목차
오늘 살펴볼 보안·IT 이슈는 개인정보 유출과 업무 시스템 침해가 중심입니다. 놀이의발견에서는 약 6만7,000명의 개인정보 유출이 발생했고, 일본 증권사에서는 정보 유출을 넘어 고객 동의 없는 주식 매매까지 확인됐습니다. 코베이옥션 관리자 사이트의 비정상 접근과 리멤버 회원정보 노출 조사도 접근 통제와 정보 취급 절차를 점검해야 할 사안입니다.
대학의 6년간 유출 집계는 개별 사고 수습을 넘어 보안 투자의 성과와 지속성을 돌아보게 합니다.
1. 놀이의발견, 약 6만7,000명 개인정보 유출
📌 핵심 사실
웅진컴퍼스가 운영하는 ‘놀이의발견’에서 회원 약 6만7,000명의 개인정보가 유출됐습니다. 웅진컴퍼스는 웅진씽크빅 계열사로, 회사는 사고 이후 추가 피해 방지 조치와 보안 체계 점검을 진행한다고 밝혔습니다.
회사는 재발 방지 대책과 개인정보 보호 강화도 추진하겠다는 입장입니다. 다만 제공된 자료에는 유출된 개인정보의 구체적인 항목, 사고 발생·인지 시점, 공격자가 접근한 경로가 제시되지 않았습니다. 추가 피해가 발생했는지도 확인되지 않았습니다.
🔎 IT-Stargazer 보안 분석
회원정보 유출 이후에는 유출 항목에 맞춰 이용자 보호 조치를 안내하는 것이 중요합니다. 연락처 등이 포함됐다면 사칭 연락이나 피싱에 주의하도록 안내할 필요가 있고, 인증정보가 포함됐다면 계정 보호 조치도 달라져야 합니다. 이번 사고에서는 항목이 확인되지 않았으므로 특정 정보가 유출됐다고 전제해서는 안 됩니다.
사용자가 주목한 백오피스 접근 문제는 후속 확인이 필요한 쟁점입니다. 다만 제공된 보도 요약만으로는 이번 사고가 백오피스를 통해 발생했다고 확정할 수 없습니다. 만약 관리 기능에서 개인정보에 접근할 수 있었다면, 해당 시스템의 실제 처리 기능과 권한 구조를 기준으로 보호조치가 적절했는지 점검해야 합니다.
실무적으로는 관리자 접속 경로, 다중요소 인증, 접근 가능 주소 제한, 개인정보 조회·다운로드 권한을 함께 살펴볼 필요가 있습니다. 망분리 등 특정 조치의 법적 적용 여부는 관련 규정과 적용 요건을 확인해야 하며, 외부 접속이 가능했다는 사정만으로 위반 여부를 단정할 수는 없습니다.
2. 일본 증권사 거래시스템 침해, 무단 매매와 4,975명 정보 유출
📌 핵심 사실
일본 증권사의 온라인 거래시스템이 사이버 공격을 받아 고객 동의 없는 주식 매매가 이뤄졌습니다. 이 사고로 고객 4,975명의 정보가 유출된 사실도 전해졌습니다. 개인정보의 기밀성뿐 아니라 거래 처리의 무결성까지 영향을 받은 사건입니다.
공격 원인에 대해서는 증권사와 시스템 운영업체의 설명에 차이가 있습니다. 증권사는 AI를 활용한 공격을 언급했지만, 시스템 운영업체는 일부 관리 기능의 설정 미비점을 제3자가 악용했다고 설명했습니다. 현재 제공된 자료만으로 AI가 공격에서 어떤 역할을 했는지 판단하기는 어렵습니다.
무단 거래의 건수와 금액, 영향을 받은 계좌 수, 거래 복구 여부와 최종적인 금전 피해는 확인되지 않았습니다. 정보가 유출된 4,975명 모두에게 무단 거래가 발생했다고 해석해서도 안 됩니다.
🔎 IT-Stargazer 보안 분석
이번 사건의 핵심은 침해가 정보 열람이나 반출에 그치지 않고 실제 거래 실행으로 이어졌다는 점입니다. 금융 서비스에서는 로그인 단계의 보안뿐 아니라 주문 생성·승인·실행 단계에서 이용자의 의사와 권한을 검증하는 통제가 중요합니다.
