[주간보안동향] 블록체인 외주 과실로 우리은행 1만 7551건 개인정보 유출 外

[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

블록체인 외주 과실로 우리은행 1만 7551건 개인정보 유출

우리은행이 최근 NFT 플랫폼 구축 프로젝트를 수행한 외부 블록체인 개발업체 ‘블로코(BLOCKO)’를 통해 고객 1만 7551명의 개인정보가 유출됐다. 블로코는 지난 3일 공지사항에 이같은 내용을 게시했고, 우리은행은 고객 대상 문자 공지를 통해 알렸다.

유출된 항목은 이용자 닉네임과 연계정보(CI)로, 해당 업체 직원의 과실로 인해 발생한 것으로 조사됐다. CI는 최근 티빙 해킹 사고에서도 문제가 됐던 정보로, 온라인 서비스 연계를 위해 개인을 식별하는 고유값이다. 해당 값만으로는 특정 개인을 즉각 알아볼 수 없지만, 다른 정보와 결합할 경우 해킹이나 도용에 악용될 가능성이 존재한다.

우리은행은 지난 6월 30일 유출 사실을 인지한 즉시 개발업체를 통해 관련 정보의 접근을 차단했다고 설명했다. 외주 개발업체 역시 개인정보보호위원회(이하 개인정보위)에 신고하고, 개인정보가 포함된 파일의 링크를 차단하는 등 필요한 기술적 조치를 취했다고 밝혔다. 우리은행은 “현재까지 유출된 정보가 온·오프라인에서 확산하거나 악용된 사례는 발생하지 않은 것으로 파악된다”며, “이를 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점을 즉시 시정 조치하겠다”고 말했다.

이어 “유출된 정보만으로는 고객을 특정하거나 식별하기는 불가능지만, 혹시 모를 보이스피싱, 스미싱 등 2차 피해를 예방하기 위해 출처가 불분명한 전화번호의 수신, 문자메시지 내 URL 링크 클릭에 각별한 주의해 달라”고 당부했다. 현재 우리은행은 이상금융거래탐지시스템(FDS)을 적용 중이며, 개인정보보호 체계를 한층 강화한다는 방침이다.

개인정보위, 제3차 개인정보 보호 기본계획 수립

개인정보위가 지난 3일 브리핑에서 ‘제3차 개인정보 보호 기본계획’을 발표했다. 개인정보보호법에 따라 3년마다 수립하는 법정 계획으로, 이번 계획에는 2027년부터 2029년까지 3년간의 정책 방향을 담았다. ‘신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회’를 비전으로 하는 4대 추진전략과 12개 세부 과제가 제시됐다. 주요 내용은 ▲AI 시대 개인정보 안전 설계 ▲사후 대응에서 사전 예방으로의 전환 ▲전략적 개인정보 거버넌스 강화 ▲국민 권리 보장 강화 및 신뢰 문화 정착이다.

정부는 AI 활용 위험도 수준에 맞춘 데이터 규율 체계를 갖추고, 현장의 혼란을 방지하기 위해 ‘AX 안심지원센터’를 신설해 기업들의 법적 불확실성을 선제적으로 해소한다. 아울러 국민이 데이터 주권을 행사할 수 있도록 ‘온마이데이터 플랫폼’ 기능을 고도화하고, 복지·돌봄 등 데이터에 기반한 사회적 난제를 마이데이터 인프라를 통해 해결한다는 계획이다.

특히 이번 계획은 사후 처벌 위주에서 자율적 예방과 회복력 강화에 중점을 둔 유연한 보호체계로의 전환을 선언했다. 이를 위해 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제도를 개선하고, 유출 시 선제적 보호 투자 기업에 대해 과징금을 감면한다. 반면 법 위반 시에는 이행강제금을 도입해 엄격히 제재한다. 또한 영세 및 중소기업은 맞춤형 개인정보 보안 컨설팅을 지원한다.

국민이 일상에서 체감할 수 있는 권리 보장 지원과 프라이버시 보호를 강화한다. 개인정보 유출이나 침해 사고가 발생한 경우, 신고부터 조사·분쟁 조정·손해배상까지 연계되는 원스톱 권리구제체계를 마련한다. 개인정보 현황을 알 수 있는 ‘AI 기반 개인정보관리 플랫폼’을 구축할 계획이다. 이외에도 정보 주체 권리 보장 전문기관 설치, 피해 회복 동의의결제 및 기금 추진, 적극적 분쟁 조정 등을 통해 신속한 피해 구제를 도모한다. 일상에서 영상 또는 생체 정보 등 국민 생활과 밀접한 분야의 프라이버시 보호를 강화한다.

LG유플러스-KISA, 음성 스팸 잡는다

LG유플러스가 지난 7일 마곡사옥에서 한국인터넷진흥원(KISA)과 음성 스팸 대응 강화를 위한 업무협약을 체결했다고 밝혔다. 앞서 경찰청과 협력해 보이스피싱 예방 기술을 고도화한 데 이어, 음성 스팸까지 대응 범위를 넓혔다. 자사의 AI 서비스 ‘익시오(ixi-O)’와 KISA가 보유한 공공 데이터를 연계해 스팸 발신번호 차단 체계를 고도화한다는 목표다.

방송통신위원회와 KISA 조사에 따르면, 지난해 하반기 휴대전화 음성 스팸 수신량은 월평균 4.26통으로, 상반기(2.13통)보다 두 배 넘게 늘며 최근 5년 새 최고치를 찍었다. 문자와 달리 통화는 즉시 상대와 연결되므로 보이스피싱으로 이어지기 쉽다. 이에 양사는 의심번호를 조기에 식별하고 선제적으로 차단하는 보안 체계를 구축할 계획이다.

