커피전문점 할리스의 멤버십 시스템이 해킹당해 고객들의 개인정보 276만건이 유출된 것으로 드러났다. 할리스커피는 지난 16일 사고를 인지한 뒤 관련 내용을 홈페이지에만 게시하고, 고객들에게는 이틀이 지나서야 문자메시지로 통보한 것으로 파악됐다. 할리스는 19일 공식 입장문에서 “상세 경위는 (외부 공격자가) 가상화폐 채굴을 위해 클라우드 서비스에 비정상적으로 접근하는 과정에서 고객 정보 일부가 유출된 것으로 파악하고 있다”고 밝혔다. 이어 “유출된 데이터는 현재 활성화된 고객 데이터베이스(DB)가 아닌 과거 멤버십 서비스 개편을 위해 제공한 임시 데이터 파일로 파악하고 있다”면서 “한국인터넷진흥원(KISA)에 신고한 개인정보 유출 규모는 약 276만건”이라고 밝혔다. 또 “중복 회원을 포함해 2009년부터 2020년 2월 11일 이내의 누적 고객 데이터로 추정하고 있다”며 “정확한 규모는 추가 확인 중”이라고 설명했다. 유출 항목에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI), 이외 서비스 이용 관련 정보 등 9가지 항목이 포함됐다. 할리스는 지난 16일 멤버십 시스템에 외부의 인가되지 않은 접근이 발생해 고객 개인정보가 유출된 사실을 확인했으며, 당일 오후 9시 36분 이런 사실을 회사 홈페이지에 공지했다. 하지만 관련 내용을 피해 고객에게는 이틀 뒤인 지난 18일 문자메시지로 통보한 것으로 파악됐다. 정보 유출 통보를 받은 한 고객은 “어제 저녁 할리스로부터 정보 유출 관련 문자를 받았다”며 “내용을 확인하려고 문자에 안내된 할리스 고객센터로 전화했지만 담당자와 통화할 방법도 없고 홈페이지도 몇 시간 동안 다운돼 있었다”고 했다. 앞서 KG그룹은 2020년 9월 할리스에프앤비 지분 93.8%를 1450억원에 인수했다. 운영사는 이후 KG할리스에프앤비를 거쳐 2024년 KG에프앤비로 사명을 변경했다.

국내 커피 전문 프랜차이즈 할리스의 멤버십 시스템이 한 달 넘게 이어진 것으로 추정되는 해킹 공격을 받아 고객 개인정보가 유출되는 사고가 발생했다. 할리스는 멤버십 가입 회원들에게 지난 16일 멤버십 시스템에 인가되지 않은 접근이 발생해 개인정보 유출 사실을 확인했다는 내용의 안내 문자메시지를 18일 발송했다. 할리스는 지난달 3일부터 이달 7일 사이 외부의 인가되지 않은 접근으로 개인정보가 유출된 것으로 추정하고 있다. 총 35일에 걸친 기간이다. 유출 항목에는 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 등 서비스 이용과 관련한 정보가 포함됐다. 개인정보 유출 대상은 2020년 2월 11일 이전 할리스 멤버십에 가입한 고객이다. 구체적인 개인정보 유출 규모와 피해 인원은 확인되지 않았다. 이번 사고 여파로 할리스 공식 홈페이지 접속에도 차질이 빚어져 이용자들이 불편을 겪고 있다. 할리스는 비인가 접근 경로를 차단하고 인증 절차를 강화한다는 방침이다. 비정상 로그인 시도에 대한 모니터링 강화와 관계 기관 신고 및 조사에도 협조하겠다는 입장이다. 할리스는 고객들에게 “멤버십 계정의 비밀번호를 즉시 변경해 달라”며 “같은 아이디·비밀번호를 쓰는 다른 서비스의 비밀번호도 변경하라”고 당부했다. 또 “출처가 불분명한 전화, 문자, 이메일에는 응답하거나 링크를 누르지 말라”고 덧붙였다.

최근 국내 금융권을 겨냥한 해킹 공격과 관련해 공격자의 신원을 추정할 수 있는 단서가 처음으로 포착됐다. 글로벌 사이버보안 기업 크라우드스트라이크는 7일(현지시간) 공개한 보고서에서 공격자가 중국 광둥성에 거주하는 26세 인물일 가능성이 있다고 밝혔다. 크라우드스트라이크에 따르면 공격자가 생성형 인공지능(AI) 코딩 도구 ‘클로드 코드’에 이력서 작성을 요청하며 입력한 개인정보가 단서가 됐다. 다만 해당 정보가 실제 공격자인 것인지는 확인되지 않았다. 공격자는 클로드 코드에서 자신의 침투테스트 성과를 담은 보안 연구자 이력서를 만들어 달라고 요청했다. 이 과정에서 이름 이니셜과 텔레그램 계정, 학력, 거주지 등 개인정보가 함께 입력됐다. 다만 최초 입력한 생년월일은 2007년 9월 22일로, 26세라는 나이와는 일치하지 않았다. 보고서는 공격자가 클로드 코드에 탈취한 한국 금융 정보를 통상 어디서 판매하는지 묻고, 한국 데이터 판매용 텔레그램 그룹을 찾아 달라고 요청했다고도 전했다. 같은 텔레그램 계정명은 텔레그램 기반의 대체불가토큰(NFT) 선물 거래 서비스에서 보안 허점을 찾던 클로드 코드 대화 기록에도 등장했다. 중국의 결제 서비스로 추정되는 곳을 공격한 정황에서도 같은 계정명이 사용됐다. 크라우드스트라이크는 이 같은 교차 정황을 근거로 동일 인물일 가능성을 제시하면서도, 현재까지 확보된 정보만으로 신원을 단정할 수 없다고 했다. 앞서 크라우드스트라이크는 지난달 말부터 이달 초 사이 한국 금융기관을 겨냥한 공격이 이뤄졌으며, 공격자가 중국에서 개발된 오픈소스 에이전틱 침투테스트 도구 ‘아르텍스’(ARTEX)와 대규모언어모델(LLM)을 함께 활용했다고 분석한 바 있다. 이번 크라우드스트라이크 분석에 따르면 공격자는 홍콩에 있는 서버를 주요 거점으로 삼고, 별도 서버에 설치한 아르텍스를 활용해 한국 금융기관을 공격한 것으로 추정됐다. 공격 과정에서는 접속을 중계하는 프록시 IP(인터넷주소) 9개도 사용한 것으로 나타났다. 크라우드스트라이크는 중국어 요청문과 아르텍스 사용 정황 등을 근거로 공격자가 중국어 사용자이며 금전적 동기에 따라 움직였을 가능성이 있다고 분석했다. 이 판단의 신뢰도는 ‘중간 수준’으로 평가됐다.

국내 최대 교회 여의도순복음교회는 최근 사이버 공격을 받은 정황이 확인됐고, 성도 85만명의 이름과 생년월일 등의 유출이 의심된다고 7일 밝혔다. 여의도순복음교회는 이날 보도자료를 내고 “한국인터넷진흥원(KISA)으로부터 전날 오후 3시 교회 정보시스템 침해 사고 발생 정황을 통보받은 직후 긴급 보안 점검에 착수하고 외부 보안 전문기관과 유출 의심 자료와 시스템 접속 기록 등을 분석했다”고 말했다. 이어 “유출 의심 자료 7건 가운데 교구 전입·전출 이력, 직분 임명 내역, 침례 이력 등 6건에는 개인정보가 포함되지 않았으며, 성도 정보 변경 이력 1건에서 일부 개인정보가 포함된 사실을 확인했다”고 설명했다. 성도 정보 변경 이력에는 총 85만명의 이름과 생년월일, 변경 내용 등이 들어 있다. 주민등록번호 변경 이력 2629건, 전화번호 변경 이력 3964건, 주소 변경 이력 7202건도 포함됐다. 유출된 자료 중 과거 헌금 자료엔 전표 번호와 금액, 내역 등이 담겨 이름을 포함해 개인정보는 포함돼 있지 않다고 덧붙였다. 여의도순복음교회는 “관련 법령과 절차에 따라 해당 성도들에게 유출 사실을 통보 중”이라며 “이날 오전 1시 외부 접속 차단과 서버 비밀번호 변경 등 추가 대응 조치를 시행했다”고 밝혔다. 이영훈 담임목사는 이와 관련해 “성도 여러분의 소중한 개인정보를 안전하게 관리하고 보호해야 할 책임은 교회에 있다”며 “이번 일로 성도 여러분께 심려를 끼쳐 드리게 된 점에 대해 담임목사로서 무거운 책임을 느끼며 진심으로 사과드린다”고 말했다. 앞서 사이버 보안업체 오아시스시큐리티는 해외 공격자 서버에서 국내 대형 교회 2곳의 대규모 교인 정보 등을 확인했다고 밝혔다. 여의도순복음교회 외에 서울 서초구 사랑의교회도 해킹 피해를 당했다.

