티빙·강남언니·뮤팟 등 업종 가리지 않고 침해·유출 사고 확산
전문가 "AI로 공격 문턱 낮아져…기업 보안·전문인력 투자해야"
(서울=연합뉴스) 한상용 오지은 기자 = 통신·카드·이커머스에서 시작된 개인정보 유출 사태가 올해 들어서는 OTT·의료·결제·미용·콘텐츠 플랫폼 등 일상 전반으로 확산하고 있다.
어떤 온라인 서비스를 이용하든 이름과 연락처, 이메일은 물론 결제·상담 정보까지 노출될 수 있다는 우려가 일상이 됐다.
인터넷상에서는 '더 보호할 정보도 남아있지 않다'는 자조까지 나온다.
AI 기술 발달과 맞물려 해커들의 공격 방식이 한층 고도화된 결과라는 분석도 나온다.
ADVERTISEMENT
◇ 통신·금융 넘어 OTT·미용·콘텐츠까지…업종 안 가리는 정보유출
13일 정보기술(IT)·보안업계에 따르면 지난해 SK텔레콤·KT 등 통신사와 롯데카드, 쿠팡 등에서 대규모 침해·유출 사고가 발생한 데 이어 올해 역시 관련 사고가 끊이지 않고 있다.
특히 올해의 경우 사고 대상이 특정 업종에 한정되지 않는다는 점이 특징이다.
지난해 롯데카드에서는 온라인 결제 서버가 해킹돼 297만명의 개인정보가 유출됐고, 쿠팡에서도 대규모 개인정보 유출 사고가 발생해 3천만 건이 넘는 계정에서 이름·이메일·전화번호·주소 등이 유출됐다.
통신·금융·유통업계에서 대형 사고가 잇따른 데 이어 올해 들어서는 OTT와 의료기관, 전자결제, 각종 온라인 플랫폼으로 사고가 확산한 양상이다.
대표적으로 OTT 티빙에서는 지난 5월 발생한 침해 사고로 약 3천954만개 계정의 개인정보가 유출된 것으로 정부 조사에서 확인됐다.
이름과 생년월일, 휴대 전화번호, 이메일 주소, 연계정보(CI) 등 개인정보 20개 항목(70종)과 함께 소스 코드가 포함된 기술 자산 361건도 외부로 빠져나간 것으로 조사됐다.
최근에는 전자지급결제대행(PG) 업체 토스페이먼츠에서도 특정 가맹점의 결제 연동 인증정보가 노출되면서 제3자가 결제 내역을 조회한 사고가 발생했다.
토스페이먼츠에 따르면 결제정보 4천131건, 정보주체 2천671명의 구매자 성명과 카드번호, 승인번호 등이 조회됐다.
다만 토스페이먼츠는 자사 내부 시스템이 직접 해킹당한 것은 아니며 가맹점 측에서 관리하던 외부 결제 연동 플랫폼의 인증정보가 노출된 사고라고 설명했다.
미용의료 정보 플랫폼 강남언니를 운영하는 힐링페이퍼에서도 최근 국내외 이용자 약 22만명의 개인정보가 유출됐다.
일부 이용자의 경우 단순한 이름이나 연락처뿐 아니라 상담·시술 관련 정보까지 유출 대상에 포함돼 스미싱이나 맞춤형 피싱 등 2차 피해 우려도 제기됐다.
가입 회원 수 약 95만명 규모의 음악·영상소스 플랫폼 뮤팟에서도 최근 외부의 비정상적 시스템 접근으로 일부 이용자 개인정보가 조회되거나 반출됐다.
뮤팟은 유출된 정보에 성명과 이메일 주소, 휴대 전화번호 등이 포함됐다고 밝히고 한국인터넷진흥원(KISA)의 기술 지원을 받아 정확한 사고 원인과 유출 범위를 조사 중이다.
◇ 넓어진 '공격 표면'에 AI로 문턱까지 낮아져…"기업 방어체계 높여야"
보안 전문가들은 최근 해킹이나 침해 사고 증가 배경으로 무엇보다 공격할 수 있는 접점 자체가 폭발적으로 늘어난 점을 꼽는다.
기업 업무와 소비자 서비스가 클라우드와 인터넷 기반으로 급속히 전환되면서 해커가 노릴 수 있는 서버와 애플리케이션, API, 협력사 시스템, 임직원 단말 등 이른바 '공격 표면'이 넓어졌다는 것이다.
여기에 생성형 AI가 공격자의 기술적 진입 장벽까지 낮추고 있다는 분석마저 나온다.
염흥열 순천향대 정보보호학과 교수는 "사회 전반의 디지털화가 가속화하고 클라우드와 인터넷 기반 서비스가 대다수를 차지하면서 해커가 노릴 수 있는 공격 접점이 크게 늘어났다"고 말했다.
염 교수는 또 "개인정보 유출로 추가적 수익을 얻을 수 있기 때문에 해커에게 지속적인 공격 유인이 제공된다"며 "기업과 서비스 제공자의 기술적 대책과 전문인력, 개인정보 보호 관리체계 수준이 고도화되는 공격 수준에 미치지 못하는 경우도 있다"고 지적했다.
최근 침해 사고가 특정 기업이나 산업군에 국한되지 않는 배경으로 AI 기술 발달이 지목되고 있다는 점도 관심을 끈다.
양종헌 에스투더블유[488280](S2W) 통합분석실장은 "과거보다 AI를 통해 공격이 손쉬워졌다고 본다"며 "기술 수준이 상대적으로 낮았던 위협 행위자들도 AI를 활용하면서 공격 역량의 '저점' 자체가 높아진 영향이 있는 것으로 추정한다"고 말했다.
이에 따라 전문가들은 온라인 플랫폼을 운영하는 기업도 공격자의 변화 속도에 맞춰 방어 체계의 속도와 기본 수준을 동시에 높여야 한다고 제언한다.
염 교수는 지난해와 올해 발생한 주요 침해사고의 원인이 된 취약점을 분석하고 자사 시스템에 동일하거나 유사한 취약점이 존재하는지 선제적으로 확인해야 한다고 주문했다.
정보보호와 개인정보보호 관리체계(ISMS-P)를 단순 인증 취득용으로 운영할 것이 아니라 지속적으로 보완·개선하고, 보안 설루션 구매뿐 아니라 이를 제대로 운용할 전문인력에도 충분히 투자해야 한다는 것이다.
양 실장도 기업의 소프트웨어 개발 과정 자체에도 AI 기반 보안 점검을 적극 도입할 필요가 있다고 조언했다.
그는 "과거에는 사람이 일일이 작성된 코드가 안전한지 검토했다면 이제는 AI를 활용해 점검의 속도를 높이는 환경이 기업 문화로 자리 잡아야 한다"며 "우리가 어떤 설루션을 사용하고 있는지, 어떤 파트너사와 연결돼 있고 그 연결 고리는 안전한지도 함께 살펴야 한다"고 했다.
이와 함께 개인 이용자 역시 기본적인 보안 수칙을 지킬 필요가 있다고 전문가들은 부연했다.
백신 프로그램을 최신 상태로 유지하고 PC 방화벽을 활성화하는 한편 출처가 불분명한 이메일이나 문자메시지의 링크를 클릭하지 않는 것이 기본적인 대응책이다.
전문가들은 이미 개인정보가 유출된 이용자에게 실제 이름이나 전화번호, 이용 서비스 등을 언급하며 접근하는 정교한 스미싱이나 보이스피싱이 발생할 수 있어 더욱 주의해야 한다고 말했다.
gogo213@yna.co.kr
built@yna.co.kr
(끝)
ADVERTISEMENT
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT