# data[].attributes.attachment_link.readable_text
숫자로만 보면 메리어트 호텔이 1위...영향력은 페이스북
각종 정보 조합했을 때 정교한 소셜 엔지니어링 공격 가능하게 돼

[보안뉴스 문가용 기자] 이 말을 몇 년 째 하는지 기억도 나지 않지만, 2018년 또한 "기록적인 유출 사고의 해"로 기록될 전망이다. '올해가?'라는 의문이 먼저 들었다면, 그건 반복된 유출 사고 때문에 그런 소식들에 아무런 반응도 하지 않게 되었기 때문이다. 무감각해진 것이다. 하지만 개인정보, 신용카드 정보, 비밀번호 등은 여전히 공격자들의 좋은 먹잇감이다. 올해 일어난 대형 유출 사고들을 간략하게 정리해본다.

[이미지 = iclickart]

구글 플러스 : 5250만
구글의 소셜 미디어 프로그램인 구글 플러스에서 소프트웨어 취약점 두 개로 인해 커다란 프라이버시 침해가 발생했다. 먼저는 구글 플러스의 API에서 소프트웨어 버그가 하나 발견됐다. 구글 내부 보안 팀이 발견한 것으로, 외부 개발자들이 구글 플러스 프로파일 데이터에 접근할 수 있도록 해주는 것이었다. 이 취약점은 3년이나 존재했던 것으로 나타났다. 심지어 구글은 이 사실을 외부에 알리지 않기로 했으나 월스트리트저널이 10월에 보도했다. 구글의 평판은 크게 떨어졌다. 거기다가 두 번째 API 버그가 11월에 발견됐다. 사용자의 구글 플러스 프로파일 정보를 열람하는 것을 허용해주는 버그였다. 사용자가 공개하지 않은 내용도 열람 가능했다.

메이지카트 사건 - 족히 수천만
메이지카트(Magecart)라는 범죄 단체가 등장해 올해 내내 여러 웹사이트들을 털고 정보들을 가져갔다. 티켓마스터(Ticketmaster)의 디지털 카드 리더기가 제일 먼저 당하더니 영국항공, 뉴에그(Newegg), 피디파이(Feedify), 쇼퍼어프루브드(Shopper Approved), 비전다이렉트(VisionDirect)가 차례로 당했다. 메이지카트는 여러 범죄 단체의 연합으로, 주로 웹사이트에 스크립트를 주입하는 기법을 통해 온라인 지불 정보를 훔쳐냈다. 피해자들의 목록만 봐도 이 방법이 얼마나 효과적이었는지 알 수 있다. 게다가 메이지카트는 12월부터 관리자 크리덴셜 정보도 훔치기 시작했다.

메리어트 호텔 - 5억
11월, 메리어트 호텔 측은 약 5억 명의 숙박객 데이터가 노출된 채 유지되어 있었다고 밝혔다. 그것도 무려 2014년부터 말이다. 해커들은 메리어트 소속 스타우드(Starwood)의 예약 정보 데이터베이스에 접근해 소셜 엔지니어링 공격자들이라면 누구나 군침을 흘릴만한 정보 패키지를 얻어내는 데 성공했다. 즉, 이름, 우편 주소, 전화번호, 이메일 주소, 여권 번호, 스타우드에서 발급해주는 숙박객 계정 정보, 생년월일, 성별, 도착 및 출발 일자, 예약 일자, 선호하는 연락 방법 등이 공격자들의 손에 넘어간 것이다. 심지어 일부는 지불카드 정보도 도난당했다.

언더 아머 / 마이피트니스팔 - 1억 5천만
피트니스 관련 제품 제조사인 언더 아머(Under Armour)가 지난 3월 마이피트니스팔(MyFitnessPal) 앱의 사용자 1억 5천만 명의 정보가 침해됐다고 발표했다. 해커들이 가져간 정보는 사용자 이름, 이메일 주소, 해시 처리된 비밀번호였다. 이 사건의 경우 회사가 침해 사실을 파악하고 불과 4일 뒤에 고객들에게 알리기 시작했기 때문에, 소비자들의 반응이 그리 나쁘지만은 않았다. 하지만 비밀번호를 해시 처리한 것이 SHA-1이라는, 약하기로 유명한 알고리즘이었기 때문에 비판도 받았다.

걸스카우트 - 2800명
'대규모'라고 이름 붙이기에는 어울리지 않는 숫자다. 하지만 이 사건은 그 적은 숫자에도 불과하고 많은 이들의 관심을 모았다. 지난 10월 아메리카 걸스카우트(Girl Scouts of America)의 캘리포니아 지부에서 '해킹을 당했다'고 발표했다. 공격자는 스카우트 사무실에서 사용하던 이메일 주소 하나에 접근했고, 이를 이용해 메일을 발송했다. 걸스카우트 측이 어떤 메일인지 정확하게 밝히지 않아서 확실하게 알 수 없지만, 피싱 이메일 공격을 펼치기 위한 것이라고 보였다. 수사를 더 진행했을 때 해당 메일 계정으로 걸스카우트 멤버들의 여행 일정을 짠 것으로 나타났다. 따라서 메일보관함에 개인정보들이 가득히 들어있었다. 걸스카우트 멤버 및 가족 구성원 2800명의 것이었다. 다행히 쿠키는 안전했다.

페이스북, 페이스북, 페이스북 - 7천만 명 이상
올해는 아마도 페이스북 최악의 해였을 것이다. 지난 5월에는 소프트웨어 버그 때문에 사용자들이 게시글을 올릴 때 '대상 제안(suggested audience)'으로 조정했던 것이 전부 '전체 공개'로 전환됐다. 1천 4백만 사용자가 여기에 영향을 받았다. 즉, 1천 4백만 명이 '친구들에게만' 공개하려고 했던 내용을 원치 않게 모두에게 보여주게 된 것이다. 또한 9월에는 View As 기능의 오류를 해커가 익스플로잇 했다는 발표가 있었다. 사용자 5천만 명의 접근 토큰이 도난당했다. 12월에는 서드파티 앱이 사용자가 공개하지 않은 사진에 접근할 수 있게 해주는 버그도 발견됐다. 이 때문에 680만명 사용자가 피해를 입었다.

NASA의 데이터 유츨 사건 - 아직 수사 중
12월에 발표된 사건으로, 해커가 10월에 네트워크에 침투했음이 공개됐다. 아직 수사가 진행 중이긴 하지만, 침해된 데이터베이스는 인사과의 것으로 보인다. 이 때문에 NASA에서 근무한 경험이 있던 사람들과 현재 근무자 수천 명의 개인식별 정보가 유출됐다. 사회보장번호도 여기에 포함되어 있는 것으로 알려져 있다. 아직 정확한 피해 규모는 밝혀지지 않았다. 하지만 적지 않은 것으로 보인다. 2006년 7월부터 2018년 10월까지의 정보가 전부 침해됐기 때문이다.

T모바일 - 230만
지난 8월 무선 통신 사업자인 T모바일(T-Mobile)이 수백만 고객들에게 경고 메시지를 보냈다. 자사 웹사이트가 침해되었고, 가입자의 이름, 우편번호, 전화번호, 이메일 주소, 계좌 번호가 전부 도난당했다는 내용이었다. 처음에는 7천 7백만 고객들에게 경고가 날아갔으나, 알고보니 영향을 받은 건 3%에 불과했다. 그래도 약 230만 명이라 적은 숫자는 아니었다. T모바일 측은 웹사이트의 한 API를 통해 정보가 유출된 것으로 보인다고 밝혔다. 그러나 상세 내용은 공개하지 않았다.

티켓플라이 - 2600만
티켓플라이는 각종 행사의 표의 판매와 구매를 대행해주는 사이트로 티켓마스터와의 경쟁자답게, 침해 사고도 같은 해에 겪었다. 해커가 사이트를 장악한 시간 동안 티켓플라이 웹사이트를 방문하면, 화면에 "Ticketfly HacKeD By IsHaKdZ"라는 글자가 뜨는 걸 볼 수 있었다. 또한 "당신의 보안은 형편없습니다. 다음에도 이렇다면 데이터베이스를 공개할 겁니다"라는 협박 메시지도 포함되어 있었다. 티켓플라이는 공격자들이 취약점을 알려주는 대신 7500달러를 달라고 요구했다고 밝혔다. 하지만 거래에 응하지 않았기 때문에 취약점이 무엇인지는 아직까지 모르고 있다.

오비츠 - 88만
엑스피디아(Expedia)가 소유한 여행 사이트 오비츠(Orbitz)는 지난 3월 소비자와 파트너 플랫폼이 전부 침해됐다고 발표했다. 메인 사이트인 Orbitz.com은 아니었다. 아무튼 이 때문에 88만 건의 지불 정보가 유출됐는데, 소비자 플랫폼의 경우는 2016년 전반기 동안에 실제 공격이 일어났고, 파트너 플랫폼은 2016년 1월부터 12월 22일까지 공격이 진행된 것으로 나타났다. 공격에 꽤나 긴 시간 노출되어 있었던 것이다. 노출된 데이터는 카드 정보를 비롯해 이름, 전화번호, 이메일 주소, 영수증 청구 주소였다. 다행히 비밀번호는 무사했다.