결혼정보업체 듀오에서 회원 42만여명의 개인정보가 유출된 가운데 박수경 대표가 국정감사에서 피해보상에 대해 회원들이 원하는 것은 좋은 배우자를 찾는 것이라는 취지로 답했다. 유출 정보에는 이혼 사유와 전 배우자 이름, 건강 상태 등 사생활과 밀접한 내용까지 포함된 것으로 지적됐다. 6일 국회 과학기술정보방송통신위원회 국정감사에서 황정아 더불어민주당 의원은 증인으로 출석한 박 대표에게 개인정보 유출 피해자에 대한 보상 방안과 대책을 물었다. 박 대표는 서비스 특성을 이유로 모든 피해자에게 동일하게 적용할 보상안을 마련하기 어렵다고 설명했다. 다만 개인정보 유출로 인한 피해가 확인되면 충분히 보상하겠다는 입장을 밝혔다. 이어 회원들이 바라는 보상은 결혼정보서비스를 잘 이용해 좋은 배우자를 찾는 것이라는 취지로 말하며 직원들이 이를 위해 노력하겠다고 답했다. 개인정보보호위원회에 따르면 지난해 1월 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹돼 정회원 42만 7464명의 개인정보가 외부로 유출됐다. 유출 대상에는 아이디와 암호화된 비밀번호, 이름, 생년월일, 암호화된 주민등록번호, 주소뿐 아니라 신장과 체중, 혈액형, 종교, 취미, 혼인경력, 형제관계, 출신학교와 전공, 직장명 등이 포함됐다. 황 의원은 듀오가 제출한 자료를 근거로 병역 미필 사유 1만 6000여건, 전 배우자 이름 2만 9000여건, 이혼 사유 3만 3000건, 연수입 26만건, 재산 12만건, 건강 상태 31만건 등이 유출됐다고 지적했다. 이 수치는 항목별 정보 건수로, 피해 회원 수와는 구분된다. 개인정보보호위원회 조사에서는 듀오가 보유기간 5년이 지난 개인정보 29만 8566건을 파기하지 않은 사실도 확인됐다. 회원별로 입력한 내용이 달라 실제 유출된 정보의 범위에는 차이가 있을 수 있다. 황 의원은 구체적인 피해가 확인되기 전이라도 최소한의 보상이 필요하다며 보상안 마련을 요구했다. 박 대표는 잘못을 인정하고 있다며 피해가 확인된 이용자에 대한 보상 입장을 재차 밝혔다. 박 대표는 이용자들을 위해 피싱 예방보험에 가입하고 포인트와 쿠폰을 지급했다고 설명했다. 또 재발 방지 대책을 마련하고 보안 체계를 강화하겠다고 밝혔다. 이날 국감에서는 의료 플랫폼 강남언니를 운영하는 힐링페이퍼의 개인정보 유출 대응과 보상 문제도 다뤄졌다. 황 의원은 홍승일 힐링페이퍼 대표에게 시술 관련 정보 100만건과 상담 등록 사진 6000건 등이 유출됐다고 지적했다. 특히 공격을 인지한 뒤에도 상담 사진에 외부에서 접근할 수 있는 인터넷 주소가 일정 기간 열려 있었다며 초기 대응을 비판했다. 이어 보상이 5만 포인트에 그쳤다고 지적하며 민감한 의료정보 유출에 대한 추가 배상과 피해자 법률지원, 2차 피해 보상안을 마련해 별도로 보고하라고 요구했다. 홍 대표는 회사가 취할 수 있는 조치와 해야 할 일을 회피하지 않고 책임을 다하겠다는 취지로 답했다.

“Happy Birthday to you♡” 12시간에 걸친 암 수술을 마치고 깨어난 환자는 자신의 팔에서 뜻밖의 글씨를 발견했다. 긴 수술을 마친 집도의가 직접 멸균 마킹펜을 들어 적어놓은 생일 축하 문구였다. 지난달 30일 강남차병원에 따르면 A씨는 같은달 16일 해당 병원에서 유방암 관련 수술을 받았다. A씨는 마취 직전 의료진의 신원 확인 과정에서 자신의 이름과 주민등록번호 앞자리를 말했다. 생년월일을 들은 간호사가 “오늘 생일이세요?”라고 물었고, A씨가 그렇다고 하자 수술이 잘될 것이라며 생일을 축하했다. 그 말을 들은 A씨는 곧 마취에 들어갔다. 약 12시간 동안 이어진 수술을 마치고 깨어난 A씨는 주삿바늘을 빼려고 소매를 걷었다가 깜짝 놀랐다. 팔 위에는 ‘Happy Birthday to you♡’라는 문구가 적혀 있었다. A씨는 처음에는 마취 직전 생일을 축하해준 수술실 간호사가 글을 남긴 것으로 생각했다. 그는 “얼굴도 기억나지 않는 수술실 간호사분께 큰 감동을 하여 울었다”고 했다. 퇴원하는 날에는 음료수와 간식거리를 사 들고 간호사 데스크를 찾았다. 글을 남긴 의료진을 직접 만나지는 못해 “제 팔에 축하 메시지를 적어주신 분께 꼭 전달해달라”고 부탁한 뒤 병원을 나섰다. “간호사인 줄 알았는데”…글씨 쓴 사람은 집도의A씨가 자기 경험을 소셜미디어(SNS)에 올리면서 뜻밖의 사실이 밝혀졌다. 게시물을 본 당시 수술실 간호사가 A씨에게 직접 메시지를 보내온 것이다. 간호사는 “보내주신 간식은 부서 선생님들과 잘 나눠 먹었다”며 감사 인사를 전한 뒤 팔에 글씨를 남긴 사람이 자신이 아니라고 했다. 축하 메시지를 직접 쓴 사람은 수술을 집도한 노동영 강남차병원 원장이었다. 간호사의 설명에 따르면 노 원장은 수술을 모두 마친 뒤 A씨가 이날 생일이라고 들었던 것을 기억해냈다. 노 원장은 “오늘 생일이라셨지? 축하해줘야지!”라며 수술용 멸균 마킹펜을 들어 A씨의 팔에 직접 축하 문구를 적었다. 간호사는 A씨에게 “좋은 기억을 환자분께 남겨드릴 수 있어 영광”이라며 “꼭 쾌차하시고 앞으로 행복한 나날들 가득하시길 바란다”고 전했다. 수술 전엔 아기 생각하며 울었던 환자환자는 수술을 앞두고 집에 두고 온 아기가 보고 싶어 한참 눈물을 쏟은 것으로 전해졌다. 그런 상태에서 마취에 들어갔다가 12시간 뒤 깨어나 자신을 기억해준 의료진의 메시지를 발견하고 크게 감동을 하였다고 한다. A씨는 당시 심정을 전하며 “실제 생일이 주민등록상 생일보다 한 달 이른 8월 16일이었지만, 감동했다”며 “순간 난 사랑받기 위해 태어난 사람 같았다. 인류애가 충전됐다”고 했다. 이후 아이와 함께 지내는 밝은 근황도 전했다. A씨의 사연을 담은 SNS 게시물은 조회 수 55만회를 넘기며 관심을 모았다.

