료를 내도록 규정하고 있다. 배 장관은 "신고 이후에 당국이 조사할 수 있는 지금 체계를 바꾸기 위해서 국회와 소통 중"이라며 "통신사들도 정부를 믿고 문제가 생겼을 때 바로 신고하거나 상의할 수 있어야 할 것"이라고 말했다. 휴대전화 출시 단계에서 해킹 예방 애플리케이션 설치, 통신망 차원의 스미싱 차단, 국가적 차원의 화이트해커 육성 등 별도 대책 마련의 필요성도 언급했다.
7시간 전
리커머스, 뉴(New)커머스 시장으로 급성장 - AI가 만든 새로운 질서골목 상점에서 플랫폼으로거리의 빈티지 숍이 발걸음을 붙잡을 때가 있다. 누군가의 방에서 여름을 견디던 앤틱 선풍기를 만나기도 하고, 해외에서 들어온 유니크한 소품이 눈길을 끌기도 한다. 중고거래는 오래 전부터 있었다. 그렇게 다양한 물건이 사람의 손을 건너가며 또 다른 풍경과 삶의 이야기를 채워왔다. 요즘의 중고거래는 과거와 본질적으로 달라졌다. 중고 플랫폼의 등장은 리커머스 시장의 전환점을 만들었다. 더 이상 골목 구석 작고 낡은 가게에서 우연히 마주칠 수 있는 물건이 아니다. 동네 벼룩시장을 거쳐 인터넷 카페로 확장했던 중고 시장은 이제 IT 기술을 입은 모바일 앱으로 재편됐다. 현재 중고 시장은 3세대에 접어들었다. 인공지능(AI)이 적정 가격을 산출하고, 가품과 사기꾼을 걸러내며, 신뢰 문제를 해결하는 수준으로 진화했다. 거래의 가장 큰 걸림돌이었던 불신이 AI 기술로 완화되면서 시장이 급성장하고 있다. 중고거래는 이제 단순한 절약이 아니라 새로운 소비 방식, 더 나아가 데이터 산업으로 확장되고 있다. 한국인터넷진흥원(KISA)에 따르면 국내 시장은 2008년 4조 원에서 2023년 35조 원으로 성장했다. 불과 15년 만에 여덟 배 가까운 성장이다. 전문가들은 2025년 약 43조 원, 머지않아 50조 원을 돌파할 것이라 전망하고 있다. 중고 거래의 대표 품목은 패션·생활가전·유아용품이다. 특히 패션은 전체 거래의 절반 이상을 차지하며 리커머스 성장을 일끌고 있다. 플랫폼도 다양해졌다. 당근마켓, 번개장터 같은 C2C(개인 간 거래) 플랫폼을 넘어 무신사, 백화점 등 대형 유통사까지 합류해 시장의 파이는 더욱 커지고 있다. 네이버는 해외 C2C 중고거래 앱을 잇따라 인수하며 해외 진출을 모색하고 있고, 앞서 2022년 12월 27일 북미 최대 C2C 플랫폼 포쉬마크를 인수한 바 있다. AI가 만든 신뢰의 구조, 시장 성장 원동력 사실 중고거래는 한때 불신의 대명사였다. 사진과 실물이 다르고, 가품, 사기 피해 사례도 빈번하게 발생했다. 그러나 지금은 달라졌다. 무신사 유즈드는 자연어 처리(NLP)를 적용해 판매자가 귀찮아하던 설명을 직접 쓰지 않아도 되도록 하는 기능을 적용했다. 엔카닷컴은 차량 사진을 분석하는 컴퓨터 비전 모델로 외관 손상, 교체 흔적, 사고 가능성까지 찾아낸다. 당근마켓은 거래 계좌와 채팅 패턴을 분석해 이상 거래 탐지(Anomaly Detection)를 찾아내 안전을 강화했다. eBay는 딥러닝 기반 이미지 검증으로 명품의 진위를 판별한다. 해외 ThredUp과 Poshmark는 AI 알고리즘으로 상품 이미지를 분류하고, 머신러닝 가격 모델을 통해 시세를 산출해준다. 유럽 역시 빈티드(Vinted), 디팝(Depop) 같은 플랫폼이 MZ세대를 중심으로 폭발적인 성장을 기록하고 있다. 글로벌 기업들의 참여도 활발하다. Zara는 ‘Zara Resell’, Ikea는 ‘Ikea Used’를 열어 자사 제품의 재유통을 직접 관리하고 있다. 