쿼라 - 1억
크라우드소싱 Q&A 서비스인 쿼라(Quora)가 12월 대규모 침해 사고의 주인공이 됐다. 1억 명의 사용자에게 영향을 줄 수 있는 사건으로, 사용자의 이름, 이메일 주소, 해시 처리된 비밀번호, 메시지 함 내용물, 사용자가 연결한 외부 계정으로부터 임포트 된 데이터가 전부 유출된 것이다. 해커들은 심지어 사용자들이 했던 질문들과 대답들, 댓글, 좋아요 및 싫어요 투표 기록들에 대한 정보도 가지고 갔기 때문에 정교한 소셜 엔지니어링 공격이 원활할 것으로 예상된다.
[국제부 문가용 기자( globoan@boannews.com)]

www.boannews.com) 무단전재-재배포금지>

# data[].attributes.attachment_link.title
2018년을 얼룩지게 했던 대규모 정보 유출 사건들

# data[].attributes.attachment_link.description
이 말을 몇 년 째 하는지 기억도 나지 않지만, 2018년 또한 "기록적인 유출 사고의 해"로 기록될 전망이다. '올해가?'라는 의문이 먼저 들었다면, 그건 반복된 유출 사고 때문에 그런 소식들에 아무런 반응도 하지 않게 되었기 때문이다. 무감각해진 것이다. 하지만 개인정보, 신용카드 정보, 비밀번호 등은 여전히 공격자들의 좋은 먹잇감이다. 올해 일어난 대형 유출 사고들을 간략하게 정리해본다.

# data[].attributes.attachment_link.readable_text
/사진=뉴스1

경품 행사를 통해 입수한 고객의 개인정보 2400여만건을 보험사에 팔아넘긴 혐의로 재판에 넘겨진 홈플러스 사장에게 징역형의 집행유예가 확정됐다. 홈플러스 측도 벌금 7500만원이 확정됐다.

대법원 2부(주심 김상환 대법관)는 개인정보보호법 위반 등 혐의로 기소된 도성환 전 홈플러스 사장에 징역 10개월에 집행유예 2년, 홈플러스 측에 벌금 7500만원을 선고한 원심 판결을 받아들여 확정했다고 6일 밝혔다.

애초 이 사건은 2016년 1월 1심에서 무죄 판결이 내려졌다. 이후 대법원이 무죄를 선고한 원심을 깨고 사건을 서울중앙지법에 돌려보낸 것은 2017년 4월이었다. 서울중앙지법에서 진행된 파기환송심에서 1년여만에 유죄가 인정되고, 이를 대법원에서 확정하면서 첫 선고 이후 3년 7개월여만에 최종적으로 유죄가 확정됐다.

도 전 사장 등은 2011년 12월~2014년 6월 11회의 경품 행사에서 고객의 개인정보 약 712만건을 불법으로 수집해 건당 1980원씩 보험사 7곳에 팔아 148억원의 부당이득을 챙긴 혐의로 기소됐다.

또 2011년 12월~2014년 8월 고객의 동의 없이 개인정보 1694만건을 L생명보험사(약 765만건)와 S생명보험사(약 253만건)에 넘기고 사후 동의를 받은 경우 건당 2800원의 판매금을 받아 83억5000여만원의 부당이득을 챙긴 혐의도 있다.

1심 법원은 2016년 1월 판결을 내리면서 홈플러스 측이 고객정보를 보험사에 판 행위 등이 위법하지 않다고 보고 무죄 판결을 내렸다. 경품 응모권 용지에 경품 추천·발송 및 보험 마케팅, 제3자 이용목적 등이 적혀 있었고 고객의 동의를 받았다고 본 것이다.

2심 법원 역시 마찬가지였다. 이런 사항을 1㎜ 크기의 글자로 고지하는 게 옳은지에 대해 복권이나 의약품 설명서 등에서도 같은 크기의 글자가 널리 쓰이는 점 등을 볼 때 홈플러스 측이 일부러 작게 표시한 것은 아니라고 판단했다.

대법원의 판단은 달랐다. 대법원은 1㎜ 크기의 고지문이 있어 개인정보보호법상 '고지(告知) 의무'는 다했다고 본 1·2심의 판단이 잘못됐다며 유죄 취지로 사건을 서울중앙지법으로 되돌려보냈다.

다시 사건을 판단하게 된 서울중앙지법 형사항소4부는 "경품 추첨 사실을 알리는 데 필요한 개인정보와는 관련없는 성별·동거 여부 등 사생활 정보와 주민번호까지 수집하면서 이에 동의하지 않을 경우 추첨 제외라고 고지했다"며 "이는 정당한 목적으로 수집하는 경우라고 해도 목적에 필요한 최소한의 개인정보에 그쳐야 한다는 개인정보보호법 원칙과 규정을 위반한 것"이라고 지적했다.

동의 사항에 대한 고지가 1㎜ 크기 글씨로 기재된 것에 대해선 소비자 입장에서 그 내용을 읽기가 쉽지 않다며 이 역시 개인정보 보호법상 의무를 위반한 것이라고 지적했다.

대법원 역시 이를 받아들여 확정했다.

# data[].attributes.attachment_link.title
홈플러스 '1㎜ 깨알고지' 개인정보 유출 '유죄' 확정 - 머니투데이 뉴스

# data[].attributes.attachment_link.description
사진=뉴스1 경품 행사를 통해 입수한 고객의 개인정보 2400여만건을 보험사에 팔아넘긴 혐의로 재판에 넘겨진 홈플러스 사장에게 징역형의 집행유예가 확정됐다. 홈플러스 측도 벌금 7500만원이 확정됐다. 대법원 2부(주심 김상환 대법관)는 개인정보보호법 위반 등 혐의로 기소된 도성환 전 홈플러스 사장에 징역 10개월에 집행유예 2년, 홈플러스 측에 벌금 7500만원을 선고한 원심 판결을 받아들여 확정했다고 6일 밝혔다.

# data[].attributes.attachment_link.title
법률가의 눈으로 본 세상 : 네이버 블로그

# data[].attributes.attachment_link.readable_text
지난해부터 EU 적용된 일반정보보호법 영향

세계 최대 호텔그룹 메리어트 인터내셔널이 고객 개인정보 유출혐의로 영국 정부로부터 거액의 벌금을 부과받을 위기에 처했다.

9일(현지시간) BBC 등 영국 현지 언론에 따르면 영국 정보위원회(ICO)는 대규모 고객 정보 유출과 관련해 메리어트 인터내셔널에 9,920만 파운드(1,460억원)의 벌금 부과 계획을 통보했다.

안 소렌슨 메리어트 최고경영자(CEO)는 정보위원회 통지를 수용할 수 없다는 입장이다.

앞서 메리어트는 지난해 11월 해킹으로 인해 스타우드 계열 호텔의 예약시스템에 있던 고객 정보가 2014년부터 4년간에 걸쳐 유출됐다고 발표했다. BBC는 고객 3억 3,900만명의 정보가 유출됐으며, 여기에는 유럽인 3,000만명이 포함돼 있다고 전했다.

뉴욕타임스(NYT)는 지난해 12월 초기 조사 결과 중국 정부와 연계된 해커들이 메리어트 호텔 해킹을 저지른 것으로 잠정 결론이 났다고 보도했다.

반면 중국 환구시보는 이같은 보도가 전형적인 누명을 씌우는 행위라며, "중국을 의심하는 것은 정신병적인 발상"이라고 비난하기도 했다.

영국 정보위원회는 메리어트에 앞서 전날 고객 50만명의 정보가 유출된 데 대한 책임을 물어 영국항공(British Airways)에도 1억 8,300만 파운드(2,700억원)의 벌금을 부과하기로 결정했다.

BBC는 지난해부터 유럽연합(EU)에서 시행에 들어간 일반정보보호법(GDPR·General Data Protection Regulation)으로 인해 기업들이 잇따라 거액의 벌금을 부과받고 있다고 설명했다. /김민정기자 jeong@sedaily.com

# data[].attributes.attachment_link.keywords[]
개인정보 유출한 메리어트 호텔에 벌금

# data[].attributes.attachment_link.authors[].name
英 정보위, 개인정보 유출한 메리어트 호텔에 벌금

# data[].attributes.attachment_link.title
英 정보위, 개인정보 유출한 메리어트 호텔에 벌금

# data[].attributes.attachment_link.description
지난해부터 EU 적용된 일반정보보호법 영향 세계 최대 호텔그룹 메리어트 인터내셔널이 고객 개인정보 유출혐의로 영국 정부로부터 거액의 벌금을 부과받을 위기에 처했다. 9일(현지시간) BBC 등 영국 현지 언론에 따르면 영국 정보위원회(ICO)는 대규모 고객 정보 유출과 관련해 메리어트 인터내셔널에 9,920만 파운드(1,460억원)의 벌금 부과 계획을 통보했다. 안 소렌슨 메리어트 최고경영자(CEO)는 정보위원회 통지를 수용할 수 없다는 입장이다.