시중은행에 이어 2금융권인 저축은행까지 해킹 공격에 노출되면서 금융권 전반에 ‘AI 해킹’ 공포가 급격히 확산하고 있다. 3일 금융권에 따르면 예가람저축은행은 지난달 30일 고객 개인정보가 포함된 서버에 신원 미상의 해커가 접근해 정보가 유출된 정황을 확인했다고 밝혔다. 이번 사고로 유출된 정보는 고객 성명, 생년월일, 연락처 등이며 피해 규모는 약 4만명으로 추정된다. 예가람저축은행 측은 유출 사실을 인지한 즉시 관련 서비스를 중단하고 외부 IP 차단 등 긴급 조치를 취하는 한편, 당국 신고 및 피해 고객 구제를 위한 전담 센터 운영에 나섰다. 이번 사태는 앞서 신한은행, KB국민은행, 하나은행 등 주요 시중은행들이 인공지능(AI)을 활용한 해킹 공격을 받아 대규모 고객 정보가 유출된 초유의 사고에 이어 발생했다. 1금융권에 이어 2금융권까지 해커의 먹잇감이 되면서 AI 기술을 악용한 정교한 해킹 공격이 금융권 보안 체계를 뿌리째 흔들고 있다는 지적이 나온다.

신한·국민銀 이어 하나·부산은행도 뚫려하나 고객 89명, 부산 외주 직원 11명 등당국, 자체 보안 점검·사각지대 차단 당부신한은행과 KB국민은행에 이어 하나은행과 BNK금융에서도 정보 유출 사고가 줄이어 금융권에 비상이 걸렸다. 금융당국은 이날 금융권 및 유관기관과 긴급 회의를 열고 대응 방안을 논의했다. 2일 금융권에 따르면 하나은행은 외부 해킹 세력 공격으로 고객 89명의 주민등록번호와 이름, 주소, 이메일 주소, 전화번호, 직장명 등이 유출됐다고 이날 밝혔다. 외부 해킹 에이전트가 영업지원시스템(ODS)에 비정상적으로 접근해 정보를 빼낸 정황이 포착됐다는 것이다. 하나은행은 지난 1일 다른 금융기관의 해킹 시도를 인지한 뒤 금융감독원 등 유관기관에 관련 내용을 보고하고, 전사적인 비상 대응 체계를 가동했다. 침해 정황이 확인된 유사 IP에 대한 긴급 차단·점검을 완료하고, 추가 피해 방지를 위해 ‘긴급 대응 태스크포스(TF) 및 침해사고대응반’을 소집했다. 하나은행은 “인터넷·모바일뱅킹 거래 시스템과 별개 채널이라서, 고객의 금융거래 정보 유출과는 관련이 없다”며 “정보 유출로 실제 피해가 발생할 경우 관련 규정에 따라 전액 보상하겠다”고 밝혔다. 이날 BNK부산은행에서도 외주 개발직원 11명의 이름과 전화번호, 생년월일, 이메일 주소 등 개인정보가 유출된 사실이 확인됐다. 내부 직원용 모바일 영업지원시스템 등을 대상으로 한 해킹 공격으로 사고가 발생한 것으로 파악하고 있다. BNK부산은행은 “해당 웹페이지는 차단 조치를 완료했고, 금융당국에 관련 내용을 신고했다”며 “모니터링을 강화하고 있다”고 밝혔다. 앞서 신한은행은 지난달 30일 외부 해킹으로 고객 2만 5000여명의 개인정보가 유출된 사실을 파악했고, KB국민은행도 같은 날 직원용 모바일 업무지원시스템에 외부 침입으로 고객 119명의 정보가 유출됐다고 이날 밝혔다. 금융위원회는 이날 오후 서울 중구 정부서울청사에서 금융감독원·금융보안원·주요 시중은행·카드사 등과 함께 ‘긴급 상황대응 회의’를 열기도 했다. 최근 금융회사들의 정보 유출 사건과 공격 유형·수법 등을 공유하고, 국내 금융권의 보안 현황과 대응 방향을 논의했다. 금융위는 특히 외부에 노출된 전산시스템 전반을 빠짐없이 점검해 ‘보안 사각지대’를 차단하고, 불필요한 정보의 외부 노출을 최소화할 것을 금융권에 당부했다. 또 위협 정보를 신속하게 공유할 수 있도록 보안 취약점 체크리스트를 제공하고, 금융회사들은 자체 보안 점검을 실시한 뒤 조속한 시일 내 결과를 보고하기로 했다.

신한은행, KB국민은행에 이어 하나은행과 BNK금융에서도 해킹으로 인한 고객 정보 유출 사태가 발생했다. 하나은행은 2일 “외부 해킹 세력을 통해 89명의 정보(주민번호, 성명, 주소, 이메일주소, 전화번호, 휴대번호, 직장명)가 유출된 것으로 파악된다”고 밝혔다. 하나은행 측은 “외부 해킹 에이전트가 당행 영업지원시스템(ODS)을 대상으로 시도한 비정상적인 접근에서 비롯된 것”이라며 “해당 시스템은 인터넷 및 모바일 뱅킹 거래 시스템과는 별개의 채널로, 고객의 금융거래 정보 유출과는 관련이 없는 것으로 확인됐다”고 설명했다. 하나은행은 피해 대상 고객에게 개별 통보를 진행 중이며 향후 정보 유출로 인해 실제 피해가 발생할 경우 관련 규정에 따라 전액 보상할 예정이라고 밝혔다. BNK부산은행도 이날 해킹으로 외주 직원 11명의 개인정보가 유출되는 피해가 발생했다고 밝혔다. BNK부산은행은 “2일 오전 4시 30분쯤 외주 개발직원 11명의 성명과 전화번호, 생년월일, 이메일 주소 같은 개인정보가 웹페이지에 유출된 사실을 확인했다”고 밝혔다. 부산은행 측은 내부 직원용 모바일 영업 지원시스템 등을 대상으로 한 해킹 공격이 있었던 것으로 추정하고 해당 웹페이지에 대한 차단 조치를 완료했다. 앞서 신한은행은 전날 통신 전문 구조(코드)가 무단 해킹당한 사고로 약 2만 5000명의 고객 정보가 유출됐다고 밝혔다. 이어 이날 KB국민은행도 고객 119명의 개인정보가 유출됐다고 밝혔다. 금융위원회는 이날 신진창 사무처장 주재로 금융권 ‘긴급 상황 대응 회의’를 열고 은행권과 카드업권에 외부 노출된 전산시스템 전반을 보안 점검하라고 주문했다.

