[주간보안동향] 따릉이 460만 개인정보 유출…보상은 30일 정기권이 전부 外

[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

따릉이 460만 개인정보 유출…보상은 30일 정기권이 전부

서울시설공단이 운영하는 공공자전거 ‘따릉이’에서 대규모 개인정보 유출 사고가 발생했다. 공단은 21일 홈페이지 공지를 통해 지난 1월 안내했던 개인정보 유출 사고의 파악 경위와 조치 현황을 공개했다. 해당 사고는 2024년 6월 28~29일 발생한 사고로, 미성년자가 자기과시 목적으로 따릉이 서버의 취약점을 공격해 무단으로 정보를 수집한 것으로 밝혀진 바 있다.

수백만 명의 개인정보가 허술한 시스템 보안 탓에 손쉽게 털린 셈이다. 더 큰 문제는 공단이 공격 당시 앱 장애가 발생하자 단순 시스템 오류로 오인하고, 1년 6개월이 지난 후에야 경찰 통보로 해킹 사실을 알게 됐다는 점이다. 공단 측은 사고 인지 직후 서울시와 비상대응센터를 가동했으며, 현재 시점에 개인정보보호위원회로부터 항목별 유출 자료를 넘겨받아 개별 통지를 진행했다고 해명했다.

조사 결과 2024년 6월 30일 이전 가입 회원 중 462만 명의 개인정보가 유출됐다. 성명, 주민번호, 결제정보는 항목에 없었지만, 아이디와 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 주소, 보호자 연락처와 생년월일까지 유출됐다. 결제 수단의 경우 실제 카드 정보가 아닌 결제대행사(PG)를 거치므로 추가 결제 피해 가능성은 낮다는 게 설명이다.

개인별로 유출 항목은 다르며, 공단은 유출된 회원을 대상으로 개별 문자를 발송했다. 개인정보 유출 여부는 따릉이 웹 또는 앱, 콜센터를 통해 확인 가능하다. 아울러 공단은 피해 회원들에게 보상책으로 따릉이 ‘30일 이용 쿠폰(5000원 상당)’을 오는 8월 중 지급하겠다고 발표했다. 탈퇴 회원 역시 콜센터 확인을 거쳐 재가입 시 지급 대상에 포함된다.

공단은 현재까지 제3자 유출·유통이나 실제 피해 정황은 확인되지 않았다고 설명했지만, 유출 발생과 인지, 회원 통보 시점 사이 간극이 크다는 점에서 초동 대응 실패 논란은 사그라지지 않고 있다. 일각에서는 “개인정보 침해 책임을 5000원 쿠폰 한 장으로 뭉개려 한다”는 비판도 이어지고 있다. 최근 여러 기관·기업에서 유출 사고가 빈번한 탓에, 향후 피해가 발생하더라도 어떤 사고로 인한 피해인지 확인하기 어려워 피해자들의 실질적인 피해 구제조차 어려울 수 있다는 우려도 나오고 있다.

국립외교원 개인정보 유출…외교부 “배후 모든 가능성 열어둬”

외교부의 핵심 교육 시설 국립외교원이 해킹을 당해 개인정보 약 1만여 건이 유출된 것으로 확인됐다. 외교부는 지난 20일 “올해 2월 초 국립외교원 온라인 교육 시스템에 대한 비정상적인 접근 정황을 관계 기관으로부터 통보받아 시스템을 긴급 차단하고 조사해 왔다”고 밝혔다. 해당 시스템에는 성명, 아이디 등 교육 운영 정보가 담겨 있는 것으로 나타났으며, 정확한 유출 내역은 조사 중이다.

조사에 따르면 해커는 서버 소프트웨어의 알려지지 않은 취약점(제로데이)과 시스템 보안 설정 미비점을 악용했다. 지난해 4~5월 서버를 장악한 이후 10개월 가까이 시스템에 드나든 것으로 파악됐다. 지난 21일 외교부 대변인 브리핑에서 박일 외교부 대변인은 “정기 보안 점검을 진행했으나, 지능화된 수법인 탓에 일반적인 방법으로 탐지가 어려웠다”며, “2022년부터 협력한 소프트웨어 제조사도 인지하지 못했다”고 말했다.

외교부는 사고를 인지하고도 5~6개월이 지나서야 공개해 늑장 대응 지적을 받았다. 이에 대해 박일 대변인은 “외교안보 기관이라는 사안의 민감성을 고려해 면밀한 조사 후 발표한 것”이라고 해명했다. 이어 “현재까지 사이버 공격 주체를 단정할 만한 기술적 분석은 부족한 상태”라면서도 “여타 국가나 배후 해킹 조직을 비롯해 모든 가능성을 열어두고 대응 중”이라고 말했다. 외교부는 관계 기관과 긴밀히 협력해 면밀하게 대응하고, 향후 내부 보안체계 개선 및 관리 조치를 지속 강화해 나갈 계획이라 밝혔다.