# data[].attributes.attachment_link.readable_text
세계 최대 소셜미디어 페이스북이 해킹 공격을 받아 사용자 약 5000만명의 개인 정보가 유출됐다. 미국 일간 뉴욕타임스(NYT)는 "페이스북 창사 이래 최대 규모 해킹 사건"이라고 보도했다.

앞서 영국 데이터 회사 케임브리지 애널리티카(CA)가 페이스북 사용자 8700만명의 정보를 무단 도용한 사실이 올 3월 드러난 데 이어 또다시 페이스북의 허술한 사용자 정보 관리 문제가 터진 것이다. 국내에서도 해킹 피해를 당해 페이스북 계정이 강제로 로그아웃되는 사례가 나오는 것으로 알려졌다. 지난달 28일(현지 시각) 페이스북은 공식 성명을 통해 "지난해 7월부터 약 5000만명의 사용자 계정에 대한 해킹이 발생한 사실을 최근 파악했다"고 밝혔다. 마크 저커버그 페이스북 최고경영자(CEO)는 긴급 콘퍼런스콜에서 "매우 심각한 보안 문제가 발생했다. 할 수 있는 모든 조치를 취하고 있다"고 말했다. 이번 해킹으로 저커버그 CEO와 셰릴 샌드버그 최고운영책임자(COO)의 정보까지 유출된 것으로 전해졌다.

페이스북은 CA 사태 이후 진행한 보안 시스템 점검 과정에서 해킹 사실을 파악했다. 페이스북에는 자신의 계정이 다른 사용자들에게 어떻게 보이는지 미리 확인할 수 있는 기능인 '뷰 애즈(VIEW AS)'가 있는데 사용자 본인뿐 아니라 제3자도 접근할 수 있게 만든 허점을 해커들이 노린 것이다. 해커들은 이 뷰 애즈를 해킹 루트로 활용해 사용자들의 계정 접속 정보를 통째로 빼냈다. 업계에선 페이스북 계정으로 이용할 수 있는 소셜미디어 인스타그램, 음원 서비스 스포티파이, 메신저 왓츠앱에서도 피해가 발생할 우려가 있다고 보고 있다.

페이스북은 피해 확산을 막기 위해 개인 정보가 유출된 사용자 약 5000만명의 계정을 강제로 로그아웃했다. 또 예방 차원에서 지난해 7월부터 뷰 애즈 기능을 한 번이라도 사용한 4000만개 계정도 추가로 강제 로그아웃했다. 해킹당한 흔적이 없더라도 선제적 조치를 취한 것이다. 페이스북에 따르면 해당 계정이 로그아웃하는 순간 기존 계정 접속 정보는 무효화하기 때문에 일단 추가 피해를 막을 수 있다고 한다. 페이스북은 뷰 애즈 서비스도 중단했다고 밝혔다.

페이스북은 미 연방수사국(FBI)과 페이스북 유럽 지사가 있는 아일랜드 데이터 보호위원회(DPC)에 해킹 사실을 신고했다. 하지만 아직까지 페이스북은 해킹 공격 주체, 해킹 배후, 피해 규모, 유출된 정보 종류를 파악하지 못하고 있다.

국내 피해 규모도 정확하게 확인되지 않고 있다. 페이스북코리아 관계자는 "현재 본사에서 국가별 피해 규모, 추가 피해 여부를 집계 중이지만 피해 규모가 더 커질 가능성도 있다"고 말했다. 보안 전문가들은 "뷰 애즈 기능을 자주 이용했던 사용자라면 강제 로그아웃 여부와 상관없이 페이스북 비밀번호를 교체하고 생일·전화번호와 같은 상세 정보를 비공개로 설정해야 한다"고 말했다.

# data[].attributes.attachment_link.title
또 뚫린 페이스북, 5000만명 개인정보 유출

# data[].attributes.attachment_link.description
세계 최대 소셜미디어 페이스북이 해킹 공격을 받아 사용자 약 5000만명의 개인 정보가 유출됐다. 미국 일간 뉴욕타임스(NYT)는 "페이스북 창사 이래 최대 규모 해킹 사건"이라고 보도했다. 앞서 영국 데이터 회사 케임브리지 애널리티카(CA)가 페이스북 사용자 8700만명의 정보를 무단 도용한 사실이 올 3월 드러난 데 이어 또다시 페이스북의 허술한 사용자 정보 관리 문제가 터진 것이다.

# data[].attributes.body
ㅎ ㅇ

# data[].attributes.attachment_link.readable_text
[이미지출처=AP연합뉴스]

[아시아경제 김은별 기자] 구글의 인공지능(AI) 음성비서 '구글 어시스턴트'에 녹음된 이용자들의 대화 1000건 이상이 유출됐다.

11일(현지시간) 미 경제방송 CNBC에 따르면, 구글은 이날 "우리 대화 분석가들 중 한 명이 데이터 보안 정책을 어기고 네덜란드어 음성 데이터를 유출했다는 사실을 방금 파악했다"며 유출을 인정했다.

이어 "우리 보안ㆍ사생활보호 대응팀이 가동돼 이 사안을 조사 중이며 조치를 취할 것"이라며 "이런 부정행위가 재발하지 않도록 이 문제와 관련한 보호장치들을 전면 재검토하고 있다"고 덧붙였다.

구글과 아마존 등은 AI 음성비서의 반응을 개선하기 위해 소비자가 명령하기 위해 했던 말이나 대화 정보를 보관하고 분석해왔다. 소비자들의 액센트나 대화 습관을 분석해 기기의 반응 속도를 더 높이기 위한 방법이다. 기밀 유지 서약을 쓰고 연구자들이 분석에 나서지만, 결국 이 정보가 새어나간 것이다.

벨기에 언론 VRT는 10일 구글과 계약한 업체로부터 이런 대화 샘플을 받았다며 일부 대화 녹음에 등장한 사람들의 신원을 확인했다. VRT에 따르면 대화 녹음 중에는 소비자의 집 주소, 건강 상태, 조울증을 앓는 여성의 개인정보까지 포함돼 있었다.

다만 구글은 연구팀과 협력사들은 전체 음성 파일의 약 0.2%만 청취하고 있으며, 이 음성 파일로 이용자를 식별할 수는 없다고 해명했다.

지난 4월에는 아마존의 AI음성비서 '알렉사'를 통해 녹음된 사용자들의 목소리를 전 세계 수천명의 직원이 들으며 분석한다는 사실이 보도되기도 했다.

한편 이날 스마트워치인 애플워치에서도 다른 사람의 대화를 엿들을 수 있는 오류가 발견돼 애플이 이 기능을 정지시키기도 했다. 오류가 발견된 기능은 애플워치의 '워키토키' 앱으로, 지난해 9월 출시된 '워치OS(운영체제) 5'에서 처음 도입됐다. 이 앱을 깔고 대화 상대를 추가하면 상대방의 동의 없이도 대화를 엿들을 수 있었던 것. 애플은 "문제를 수정하는 동안 해당 기능을 정지시켰다"며 "다만 이 문제점이 악용된 사례는 아직까지 발견되지 않았다"고 전했다.

김은별 기자 silverstar@asiae.co.kr

# data[].attributes.attachment_link.description
구글의 인공지능(AI) 음성비서 '구글 어시스턴트'에 녹음된 이용자들의 대화 1000건 이상이 유출됐다. 11일(현지시간) 미 경제방송 CNBC에 따르면, 구글은 이날 "우리 대화 분석가들 중 한 명이 데이터 보안 정책을 어기고 네덜란드어 음성 데이터를 유출했다는 사실을 방금 파악했다"며 유출을 인정했다. 이어 "우리 보안ㆍ사생활보호 대응팀이 가동돼 이 사안을 조사 중이며 조치를 취할 것"이라며 "

# data[].attributes.attachment_link.readable_text
재판부 "현대사회서 휴대전화 중요성 비춰 불법성 가볍지 않아"

(서울=연합뉴스) 정래원 기자 = 휴대전화 대리점에서 상담하고 돌아간 고객의 개인정보를 이용해 몰래 휴대전화를 개통한 대리점 직원이 1심에서 실형을 선고받았다.

서울동부지법 형사3단독 조현락 판사는 사기·사문서위조 등 혐의로 재판에 넘겨진 김모(32) 씨에게 징역 2개월을 선고했다고 21일 밝혔다.

법원에 따르면 김씨는 지난해 4월 자신이 일하던 서울 송파구의 한 휴대전화 판매 대리점에서 상담고객 A씨가 남긴 개인정보를 이용해 몰래 휴대전화를 개통한 혐의로 기소됐다.

