앤트로픽 내부 시스템 무단 접근…클로드 계정 정보 노출 가능성

인공지능(AI) 기업 앤트로픽(Anthropic)의 내부 시스템에 외부 보안 연구업체가 무단으로 접근한 사실이 확인됐다. 이 과정에서 기업용 클로드(Claude) 이용자의 이름과 이메일 주소, 계정 정보 등이 노출됐을 가능성이 있다.

앤트로픽은 지난달 8일 제3자 사이버보안 연구업체가 승인 없이 자체 보안 테스트를 수행하던 중 일부 내부 시스템의 데이터에 접근했다고 7일 이용자에게 보낸 개인정보 관련 안내문을 통해 밝혔다.

앤트로픽은 사고 발생 이틀 뒤인 10월 10일 무단 접근 사실을 인지했다. 접근 대상에는 이름과 이메일 주소 등 연락처 정보가 포함됐다. 기업용 클로드 계정의 경우 계정 ID와 조직 ID, 구독 요금제 등급, 서비스 사용량과 이용 금액 관련 지표도 포함됐다.

다만 앤트로픽은 클로드에 입력한 프롬프트와 AI가 생성한 답변 등 대화 내용은 영향을 받지 않았다고 설명했다. 계정 비밀번호와 신용카드, 은행 계좌 정보도 접근 대상에 포함되지 않았다는 입장이다.

앤트로픽은 사고를 인지한 직후 해당 업체의 접근을 차단하고 확인된 취약점을 보완하기 위한 조치에 나섰다. 내부 조사도 착수했다. 무단 접근을 수행한 보안 연구업체는 확보한 데이터를 삭제하고 앞으로 사용하지 않겠다는 내용의 서면 확인서를 앤트로픽에 제출했다.

앤트로픽은 현재까지 접근된 정보가 변경되거나 삭제된 증거는 발견하지 못했다고 밝혔다. 데이터를 다른 목적으로 악용한 정황도 확인하지 못했다. 다만 개별 이용자의 정보가 실제로 열람됐는지는 확인하지 못한 상태다. 앤트로픽은 정보 노출 가능성을 고려해 관련 조직에 사고 사실을 통지했다.

이번 사고는 한국 관계 기관에도 신고됐다. 앤트로픽은 국내 이용자에게 개인정보 보호법에 따른 손해배상 청구와 개인정보 분쟁조정위원회를 통한 분쟁조정 신청 절차도 안내했다.

앤트로픽은 현재까지 이번 사고로 이용자의 위험이 높아졌다고 볼 만한 정황은 없다고 밝혔다. 다만 노출 가능성이 있는 연락처와 계정 정보를 악용한 피싱이나 기업 사칭 시도에 주의할 것을 당부했다.

특히 앤트로픽을 사칭해 구독 요금제나 결제 내역 등을 안내하면서 비밀번호, 로그인 인증코드, 결제 정보를 요구하는 연락에 응하지 말 것을 권고했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network