달리던 자동차의 전조등이 갑자기 꺼졌다. 와이퍼는 최고 속도로 움직이고 워셔액까지 뿜어냈다. 운전자는 아무것도 만지지 않았다. 도로 밖에서 노트북을 든 보안 전문가가 차량을 원격 조작한 것이다. 21일(현지시간) 호주 ABC 방송 탐사보도 프로그램 ‘포 코너스’는 중국 자동차 업체 BYD의 플러그인 하이브리드(PHEV) 픽업트럭 ‘샤크 6’를 대상으로 진행한 사이버 보안 실험 결과를 공개했다. ABC는 자동차 사이버 보안 전문가이자 포티파이 랩스 공동 설립자인 댄 흐레슈추크에게 차량을 2주간 맡겼다. 흐레슈추크는 차량의 소프트웨어와 통신 체계를 분석한 뒤 외부에서 일부 기능에 접근할 수 있는 경로를 찾아냈다. 그는 실험에 이용한 디지털 접근 지점에 비밀번호조차 설정돼 있지 않았다고 밝혔다. ABC의 별도 보도에서도 이 접근 지점에 비밀번호가 없어 차량의 주요 기능 일부를 제어할 수 있었다고 전했다. 흐레슈추크는 도로 옆에서 노트북을 이용해 차 문을 잠그고 스피커로 음악을 크게 틀었다. 차량의 대형 화면에 원하는 이미지도 띄웠다. 시속 30㎞ 주행 중 전조등까지 껐다 본격적인 실험은 차량이 움직이면서 시작됐다. ABC 기자가 샤크 6를 몰고 도로를 달리자 흐레슈추크는 와이퍼를 최고 속도로 작동시키고 워셔액을 분사했다. 이어 전조등을 반복해서 켰다 껐다 한 뒤 아예 소등했다. ABC가 공개한 영상에는 어두운 도로를 비추던 전조등이 갑자기 꺼지는 장면도 담겼다. 당시 차량은 비교적 곧은 도로를 시속 약 30㎞로 달리고 있었다. 샤크 6의 무게는 약 2.6t이다. 다만 흐레슈추크가 차량 전체를 장악한 것은 아니다. 그는 브레이크와 카메라 등 더 중요한 기능에는 접근하지 못했다며 해당 장치들은 비교적 잘 보호돼 있었다고 설명했다. 또 이번 실험은 전문가가 차량을 2주간 직접 확보해 분석한 뒤 진행했다. 모든 BYD 차량을 누구나 같은 방식으로 즉시 원격 조작할 수 있다는 의미는 아니다. 문제는 차량 조작에 그치지 않았다. 흐레슈추크는 샤크 6의 위치를 실시간으로 추적하고 차량 내부 마이크도 원격으로 켰다. 기자가 운전하며 어머니와 전화로 나눈 대화도 들을 수 있었고 이를 녹음했다. 제작진은 녹음한 기자의 “헤이 시리”라는 음성을 편집한 뒤 차량 스피커로 재생하는 추가 실험도 했다. 기자가 잠금이 풀린 아이폰을 차 안에 남겨두자 음성 비서가 반응했고, 주소와 생년월일 등 개인정보를 불러냈다. 이는 차량 해킹만으로 휴대전화 정보까지 곧바로 빼낼 수 있다는 뜻은 아니다. 잠금이 풀린 휴대전화를 차 안에 둔 조건에서 제작진이 가능성을 시험한 것이다. 차가 ‘움직이는 컴퓨터’ 됐는데…보안 규제는 뒤처져 이번 실험이 주목받는 이유는 자동차가 갈수록 인터넷에 상시 연결된 ‘움직이는 컴퓨터’에 가까워지고 있기 때문이다. 차량 제조사는 소프트웨어를 원격으로 업데이트하고 카메라·마이크·각종 센서에서 발생하는 데이터를 처리한다. ABC에 따르면 올해 호주에서 EV와 PHEV는 신차 판매량의 거의 3분의 1을 차지했다. 이 가운데 절반 이상이 중국 브랜드다. BYD는 중국 최대 전기차 업체 가운데 하나로 호주에서도 판매를 빠르게 늘리고 있다. 그러나 호주에는 현재 자동차에 적용되는 최소 사이버 보안 기준이 없다고 ABC는 전했다. 호주 정부도 이런 공백을 의식해 연결형 자동차를 포함한 기기의 보안 기준을 강화하는 방안을 추진하고 있다. 호주 정부가 지난 6월 공개한 사이버 보안 전략에는 가정용 스마트 기기뿐 아니라 ‘연결형 차량’까지 보안 보호 범위를 확대한다는 계획이 포함됐다. 호주 국내 정보 기관인 ASIO도 장관과 공무원들에게 차량 안에서 민감한 대화를 나누거나 업무용 기기를 연결하지 말라고 경고해왔다고 ABC는 전했다. BYD는 개인정보 유출 우려에 선을 그었다. 회사 측은 호주 이용자에게서 수집한 데이터를 호주에 저장하고 있으며, 해당 데이터를 중국 당국에 제공한 적도 없고 앞으로도 제공하지 않을 것이라고 밝혔다.

북한이 러시아에 대규모 파병군을 보낸 대가로 약 14조원을 벌어들였다는 주장이 나왔다. 북한군은 2024년 말 러시아 영토로 반격한 우크라이나를 저지하기 위해 파병됐다. 당시 파병된 북한군은 1만 3000명 규모로 알려졌으며 이 중 최소 2000명 이상이 전사한 것으로 알려졌다. 북한이 파병 활동을 기려 평양에 건립한 ‘해외군사작전 전투위훈기념관’을 다녀온 북한 소식통은 지난 13일 일본 산케이신문에 “해당 기념관에는 파병된 북한군 사망자 숫자가 2288명으로 기록돼 있다”고 말했다. 이어 “기념관과 인접한 묘지에는 전사자 중에서도 ‘영웅’으로 추대된 300명의 묘비가 늘어서 있고, 기념관 2·3층에는 나머지 희생자들의 유골함이 안치돼 있다”며 “묘비와 유골함에는 숨진 군인의 성명, 생년월일, 사망 원인이 기재돼 있으며 10대 후반에서 20대 초반의 젊은 병사가 대다수를 차지하는 것으로 보였다”고 덧붙였다. 북한이 수천 명의 정예 병력을 희생시킨 배경에는 경제적 이익이 자리하고 있다. 임수호 국가안보전략연구원 연구위원은 국내 언론에 “북한은 무기 판매와 병력 제공으로 2년 반 만에 약 100억 달러(한화 약 13조 6600억원)를 벌어들였다. 이는 북한 연간 국내총생산(GDP)의 3분의 1에 해당하는 규모”라고 설명했다. 이어 “북한은 병력을 제공하는 대가로 식량과 석유, 외화를 확보했고 중국 의존도를 줄이며 러시아와의 관계를 강화할 수 있었다”며 “김정은 북한 국무위원장이 지난해 시진핑 중국 국가주석, 블라디미르 푸틴 러시아 대통령과 나란히 서며 ‘새로운 냉전, 다극 체제’를 강조한 것은 중대한 지정학적 변화”라고 강조했다. “포로가 되는 것은 역적이 되는 것과 같다”북한이 약 14조원에 달하는 수익을 거둘 때 북한 병사들은 목숨을 걸고 드론을 유인하거나 자결을 선택해야만 했다. 실제로 북한 소식통은 산케이신문에 “(파병) 사망자 절반 이상이 자폭한 것으로 추정되며 드론 공격에 의한 희생자도 많았다”며 “기념관에는 우크라이나의 포로가 되지 않겠다고 맹세한 병사의 문서도 전시돼 있다”고 밝혔다. 미국 공영 라디오(NPR)의 지난해 6월 보도에 따르면, 쿠르스크에서 북한군과 직접 싸운 경험이 있는 우크라이나 특수부대원은 “북한군은 20~30명씩 함께 움직였고 전투 초반에는 우크라이나의 드론에도 아랑곳하지 않는 모습이었다”고 말했다. 미국의 북한 전문 매체 38노스 역시 지난해 2월 쿠르스크 전투 분석에서 우크라이나군 지휘관을 인용해 “북한군이 제2차 세계대전 영화처럼 나무숲에서 일제히 돌격했다”며 “드론을 피하거나 격추하기 위해 3명씩 조를 이뤄 한 명이 드론을 유인하고 나머지 두 명이 사격하는 방식을 사용했다”고 전했다. 몸을 사리지 않는 전투 현장에서 포로가 된 북한 병사들은 죄책감에 시달리기도 했다. 우크라이나군에 생포된 북한군 포로 2명은 한국 취재진에 “동료들도 다 포로가 안 되겠다고 자폭했는데 나만 죽지 못했다”, “포로가 되면 역적이 되는 것과 같다. 나라를 배반한 것”이라고 말하며 죄책감을 털어놓은 바 있다. 북한이 2024년 10월쯤부터 우크라이나에 보낸 병사의 누적 규모는 2만 명이 넘는 것으로 알려졌다. 우크라이나 정보당국은 현재도 최소 8500명 이상이 러시아에 남아 국경 방어 임무를 수행하고 있다고 보고 있다. “북한군 추가 파병 거의 확실”이미 수천 명의 군인을 희생시킨 북한이 또다시 러시아에 대규모 파병군을 보낼 것이라는 전망이 잇따르고 있다. 영국 BBC는 지난 14일 “더 많은 북한군이 러시아의 전쟁에 합류할 것이 확실해 보인다”며 “김 위원장에게 러시아 파병은 도박이었다. 이 도박은 비록 사상자는 많았지만 빈곤하고 고립된 나라로서는 성과를 냈다”고 평가했다. 이어 “이들의 파병은 북한에 막대한 경제·정치적 가치가 있고 러시아에도 이들이 절실하다”며 “결국 북한은 러시아의 전쟁에서 싸울 병사들을 계속 보낼 것이다. 다만 이익이 되는 동안에만 그럴 것”이라고 전망했다. 북한과 러시아의 군사협력은 우크라이나 전쟁이 끝난 후에도 계속될 것으로 보인다. 코스민 도브란 유럽연합(EU) 대외관계청(EEAS) 평화·파트너십·위기관리 국장은 지난 8일 서울 중구 더그랜드롯데서울에서 진행한 연합뉴스와의 인터뷰에서 “러시아와 북한이 체결한 조약은 이번 전쟁에만 국한된 것이 아니라고 생각한다”며 “전쟁 지속 여부와 상관없이 협력이 계속될 것”이라고 내다봤다. 도브란 국장은 북한의 러시아 추가 파병 가능성에 대해 “북한 군인들이 유럽에서 우크라이나를 상대로 싸우고 있다는 것은 누구도 부인할 수 없는 사실”이라며 “지금까지의 패턴을 보면 더 많은 행동이 있을 수 있다고 모두가 예상할 수 있다”고 덧붙였다.