김씨는 통신사 가입신청서와 개인정보 제공·위탁 동의서 등 서류에 A씨의 신상정보를 써넣은 뒤 서명을 날조해 시가 125만원 상당의 갤럭시 휴대전화 단말기를 개통했다.

김씨는 단말기를 개통한 뒤 다시 고가에 팔아 판매 대금으로 개인 채무를 갚기 위해 범행을 계획한 것으로 조사됐다.

재판 당시 김씨는 업무상 횡령과 사기로 이미 각각 징역 1년 6개월과 8개월 형을 선고받아 복역 중이었다.

재판부는 "휴대전화가 현대사회에서 지니는 중요성에 비춰 범행의 불법성이 가볍지 않다"며 양형 이유를 설명했다.

one@yna.co.kr

# data[].attributes.attachment_link.title
고객정보 도용 고가 스마트폰 몰래 개통...대리점 직원 실형 | 연합뉴스

# data[].attributes.attachment_link.description
재판부 "현대사회서 휴대전화 중요성 비춰 불법성 가볍지 않아" (서울=연합뉴스) 정래원 기자 = 휴대전화 대리점에서 상담하고 돌아간 고객의 개인정보를 이용해 몰래 휴대전화를 개통한 대리점 직원이 1심에서 실형을 선고받았다. 서울동부지법 형사3단독 조현락 판사는 사기·사문서위조 등 혐의로 재판에 넘겨진 김모(32) 씨에게 징역 2개월을 선고했다고 21일 밝혔다.

# data[].attributes.body
http://news.chosun.com/site/data/html_dir/2018/10/01/2018100100209.html

# data[].attributes.body
https://terms.naver.com/entry.nhn?docId=3431786&cid=58438&categoryId=58438

# data[].attributes.attachment_link.provider_name
대한민국 IT포털의 중심! 이티뉴스

# data[].attributes.attachment_link.readable_text
지난해 한국인터넷진흥원(KISA)에 신고 접수된 개인정보유출 신고는 233건으로 전년대비 4배 이상 증가했다. 2011년 개인정보보호법 시행이후 지난해까지 총 502건에 달하는 유출사고가 있었다. 2015년 이후 꾸준히 증가추세다.

역대 개인정보유출사고는 전 산업에 걸쳐 나타났다. 2008년 GS칼텍스, 옥션 등에 이어 2010년 25개 쇼핑몰 2000만명 개인정보가 유출됐다. 2011년 넥슨(1230만명), 한국앱손(35만명), SK컴즈(3500만명), 현대캐피탈(175만명) 등 사고가 일어났다. 특히 SK컴즈 싸이월드 이용자 583명은 SK컴즈를 상대로 손배해상 청구 소송을 제기했지만 지난해 1월 SK컴즈 손을 들어줘 배상책임 없음을 선고했다.

대법원은 "해킹사고 당시 방송통신위원회 기술·관리기준 등 관련 법령에 따라 침입차단시스템과 침입탐지시스템을 설치·운영하고 있었다"면서 "사회통념상 합리적으로 기대 가능한 정도 보호조치를 하지 않았다고 볼 수 없기 때문에 법률상 또는 계약상 의무를 위반했다고 보기는 어렵다"고 판시했다.

2012년, 2013년에도 대규모 개인정보 유출이 이어졌다. 2012년 KT(870만명), EBS(400만명)에 이어 2013년 KT가 다시 한 번 1200만명 개인정보를 유출했다. 카드 3사(KB국민카드·NH농협카드·롯데카드)는 8500만명에 달하는 금융정보를 노출시켜 사용자를 충격에 빠뜨렸다.

카드 3사 개인정보 유출도 집단소송으로 이어졌다. 2018년 서울서부지법 민사합의12부(부장판사 이원신)는 고객 7831명이 농협과 KCB를 상대로 제기한 4건 손해배상 청구소송에서 "개인정보 유출을 증명한 원고 5514명에게 1인당 10만원씩 배상하라"며 원고 일부승소 판결했다.

반면 동일한 시기 벌어진 KT유출사고에 대해서는 대법원이 KT손을 들어주며 "배상 책임 없음"을 판시했다.

이후 홈플러스(2014년, 900만명), 뽐뿌(2015년 195만건), 인터파크(2016년, 1030만건), 하나투어(2017년 하나투어 42만명), 여기어때(2017년 99만명) 등 유출사고가 발생했다.

지난해에는 암호화폐 거래소, 한국콘텐츠진흥원, 삼양식품 등 크고 작은 개인정보 유출이 지속 이어졌다. 현재 암호화폐 거래소 등 개인정보유출 사고로 인한 피해자 집단소송은 진행 중이다.

업계 관계자는 "집단 손해배상 소송이 진행되고 있지만 2,3 차 피해는 일정 시간이 지난 후 발생하기 때문에 배상책임 등을 산정하기 쉽지 않다"면서 "정보 유출 이후에 대한 관리뿐 아니라 관련 연구 등도 함께 해야 한다"고 덧붙였다.

정영일기자 jung01@etnews.com

# data[].attributes.attachment_link.title
[이슈분석]역대 개인정보 유출사고

# data[].attributes.attachment_link.description
지난해 한국인터넷진흥원(KISA)에 신고 접수된 개인정보유출 신고는 233건으로 전년대비 4배 이상 증가했다. 2011년 개인정보보호법 시행이후 지난해까지 총 502건에 달하는 유출사고가 있었다. 2015년 이후 꾸준히 증가추세다. 역대 개인정보유출사고는 전 산업에 걸쳐 나타났다. 2008년 GS칼텍스, 옥션 등에 이어 2010년 25개 쇼핑몰 2000만명 개인정보가 유출됐다. 2011년 넥슨(1230만명), 한국앱손(35만명), SK컴즈(3500만명), 현대캐피탈(175만명) 등 사고가 일어났다.

# data[].attributes.attachment_link.readable_text
[CCTV뉴스=석주원 기자] 몇 년 전까지 우리나라는 웹사이트에 가입하기 위해 주민등록번호를 필히 기재해야 했다. 하지만 개인정보 유출사고가 빈번하게 발생해 국민들의 주민등록번호가 해외로 대량 유출되자, 이제는 반대로 웹사이트에서 주민등록번호를 수집할 수 없도록 법이 바뀌었다. 그러나 정작 개인정보 유출의 책임자들은 별다른 처벌도 받지 않고 넘어가는 것이 일반적이다. 국내외에서 발생했던 대표적인 개인정보 유출 사고와 후속 조치를 살펴보고, 개인이 할 수 있는 개인정보 관리 방법을 정리해봤다.

■ 국민 소셜 미디어의 몰락, 싸이월드 회원 정보 유출 사건

아마도 국내에서 발생한 가장 대규모의 개인정보 유출사건이 아닐까 싶다. 싸이월드는 1999년 시작된 소셜 네트워크 서비스로 한때 국민적인 인기를 누리기도 했다. 2004년에 시작한 페이스북, 2006년에 시작한 트위터보다 훨씬 일찍부터 서비스를 시작한 선구적인 소셜 미디어라고 할 수 있다. 싸이월드는 미니홈피를 통해 서로의 일상을 공유하고, 친한 사람들끼리 '일촌'을 맺어 친목을 도모하는 등 인터넷 세대의 새로운 문화로 자리잡았다. 당시 국내에서 인터넷을 사용하는 대부분의 사람들은 싸이월드 계정을 갖고 있다고 봐도 무방할 정도였다. 싸이월드는 2003년 8월 SK커뮤니케이션즈에 인수되면서 SK텔레콤의 여러 서비스와도 연동되었다.
문제의 사건이 터진 것은 2011년 7월. SK커뮤니케이션즈의 해킹 사건이 발생하면서 싸이월드와 네이트의 회원 정보가 유출됐는데, 이때 유출된 회원들의 개인정보가 무려 3500만 건에 달했다. 사건의 전말을 살펴보면 해커가 국내의 유명 압축 프로그램의 업데이트 서버를 해킹해 악성 프로그램을 심어 두었는데, SK커뮤니케이션즈 직원들 중 일부가 해당 프로그램을 업데이트하면서 SK커뮤니케이션즈 내부 컴퓨터가 해킹당해 문제가 발생했다고 한다. 해커는 SK커뮤니케이션즈 내부의 관리자 계정을 탈취한 후 회원들의 정보를 빼갔다고 하며, 이때 유출된 정보는 주민등록번호, 이름, 비밀번호, 휴대전화 번호, 메일 주소, 심지어 혈액형 정보까지 포함되어 있었다.
SK커뮤니케이션즈 측에서는 비밀번호와 주민등록번호 같은 중요한 정보는 암호화돼 저장되기 때문에 유출되었어도 사용하지 못했을 것이라고 주장했지만, 일부 전문가들은 이런 주장에 대해 의구심을 보내고 있다. 실제로 이 유출사건 이후 중국 웹사이트에서 우리나라 사람들의 이름과 주민등록번호를 손쉽게 검색할 수 있게 되었고, 이 정보를 이용한 것으로 추정되는 국내 사이트 해킹 및 계정 탈취 시도 사건들이 다수 발생하기도 했다.
또한, 이 사건 이후 피해자 모임이 만들어졌고, 단체로 SK커뮤니케이션즈를 상대로 손해배상 소송을 진행하기도 했다. 이 소송은 2012년 4월에 시작되어 1심에서는 원고가 승리를 거두었지만, 2018년 6월에 열린 대법원 판결에서 최종적으로 원고가 패소하면서 SK커뮤니케이션즈는 법적 책임을 면하게 됐다. 이 소송에는 또 하나의 재미있는 일화가 있다. 법원은 중립의 원칙을 지키기 위해 이 사건과 관련이 없는 판사를 배정해야 했는데, 개인정보 유출 피해를 당하지 않은 판사를 찾기가 쉽지 않았다고 한다.
이 사건은 인터넷 웹사이트들의 개인정보 수집 정책에도 영향을 미쳤는데, 인터넷 웹사이트들이 더 이상 주민등록번호를 수집할 수 없도록 하는 법이 제정된 것이다. 하지만 이미 주민등록번호가 유출될 만큼 유출된 후에 제정된 법이다 보니 소 잃고 외양간 고친다는 평이 많았다. 이후 웹사이트들은 가입자의 실명 정보를 확인하기 위해 카드사 정보나 이동통신 가입 정보를 활용하는 방식을 취하게 됐다.