불황 속에서 자라는 힘경기 침체 또한 리커머스 시장을 키우고 있다. 예전에는 단순히 ‘싼 맛’에 찾던 중고거래가, 지금은 품질 보증·합리적 가격·환경적 가치까지 고려한 스마트 소비로 자리 잡고 있다. 잠시 둘러보자. 내 주변에도 중고거래 플랫폼에 내놓을 만한 물건이 수두룩하다. 전문가들은 중고거래를 이제 단순한 부차적, 대안적 소비가 아니라 글로벌 커머스 산업의 핵심 축으로 보고 있다. ‘중고’의 가치를 재발견한 시장은 AI와 친환경이라는 두 개의 엔진을 달고, 앞으로 ‘뉴(New) 커머스’라는 이름에 걸맞은 새로운 성장 경로를 열어가고 있다. 주목할 만한 시장이다. ※ 용어설명 C2C(Customer to Customer)C2C는 ‘Customer to Customer’의 약자로, 일반 소비자끼리 직접 물건이나 서비스를 거래하는 방식을 뜻한다. 기업이 개입하지 않는 개인 간 거래로, 중고나라·당근마켓·번개장터 등이 대표적이다. 해외에서는 이베이(eBay), 에어비앤비(Airbnb) 등이 대표 사례로 꼽힌다. 최근에는 창작물·공유경제 영역으로도 확장되고 있다.
2025.09.10
KT '무단 소액결제 피해' 민관합동조사단 조사 나서 KT 이용자들을 대상으로 한 일부 지역에서의 무단 소액결제 피해에 대해 당국이 민관 합동 조사단을 꾸려 조사에 나섰다. 과학기술정보통신부는 9일 KT 이용자를 대상으로 한 무단 소액결제 사건 조사를 위해 최우혁 정보보호네트워크정책관을 단장으로 하는 민관 합동 조사단을 구성해 현장조사 등 신속한 원인 파악에 착수했다고 밝혔다. 과기정통부와 KISA는 전날 오후 7시 16분 KT로부터 사이버 침해 사고 신고를 접수했다. 정보통신망법에 따르면 정보통신서비스 제공자는 해킹 등 침해 사고가 발생한 것을 알게 된 때로부터 24시간 이내에 사고 발생 일시, 원인 및 피해 내용 등을 과학기술정보통신부장관이나 KISA에 신고해야 한다. 과기정통부는 신고 접수 이후 KT에 관련 자료 보전을 요구하고 같은 날 오후 10시50분 서울 서초구 KT 우면동 사옥에서 현장 조사에 착수했다. 조사단은 과기정통부 위원 2인, 한국인터넷진흥원(KISA) 4인, 민간 위원 6인으로 구성된다. 조사단 활동 범위는 최근 경기 광명시·서울 금천구 등을 중심으로 KT 이용자가 무단 소액결제 피해를 본 사건에 대해 해킹 등 사이버 침해 행위가 있었는지 원인분석과 방지 대책 지원이다. 4월 과기정통부는 SK텔레콤 해킹 사태 당시에도 민관 합동 조사단을 운영했다. 2014년부터 7차례 조사단을 운영해 왔으며 평균적으로 조사단 활동에 소요된 기간은 1∼2개월 정도다. 과기정통부는 무단 소액결제 추가 피해가 우려되는 등 이번 침해 사고가 중대하고 한 지역에 피해가 집중되는 등 이례적이어서 공격 방식에 대한 면밀한 분석이 필요하다고 판단, 조사단을 꾸렸다고 설명했다. 조사단과 함께 정보보호 분야 민간 전문가가 참여하는 자문단을 9일 구성해 사고 관련 기술적·정책적 자문을 받기로 했다. 과기정통부 민관 합동 조사단과 이 사건을 병합 수사 중인 경기남부경찰청은 사건 실체 파악에 협조하기로 했다. KT는 KISA에 사이버 침해 사고를 신고했다며 별도의 개인정보 해킹 정황은 없는 것으로 확인했다고 밝혔다. KT는 사건이 알려진 다음날인 5일 새벽부터 비정상적인 소액결제 시도를 차단했고 현재까지 추가적인 발생이 확인되지 않고 있다고 설명했다. 