역대급 과징금으로 결론 난 쿠팡 사태…'개인정보 유출' 일상으로

[Weekly Threat] CU택배 유출 내사·패스트캠퍼스 피해도 확인보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주>송경희 개인정보보호위원회 위원장이 6월11일 서울 종로구 정부서울청사에서 쿠팡 사태 제재안 의결 브리핑을 진행하고 있다. [사진=연합뉴스][디지털데일리 김보민기자] 지난해 쿠팡에서 발생한 대규모 개인정보 유출 사태가 '역대급 과징금'으로 막을 내렸다. 개인정보보호위원회는 안전조치 의무를 위반하고 법적 근거 없이 개인정보를 무단 수집한 쿠팡에 6000억원대 과징금을 부과했다.이러한 분위기 속 산업 분야를 막론한 개인정보 유출 사고도 이어졌다. 경찰은 CU편의점 택배 서비스 개인정보 유출 사건과 관련해 내사에 착수했고, 성인교육 플랫폼 '패스트캠퍼스'를 운영하는 데이원컴퍼니도 고객에 유출 사실을 공지했다.보안 패치가 완성되지 않은 '제로데이 공격'도 거세진 것으로 나타났다. 대표적으로 오라클 전사적자원관리(ERP) 애플리케이션 인프라를 대상으로 침해 위협이 고도화되고 있다는 경고가 나왔다. 전 세계 기업과 서비스를 해킹해 정보를 탈취하는 사이버 범죄 조직이 배후에 있는 것으로 알려지면서 경각심이 커지고 있다.◆ 쿠팡 유출사고, 비회원 피해도 확인…조사 방해 행위엔 '고발'개인정보보호위원회는 쿠팡의 개인정보 유출 및 활동기록 무단 수집과 관련해 과징금 총 6246억8100만원과 과태료 1680만원을 부과한다고 11일 밝혔다. 조사 결과 유출 피해자는 회원 약 3322만명, 비회원 최소 433만명으로 확인됐다. 개인정보위는 앱 로그 기록 일부가 삭제돼 실제 비회원 피해 규모는 더 클 가능성이 있다고 설명했다.개인정보위는 조사 착수 직후 사고 관련 기록 보전을 명령했지만, 쿠팡이 약 5개월치 앱 접속 로그를 수동 삭제하고 자동 삭제 정책도 중단하지 않았다며 수사기관 고발을 예고했다. 이 같은 조치는 추후 쿠팡과 같은 사고가 재발할 경우, 단순한 개인정보 유출 여부를 넘어 사고 이후 사업자 대응과 조사 협조 수준까지 엄격하게 들여다보겠다는 메시지로 해석된다.개인정보 유출 사고가 거세지면서 기관과 기업들 사이에서도 위기감이 고조되는 분위기다. 개인정보위는 예방 체계를 갖추지 않은 기업에 처벌 수위를 높이고, 조치를 강화한 기업에 혜택을 주는 방안을 모색 중이다. 중대한 개인정보보호법 위반 행위에 대해 매출액 최대 10%를 과징금으로 부과하는 개정법도 9월 시행된다.[사진=데이원컴퍼니 홈페이지]◆ 강의 듣고 택배 서비스 썼을 뿐인데…줄줄이 샌 개인정보성인교육 플랫폼 운영사 데이원컴퍼니도 개인정보 유출 사태를 마주했다. 데이원컴퍼니는 11일 공지문을 통해 시스템 내 보안 사고 가능성을 인지한 뒤 관련 위협을 즉시 차단하고 보완 조치를 완료했다고 밝혔다. 안내문에 따르면 사용 중인 깃허브 서비스의 마스터 계정 키값이 불상의 시점에 탈취됐고 이를 통해 5월9일 최초 침입이 이뤄진 것으로 파악됐다.유출된 정보는 고객 이름, 이메일 주소, 전화번호, 암호화된 비밀번호 등이다. 주소와 직무·직책 정보를 입력한 고객에게는 추가 피해가 발생할 가능성이 있다. 유출 규모는 공개되지 않았지만 피해 대상에는 강사도 포함된 것으로 알려졌다.CU편의점 택배 서비스 개인정보 유출 사고에 대한 조사도 본격화되는 분위기다. 경찰청 국가수사본부 사이버테러대응과는 8일 입건 전 조사(내사)에 착수했다며 유출 경위와 피해 규모를 확인하는 절차도 진행하겠다고 밝혔다. 유출 정보는 고객 이름, 연락처, 주소 등이 있는 것으로 알려졌다.샤이니헌터스 데이터유출사이트(DLS)에 게재된 게시물. 지난 6월9일 피플소프트 관련 피해 사례가 추가 등록된 모습. [사진=GTIG·맨디언트]◆ "오라클 피플소프트 제로데이 공격" 경고…고등 교육기관 집중 표적구글 위협정보그룹(GTIG)과 맨디언트는 해킹 조직 UNC6240(샤이니헌터스)이 오라클 피플소프트 애플리케이션 인프라를 대상으로 침해 및 금품갈취 캠페인을 벌이고 있다고 12일 밝혔다.해당 활동은 5월27일부터 6월9일까지 관찰됐으며, 환경관리 구성 요소의 원격코드실행(RCE) 취약점을 악용한 것으로 분석됐다. 공격은 오라클이 관련 권고문을 발표한 6월10일 이전에 이뤄져 제로데이(Zero-Day) 공격에 해당한다.GTIG는 취약한 것으로 추정되는 엔드포인트와 연관된 전 세계 100개 이상 기관에 경고를 전달했다고 밝혔다. 이들 대부분은 미국 소재 기관이고 68%는 고등교육 분야에 속했다. 공격자 서버 정보를 분석한 결과, 공격자는 정상 클라우드 서비스로 위장한 맞춤형 메시센트럴(MeshCentral) 에이전트를 사용해 관리 명령을 실행하고 측면 이동 및 화면 변조용 스크립트를 배포한 것으로 확인됐다.이번 공격은 6월9일 샤이니헌터스 데이터유출사이트(DLS)에 공개된 탈취 데이터와 연관된 것으로 분석됐다. GTIG는 오라클 피플소프트 운영 기관에 즉각적인 보안 조치를 권고했다.