■ 역대 최대 규모, 카드사 개인정보 유출 사건

앞서 살펴본 싸이월드 사건이 해킹과 내부 직원들의 안일한 보안 의식이 만들어 낸 사고였다면, 이번에 소개할 카드사 개인정보 유출 사건은 내부 관계자가 의도적으로 개인정보를 빼돌려 이득을 챙긴 사건이다. 문제가 된 카드사는 KB국민카드, NH농협카드, 롯데카드의 3사로, 이 3사에서 유출된 개인정보가 무려 1억 건이 넘으면서 국내 최대의 개인정보 유출 사건으로 기록돼 있다.
이 사건은 신용과 보안이 생명인 금융 회사에서 발생한 사건이라는 점에서 앞선 싸이월드 사건보다 파장이 더 컸다. 게다가 이 사건의 범인이 1년이 넘는 기간 동안 지속적으로 개인정보를 빼돌렸음에도 뒤늦게 범죄행위를 발견했다는 점에서, 금융회사들이 내부 보안 시스템을 얼마나 허술하게 관리하고 있는지 그 부끄러운 민낯을 만천하에 공개한 셈이었다.
유출된 개인정보의 종류도 심각했다. 이름과 주민등록번호, 연락처, 주소 등은 기본이고, 연봉, 결혼여부, 자동차 소유 여부, 신용등급, 결제 계좌에 이르기까지 매우 중요한 개인 금융 정보도 전부 유출된 것으로 확인됐다. 국민카드의 경우 계열사인 국민은행의 사용자 정보까지 유출된 것으로 드러났다. 당시 언론에서는 우리나라 경제 인구 75%의 개인정보가 유출됐다는 보도를 내기도 했다.
이 사건의 범인은 아이핀을 관리하는 신용평가 업체 코리아크레딧 뷰(KCB)에 근무하는 차장으로 밝혀졌다. 범인은 카드사의 분실ㆍ위변조 탐지 시스템 개발 프로젝트의 책임자였는데, 시스템 테스트용으로 받은 고객 정보들을 USB에 담아 외부로 유출했다. 이렇게 빼돌린 개인정보 중 일부는 마케팅 회사 등에 팔아 금전적 이득을 취한 것으로 알려졌다. 범인은 피해가 밝혀진 카드 3사 외에 신한카드와 삼성카드에서도 파견 근무를 했다고 하는데, 이 두 회사는 강력한 보안 규정을 적용함으로써 범인의 마수에 걸리지 않았다고 한다.
이 사건은 유출 피해 확인 과정에서도 허술한 보안 의식을 노출한 바 있다. KB국민카드는 자신의 정보가 유출됐는지 확인하기 위해 이름과 생년월일, 그리고 주민등록번호 맨 끝의 한 자리만 입력하도록 했는데, 이는 이름과 생년월일만 알고 있으면 누구나 단 10번의 시도로 다른 사람의 유출 정보를 조회해 볼 수 있다는 걸 의미한다. 네티즌들은 이 허술한 시스템을 이용해 전ㆍ현직 대통령부터 재벌그룹 총수 등 정ㆍ재계 주요 인사들의 개인정보가 모두 유출됐다는 사실을 확인하기도 했다.
그리고 이 사건 역시 제대로 된 보상도, 처벌도 이루어지지 않고 흐지부지 마무리됐다.

■ 아이클라우드 사진 유출 사건

이러한 개인정보 유출 사건이 우리나라에만 국한된 이야기는 아니다. 미국에서는 2014년에 할리우드 여성 스타들의 나체 사진이 대량으로 유출되는 사건이 발생한 바 있다. 당시 사진을 유포한 범인은 애플의 아이클라우드를 해킹해 사진을 얻었다고 주장했는데, 조사결과 직접적인 해킹은 아닌 것으로 밝혀졌다. 범인은 할리우드 스타들의 소셜미디어 등을 통해 이메일 주소를 수집하고, 해당 이메일로 피싱 메일을 보내 비밀번호와 본인 확인 질문에 대한 답변 등을 알아냈다고 한다.
다행히 애플의 보안 시스템에 문제가 있는 것은 아닌 것으로 밝혀졌지만, 그럼에도 애플의 보안 검증 시스템이 약하다는 지적을 받아야 했다. 그리고 이를 계기로 애플은 아이클라우드의 보안 정책을 강화했다. 어쨌든 이 사건은 시스템이 아무리 잘 갖추어져 있다고 해도 결국은 스스로 개인정보 관리를 잘 하지 않으면 피해를 입을 수 있다는 교훈을 남겼다. 참고로 이 사건의 범인은 36살의 남자인 것으로 밝혀졌고, 미국 법원에서 징역 18개월의 실형을 선고받았다.

■ 50억 달러의 벌금을 물게 된 페이스북

이번에는 최근에 발생한 따끈따끈한 사례다. 지난 7월 12일(현지시간) 미국 월스트리트저널은 세계 최대의 소셜미디어 페이스북이 미국 연방거래위원회(FTC)의 명령을 위반해 50억 달러의 벌금을 내야한다고 보도했다. 50억 달러는 우리 돈 9조 5천억 원에 이르는 어마어마한 금액으로, 미국 정부가 IT기업에 부과한 금액으로는 최대 규모라고 한다. 이처럼 막대한 벌금이 부과된 이유는 페이스북이 이용자들의 개인정보를 허락 없이 사용했기 때문으로 알려졌다.
FTC는 2016년 미국 대선 당시, 영국의 정치컨설팅업체가 페이스북 이용자 8700만 명의 개인정보를 부적절하게 이용했다고 밝혔다. 이는 페이스북이 2012년에 FTC와 맺은, '이용자의 개인정보 설정을 존중하고 명백한 허락 없이는 이용자 정보를 공유하지 않겠다'는 합의를 어긴 것이라고 FTC는 판단했다. 페이스북의 창업자이자 CEO인 마크 주커버그는 FTC 조사에서 혐의를 인정했으며, "우리 산업에 새로운 기준이 마련되길 바란다"는 말을 남겼다고 한다. 이 말의 의미는 개인정보 활용에 대한 법 개정을 촉구한 것으로 해석할 수 있다.
어쨌든 이 사례는 미국 정부가 개인정보 보호에 얼마나 강한 의지를 보이는지 확인할 수 있는 계기가 되었고, 한편으로 규정을 어긴 개인정보처리자가 어떤 대가를 치르게 되는지 본보기를 보여주었다. 또한 앞서 소개한 국내의 정보보안 유출사고에서 기업들이 별다른 처벌도 받지 않고 넘어간 것과 대조되는 모습이기도 하다.

*이 기사는 SecuN 8월호에 실린 커버스토리로 온라인판에는 2부로 나누어 업로드됩니다.

석주원 기자 jwseok@cctvnews.co.kr

# data[].attributes.attachment_link.title
공공재가 되어 버린 개인정보(1/2)

# data[].attributes.attachment_link.description
CCTV뉴스=석주원 기자] 몇 년 전까지 우리나라는 웹사이트에 가입하기 위해 주민등록번호를 필히 기재해야 했다. 하지만 개인정보 유출사고가 빈번하게 발생해 국민들의 주민등록번호가 해외로 대량 유출되자, 이제는 반대로 웹사이트에서 주민등록번호를 수집할 수 없도록 법이 바뀌었다. 그러나 정작 개인정보 유출의 책임자들은 별다른 처벌도 받지 않고 넘어가는 것이 일반적이다.