이번 사건은 8월 말부터 최근까지 주로 새벽 시간대 특정 지역의 KT 이용자들이 자신도 모르게 모바일 상품권 구매 등이 이뤄져 휴대전화 소액결제 피해를 봤다는 신고가 접수돼 알려졌다. 경기남부경찰청이 사건을 병합해 수사 중이다. 피해 금액은 광명경찰서 3800만원, 금천경찰서 780만원 등 총 4580만원이다. 부천 소사경찰서도 모바일 상품권 73만원 충전 등 총 411만원이 빠져나갔다는 KT 이용자 신고 5건을 받아 수사 중이다.
2025.09.09
로봇청소기 일부 보안 취약…보안 수준 가장 높은 제품은 인기 가전인 로봇청소기 일부 제품은 보안에 취약한 것으로 나타났다. 이로 인해 카메라 강제 활성화, 사진 조회·탈취 등이 우려된다. 한국소비자원은 시중에 유통 중인 로봇청소기 6종을 대상으로 모바일 앱, 보안 업데이트 및 개인정보 보호정책 등 보안 실태 조사를 실시한 결과 일부 제품에서 불법적인 접근이나 조작 가능성이 확인됐다고 2일 밝혔다. 모바일앱 보안 점검 결과 나르왈 프레오 Z 울트라(YJCC017)·에코백스 디봇 X8 프로 옴니(DEX56) 제품은 사용자 인증 절차 미비로 인해 사용 과정에서 촬영된 집 내부 사진이 외부로 노출될 가능성이 확인됐다. 제3자가 사용자의 개인키 또는 ID 정보를 알게 되면 별도 인증 절차 없이 클라우드 서버에 저장된 사진·영상에 접근할 수도 있다. 로봇청소기는 장애물 회피와 동선 확인 등을 위해 카메라가 탑재돼 있고, 사용자가 장애물을 확인할 수 있도록 사진을 촬영한다. 드리미 X50 Ultra(RLX85CE)는 제3자가 카메라 기능을 강제 활성화할 수 있다는 보안 취약점이 발견됐다. 사용자가 제3자에게 일부 기능 권한을 공유한 경우 부여받은 권한 이외에 카메라 등 다른 기능을 강제로 활성화할 수 있어 제3자가 청소기 카메라를 통해 영상과 사진을 실시간으로 확인할 수 있었던 것으로 나타났다. 에코백스 제품은 모바일앱에 제품을 등록하면 제3자가 클라우드서버에 접속해 사용자의 핸드폰 사진첩에 악성 사진 파일을 저장할 수 있는 것으로 확인됐다. 소비자원은 각 회사가 지적된 내용을 수용해 이러한 보안 취약점에 대한 조치를 완료했다고 전했다. 또 한국인터넷진흥원과 함께 조치에 대해서 확인도 마쳤다. 이밖에도 보안 업데이트 정책, 개인정보 보호정책 등을 포함한 정책 관리 점검에서 드리미 제품의 개인정보 관리가 미흡해 이름, 연락처 등 사용자의 개인정보 유출 우려가 있는 것으로 드러났다. 점검은 보안 전문 인력의 고도화된 공격 시나리오에 기반해 이뤄졌다. 특정 수준 이상의 해커에 의해 악용될 수 있는 만큼 즉시 개선 조치를 완료했다. 하드웨어·네트워크·펌웨어 등 '기기 보안' 점검에서는 드리미, 에코백스 2개 제품의 하드웨어 보안 수준이 상대적으로 낮은 것으로 나타났다. 점검 결과 삼성전자, LG전자 2개 제품은 접근 권한 설정과 불법 조작을 방지하는 기능, 안전한 패스워드 정책, 업데이트 정책 등이 비교적 잘 마련돼 종합 평가에서 상대적으로 우수했다. 소비자원은 조사 대상 모든 사업자에게 모바일앱 인증 절차, 하드웨어 보호, 펌웨어 보안 등 부족한 부분에 대해 보안성 향상을 위한 조치를 권고했으며 6개 사업자 모두 품질개선 계획을 회신했다고 밝혔다. 소비자원은 한국인터넷진흥원과 협력해 로봇청소기 등 사물인터넷(IoT) 제품의 보안 관리 강화를 위한 점검을 지속적으로 추진할 계획이다.