에임인텔리전스-파도, AI 사이버 보안 맞손

AI 보안 전문기업 에임인텔리전스(대표 유상윤)와 정보보안 기업 파도(PADO, 대표 최진원·박상호)가 AI 사이버 보안 시장 공략을 위한 업무협약(MOU)을 16일 체결했다. 에임인텔리전스의 기술력과 파도의 교육 역량을 결합함으로써 양사는 AI 보안 기술 개발부터 실무 인재 양성까지 아우르는 통합적 생태계를 구축하고, 향후 화이트 해커 중심의 차세대 AI 보안 산업 표준을 제시할 방침이다.

양사는 ▲AI 사이버보안 기술 협력 ▲공동 사업·연구 발굴 ▲안전성 검증 플랫폼 구축 ▲AI 기반 훈련 환경 및 보안 인재 양성 ▲레드티밍·컨설팅 등 6개 분야에서 협력한다.

에임인텔리전스는 AI를 직접 공격해 취약점을 찾는 레드팀 솔루션 ‘스팅어(Stinger)’와 실시간 가드레일 솔루션 ‘스타포트(Starfort)’를 통해 공격 과정에서 발견한 취약점이 방어 모델 학습 데이터로 순환되는 ‘자가 강화’ 구조를 핵심 경쟁력으로 내세운다.

파도는 자가 진화형 AI 사이버 공방 기술과 AI 화이트해커 기반 해킹제로 시스템 개발 등 국가 과제를 수행해 온 보안 강자다. 최근 자체 개발 사이버레인지 플랫폼 ‘서프(SURF)’로 GS인증 1등급을 받았다. 유상윤 에임인텔리전스 대표는 “정보보안에 높은 전문성을 가진 파도와 함께 화이트해커 중심의 AI 보안 생태계를 조성하겠다”고 말했다.

클라우드플레어, 악성 봇 잡는 ‘프리커서’ 정식 출시

글로벌 클라우드 플랫폼 클라우드플레어가 21일 행동 패턴을 실시간 분석해 악성 봇을 가려내는 지속형 검증 엔진 ‘프리커서(Precursor)’를 정식 출시했다. 인터넷에서 발생하는 전체 트래픽 중 자동화된 봇 트래픽 비중은 57%로 이미 사람의 이용량을 넘어섰다. 그러나 새로운 지능형 공격에 기존 보안 체계만으로는 대응하기 어려워지고 있다.

프리커서는 엣지 네트워크에서 사용자가 웹사이트에 접속해 이탈할 때까지의 마우스 움직임, 스크롤 패턴, 타자기 입력 속도, 체류 시간 등 행동 리듬을 지속해서 분석하고, 세션 전반에 걸쳐 자동화된 봇을 탐지한다. 특히 진입장벽을 낮춰 클릭 한 번이면 활성화되고, 애플리케이션 코드를 별도로 손댈 필요도 없다. 실제 입력값이 아닌 행동 패턴을 수집해 개인정보 부담도 줄인다.

데인 크네히트 클라우드플레어 CTO는 “로그인이나 결제처럼 중요한 순간은 이미 보호받고 있지만, 그 사이 이용 과정은 지금까지 보안 사각지대로 남아 있었다”며, “프리커서는 이 빈틈을 메워 지속적인 보호를 가능하게 한다”고 강조했다.

포티넷-인텔, 차세대 보안 프로세서 SP6 공동 개발

글로벌 네트워크 보안 솔루션 기업 포티넷이 인텔과 손잡고 차세대 보안 프로세서 ‘포티넷 시큐리티 프로세서 6(SP6)’ 개발에 나선다. 포티넷이 지난 2023년 선보인 5세대 보안 프로세서 ‘포티SP5(FortiSP5)’는 일반 CPU 대비 방화벽 성능 17배, 암호화 처리 속도 32배 향상, 전력 소비 88% 절감한 바 있다.

이번 협력으로 포티넷의 맞춤형 보안 프로세서 기술과 인텔의 반도체 설계·패키징·제조 인프라를 결합한다. 양사는 다양한 보안 및 네트워킹 기능을 하나의 칩에 통합한 고성능 프로세서를 개발해 기업들의 성능 요구사항을 뒷받침한다. 또한 반도체 기술, 제조, 향후 사이버보안 인프라 전반까지 협력 범위를 넓힐 계획이다.

켄 지(Ken Xie) 포티넷 창업자 겸 CEO는 “20년 넘게 핵심 경쟁력으로 자리잡은 포티넷의 맞춤형 ASIC 전략을 이번 협력을 통해 한층 강화하겠다”고 말했다. 립부 탄(Lip-Bu Tan) 인텔 CEO은 “빠르게 변화하는 위협 환경에서 규모에 맞는 성능과 혁신을 함께 갖춰야 한다”며, “인텔은 포티넷의 핵심 기술 개발을 앞당기는 동시에, 탄탄한 글로벌 공급망을 구축하는 데 기여할 것”이라고 말했다.

IT동아 김예지 기자 (yj@itdonga.com)