# data[].attributes.headline
2015년 나라 유출사례

# data[].attributes.subject
2015년 나라 유출사례

# data[].attributes.body
http://www.itworld.co.kr/news/97289

# data[].attributes.attachment_link.readable_text
지문-얼굴 등 생체인식 개인정보, 국내 보안업체 암호화 없이 방치
이스라엘 전문가 발견뒤에야 차단
해킹땐 정보변경 못해 피해 반복... 해당제품 적용시설 보안구멍 우려

국내 주요 정부기관과 기업 등에 서비스를 제공하는 한 생체인증 기술 기업이 지문과 얼굴 같은 생체정보를 포함한 수천만 건의 개인정보를 아무런 암호화 조치도 하지 않고 인터넷에 방치했던 것으로 나타났다. 출입 보안, 금융거래용 신원 확인, 스마트폰 기기와 애플리케이션 작동 등에 쓰이는 생체인증 데이터는 한번 복제되면 변경할 수도 없어 정보기술(IT) 업계에서는 "만약 해커의 손에 이 정보가 들어가면 심각한 2차 피해가 우려된다"는 지적이 나오고 있다.

19일 영국 가디언지와 IT업계에 따르면 이스라엘의 한 보안 전문가 그룹은 이달 5일 한국 기업 '슈프리마'의 개인정보 데이터 서버가 누구나 접근할 수 있도록 노출돼 있다는 점을 발견했다. 노출된 데이터는 슈프리마의 생체인증 보안 플랫폼인 '바이오스타' 사용자들의 정보인 것으로 파악됐다. 지문과 얼굴 같은 생체 인식 기술에 사용되는 디지털 정보와 이미지 정보, 사용자 이름과 비밀번호, 아이디(ID), 보안 권한 등급, 집 주소, 이메일 주소 등이다. 이 시스템을 관리하는 관리자의 계정 정보도 노출됐다. 이 서버는 이스라엘 보안 그룹이 발견하고도 일주일 정도 지난 13일에야 접근 차단 조치가 이뤄졌다. 바이오스타는 2015년부터 서비스되기 시작했다.

슈프리마는 2000년 설립된 생체인증 분야 국내 대표 기업으로 꼽힌다. 지금까지 국내외 1000여 개 기업 및 기관에 제품을 공급했다. 정부청사뿐만 아니라 한국수력원자력 발전소, 해군본부, 법원 및 검찰청 등 주요 공공시설에 도입된 것으로 알려졌다. 해외에서도 싱가포르의 대형 조선소와 중동의 정유회사, 원자력발전소가 지난해 도입을 결정하기도 했다. 다만, 어느 기업 또는 기관이 바이오스타를 쓰는지는 알려지지 않았다.

무방비로 노출된 데이터는 2780만 건으로 용량은 23GB(기가바이트)다. 데이터 노출 문제를 발견한 보안 전문가인 노안 로템 씨는 "어마어마한 정보들을 브라우저를 통해 쉽게 접근할 수 있었다"며 "생체인증 보안 시스템으로 보호되던 모든 데이터에 범죄자들이 접근할 수 있었다는 의미"라고 말했다.

생체인증 보안은 ID나 비밀번호, 출입카드 같은 일반적인 보안장치와 달리 지문이나 안면, 홍채, 정맥 등 신체의 일부로 자신을 증명하기 때문에 보안성이 높다고 평가받는다. 이 때문에 주요 기업과 공공기관 등에 점점 더 많이 도입되고 있다. 2016년 한 공무원시험 준비생이 정부서울청사에 무단 침입해 합격자 명단을 수정한 '공시생 침입사건'이 발생한 뒤로 정부는 주요 정부청사에 안면인식 시스템을 도입했다. 금융권에서도 현금자동입출금기(ATM)에 정맥인증 서비스를 적용하는 은행이 늘어나고 있다. 최신 스마트폰에도 생체인식시스템이 대부분 탑재돼 있다.

하지만 한번 유출되면 정보를 변경할 수 없기에 오히려 피해는 더 커진다. 오윤석 정보통신정책연구원 연구원은 "생체정보는 한번 해킹당하면 피해가 지속될 수 있다"고 말했다. 이번에 노출된 데이터도 악용될 경우 슈프리마의 해당 제품이 적용된 시설의 출입 보안이 뚫리거나 생체정보를 활용해 얻은 각종 개인정보가 악용될 수 있다는 우려가 나온다.

슈프리마는 가디언과의 인터뷰에서 "슈프리마의 제품이나 서비스에서 명백한 위협이 발견된다면 고객의 안전을 위해 즉시 행동에 나서고 고지할 것"이라고 말했다. 본보는 슈프리마 측에 전화와 문자메시지로 수차례 연락을 시도했으나 닿지 않았다.

황태호 기자 taeho@donga.com

# data[].attributes.attachment_link.title
[단독]생체인증 정보 등 수천만건, 인터넷에 무방비 노출

# data[].attributes.attachment_link.description
지문-얼굴 등 생체인식 개인정보, 국내 보안업체 암호화 없이 방치 이스라엘 전문가 발견뒤에야 차단 해킹땐 정보변경 못해 피해 반복... 해당제품 적용시설 보안구멍 우려 국내 주요 정부기관과 기업 등에 서비스를 제공하는 한 생체인증 기술 기업이 지문과 얼굴 같은 생체정보를 포함한 수천만 건의 개인정보를 아무런 암호화 조치도 하지 않고 인터넷에 방치했던 것으로 나타났다.

# data[].attributes.attachment_link.readable_text
This Monday, July 30, 2019 photo shows an update information of Facebook application on a mobile phone displayed at a store in Chicago. The FBI is looking for outside contractors to monitor social media for potential threats, setting up a possible conflict with Facebook and other companies over privacy. (AP Photo/Amr Alfiky) /뉴시스/AP /사진=

유럽연합이 페이스북에 대해 개인정보 침해 혐의로 수십억 유로의 벌금을 부과할 예정이다. 페이스북은 지난 7월 미국연방거래위원회(FTC)로부터 개인정보 유출 문제로 50억달러에 달하는 벌금을 받은데 이어 유사한 명목으로 유럽에서 조사를 받게 됐다.

12일(현지시간) 월스트리트저널에 따르면 유럽연합에서 정보통신기업의 규제를 담당하는 주요 기관인 아일랜드의 데이터보호위원회(DPC)는 최근 페이스북이 사생활 보호 문제 등 유럽의 일반개인정보보호법(GDPR) 11건을 위반한 것으로 보고 지난 지난해부터 본격 조사에 착수했으며 일부는 조사를 마무리 한 것으로 알려졌다.

DPC의 그레이엄 도일 대변인은 "조사가 마무리된 사례의 경우 최종 보고서의 사본을 페이스북에 제공했으며 몇주 내 결정문 초안을 작성할 계획"이라고 말했다. DPC는 오는 9월말까지 위반 사항에 대해 조사를 마친 후 유럽연합 내의 27개 국가에 벌금 및 제재안을 전달할 예정으로 이들은 최소 수십억 유로의 벌금을 부과할 예정인 것으로 알려졌다.

페이스북의 대변인은 "DPC에 긴밀하게 협조를 하고 있다"며 "지난 18개월 동안 그들의 질문에 확실히 답하기 위해 노력해왔다"고 밝혔다.

지난해 5월부터 시행된 GDPR은 개인정보를 다루는 기업이나 기관이 프라이버시 보호와 관련된 광범위한 규정을 준수하도록 의무화하고 개인정보 활용 및 역외 이전 절차 등을 일원화했다.

이를 어겼을 때 감독 당국이 일반 사항에는 전 세계 매출액의 2% 또는 1000만유로(약 136억4800만원) 중 높은 금액을 부과할 수 있으며 중요 사항에는 매출액의 4% 또는 2000만유로(약 292억9700만원) 중 높은 금액을 과징금으로 부과할 수 있다. 이 법은 유럽 뿐 아니라 역외에서 EU 고객정보를 다루는 모든 기업에 적용되면서 페이스북도 규제의 대상이 됐다. 이미 올해 초 프랑스 정부는 구글에게 GDPR 위반 혐의로 5000만유로(약 684억 3000만원)의 벌금을 매겼고 애플도 지난 6월부터 본격적으로 조사를 받고 있는 상황이다.

jhpark@fnnews.com 박지현 기자

# data[].attributes.attachment_link.title
EU, 페이스북에 개인정보 침해 혐의로 수십억유로 벌금 부과할 듯

# data[].attributes.attachment_link.description
This Monday, July 30, 2019 photo shows an update information of Facebook application on a mobile phone displayed at a store in Chicago. The FBI is looking for outside contractors to monitor social media for potential threats, setting up a possible conflict with Facebook and other companies over privacy.