2025.09.02
예스24 7시간 만에 서비스 재개…"백업 데이터 활용 복구" 두 달 만에 또다시 랜섬웨어 공격을 받은 인터넷서점 예스24의 서비스가 7시간 만에 재개됐다. 11일 예스24는 "백업 데이터를 활용한 서비스 복구 작업을 진행해 오전 11시 30분 기준 모든 서비스가 정상적으로 접속 및 이용 가능한 상태"라고 전했다. 예스24는 "사고 발생 직후 전사적인 비상 대응 체계를 가동해 즉시 시스템 긴급 차단 및 보안 점검 조치를 실시함과 동시에 한국인터넷진흥원(KISA) 신고를 완료했다"고 설명했다. 또 "서비스 이용에 불편과 우려를 끼쳐드린 점 깊이 사과드린다"며 "앞으로 더 안정적인 서비스 제공을 위해 보안 시스템과 운영 정책을 지속 강화하도록 하겠다"고 약속했다. 예스24에 따르면 이날 오전 4시40분께 외부로부터 랜섬웨어 공격을 받아 도서 구매나 전자책 열람 등 모든 서비스가 중단됐다. 앞서 6월 9일에도 예스24는 랜섬웨어 공격을 받아 서비스가 전면 중단된 바 있다. 당시에는 5일 만에 서비스가 재개됐다.
2025.08.11
예스24, 해킹 사태 두 달 만에 또 접속 장애 두 달 전 해킹 사태로 서비스가 전면 중단됐던 사태를 겪었던 국내 최대 규모 인터넷서점 예스24가 또다시 접속이 불가능한 상태다. 11일 오전 9시 현재 예스24의 인터넷 사이트에는 접속이 되지 않고 있다. 전자책 등도 이용할 수 없다. 예스24 측은 "조금 전에 이런 문제가 있다는 것을 인지해서 원인을 파악 중"이라고 밝혔다. 예스24는 애플리케이션으로 접속을 시도하는 이용자에게 "서비스 접속이 원활하지 않다"며 "접속자 수가 많거나 오류로 인해 일시적인 장애가 발생했다"는 안내문을 게시했다. 고객센터에 전화하면 자동응답으로 연결되며 "문의량이 많아 상담사 연결이 어렵다"고 안내한 다음 통화를 자동 종료한다. 예스24는 올해 6월 9일 랜섬웨어 해킹을 당해 앱과 인터넷 통신망이 마비됐으며 먹통이 된 지 닷새만인 같은 달 13일부터 서비스를 순차적으로 재개했다. 예스24는 해킹 당시 사실을 이용자 등에게 즉시 알리지 않았으며 한국인터넷진흥원(KISA) 등에 해킹을 당했다고 신고한 사실이 다음날 보도로 다음에야 해킹 피해를 공식 발표했다. 예스24는 회원 수가 2천만명 수준인 국내 최대 규모 인터넷서점이다. 도서 외에도 음반·DVD·문구 등을 취급하며, 각종 공연 관람권 거래 창구로도 활용돼 서비스 중단으로 인한 여파가 크다.