북한과 러시아가 ‘포괄적 전략적 동반자 관계 조약’을 체결하기 약 1년 전부터 이미 우크라이나와의 전쟁에 북한군을 파병하는 방안을 논의하기 시작한 것으로 보인다는 보도가 나왔다. 북한이 파병 활동을 기려 평양에 건립한 ‘해외군사작전 전투위훈기념관’을 다녀온 북한 소식통은 일본 산케이신문에 “2023년 7월 방북한 러시아군 대표단이 김정은 국무위원장을 만나 파병을 요청했고 이를 계기로 파병 협상이 시작됐다는 내용이 기념관 전시 자료에 기록돼 있다”고 말했다. 북한이 러시아와 2024년 6월 포괄적 전략적 동반자 관계 조약을 체결하고 러시아 서남부 쿠르스크 지역 등에 군인을 보내기 약 1년 전부터 양측의 파병 협상이 시작됐다는 것이다. 소식통은 산케이에 “해당 기념관에는 파병된 북한군 사망자 숫자가 2288명으로 기록돼 있다”며 “기념관과 인접한 묘지에는 전사자 중에서도 ‘영웅’으로 추대된 300명의 묘비가 늘어서 있고, 기념관 2·3층에는 나머지 희생자들의 유골함이 안치돼 있다”고 전했다. 이어 “묘비와 유골함에는 숨진 군인의 성명, 생년월일, 사망 원인이 기재돼 있으며 10대 후반에서 20대 초반의 젊은 병사가 대다수를 차지하는 것으로 보였다”며 “사망자 절반 이상이 자폭한 것으로 추정되며 드론 공격에 의한 희생자도 많았다”고 덧붙였다. 또 “기념관에는 우크라이나의 포로가 되지 않겠다고 맹세한 병사의 문서도 전시돼 있다”고 말했다. 실제로 우크라이나군에 생포된 북한군 포로 2명은 한국 취재진에 “동료들도 다 포로가 안되겠다고 자폭했는데 나만 죽지 못했다”, “포로가 되면 역적이 되는 것과 같다. 나라를 배반한 것”이라고 말하며 죄책감을 털어놓기도 했다. 앞서 우리 국정원은 지난해 9월 북한군 사망자가 2000여명일 것으로 추정한 적이 있지만 구체적인 규모가 공개된 것은 이번이 처음이다. 북한은 2024년 10월경부터 우크라이나 전장에 군인을 보냈으며 누적 규모는 2만 명이 넘는 것으로 알려졌다. 현재에도 1만여 명이 러시아에 남아 있는 것으로 추정된다. “북러 군사협력, 우크라 전쟁 끝나도 지속될 것”문제는 북한과 러시아의 군사 협력이 우크라이나 전쟁 종전 이후에도 계속될 것이라는 전망이 이어지고 있다는 사실이다. 코스민 도브란 유럽연합(EU) 대외관계청(EEAS) 평화·파트너십·위기관리 국장은 지난 8일 서울 중구 더그랜드롯데서울에서 진행한 연합뉴스와의 인터뷰에서 “러시아와 북한이 체결한 조약은 이번 전쟁에만 국한된 것이 아니라고 생각한다”며 “전쟁 지속 여부와 상관없이 협력이 계속될 것”이라고 내다봤다. 이어 “북러 군사협력이 상당히 구조적인 형태를 띠고 있어 우려스럽다”면서 “이러한 협력이 안보 불안을 야기하고 북한이 미사일 발사 등 더 부정적인 행동에 나서도록 부추길 수 있다”고 지적했다. 도브란 국장은 북한의 러시아 추가 파병 가능성에 대해 “북한 군인들이 유럽에서 우크라이나를 상대로 싸우고 있다는 것은 누구도 부인할 수 없는 사실”이라며 “지금까지의 패턴을 보면 더 많은 행동이 있을 수 있다고 모두가 예상할 수 있다”고 말했다. 다만 EU가 북한의 추가 파병과 관련해 구체적인 징후를 파악하고 있는지에 대해서는 언급하지 않았다. 그는 북러 군사협력이 한반도의 불안을 키우고 있다면서 한국과 EU가 관련 정보 공유를 확대할 필요가 있다고 강조했다. “우크라에 무기 주면 ‘남북한 간접 교전’ 가능성도”한편 한국이 우크라이나에 천궁-Ⅱ와 같은 방공무기를 지원해야 한다는 미 워싱턴포스트 칼럼이 나온 뒤 이를 도널드 트럼프 미국 대통령이 자신의 SNS에 공유하면서 우크라이나 무기 지원과 관련한 압박이 시작된 것 아니냐는 우려가 나왔다. 트럼프 대통령뿐 아니라 트럼프 1기 행정부 부통령을 지낸 마이크 펜스도 지난달 23일 미 CNN에 러시아가 우크라이나를 향해 탄도미사일을 발사하기 시작했다고 언급하며 “한국은 매우 정교한 요격 미사일을 보유하고 있다. 이재명 대통령이 한 걸음 더 나아가 미국이 중동이나 우크라이나 혹은 유럽 동맹국에 배치할 수 있도록 해당 요격 미사일을 제공할 기회가 될 수 있다”고 주장했다. 그러나 이와 관련해 전문가들은 한국이 무기를 지원할 경우 러시아뿐 아니라 러시아를 지원하는 북한과 맞부딪히는 결과로 이어질 수 있다고 경고했다. 조용근 경남대 군사학과 교수는 MBC 라디오 ‘김종배의 시선집중’에 “북한이 (우크라이나를 향해) 쏘는 미사일을 남한(한국)이 준 천궁-Ⅱ나 패트리엇으로 막게 되면, 남북이 간접적으로 교전하는 교전 당사자가 될 가능성이 있다”고 주장한 바 있다.