# data[].attributes.attachment_link.readable_text
【김포=뉴시스】정일형 기자 = 김포시가 최근 임기제 공무원의 부적절한 근태 현황에 대한 언론보도와 관련해 개인정보보호법 위반으로 김포경찰서에 수사를 의뢰한 것에 대해 김포시의회가 유감을 표명했다.

김포시의회는 21일 성명서를 통해 "김포시의 수사의뢰가 시의회를 겨냥하고 있다는 점에 강한 유감을 나타내면서 이에 강력히 대처하겠다"고 밝혔다.

이어 "개인정보 유출에 대한 침해로 피해가 생기면 피해자인 당사자가 수사의뢰를 해야 하는데, 이례적으로 시청 행정과에서 수사의뢰를 했다"고 지적했다.

시의회는 "김포시정을 보좌하는 정책·공보·안보 분야의 임기제 공무원에 대한 근무상황을 집행기관에 자료로 요구해 받았고, 이는 시민사회와 언론을 통해 부정적으로 제기된 보좌 인력에 대한 근무 실태를 점검하는 정상적이고 당연한 의정활동"이라고 주장했다.

이어 "자료 분석 결과 직원 복무행태의 문제점이 확인됐고, 집행기관이 개인적인 일탈 점검과 김포시 조직 내부의 복무기강을 바로잡아야 하는 지금, 개인정보 유출에 초점을 맞춰 경찰 수사권 활용이라는 이례적인 상황을 벌어졌다"면서 "이는 시의회 의정활동의 위축을 겨냥한 의도"라고 강도높게 비판했다.

시의회는 마지막으로 "집행기관은 개인정보 유출 수사의뢰에 앞서 해당 임기제 공무원에 대해 시민이 공감할 수 있는 문책은 물론 공직 내부의 근무기강 확립에 만전을 기해야 한다"며 "내부 조사기관을 비롯한 행정 조사기관을 활용해 자정능력을 키워 나가는게 시가 할 당면과제"라고 강조했다.

jih@newsis.com

# data[].attributes.attachment_link.title
김포시의회 "시 직원 정보 유출 수사의뢰 유감"

# data[].attributes.attachment_link.description
【김포=뉴시스】정일형 기자 = 김포시가 최근 임기제 공무원의 부적절한 근태 현황에 대한 언론보도와 관련해 개인정보보호법 위반으로 김포경찰서에 수사를 의뢰한 것에 대해 김포시의회가 유감을 표명했다. 김포시의회는 21일 성명서를 통해 "김포시의 수사의뢰가 시의회를 겨냥하고 있다는 점에 강한 유감을 나타내면서 이에 강력히 대처하겠다"고 밝혔다. 이어 "개인정보 유출에 대한 침해로 피해가 생기면 피해자인 당사자가 수사의뢰를 해야 하는데, 이례적으로 시청 행정과에서 수사의뢰를 했다"고 지적했다.

# data[].attributes.headline
무료 백신 업체 서버를 악용한 네이트 개인정보 유출 사건

# data[].attributes.subject
무료 백신 업체 서버를 악용한 네이트 개인정보 유출 사건

# data[].attributes.attachment_link.title
NAVER 개인정보보호 블로그 : 네이버 블로그

# data[].attributes.body
https://www.boannews.com/media/view.asp?idx=75796

# data[].attributes.attachment_link.provider_name
종교신문 1위 크리스천투데이

# data[].attributes.attachment_link.readable_text
▲축사를 전하고 있는 저커버그. ⓒ유튜브 영상화면 캡쳐

고객정보 유츌 사태로 곤욕을 치르고 있는 페이스북이 향후 데이터 유출 사례를 발견하는 이들에게 최대 포상금을 지급하기로 했다고 10일 미국 CNBC가 보도했다.

페이스북은 자사의 데이터를 무단으로 사용하는 다른 사례를 발견한 이들에 대하여 최소 500달러에서 최대 4만 달러의 포상금을 지급하기로 했다.

페이스북은 개인정보 유출 사례가 신고될 경우, 자체 조사를 통해 해당 앱을 폐쇄하거나 소송까지 제기할 것이라고 밝혔다.

이같은 정보유출 방지 프로그램은 관련 업계에서 페이스북이 최초로 시도하는 사례다.

페이스북 보안 책임자인 알렉스 스타모스는 "이는 데이터 유용 사례를 발견하는데 도움이 될 것"이라며 "이같은 정책은 전 세계적으로 적용될 것이며, 케임브리지 애널리티카(CA)와 같은 사례를 우리가 먼저 발견하고 필요한 조처를 할 수 있게 도와줄 것"이라고 전했다.

CNBC는 현재 페이스북만 이같은 정책이 해당되나, 향후 인스타그램 등 다른 플랫폼에도 적용될 수 있다고 전했다.

# data[].attributes.attachment_link.title
페이스북 개인정보 유출 신고시 최대 4만 달러 포상금

# data[].attributes.attachment_link.description
고객정보 유츌 사태로 곤욕을 치르고 있는 페이스북이 향후 데이터 유출 사례를 발견하는 이들에게 최대 포상금을 지급하기로 했다고 10일 미국 CNBC가 보도했다. 페이스북은 자사의 데이터를 무단으로 사용하는 다른 사례를 발견한 이들에 대하여 최소 500달러에서 최대 4만 달러의 포상금을 지급하기로 했다. 페이스북은 개인정보 유출 사례가 신고될 경우, 자체 조사를 통...

# data[].attributes.attachment_link.readable_text
얼마 전 GDPR 관련 역대 최고 벌금형 받은 영국항공, 또 버그 발견돼
보안 강화하면 고객이 불편해질 것 우려하는 항공사들...사고에 사고 이어져

[보안뉴스 문가용 기자] 얼마 전 2억 3천만 달러라는 역대 최대의 GDPR 벌금형을 받은 영국항공(BA)의 전자 티케팅 시스템에서 버그가 발견됐다. 고객이 비행기 표를 예약할 때 입력하는 각종 개인정보가 유출되었을 가능성을 시사하고 있다.

[이미지 = iclickart]

이를 발견한 전문가들에 의하면 "영국항공의 시스템이 체크인 링크를 고객에게 이메일로 보낼 때 정보가 암호화 되지 않는다"고 한다. 따라서 예약 번호, 전화번호, 이메일 주소 등이 공격자의 손에 평문으로 넘어갈 위험이 있다고 지적했다. 지난 6개월 동안 해당 시스템을 이용한 고객이 250만 명 정도 되는 것으로 추산된다.

"사용자의 편의성을 높이기 위해 영국항공은 고객의 정보를 URL 매개변수에 곧바로 삽입했습니다. 로그인이 자동으로 이뤄지기 때문에 확실히 사용자 입장에서 편리하긴 하지만, 이는 매우 위험한 발상입니다." 보안 업체 완데라(Wandera)의 전문가들의 설명이다. "게다가 그 링크를 암호화 하지 않았다는 건, 영국항공 측이 보안을 조금도 고려하지 않았다는 뜻이 됩니다." URL에는 예약 번호, 이름 등이 그대로 반영되어 있었다고 한다.

예를 들어 영국항공의 고객이 공공 와이파이를 통해 티케팅 업무를 처리했을 경우, 같은 네트워크에서 피해자를 기다리고 있던 공격자가 간단하게 URL 및 링크를 가로챌 수 있다. 그러면 복호화나 암호 해독의 노력 없이 곧바로 고객의 개인정보를 열람할 수 있게 된다. 게다가 공항은 공공 와이파이를 제공하는 경우가 많은 장소다.

공격은 다양한 형태로 퍼져갈 수 있다. 개인정보를 열람하는 것은 물론 예약 정보를 조작해 공격자가 탑승을 하게 되거나, 피해자의 스케줄을 크게 망쳐놓을 수도 있다. "이 공격으로 노출된 정보는 이메일 주소, 전화번호, 영국항공의 회원 번호, 성과 이름, 예약 번호, 여행 일정표, 비행 정보(비행기 번호, 비행 시간, 좌석 번호 등)로, 그 종류가 다양하고 쓸모가 많은 것들입니다."

이런 문제는 지난 7월에 발견됐다. 완데라 측은 이를 곧바로 영국항공에 알렸다. "그런데 이번 주까지도 문제가 해결되지 않고 있었습니다. 다만 오늘(현지 시각으로 화요일) 아침에 영국항공에서 연락이 왔습니다. 조만간 해결이 될 것이라고 봅니다. 다만 그 때까지는 영국항공의 전자 티케팅 시스템을 사용하지 않는 것이 안전합니다."

영국항공 측은 해당 버그를 통해 지불정보나 여권정보가 새나간 것은 아니며, 실제로 고객 정보가 유출되어 남용된 사례가 없는 것으로 보인다고 해명했다. "영국항공은 고객의 안전을 최우선으로 생각합니다. 이번에 지적된 내용을 진지하게 검토 중에 있고, 고객의 보호를 위해 최선을 다할 것입니다." 영국항공 대변인의 전형적으로 '영혼 없는' 발표 내용이다.