2025.08.11
과기장관도 "깜빡 링크 누를 뻔...보이스피싱 근본 대책 마련해야" 배경훈 과학기술정보통신부 장관이 8일 통신 3사와 보이스피싱 예방 대책 간담회에 참석해 자신도 문자 메시지의 내용에 깜빡 속아 악성 링크를 누를 뻔한 일화를 소개했다. 배 장관은 이날 서울 종로구 KT 광화문 사옥에서 통신 3사 및 개인정보보호위원회, 국립과학수사연구원, 정보통신기획평가원, 한국인터넷진흥원과 연 보이스피싱 대응 현장 간담회에 참석했다. 배 장관은 “보이스피싱 문제는 멀리 있지 않다. 저도 쓰레기 투기를 했다는 문자 메시지가 와서 링크를 눌러 보이스피싱 피해를 볼 뻔했다”고 말하며 "정말 헷갈리는 부분이 많은데 작은 시작이 사고로 이어지는 것 같다"고 우려했다.배 장관은 "보이스피싱 문제를 정부가 더 각성하고 사전 예방 부분에서 고민을 많이 해야 한다. AI로 더 진화할 보이스피싱의 근본 대책을 마련하지 않으면 국민에게 피해가 돌아갈 것"이라며 대응책을 고도화하겠다고 밝혔다. 과기정통부에 따르면 보이스피싱 발생 건수는 올해 상반기 1만2천여 건으로 지난해 같은 기간보다 23% 증가했고 피해액은 상반기 약 6천4백억 원으로 98% 급증했다. 2023년 한해 피해액 4472억원을 훨씬 넘어선 것이다. 배 장관은 "AI를 활용한 보이스피싱 예방 효과를 극대화하기 위해서는 무엇보다도 데이터 공유·활용 기반을 마련하는 것이 중요하다"며 관계 부처와 협업해 데이터 이용에 장애가 되는 걸림돌을 제거하겠다고 말했다. 과기정통부는 보이스피싱 피해 예방을 위해 범죄자가 피해자를 속이고 금전적 손해를 입히려고 시도하는 등 전 단계에 걸친 예방 대책을 마련하고 있다고 설명했다. KT는 국립과학수사연구원이 보유한 실제 보이스피싱 통화 내용을 활용해 보이스피싱 탐지 정확도를 높인 '실시간 통화 기반 보이스피싱 탐지 서비스'를 지난달 말부터 제공하고 있다. SK텔레콤은 2021년부터 경찰에 신고된 보이스피싱 전화번호의 수·발신을 자동 차단하는 시스템을 운영하고 있다. 앞으로는 인공지능으로 조작한 가짜 목소리인 '딥보이스'에 대한 탐지 서비스도 개발할 예정이다. LG유플러스는 지난해 11월 출시한 익시오(ixi-O) 앱에서 실시간 보이스피싱 경고 알림을 제공 중이다. 6월 전국 1800여 개 모든 매장을 '보안 전문 매장'으로 전환해 피해가 의심되는 가입자에게 맞춤형 상담과 보안 조치를 지원한다. SK텔레콤, LG유플러스도 KT와 마찬가지로 정부 기관이 보유한 실제 보이스피싱 음성 정보를 활용해 탐지 서비스를 고도화할 수 있도록 정보통신기술(ICT) 규제샌드박스 제도를 활용할 예정이다.