다만 무단 매매가 발생했다는 사실이 결제·정산을 포함한 모든 연결 시스템의 통제가 우회됐다는 뜻은 아닙니다. 어느 계정이나 관리 기능이 악용됐고, 어떤 권한으로 거래가 실행됐는지 거래 로그와 관리자 활동 기록을 연결해 확인해야 합니다.
운영을 외부 업체에 맡긴 조직이라면 관리 기능의 설정 책임, 변경 승인, 이상 거래 탐지, 사고 발생 시 거래 제한과 복구 절차를 함께 점검할 필요가 있습니다. ‘AI 공격’이라는 설명보다 재현 가능한 원인 분석과 실제로 작동하지 않은 통제를 확인하는 일이 우선입니다.
3. 코베이옥션 관리자 사이트 비정상 접근, 전체 회원정보 목록 조회
📌 핵심 사실
코베이옥션은 관리자 사이트에서 비정상 접근을 확인하고 개인정보 유출에 대한 사과 공지를 게시했습니다. 회사 조사 과정에서는 전체 회원정보 목록이 조회된 사실이 확인됐습니다.
제공된 자료에는 조회된 개인정보의 구체적 항목과 실제 영향을 받은 회원 수가 제시되지 않았습니다. 목록 조회 이후 별도의 파일 다운로드나 외부 반출이 있었는지도 확인되지 않았습니다. 따라서 ‘전체 목록 조회’와 ‘전체 회원정보 파일 반출’을 같은 사실로 다뤄서는 안 됩니다.
🔎 IT-Stargazer 보안 분석
관리자 사이트는 일반 이용자 화면보다 넓은 범위의 정보를 한 번에 조회할 수 있어, 접근 권한이 침해되면 영향이 커질 수 있습니다. 이번 사건에서는 비정상 접근 주체에게 어떤 정보가 화면이나 응답으로 제공됐는지를 규명하는 것이 중요합니다.
별도 파일 반출이 확인되지 않았다고 해서 개인정보 노출 가능성이 사라지는 것은 아닙니다. 비인가 주체가 조회 결과를 받았다면 그 자체로 정보에 접근했을 수 있으므로, 조회 화면의 필드, 검색 범위, 페이지 이동 기록, 응답 내역 등을 가능한 범위에서 확인해야 합니다.
운영 조직은 관리자 인증 강화와 함께 업무별 최소 권한, 대량 조회 제한, 다운로드 통제, 비정상 조회 탐지를 점검할 필요가 있습니다. API 악용인지 관리자 화면 접근인지 등 구체적인 침입 방식은 자료로 확인되지 않았으므로, 기존 사고 유형에 맞춰 원인을 미리 단정해서는 안 됩니다.
4. 리멤버 회원정보 노출, 개인정보위가 경위 조사
📌 핵심 사실
명함앱 리멤버의 회원정보 노출과 관련해 개인정보보호위원회가 경위를 조사하고 있습니다. 조사에는 해킹 가능성도 포함돼 있으며, 운영사는 외부 해킹으로 발생한 사고가 아니라는 입장을 밝혔습니다.
현재 제공된 자료에서는 노출된 정보의 종류와 규모, 노출 기간, 접근 가능했던 대상이 확인되지 않습니다. 운영사의 설명은 사고 원인에 대한 입장으로 구분해 받아들여야 하며, 조사 결과가 나온 것처럼 해석할 수는 없습니다.
🔎 IT-Stargazer 보안 분석
명함에 담긴 정보가 업무상 교환되는 정보라고 해도, 서비스에 저장된 정보 전체가 공개를 전제로 하는 것은 아닙니다. 보유한 명함과 연결 관계가 함께 드러나는 경우에는 개인의 업무 네트워크를 파악하는 단서가 될 수 있습니다. 다만 이번 사고에서 이러한 관계 정보가 실제 노출됐는지는 확인되지 않았습니다.
사고의 중요성을 판단하려면 단순히 ‘해킹 여부’만 볼 것이 아니라 어떤 데이터가 누구에게, 어떤 조건에서 노출됐는지 확인해야 합니다. 외부 침입이 아닌 경우에도 권한이나 공개 범위 설정, 서비스 처리 과정 등을 점검할 필요가 있지만, 이는 일반적인 점검 항목이지 이번 사고의 확정 원인은 아닙니다.