지난 2월 여러 다른 항공사에서도 비슷한 사례가 적발됐었다.
1) 사우스웨스트 항공
2) KLM 네덜란드 항공
3) 에어프랑스
4) 젯스타
5) 토마스쿡 항공
6) 부엘링 항공
7) 에어유로파
8) 트랜스아비아

보안 전문가들은 항공사들에 "체크인 과정에 고객들에게 전달되는 정보를 암호화 하라"고 강력하게 촉구하고 있다. 또한 개인 식별 정보가 사용되어야 하는 모든 단계에서 사용자의 인증을 요구하는 것이 안전하다고도 주장한다. 그러나 그렇게 했을 경우 고객 편의성이 크게 떨어지고, 따라서 경쟁력이 악화된다는 단점이 있어 항공사들은 제대로 조치를 취하지 않고 있는 실정이다.

그래서 항공사에서는 계속해서 보안 사고가 터지고 있다. 지난 4월에는 델타 항공에서 서드파티 서비스에 삽입된 멀웨어를 통해 소수의 고객들이 정보 유출 피해를 입었다고 발표했고, 8월에는 에어캐나다가 2만 명의 모바일 앱 사용자의 여권 정보가 노출되었다며 모바일 앱의 계정 비밀번호를 바꾸라는 권고 사항을 발표한 바 있다.

3줄 요약
1. 영국항공의 전자 티케팅 시스템에서 '암호화 기술 사용하지 않는' 취약점 발견됨.
2. 이 때문에 약 250만 명 정도가 현재 개인정보 유출 가능성에 노출된 상태.
3. 항공사들은 고객 편의성 때문에 보안을 무시하고 있고, 이 때문에 사고가 끊임없이 터지고 있는 상황임.
[국제부 문가용 기자( globoan@boannews.com)]

www.boannews.com) 무단전재-재배포금지>

# data[].attributes.attachment_link.title
또 영국항공! 전자 티케팅 시스템 버그로 250만 개인정보 노출

# data[].attributes.attachment_link.description
얼마 전 GDPR 관련 역대 최고 벌금형 받은 영국항공, 또 버그 발견돼보안 강화하면 고객이 불편해질 것 우려하는 항공사들...사고에 사고 이어져 [보안뉴스 문가용 기자] 얼마 전 2억 3천만 달러라는 역대 최대의 GDPR 벌금형을 받은 영국항공(BA)의 전자 티케팅 시스템에서 버그가 발견됐다. 고객이 비행기 표를 예약할 때 입력하는 각종 개인정보가 유출되었을 가능성을 시사하고 있다.

# data[].attributes.headline
전자 티케팅 시스템 버그로 250만 개인정보 노출

# data[].attributes.subject
전자 티케팅 시스템 버그로 250만 개인정보 노출

# data[].attributes.attachment_link.readable_text
얼마 전 GDPR 관련 역대 최고 벌금형 받은 영국항공, 또 버그 발견돼
보안 강화하면 고객이 불편해질 것 우려하는 항공사들...사고에 사고 이어져

[보안뉴스 문가용 기자] 얼마 전 2억 3천만 달러라는 역대 최대의 GDPR 벌금형을 받은 영국항공(BA)의 전자 티케팅 시스템에서 버그가 발견됐다. 고객이 비행기 표를 예약할 때 입력하는 각종 개인정보가 유출되었을 가능성을 시사하고 있다.

[이미지 = iclickart]

이를 발견한 전문가들에 의하면 "영국항공의 시스템이 체크인 링크를 고객에게 이메일로 보낼 때 정보가 암호화 되지 않는다"고 한다. 따라서 예약 번호, 전화번호, 이메일 주소 등이 공격자의 손에 평문으로 넘어갈 위험이 있다고 지적했다. 지난 6개월 동안 해당 시스템을 이용한 고객이 250만 명 정도 되는 것으로 추산된다.

"사용자의 편의성을 높이기 위해 영국항공은 고객의 정보를 URL 매개변수에 곧바로 삽입했습니다. 로그인이 자동으로 이뤄지기 때문에 확실히 사용자 입장에서 편리하긴 하지만, 이는 매우 위험한 발상입니다." 보안 업체 완데라(Wandera)의 전문가들의 설명이다. "게다가 그 링크를 암호화 하지 않았다는 건, 영국항공 측이 보안을 조금도 고려하지 않았다는 뜻이 됩니다." URL에는 예약 번호, 이름 등이 그대로 반영되어 있었다고 한다.

예를 들어 영국항공의 고객이 공공 와이파이를 통해 티케팅 업무를 처리했을 경우, 같은 네트워크에서 피해자를 기다리고 있던 공격자가 간단하게 URL 및 링크를 가로챌 수 있다. 그러면 복호화나 암호 해독의 노력 없이 곧바로 고객의 개인정보를 열람할 수 있게 된다. 게다가 공항은 공공 와이파이를 제공하는 경우가 많은 장소다.

공격은 다양한 형태로 퍼져갈 수 있다. 개인정보를 열람하는 것은 물론 예약 정보를 조작해 공격자가 탑승을 하게 되거나, 피해자의 스케줄을 크게 망쳐놓을 수도 있다. "이 공격으로 노출된 정보는 이메일 주소, 전화번호, 영국항공의 회원 번호, 성과 이름, 예약 번호, 여행 일정표, 비행 정보(비행기 번호, 비행 시간, 좌석 번호 등)로, 그 종류가 다양하고 쓸모가 많은 것들입니다."

이런 문제는 지난 7월에 발견됐다. 완데라 측은 이를 곧바로 영국항공에 알렸다. "그런데 이번 주까지도 문제가 해결되지 않고 있었습니다. 다만 오늘(현지 시각으로 화요일) 아침에 영국항공에서 연락이 왔습니다. 조만간 해결이 될 것이라고 봅니다. 다만 그 때까지는 영국항공의 전자 티케팅 시스템을 사용하지 않는 것이 안전합니다."

영국항공 측은 해당 버그를 통해 지불정보나 여권정보가 새나간 것은 아니며, 실제로 고객 정보가 유출되어 남용된 사례가 없는 것으로 보인다고 해명했다. "영국항공은 고객의 안전을 최우선으로 생각합니다. 이번에 지적된 내용을 진지하게 검토 중에 있고, 고객의 보호를 위해 최선을 다할 것입니다." 영국항공 대변인의 전형적으로 '영혼 없는' 발표 내용이다.

지난 2월 여러 다른 항공사에서도 비슷한 사례가 적발됐었다.
1) 사우스웨스트 항공
2) KLM 네덜란드 항공
3) 에어프랑스
4) 젯스타
5) 토마스쿡 항공
6) 부엘링 항공
7) 에어유로파
8) 트랜스아비아

보안 전문가들은 항공사들에 "체크인 과정에 고객들에게 전달되는 정보를 암호화 하라"고 강력하게 촉구하고 있다. 또한 개인 식별 정보가 사용되어야 하는 모든 단계에서 사용자의 인증을 요구하는 것이 안전하다고도 주장한다. 그러나 그렇게 했을 경우 고객 편의성이 크게 떨어지고, 따라서 경쟁력이 악화된다는 단점이 있어 항공사들은 제대로 조치를 취하지 않고 있는 실정이다.

그래서 항공사에서는 계속해서 보안 사고가 터지고 있다. 지난 4월에는 델타 항공에서 서드파티 서비스에 삽입된 멀웨어를 통해 소수의 고객들이 정보 유출 피해를 입었다고 발표했고, 8월에는 에어캐나다가 2만 명의 모바일 앱 사용자의 여권 정보가 노출되었다며 모바일 앱의 계정 비밀번호를 바꾸라는 권고 사항을 발표한 바 있다.

3줄 요약
1. 영국항공의 전자 티케팅 시스템에서 '암호화 기술 사용하지 않는' 취약점 발견됨.
2. 이 때문에 약 250만 명 정도가 현재 개인정보 유출 가능성에 노출된 상태.
3. 항공사들은 고객 편의성 때문에 보안을 무시하고 있고, 이 때문에 사고가 끊임없이 터지고 있는 상황임.
[국제부 문가용 기자( globoan@boannews.com)]

www.boannews.com) 무단전재-재배포금지>

# data[].attributes.attachment_link.title
또 영국항공! 전자 티케팅 시스템 버그로 250만 개인정보 노출

# data[].attributes.attachment_link.description
얼마 전 GDPR 관련 역대 최고 벌금형 받은 영국항공, 또 버그 발견돼보안 강화하면 고객이 불편해질 것 우려하는 항공사들...사고에 사고 이어져 [보안뉴스 문가용 기자] 얼마 전 2억 3천만 달러라는 역대 최대의 GDPR 벌금형을 받은 영국항공(BA)의 전자 티케팅 시스템에서 버그가 발견됐다. 고객이 비행기 표를 예약할 때 입력하는 각종 개인정보가 유출되었을 가능성을 시사하고 있다.