2025.08.08
"'민생쿠폰' 안내 문자 URL 클릭 금지…"100% 사기입니다" 정부는 10일 민생회복 소비쿠폰과 관련해 "소비쿠폰 안내 문자메시지에 '인터넷 주소 바로가기(URL 링크)'는 100% 사기"라며 주의를 당부했다. 정부·카드사·지역화폐사는 스미싱 피해를 예방하기 위해 'URL 링크'가 포함된 문자메시지는 일절 발송하지 않는다. 공식 문자메시지가 아닌 의심 문자로 판단될 경우 클릭하지 말고 바로 삭제하고, 문자를 열람했다면 문자 URL 링크를 절대 클릭하지 않도록 주의해야 한다고 당부했다. 스미싱(smishing)은 문자메시지(SMS)와 피싱(Phishing)의 합성어로 악성 앱 주소가 포함된 휴대전화 문자메시지(SMS)를 대량 전송한 후 이용자가 악성 앱을 설치하거나 전화하도록 유도해 금융·개인정보 등을 탈취하는 범죄행위다. 스미싱 의심 문자를 받았거나 문자 내 인터넷 주소(URL)를 클릭한 이후 악성 앱 감염 등이 의심되는 경우 24시간 무료로 운영하는 한국인터넷진흥원 118 상담센터(☎118)에 신고할 수 있다. 정부는 스미싱에 선제적으로 대응하기 위해 금융감독원·경찰청·한국인터넷진흥원을 통해 스미싱 발생 및 신고 현황 모니터링을 강화한다. 또 신고·접수된 스미싱 정보를 분석하고 관련 링크 등 유포지를 즉시 차단하는 체계를 구축한다. 피해 신고 접수 시 신속하게 수사에 착수, 이용자 피해를 최소화하기 위해 총력을 다할 방침이다. 민생회복 소비쿠폰은 다가오는 21일부터 카드사 앱·누리집, 지역사랑상품권 앱·누리집 등에 접속해 온라인으로 신청하거나, 카드와 연계된 은행 및 지방자치단체(주민센터)에서 대면으로 신청하면 된다. 2차례에 걸쳐 1인당 15만원에서 최대 55만원까지 지급된다.
2025.07.10
SKT, 2021년 해커 공격 받고도 자체 대응하다 문제 키워 SK텔레콤 해킹 사고에 대한 민관 합동 조사단의 최종 조사 결과 해커의 공격은 2021년부터 이뤄졌다는 점이 밝혀졌다. 또 SKT가 2022년 자체 조사로 침해 사실을 발견하고도 제대로 조치하지 않아 문제를 키운 사실이 드러났다. 과학기술정보통신부를 주축으로 하는 민관 합동 조사단은 4일 정부서울청사에서 4월 23일 조사단을 구성한 이래 진행한 SKT 서버 4만2600대에 대한 전수 조사 결과를 최종 발표했다. 해커가 SKT 내부 서버에 최초로 악성코드를 심은 시점은 2021년 8월 6일로 파악됐다. 중간 조사 결과 발표에서 2022년 6월이 최초 감염 시점으로 지목됐지만 이보다 약 10개월가량 이른 시점이다. 해커는 외부 인터넷과 연결된 시스템 관리망 내 서버에 접속해, 다른 서버에 침투하려 원격제어, 백도어 기능 등이 포함된 악성코드를 설치했다. 당시 공격을 받은 서버에 다른 서버들을 관리할 수 있는 아이디, 비밀번호 등 계정 정보가 암호체가 아닌 평문으로 저장돼 있었다. 핵심 서버들에 접근할 수 있는 정보를 얻어낸 해커는 통신사의 핵심 네트워크(코어망)라 할 수 있는 음성통화인증 관리 서버(HSS)에 같은 해 12월 접속한 뒤 BPF도어(BPFDoor)라는 은닉성이 강한 리눅스용 악성 코드를 심어 서버를 제어하기 시작했다. 해커가 SKT 내부 서버에 심은 악성코드는 BPF도어 계열 27종을 포함해 모두 33종으로 파악됐다. 타이니쉘 3종, 웹쉘, 오픈소스 악성코드인 크로스C2, 슬리버 각각 1종이다. 