우크라이나군이 러시아군의 운용 무기 중 하나인 북한제 다연장로켓 발사기를 탐지하고 드론 공격으로 이를 파괴하는 모습을 담은 영상을 공개했다. 디펜스 익스프레스 등 우크라이나 현지 언론의 지난 11일(현지시간) 보도에 따르면, 우크라이나 제40여단은 러시아군이 배치한 ‘희귀한’ 북한제 75식 다연장로켓 발사기를 확인한 뒤 공격 드론으로 이를 파괴했다. 우크라이나 드론은 해당 발사대를 직접 명중시킨 것으로 보이며 이로써 해당 북한제 다연장로켓은 더 이상 전장에서 사용할 수 없게 됐다. 우크라이나군이 파괴한 북한제 75식 다연장로켓은 북한군이 운용하는 122㎜급 다연장로켓 발사체계로 12발의 로켓을 발사하도록 설계돼 있다. 각 로켓의 각 무게는 18㎏이며 여기에는 탄두에 포함된 폭발물 약 1.5㎏도 포함돼 있다. 해당 발사기의 발사레일은 총 12개로 넓은 지역의 목표물에 집중사격할 수 있도록 도와준다. 다만 해당 무기의 효과는 발사 전후 은폐를 유지하고 발각되지 않는 데 크게 좌우된다. 일반적으로 다연장로켓은 발사 후 로켓의 궤적과 발사 지점이 노출되기 쉽다. 이 때문에 적의 정찰·감시 및 정밀타격에 의해 발사 차량 자체가 역추적될 수 있어 발사 전후 은폐를 유지하는 것이 중요하다. 실제로 이번 공격에서 우크라이나군은 북한제 다연장로켓이 실린 차량을 발견한 뒤 정밀 타격에 성공했다. 이에 따라 북한제 다연장로켓 시스템은 은폐와 기동이 제대로 이뤄지지 않을 경우 적의 정밀타격에 노출되기 쉬워 생존성이 높지 않다는 평가가 나온다. “전선에서 보기 드문 북한 포병 시스템”디펜스 익스프레스는 “북한제 다연장로켓 발사기 시스템은 러시아의 무기고에서 ‘이례적인 목록’”이라며 “러시아군은 우방국이 제공한 장비에 점점 더 의존하고 있지만, 북한의 포병 시스템은 전선에서 비교적 드물게 등장한다”고 분석했다. 앞서 러시아는 2024년 말부터 본격적으로 북한산 포병 체계를 전선에 도입하기 시작했다. 2024년 11월 러시아 내에서 북한제 M-1989 ‘곡산’ 170㎜ 자주포로 보이는 자주포가 열차로 이동하는 모습이 처음 공개됐고, 이후 러시아군이 우크라이나 전선에 실제 투입한 사실이 확인됐다. 북한의 M-1991 240㎜ 다연장로켓의 경우 2025년 러시아군이 직접 운용하는 모습의 영상이 공개된 바 있다. 당시 우크라이나 정보 당국은 북한이 러시아에 이 체계를 대량 공급했다고 밝혔다. 디펜스 익스프레스가 공개한 자료에 따르면 올해 초 기준 북한산 ‘곡산’ 자주포의 피격·파괴 사례는 약 10건에 이른다. 대부분의 북한산 포병 시스템은 우크라이나 드론과 정밀 타격에 의해 파괴됐다. 우크라이나 매체 유나이티드24는 북한제 다연장로켓 파괴 소식을 전하며 “북한은 이미 러시아에 대량의 포탄과 탄도미사일 및 기타 군사 물자를 공급했다”며 “북한 장비 역시 점차 더 자주 전장에 등장하기 시작했다”고 평가했다. 이어 “75식 다연장로켓의 등장은 러시아군의 외국 의존성 증가를 입증하는 또 다른 사례”라며 “앞서 러시아는 쿠르스크 지역에 북한군 약 8500명을 배치했으며 이 중 400명은 드론 조종사이고 수백 명은 우크라이나에 대한 정찰 및 공격에 투입될 병사라는 주장이 나온 바 있다”고 전했다. “북한군 2000여명 사망”한편 북한과 러시아가 ‘포괄적 전략적 동반자 관계 조약’을 체결하기 약 1년 전부터 이미 우크라이나와의 전쟁에 북한군을 파병하는 방안을 논의하기 시작한 것으로 보인다는 보도가 나왔다. 북한이 파병 활동을 기려 평양에 건립한 ‘해외군사작전 전투위훈기념관’을 다녀온 북한 소식통은 일본 산케이신문에 “2023년 7월 방북한 러시아군 대표단이 김정은 국무위원장을 만나 파병을 요청했고 이를 계기로 파병 협상이 시작됐다는 내용이 기념관 전시 자료에 기록돼 있다”고 말했다. 북한이 러시아와 2024년 6월 포괄적 전략적 동반자 관계 조약을 체결하고 러시아 서남부 쿠르스크 지역 등에 군인을 보내기 약 1년 전부터 양측의 파병 협상이 시작됐다는 것이다. 소식통은 산케이에 “해당 기념관에는 파병된 북한군 사망자 숫자가 2288명으로 기록돼 있다”며 “기념관과 인접한 묘지에는 전사자 중에서도 ‘영웅’으로 추대된 300명의 묘비가 늘어서 있고, 기념관 2·3층에는 나머지 희생자들의 유골함이 안치돼 있다”고 전했다. 이어 “묘비와 유골함에는 숨진 군인의 성명, 생년월일, 사망 원인이 기재돼 있으며 10대 후반에서 20대 초반의 젊은 병사가 대다수를 차지하는 것으로 보였다”며 “사망자 절반 이상이 자폭한 것으로 추정되며 드론 공격에 의한 희생자도 많았다”고 덧붙였다. 또 “기념관에는 우크라이나의 포로가 되지 않겠다고 맹세한 병사의 문서도 전시돼 있다”고 말했다.

미용의료 플랫폼 강남언니에서 약 22만명의 개인정보가 유출됐다. 유출된 정보 중에는 상담, 실제 시술 정보 등 민감한 내용도 포함돼 2차 피해 우려가 나온다. 8일 강남언니 운영사 힐링페이퍼에 따르면 지난 4일 이용자의 상담 내역을 조회하는 연동 기능(API)에 비정상 접근이 발생해 일부 고객 개인정보가 유출됐다. 힐링페이퍼는 이상 징후를 포착한 뒤 해당 접근 경로를 차단했으나, 동일 공격자가 5일 다른 경로로 재차 접근을 시도한 사실도 확인했다고 설명했다. 현재까지 확인된 개인정보 유출 인원은 21만 9665명이다. 한국 이용자가 약 16만명으로 가장 많고 일본 4만 8000명, 대만 4218명, 태국 1591명, 중국 481명, 영어권·기타 국가 5308명 등이다. 유출 항목은 이름과 전화번호, 이메일, 생년월일, 성별, 거주 국가·지역, 소셜네트워크 로그인 ID, 접속 IP, 이용 단말 정보 등이다. 특히 이용자가 상담을 신청한 이벤트·시술명, 병원명, 의사명, 예약 희망 시간, 상담 동기와 상담 진행 상태, 상담 등록 사진도 유출 대상에 포함됐다. 관심·신청·실제 시술 정보와 내원·시술 일시, 시술 의사명, 결제 금액·수단·시각 등도 일부 유출됐다. 힐링페이퍼는 지난 6일 정확한 경위 파악과 2차 피해 방지를 위해 관할 경찰서에 수사 의뢰를 접수했다. 또 한국인터넷진흥원(KISA)에 개인정보 유출 사실을 자진 신고하고, 피해 고객에게 개별 통지 중이다. 힐링페이퍼는 “유출된 정보를 악용한 2차 피해가 발생할 수 있으니 출처가 불분명한 문자·전화·이메일에 유의하시고, 개인정보나 금융정보를 요구하는 연락에는 절대 응하지 말기 바란다”며 “강남언니 또는 병원을 사칭해 병원 안내, 할인 혜택 등을 명목으로 연락하거나 링크 클릭을 유도하는 경우 각별히 주의해달라”고 당부했다. 개인정보 유출 여부는 강남언니 홈페이지에서 30일간 확인 가능하다. 홍승일 힐링페이퍼 대표는 “이번 사고로 걱정과 불편을 드려 무거운 책임감을 느끼며, 진심으로 사과드린다”고 밝혔다. 강남언니는 의학전문대학원 출신 의사 2명이 2015년 출시한 국내 최대 규모의 성형 및 피부 시술 정보 공유 플랫폼으로 병원 4900여곳이 가입했고 누적 상담 건수만 300만건을 넘는다.