이용자에게는 확인된 노출 항목과 필요한 조치를 구체적으로 안내하는 것이 중요합니다. 현재 자료에는 로그인 정보의 노출 여부도 제시되지 않아, 인증정보 유출이나 계정 탈취가 발생했다고 단정할 수 없습니다.
5. 대학 개인정보 유출, 최근 6년간 최소 297만6,034개 집계
📌 핵심 사실
최근 6년간 대학에서 해킹과 정보보안 사고로 유출된 개인정보가 최소 297만6,034개로 집계됐습니다. 유출 정보에는 학생·교직원 개인정보뿐 아니라 연구용역 과제 관련 정보도 포함됐습니다.
이 수치는 여러 사고를 합산한 유출 정보의 규모로, 피해자 297만6,034명을 의미한다고 볼 수는 없습니다. 제공된 자료에는 대학별 사고 내역, 중복 포함 여부, 개별 사고의 공격 경로와 이후 개선 조치가 제시되지 않았습니다. ‘최소’라는 표현만으로 미확인 유출량을 추산해서도 안 됩니다.
🔎 IT-Stargazer 보안 분석
대학 보안은 학사·행정 개인정보 보호와 연구 관련 정보 보호를 함께 다뤄야 합니다. 보호 대상의 성격이 다른 만큼 시스템별 데이터 현황과 접근 권한을 파악하고, 중요도와 위험에 따라 관리 우선순위를 정할 필요가 있습니다.
이번 집계만으로 대학 전체의 보안 투자가 부족했다거나 사고 이후 개선이 없었다고 단정할 수는 없습니다. 다만 반복되는 사고를 줄이기 위해 예산과 인력을 어디에 투입했고, 그 조치가 실제로 효과를 냈는지는 검증해야 합니다.
사고 건수나 장비 도입 여부만으로 성과를 판단하기보다 취약점 조치 기간, 불필요한 개인정보 보유량, 장기 미사용 계정 정리, 접근권한 검토와 탐지·대응 시간 등 지속적으로 확인할 수 있는 지표를 운영하는 것이 실무적으로 유용합니다.
오늘의 보안·IT 체크포인트
- 관리자 접근을 별도로 통제하세요. 일반 이용자 인증과 구분해 다중요소 인증, 접속 경로 제한, 최소 권한, 대량 조회 감시가 적절한지 점검할 필요가 있습니다.
- 조회·반출·거래 실행을 구분해 조사하세요. 목록이 조회된 사실과 파일 반출, 무단 거래 발생과 최종 금전 피해는 각각 별도의 증거로 확인해야 합니다.
- 사고 설명보다 검증 가능한 기록을 우선하세요. AI 활용 여부나 외부 해킹 여부에 대한 발표와 별개로 인증·관리자 활동·데이터 조회·거래 로그를 연결해 원인과 영향을 규명해야 합니다.
- 통지는 확인된 정보와 필요한 행동을 중심으로 구성하세요. 유출 항목, 영향 범위, 이용자 보호 조치, 추가 안내 계획을 구분하고 미확인 사항은 명확히 밝혀야 합니다.
- 보안 개선은 도입이 아니라 효과로 평가하세요. 개인정보 보유 최소화, 권한 정비, 취약점 조치와 대응 시간 등 점검 가능한 지표로 개선의 지속성을 확인할 필요가 있습니다.
참고한 기사
아래 자료를 바탕으로 여러 보도를 종합하여 작성했습니다.
웅진컴퍼스 ‘놀이의발견’서 6만7000명 개인정보 유출…“보안 관리 강…
- 웅진컴퍼스 ‘놀이의발견’서 6만7000명 개인정보 유출…“보안 관리 강…
- [단독]웅진씽크빅 계열사 웅진컴퍼스에서 6만7000명 개인정보 유출
- 웅진컴퍼스 해킹…회원 6만7000명 정보 유출
日증권사 거래시스템 뚫려…고객 몰래 주식 매매·4975명 정보 유출
[단독] 코베이옥션, 개인정보 유출 사과…“전체 회원정보 목록 조회”
명함앱 ‘리멤버’ 회원정보 노출… 개인정보위, 유출 경위 조사나서
[단독] 6년간 대학서 유출된 개인정보만 최소 297만개