해커는 4월 18일 HSS 3개 서버에 저장된 유심정보 9.82GB(기가바이트)를 외부로 빼돌렸다. 민관 합동 조사단은 가입자 전원의 유심(USIM) 정보에 해당하는 분량이라고 밝힌 바 있다. 조사단은 "이번 침해사고와 연관성은 없지만 공급망 보안 관리 취약으로 악성코드 1종이 SK텔레콤 서버 88대에 유입된 것을 확인했다"라고 밝히기도 했다. SK텔레콤 협력업체가 개발한 소프트웨어가 악성코드에 감염돼 있었는데 이 소프트웨어가 SKT 서버에 설치되면서 코드가 유입된 것이다. 이 악성코드가 실행된 흔적이 없어 이로 인한 정보 유출 등의 피해가 없었고 SKT 서버를 직접 공격한 해커 행위와는 무관해 보인다. 조사단 관계자는 "외부에서 제작한 소프트웨어를 SKT가 설치하면서 보안 검수를 제대로 하지 않은 점은 공급망 보안 관리에 문제점으로 볼 수 있다"고 지적했다. 한편 SK텔레콤은 해커가 사이버 공격을 감행하는 동안 특이점을 발견하고도 당국에 알리지 않은 채 자체 해결책으로 대응하다 문제를 키운 것으로 조사됐다. 조사단은 SK텔레콤이 2022년 2월 23일 특정 서버에서 비정상적인 재부팅을 발견하고 자체 점검하는 과정에서 악성코드에 감염된 서버를 발견해 조치했으나 이 과정에서 신고 의무를 지키지 않아 3천만원 이하 과태료 부과 대상이라고 밝혔다. SK텔레콤은 4월 해킹 피해가 최초로 알려졌을 당시에도 신고 기한인 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고해 늑장 신고 논란이 일었다. 2022년 당시 점검 과정에서 SK텔레콤은 핵심 서버인 HSS 관리서버에 비정상 로그인 시도가 있었던 정황을 발견했다. 하지만 로그기록 6개 중 1개만 확인해, 공격자가 서버에 접속한 기록은 발견하지 못한 것으로 조사됐다. 조사단은 "이에 따라 SKT는 정보 유출이 발생한 HSS에서 BPF도어 악성코드가 심어졌던 것을 확인하지 못했고 당국에 신고도 하지 않아 정부 조사로 악성코드를 발견, 조치하는 작업도 이뤄질 수 없었다"고 지적했다. 조사단은 또 SK텔레콤이 시스템 관리망 내 서버의 계정 비밀번호를 변경하지 않았다고 밝혔다. 비밀번호 만료일이 설정되지 않았고 변경 이력도 없었다는 것이다. 조사단은 "비밀번호를 종이, 파일, 모바일 기기 등에 기록하는 것을 지양하고 부득이하게 할 경우 암호화 등의 보호 대책을 적용하라는 것이 정보보호 및 개인정보보호 관리체계 인증 기준"이라며 SKT에 서버 접속을 위한 다중 인증 체계 도입을 요구했다. 또 유심 복제에 활용될 수 있는 중요한 정보인 유심 인증키(Ki) 값 암호화를 세계이동통신사업자협회(GSMA)가 권고하며 KT, LG유플러스 등은 하고 있지만 SKT만 암호화하지 않은 점, 4월 해킹이 드러나며 자료 보전 명령을 받았음에도 서버 2대를 포렌식 분석이 불가능한 상태로 조치해 제출한 점 등도 지적했다. 조사단은 "자료 보전 명령 위반과 관련해서는 수사기관에 수사를 의뢰할 예정"이라고 밝혔다. 조사단은 ▲ 통신기록(CDR)을 임시 저장 서버에 저장한 점 ▲ 정보보호 최고책임자(CISO)가 코어망 등 네트워크 영역이 아닌 고객관리망 등 정보기술(IT) 영역의 보안 관리만 담당한 점도 SKT 보안의 미흡한 점으로 꼽았다. 재발 방지 대책으로 서버 등 네트워크가 연결되는 장치에서 일어나는 모든 활동을 감지·분석하는 EDR 설루션 및 백신 적용, 분기별 1회 이상 모든 자산에 대해 보안 취약점 정기 점검, CISO를 최고경영자(CEO) 직속 조직으로 격상 등을 요구했다. 