온라인동영상서비스(OTT) ‘티빙’에서 이용자 계정 약 3954만개가 유출된 것으로 확인됐다. 소스코드가 포함된 기술 개발 프로젝트 361건도 함께 새 나갔다. 과학기술정보통신부는 3일 정부서울청사에서 이런 내용의 티빙 침해사고 조사 결과를 발표했다. 활성화 계정 2206만개, 비활성화(휴면·탈퇴) 계정 1737만개, 테스트 계정 11만개 등 총 3954만개의 계정이 유출된 것으로 파악됐다. 아이디와 비밀번호, 이름·생년월일·휴대전화 번호·이메일·연계 정보(CI) 등 20개 항목, 70종의 정보가 유출됐다. 가입 경로는 네이버·카카오·페이스북·애플·X 등 소셜미디어(SNS) 간편 가입 2247만개, CJ ONE 통합회원 863만개, 티빙 자체 가입 726만개씩이었다. 유출된 기술 자산은 30.35GB 규모의 개발 프로젝트 361건으로, 여기에는 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증, 결제 등 핵심 기술이 포함됐다. 민관합동조사단은 공격자가 지난 5월 29일부터 31일까지 사흘간 개발자의 ‘개발 환경 접속키’를 탈취해 내부 시스템에 침투한 것으로 분석했다. 공격자의 정체는 확인되지 않았고, 정부는 경찰에 수사를 의뢰했다. 티빙은 사고를 인지하고서 24시간이 지나 한국인터넷진흥원(KISA)에 신고해 정보통신망법상 신고 의무도 지키지 않았다. 과기정통부는 최대 3000만원의 과태료를 부과할 예정이다. 최주희 티빙 대표이사는 이날 기자간담회를 열고 “고객 신뢰를 되찾을 수 있도록 재발 방지 대책을 책임 있게 실행하겠다”며 사과했다. 티빙은 사이버 금융사기 등을 1인당 최대 300만원까지 보상하는 안심 보험을 1년간 제공하기로 했다. 전 고객을 대상으로 프리미엄급 시청 환경으로 업그레이드한다. 5000원 상당의 티빙 포인트와 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰도 제공한다. 보상 패키지는 오는 7일부터 30일까지 신청을 받아 다음 달 6일부터 적용된다.

이용자 계정 3954만개에 담긴 정보가 유출된 티빙이 개인정보 침해 사고에 공식 사과했다. 또 이용자들에게 안심보험 가입과 5000포인트 제공 등의 보상안도 제시했다. 최주희 티빙 대표는 3일 서울 광화문 코리아나호텔에서 열린 설명회에서 “이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”고 밝혔다. 이어 “안전한 서비스를 제공하지 못한 데 대해 대표이사로서 무거운 책임을 느낀다”면서 “조사 결과를 겸허히 받아들이고 필요한 시정 조치와 재발 방지 대책을 끝까지 이행하며, 보안 체계 전반을 근본부터 다시 세우겠다”고 덧붙였다. 티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하는 등 보안 체계를 전면 강화하기로 했다. 인증과 접근 통제를 강화하는 ‘제로 트러스트’ 기반의 보안 체계 구축과 인공지능(AI) 기반 이상 징후 탐지와 실시간 대응 시스템 고도화에 나선다. 보안 전문 인력을 향후 5년간 현재의 3배 수준으로 늘리고, 최고경영자(CEO) 직속의 ‘정보보호혁신 자문위원회’를 신설해 외부 전문가의 검증과 조언을 받는다는 방침이다. 또 CEO와 정보보호 최고책임자(CISO), 개인정보보호책임자(CPO)를 중심으로 보안 거버넌스도 강화한다. “전문 인력 3배 확충…보안체계 강화”이용자들에 대한 보상안도 제시했다. 티빙은 해킹·피싱 등에 따른 사이버 금융사기 등을 1인당 최대 300만원까지 보상하는 안심 보험을 1년간 제공한다고 밝혔다. 티빙 측은 이에 대해 “피해 보상과 직결되지 않더라도 고객이 안심할 수 있도록 하는 데 기여할 수 있을 것”이라고 취지를 설명했다. 또 이용자들은 ▲5000원 상당 티빙 포인트 ▲프리미엄급 시청 환경(4K 화질·기기 4대 동시 시청·400회 내려받기) 업그레이드 ▲엔터테인먼트 쿠폰(웨이브 광고형 1개월 구독권과 CGV 콤보 3종 5000원 할인 중 선택)을 받을 수 있다. 이달 7일부터 30일까지 신청하면 다음 달 6일부터 이용할 수 있다. 앞서 과학기술정보통신부는 이날 정부서울청사에서 지난 5월 발생한 티빙의 개인정보 유출 사고 관련 민관합동조사단 조사 결과를 발표하고 3954만개에 달하는 계정의 정보가 유출됐다고 밝혔다. 유출된 항목은 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다. 또한 소스 코드가 포함된 기술 자산 361건(30.35GB 규모)도 유출됐다. 조사단은 공격자가 지난 5월 29일부터 3일에 걸쳐 개발자의 ‘개발환경 접속키’를 사전에 탈취한 뒤 개발환경에 무단 접속해 프로젝트를 유출한 것으로 파악했다. 소스코드 내에 저장된 ‘운영환경 접속키’ 43개를 추가 확보해 운영환경(아마존웹서비스·AWS)까지 침투했다는 설명이다. 조사단은 탈취 경로 확인을 위해 개발자 단말기 포렌식 분석으로 다양한 공격 시나리오를 정밀 분석했으나 확인이 불가능했다고 전했다. 다만 운영환경 접속키를 별도 분리 보관하지 않고, 이용자 정보가 저장된 데이터베이스에 접근할 수 있는 접속정보를 암호화하지 않은 등 관리체계의 문제점을 확인했다고 조사단은 설명했다. 또한 티빙이 침해사고를 인지한 뒤 24시간이 지난 뒤에야 한국인터넷진흥원(KISA)에 신고해 정보통신망법 위반에 따른 과태료(최대 3000만원)가 부과될 예정이다. 과기정통부는 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 이행점검에 나설 계획이다.

온라인동영상서비스(OTT) 티빙에서 이용자 계정 약 3954만개와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 조사됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 정부는 공격자가 개발자의 내부 시스템 접속키를 탈취해 티빙 시스템에 침입한 것으로 파악했다. 유출 정보에는 성명과 생년월일·휴대전화번호·이메일·연계정보(CI) 등 20개 항목(70종)이 포함됐다. 비밀번호는 일방향 암호화됐지만 휴대전화번호와 이메일은 암호화키까지 함께 빠져나가 사실상 평문 유출과 같은 수준으로 평가됐다. 소스코드가 포함된 개발 프로젝트는 361건, 총 30.35GB 규모로 확인됐다. 조사단은 키 관리와 침해사고 모니터링 체계가 미흡했고 정보보호 전담 인력도 부족했다고 지적했다. 2024년 모의해킹에서 확인된 취약점이 조치되지 않은 점도 문제로 꼽혔다. 티빙은 사고를 인지한 뒤 24시간이 지나 한국인터넷진흥원(KISA)에 신고해 정보통신망법상 신고 의무도 지키지 않은 것으로 확인됐다. 과기정통부는 최대 3000만원의 과태료를 부과할 예정이며 이달까지 재발 방지 이행계획을 제출받아 내년 1월부터 이행 여부를 점검할 계획이다.

