인공지능(AI) 기업 앤트로픽(Anthropic)의 내부 시스템에 외부 보안 연구업체가 무단으로 접근한 사실이 확인됐다. 이 과정에서 기업용 클로드(Claude) 이용자의 이름과 이메일 주소, 계정 정보 등이 노출됐을 가능성이 있다. 앤트로픽은 지난 10월 8일 제3자 사이버보안 연구업체가 승인 없이 자체 보안 테스트를 수행하던 중 일부 내부 시스템의 데이터에 접근했다고 7일 이용자에게 보낸 개인정보 관련 안내문을 통해 밝혔다.
이재명 대통령 부부를 포함한 대통령 순방단 168명의 개인정보가 악성코드 분석 플랫폼 ‘바이러스토털(VirusTotal)’에 약 5개월간 노출된 사건과 관련해 외교부가 외부 해킹보다는 문서 유출 가능성에 무게를 두고 조사하고 있다고 밝혔다. 4일 외교부의 전날 정례브리핑에 따르면, 박두순 외교부 대변인은 이번 사고의 원인과 관련해 “현재로서는 유출에 무게를 두고 있는 상황”이라고 밝혔다.
교육기업 대교가 해킹에 따른 개인정보 유출을 탐지한 보안관제 업체의 경고를 받고도 대응을 소홀히 해 동일한 방식으로 개인정보가 다시 유출된 것으로 확인됐다. 대교에서는 2024년 8월과 2025년 2월 두 차례에 걸쳐 약 65만명의 개인정보가 유출됐다. 대전선병원과 유성선병원을 운영하는 영훈의료재단도 웹사이트 취약점과 비밀번호 보호조치 미흡으로 18만8481명의 개인정보가 유출됐다.
개인정보보호위원회(이하 개인정보위, 위원장 송경희)는 최근 공개된 PHP 보안 취약점 ‘PHP2Shell’과 관련해 공공기관과 민간기업 등 개인정보처리자에게 개인정보 유출 예방을 위한 긴급 보호조치를 당부했다고 22일 밝혔다.
최근 금융권에서 잇따른 개인정보 유출 사고에 대응해 펜타시큐리티가 인공지능(AI) 기반 자동화 공격에 대비한 보안 가이드를 배포했다. 외부에 노출된 업무시스템의 접근통제를 강화하고, 침해가 발생하더라도 데이터 유출 피해를 줄일 수 있도록 암호화와 암호키 관리체계를 점검해야 한다는 내용이다.
티빙과 강남언니, 듀오 등 최근 개인정보 유출 사고를 겪은 기업들이 국정감사에서 피해 보상과 재발 방지 대책을 추궁받았다. 민감한 정보의 유출 피해에 포인트·쿠폰 보상이 충분한지, 사고 전에 발견한 취약점과 외주업체·가맹점의 보안 위험을 제대로 관리했는지가 주요 쟁점이었다.
개인정보보호위원(이하 개인정보위)가 100만명 이상의 개인정보가 유출되거나 사회적 파급력이 큰 사고를 ‘중요사건’으로 분류해 조사역량을 집중한다. 경미한 사건은 중소·영세 사업자에 대한 최초 과태료를 면제하고 기술지원 중심의 사후관리 체계로 전환한다.
신한은행에서 약 2만5000명의 대출 신청 관련 개인·신용정보가 유출됐다. 신한은행은 외부 비인가자가 인증을 우회하는 비정상적인 방법으로 일부 서비스에 접근해 고객정보를 유출한 사실을 확인했다고 1일 밝혔다.
개인정보보호위원회(이하 개인정보위)는 개인정보 유출 사고 예방과 피해 구제를 강화하기 위해 내년(2027년) 예산안으로 996억원을 편성했다고 4일 밝혔다. 올해 729억원보다 36.6% 늘어난 규모다. 개인정보 유출 사실을 은폐하거나 관련 증거를 없앤 행위를 신고하면 포상금을 지급하는 사업에 약 94억원을 새로 배정했다.
CJ ENM(대표 윤상현)의 온라인동영상서비스(OTT) 티빙(TVING)에서 발생한 침해 사고로 약 3954만개 계정의 개인정보와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 확인됐다. 사고의 핵심 원인은 ‘개발·운영 환경 접속키 관리 부실’이었다. 티빙은 2024년 모의해킹에서 접속키를 소스코드에 그대로 저장하는 취약점을 발견하고도 개선하지 않은 것으로 조사됐다.
개인정보보호위원회(이하 개인정보위)는 크리덴셜 스터핑 공격 대응과 개인정보 유출 사고 조치가 미흡했던 GS리테일에 과징금 128억3600만원과 과태료 300만원을 부과했다고 31일 밝혔다. 개인정보위는 지난 26일 제17회 전체회의에서 이같은 처분과 시정명령, 공표명령을 의결했다.
정부의 창업 지원 플랫폼 ‘모두의창업’에서는 암호화된 비공개 정보와 이를 풀 수 있는 암호키가 같은 애플리케이션 프로그래밍 인터페이스(API)를 통해 함께 유출됐다. 중소벤처기업부(이하 중기부)는 지난달 31일 1차 조사 결과를 발표하며, 일부 API에 비공개 정보와 암호키가 함께 포함된 것이 유출 사고의 원인이라고 설명했다. 펜타시큐리티는 암호키를 애플리케이션 코드나 설정파일, 데이터베이스에 고정값으로 입력하는 경우도 있다고 설명했다. 이를 ‘하드코딩’이라고 한다. 별도 키관리 체계가 없는 경우, 애플리케이션 서버에서 암·복호화를 처리하는 구조에서도 데이터와 키가 함께 노출될 수 있다는 분석이다.
개인정보 유출 사고 뒤 로그나 서버를 없앤 사업자에게 유출 사건 과징금과 별도의 과징금을 부과하는 법안이 추진된다. 증거 은닉·폐기 자체를 독립된 위법행위로 보고 전체 매출액의 3% 범위에서 제재하는 방식이다. 개인정보보호위원회(이하 개인정보위)는 KT와 LG유플러스의 개인정보 유출 사고 조사에서 확인된 제도 공백을 메우기 위한 개인정보보호법 개정 계획을 지난 29일 전체회의에서 논의하고 30일 공개했다.
개인정보보호위원회(이하 개인정보위)가 LG유플러스 개인정보 유출 정황에 대한 행정조사를 경찰 수사 결과를 확인할 때까지 중지한다고 밝혔다. LG유플러스가 유출 정황을 인지한 뒤 관련 서버의 운영체제를 재설치하고 서버를 폐기한 사실이 확인됐기 때문이다.
정부 창업 지원 플랫폼 ‘모두의창업’에서 발생한 정보 유출 사고는 데이터베이스 침입이 아닌 ‘백엔드 애플리케이션 프로그래밍 인터페이스(API)’에 비정상적으로 접근하는 과정에서 발생한 것으로 파악됐다. 이번 사고와 관련해 API 보안을 전문으로 다루는 보안기업들은 공개된 정황만으로 공격 방식을 확정하기는 어렵다고 분석했다. 다만 화면에서 숨긴 정보가 API 응답에도 포함됐는지, 서버가 요청자의 접근 권한을 확인했는지, 반복적인 정보 조회를 탐지했는지를 중심으로 사고 구조를 살펴볼 수 있다고 설명했다.
End of content
End of content