이번 협약으로 KISA가 보유한 연간 약 1500만 건 규모의 스팸 신고 데이터가 익시오의 분석에 활용된다. 익시오는 통화 패턴을 기반으로 온디바이스 AI를 활용해 통화 중 보이스피싱을 실시간 탐지하는 서비스다. 더불어 LG유플러스는 스팸 위험도를 예측한 데이터를 KISA에 제공해 양사가 함께 신규 스팸 유형에 대한 대응 범위를 확대해나갈 계획이다.

아카마이-엔비디아, ‘AI 팩토리’ 내부 보안 강화

사이버 보안 기업 아카마이 테크놀로지스가 지난 2일 엔비디아와 손잡고 ‘AI 팩토리’ 전용 보안 아키텍처를 선보인다고 밝혔다. 이번 협력은 지난 2월 양사가 맺은 아키텍처 협약의 후속 조치다. 이번 협력은 아카마이의 ‘가디코어 세그멘테이션’을 엔비디아 DOCA 소프트웨어 플랫폼을 기반으로 작동하는 엔비디아의 스토리지 아키텍처 ‘베라 블루필드-4 STX’에 통합하는 게 핵심이다.

아카마이 가디코어 세그멘테이션은 AI 워크로드의 전체 수명 주기에 걸쳐 가시성을 확장하고, 비정상적인 패턴이나 민감한 데이터로의 무단 접근을 식별한다.

이번 협력은 기업 업무에서 비중이 커지고 있는 데이터, 컨텍스트 메모리, 자율 에이전트 등을 보호하기 위해 AI 모델을 학습·추론시키는 대규모 인프라인 AI 팩토리 자체에 제로 트러스트(Zero Trust) 아키텍처를 기본 레이어로 내장하도록 설계된다. 그동안 보안 솔루션은 대부분 호스트 단에서 작동하며 AI 성능이 높아질수록 오히려 병목이 되는 경우가 많았다. 그러나 이번 협약을 통해 AI 워크로드가 의존하는 GPU, CPU 또는 스토리지 자원에 부담을 주지 않으면서 가속 컴퓨팅과 동일한 속도로 보안을 구동할 수 있게 됐다.

엔비디아 블루필드 및 엔비디아 DOCA와 통합된 아카마이 가디코어 세그멘테이션은 올해 하반기 출시 예정이다. 엔비디아 베라 블루필드-4 STX와의 통합 솔루션은 내년 상반기 중 스토리지·인프라 파트너 플랫폼을 통해 제공될 계획이다.

구글, 세계 최대 악성 프록시 넷넛 무력화

구글 위협 인텔리전스 그룹(GTIG)이 미국 연방수사국(FBI), 업계 파트너들과 공조해 세계 최대 규모 악성 주거용 프록시(residential proxy) 네트워크(사용자와 인터넷 서버 사이에서 통신을 대신 주고받는 중계 서버) 중 하나인 ‘넷넛(NetNut)’을 차단했다고 밝혔다. ‘포파(Popa)’로도 알려진 넷넛은 프록시 플러그인을 삽입하는 ‘배드 박스(Badbox) 2.0’과 같은 봇넷(해커가 제어하는 멀웨어에 감염된 컴퓨터 네트워크)과 트로이 목마 애플리케이션을 통해 최소 200만 대 이상의 스마트 TV나 셋톱박스 같은 가정용 기기를 감염시켜 제어하고 있다.

GTIG에 따르면 지난 6월 한 주 동안에만 사이버 범죄 조직과 스파이 활동 그룹을 포함해 316개에 달하는 해커 집단이 넷넛을 통해 본래 IP를 숨기고, 비밀번호를 대량 대입하는 이른바 ‘패스워드 스프레이’ 공격을 시도한 정황이 포착됐다. 소비자는 자신의 스마트 기기가 해킹 트래픽의 출구로 악용되는 줄도 모른 채, 홈 네트워크를 인터넷 위협에 노출시키는 피해를 입었다. 이는 통신사로부터 의심 계정으로 분류되거나 접속을 차단당하는 피해로 이어지기도 한다.

구글은 넷넛이 원격 제어(C2) 용도로 악용해 온 구글 계정과 서비스를 정지시키고, ‘구글플레이 프로텍트’를 통해 관련 악성코드에 감염된 애플리케이션을 비활성화했다. 구글은 소비자에게 ‘미사용 대역폭’이나 ‘인터넷 공유’를 대가로 금전적 보상을 제공하는 애플리케이션을 주의해야 한다고 경고했다. 이는 악성 프록시 네트워크가 확산되는 주요 경로이며, 홈 네트워크에 보안 취약점을 만들 수 있다는 설명이다. 공식 앱 스토어만 이용하고, 타사 VPN 및 프록시의 권한을 검토하며, 구글플레이 프로텍트와 같은 내장 보안 기능을 활성화한다. 셋톱박스 등 기기를 구매할 때는 공식 TV OS로 제작됐는지 등 신뢰할 수 있는 제조업체의 제품인지 확인한다.

구글은 이번 조치로 넷넛이 활용할 수 있는 기기가 수백만 대 단위로 줄었을 것으로 예측했다. 다만 악성 프록시 사업자들이 경쟁사 네트워크를 사들여 재판매하는 방식으로 살아남는 경우가 많은 만큼 지속적인 대응이 필요하며, 모바일 플랫폼, ISP 등 플랫폼의 공동 노력이 필요하다고 덧붙였다.

IT동아 김예지 기자 (yj@itdonga.com)