온라인 쇼핑몰 ‘GS SHOP’과 편의점 ‘GS25’의 온라인 홈페이지에 대한 해킹으로 166만명의 개인정보가 유출돼 운영사인 GS리테일에 120억원대 과징금이 부과됐다. 개인정보보호위원회는 31일 개인정보보호법을 위반한 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과한다고 밝혔다. 신원 미상의 해커는 2024년부터 지난해까지 사전에 확보한 다수의 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 ‘크리덴셜 스터핑’ 방식을 활용해 GS SHOP 회원 158만 1025명, GS25 회원 7만 9128명의 이름과 성별, 생년월일, 연락처, 주소, 이메일 등 개인정보를 빼냈다. GS리테일은 같은 인터넷프로토콜(IP) 주소에서 단시간에 대규모 로그인 시도가 발생해도 이를 탐지·차단하는 대책을 마련하지 않았다. 로그인 시도·실패가 급증했는데도 징후를 인지하지 못해 유출이 장기간 이어졌다. GS25의 개인정보 유출을 인지하고도 GS SHOP에서 같은 공격이 발생한 사실을 한 달여 뒤에야 파악했다.

이름·생년월일·연락처·주소 무방비 유출 단시간 로그인 시도·실패 급증 인지 못해 탐지·차단책 전무해 장기간 유출 이어져 조사서 1599명 추가 유출에 늑장 통지도 데이팅 앱 ‘위피’ 엔라이즈도 과징금 1억 SK텔레콤 ‘이프랜드’ 360만원 과징금 온라인 홈쇼핑 ‘GS 샵(SHOP)’과 편의점 ‘GS25’에서 166만명에 달하는 고객 개인정보가 유출돼 운영사인 GS리테일에 128억원대 과징금이 부과됐다. 개인정보보호위원회는 31일 개인정보 보호 법규를 위반한 GS리테일에 과징금 128억 3600만원과 과태료 300만원을 부과하기로 의결했다고 밝혔다. 신원 미상의 해커는 GS SHOP과 GS25 홈페이지에 2024년 6월부터 지난해 2월까지 ‘크리덴셜 스터핑’ 공격을 시도해 로그인에 성공했다. 크리덴셜 스터핑은 사전에 확보한 아이디와 비밀번호를 무차별 대입해 로그인을 시도하는 공격 방식이다. 해커는 회원정보 수정 페이지에 접속해 GS SHOP 회원 158만 1025명과 GS25 회원 7만 9128명의 이름·성별·생년월일·연락처·주소·이메일 등 개인정보를 빼냈다. GS리테일은 동일한 인터넷프로토콜(IP) 주소에서 단시간에 대규모 로그인 시도가 발생할 경우 이를 탐지·차단하는 대책을 마련하지 않은 것으로 조사됐다. 로그인 시도·실패가 급증했는데도 이상 징후를 인지하지 못해 개인정보 유출이 장기간 이어졌다. 특히 GS리테일은 2024년 12월 26일 시작된 GS25의 개인정보 유출을 열흘 만인 지난해 1월 4일 최초 인지하고도 GS SHOP에서 같은 공격이 발생한 사실을 한 달여 뒤에야 파악했다. GS25 공격에 쓰인 IP 중 327개가 GS SHOP 공격에도 사용됐지만 유출사고 대응에 소홀해 추가 유출을 막지 못했다. 사고 당시 개인정보 전담 조직이 없고 보안 운영도 이원화돼 있었던 것으로 조사됐다. 개인정보위 조사에서 유출 대상자 1599명이 추가 확인됐지만 이들에 대한 통지도 정당한 사유 없이 법정 기한인 72시간을 넘겼다. 개인정보위는 GS리테일에 과징금·과태료 부과와 함께 처분 사실 공표를 명령하고, 비정상 접속 식별 대책과 개인정보 보호 전담 인력 배치 등 개인정보 보호 체계 전반을 개선하도록 시정명령했다. 이와 함께 개인정보위는 엔라이즈와 SK텔레콤, 에이토즈에도 제재를 내렸다. 데이팅 앱 ‘위피’ 운영사 엔라이즈는 2023년 3월 해킹으로 736개 계정의 닉네임·성별·프로필 사진 등 개인정보가 유출돼 과징금 1억 1844만원과 과태료 360만원을 부과받았다. SK텔레콤이 에이토즈에 위탁해 운영한 메타버스 서비스 ‘이프랜드’ 이벤트 웹사이트에서도 관리자 페이지 노출로 1140명의 개인정보가 유출돼 SK텔레콤에 과태료 360만원과 시정명령, 에이토즈에 경고 처분이 내려졌다.

최연소 40홈런 기록 달성을 눈앞에 둔 김도영(KIA 타이거즈)이 때아닌 음력·양력 생일 때문에 시끌시끌하다. 한국야구위원회(KBO)는 김도영이 9월 6일 이전에 40번째 홈런을 치면 인정하겠다는 입장인데 최연소가 맞냐 아니냐를 두고 갑론을박이 벌어지고 있다. 김도영은 지난 26일 광주 기아챔피언스필드에서 열린 롯데 자이언츠와 KIA의 경기에서 1회말 무사 1, 2루에서 3점 홈런을 날렸다. 이 홈런으로 김도영은 시즌 39호 홈런을 기록했다. 35개로 2위인 오스틴 딘(LG 트윈스)과 엎치락뒤치락하다가 최근에는 김도영이 더 앞서고 있다. 이 홈런으로 김도영은 2024년 세웠던 38홈런을 넘어섰다. 그리고 곧 40홈런도 눈앞에 두고 있다. KBO는 김도영이 40홈런을 칠 경우 이승엽의 최연소 40홈런 기록을 넘어선다고 진작부터 공지했다. 그런데 이승엽의 경우 생일을 음력으로 등록했다는 점이 갑작스러운 변수로 등장했다. 과거 KBO에 등록한 이승엽의 공식적인 생일은 1976년 8월 18일이다. 음력 기준이다. 양력으로 따지면 10월 11일이다. 이승엽은 54홈런을 기록한 1999년 40번째 홈런을 그해 7월 23일에 기록했다. 당연히 이 날짜 기준은 양력이다. 그리고 KBO는 음력 8월 18일생인 이승엽이 양력 7월 23일에 기록한 홈런을 역대 최연소로 인정했다. 22세 1개월 5일이다. 야구 기록이 지금처럼 많지 않았을 때의 일이다. 심지어 이승엽은 윤달 8월, 즉 그해의 두 번째 음력 8월에 태어나 일반적인 8월과는 결이 다르다. 김도영은 2003년 10월 2일생이다. 음력 날짜로는 9월 7일이다. 28일을 기준으로 보자면 김도영은 태어나서 8366일을 살았다. KBO가 인정하겠다는 9월 6일을 기준으로는 태어난 후 8375일을 산다. 그런데 이승엽은 태어난 일수를 기준으로 계산하면 8320일에 40홈런을 쳤다. 이미 김도영보다 빠르게 40홈런을 기록한 것이다. 최연소 기준을 행정 서류상에 따라 할 것인지 객관적인 숫자를 기준으로 삼을 것인지를 두고 어느 것이 맞느냐 틀리느냐 할 수는 없다. 과거에는 태어난 후에 1~2년이 지나서 출생신고를 한 적도 더러 있었고 정년 기준 등을 주민등록상 등록된 날짜 기준으로 하는 것도 사회적으로 큰 문제가 되지 않는다. 다만 야구가 기록의 스포츠인만큼 이번을 계기로 명확하게 기준점을 잡아야 한다는 지적도 나온다. KBO는 “선수 생년월일과 관련해 올 시즌을 마치고 타당한 기준을 세울 예정”이라며 “내부에서 깊이 논의해 최고령·최연소 기록의 가치가 훼손되지 않도록 노력하겠다”고 밝혔다. 현실적인 여건이 만만치 않지만 차라리 이참에 한꺼번에 정확하게 정리하는 게 미래의 야구 선수들을 위해 더 깔끔할 수 있다. 이 모든 문제는 결국 이승엽이 그해 야구를 잘했고, 김도영이 야구를 잘해서 생기는 문제다. 김도영은 잘못이 없다. 스스로도 “최연소는 정말 신경 쓰지 않는다”는 입장이다. 김도영이 9월 6일 이후 홈런을 치면 굳이 따질 것도 없이 논란도 종지부를 찍게 되지만 요즘의 기세를 봐서는 치지 말라는 법도 없다.