조사단은 유심 복제에 악용될 수 있는 단말기식별번호(IMEI)나 개인정보가 평문으로 임시 저장된 서버들을 발견했지만, 정밀 분석 결과 방화벽 로그 기록이 남아있는 기간인 지난해 12월 3일부터 사고 발견 직후까지 유출 정황은 없었다고 밝혔다. 하지만 악성코드 감염 시점인 2022년 6월부터 지난해 12월 2일까지는 로그기록이 없어 유출 여부를 확신하기 어렵다. 조사단은 "SKT가 자체 보안규정에 따라 로그기록을 6개월 이상 보관해야 하지만 방화벽 로그를 4개월간만 보관해 중요 정보의 유출 여부를 면밀히 조사하는 데 한계가 있었다"면서 로그기록의 6개월 이상 보관, 중앙로그관리시스템 구축 등을 요구했다. SKT가 서버 등 전체 자산 종류, 규모, 유휴·폐기 여부를 체계적으로 관리하지 않고 있었던 점과 타사 대비 정보보호 인력 및 투자 규모가 부족한 점도 문제로 꼽았다. 과기정통부는 SK텔레콤이 보안 관리에서 과실이 있었다며 의무 가입 기간이 남은 이용자의 계약 해지 시 위약금 면제를 요구했다. 또 SK텔레콤에 재발 방지 대책에 따른 이행계획을 이달 내 제출하라며 이행 여부를 올해 말 점검하겠다고 밝혔다.
2025.07.04
"'써브웨이'도 최소 5개월 개인정보 무방비 노출" 샌드위치 프랜차이즈 써브웨이에서도 고객 개인정보가 무방비 상태로 노출된 정황이 드러났다. 파파존스, 머스트잇 등에서도 개인정보 유출 사고가 발생한 데 이어 보안 허점이 드러나 소비자 우려가 커지고 있다. 30일 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)은 써브웨이 홈페이지와 모바일 앱을 통한 온라인 주문 시스템에서 다른 고객의 개인정보를 손쉽게 열람할 수 있는 보안 취약점이 발견됐다고 지적했다. 이에 따르면 누구나 로그인 없이 주문 페이지에 접속한 뒤 웹주소(URL) 끝부분의 숫자를 임의로 변경하면 다른 고객의 연락처와 주문 정보가 그대로 화면에 표시된다. 최 위원장은 "사례 확인 결과, 최소 5개월간은 동일한 방식으로 개인정보가 무방비 상태에 놓였던 것으로 보인다"고 말했다. 실제 고객 정보 유출 여부와 유출 규모는 확인이 되지 않는 상황이다. 전문가들은 이번 사고가 홈페이지 개편 과정에서 적절한 보안 검토 절차를 거치지 않아 발생한 것으로 보고 있다. 써브웨이는 "최근 고객 정보와 관련한 제한된 데이터가 노출될 우려가 있는 기술적 문제를 발견했고, 조치해 문제를 해결한 상태"라며 "정보 오용 정황은 확인되지 않았으나 신속히 한국인터넷진흥원(KISA)에 신고했다"고 밝혔다. 앞서 파파존스도 URL 뒷자리 숫자를 바꿔 넣는 방식으로 고객 이름, 연락처와 신용카드 번호, 공동현관 비밀번호까지 노출됐다. 명품 온라인 플랫폼 머스트잇도 인증 없이 회원 개인정보가 조회되는 취약점이 발견됐다. 개인정보를 허술하게 관리하면 최대 5천만원의 과태료가 부과될 수 있으며, 전체 매출액의 3% 범위에서 과징금을 물 수 있다. 약 6만5천건의 개인정보를 유출한 카카오는 과징금 151억원을, 221만여명의 이름과 전화번호를 유출한 골프존은 75억원을 부과받은 사례가 있다. 최민희 위원장은 "온라인 주문 서비스가 일상화된 상황"이라며 "규제나 처벌 강화 등 정부 차원의 대책 마련이 필요하다"고 말했다.
2025.06.30
