月光愛靑狼

1. 개요

• 위버스컴퍼니는 2026년 9월 3일 한국인터넷진흥원(KISA)으로부터 외부 정보보안 취약점 신고 내용을 접수한 직후 내부 점검을 시작했고, 그 결과 일부 고객의 개인정보가 유출된 사실을 확인했습니다.
• 유출 규모는 계정 ID 기준으로 총 422,584건이며, 회사는 9월 4일 KISA에 유출 신고를 완료하고 공식 사과와 함께 재발 방지 대책을 발표했습니다.

2. 피해범위

• 유출된 건수는 422,584건(계정 ID 기준)으로, 위버스 플랫폼 내 특정 결제·식별 관련 데이터가 포함된 일부 계정이 대상입니다.
• 회사는 “이름, 연락처 등 직접 식별 정보나 로그인 인증 수단(비밀번호 등)은 포함되지 않았다”는 입장을 밝혔습니다.

3. 유출항목

 - 유출 항목은 크게 두 부류로 정리됩니다.

• 개인식별성이 낮은 결제 관련 정보: 결제 수단, 결제 게이트웨이(PG)사명, 통화 종류, 구매 금액 및 시간, 환불 시간 등 시스템 내부 식별자: 회원가입 시 사용자 식별을 위해 시스템 내부에서 생성된 ‘내부 식별 정보(내부 고유 번호)’
• 위버스컴퍼니는 “내부 식별 정보는 이름·연락처처럼 개인을 직접 특정할 수 있는 정보가 아니며, 내부 시스템에서만 사용되는 식별자이므로 외부에서 단독으로 악용하기 어렵다”고 설명했습니다.

4. 원인

• 직접적인 기술적 원인은 외부 신고자가 발견한 서비스 보안 취약점을 통해 일부 데이터에 접근이 가능했던 것으로 보입니다.
• 회사는 “외부 노출 API에 대한 전면 재검토, 배포 프로세스 통제 강화, 보안 모니터링 민감도 제고” 등을 재발 방지 과제로 꼽아, API 접근 제어 및 배포·모니터링 과정에서의 취약점이 원인으로 작용했음을 시사했습니다.

5. 대응

• 위버스컴퍼니는 취약점 신고 접수 직후 내부 점검과 비상 대응을 진행했고, 결제 정보 처리 API에 대한 접근 제어를 즉시 강화했습니다.
• 내부 식별 정보 제거 등 보안 조치를 완료했으며, 9월 4일 KISA에 유출 신고를 마쳤습니다.
• 관련 법령에 따라 피해 이용자에게 별도 안내 절차를 진행 중이며, 비정상 접근을 통해 정보를 획득한 외부 행위자에 대해서는 정보 반환 요청 및 법적 책임 추적을 진행하겠다고 밝혔습니다.
• 재발 방지를 위해 외부 노출 API 전면 재검토, 배포 프로세스 통제 강화, 보안 모니터링 강화 등을 약속했습니다.

6. 문제점

• 외부 신고를 통해서야 취약점과 유출 사실이 확인된 점은 사내 탐지·모니터링 체계의 한계를 보여줍니다.
• 결제·식별 관련 API가 외부에 노출된 상태에서 접근 제어가 충분하지 않았을 가능성이 제기되며, 이는 API 보안과 배포 과정의 통제 미흡으로 해석됩니다.
• 유출 항목이 직접 식별 정보는 아니라고 하지만, 결제 패턴과 내부 식별자가 결합될 경우 프로파일링 등 2차 악용 우려가 완전히 배제되기 어렵다는 점에서 투명한 영향도 분석과 이용자 안내의 구체성이 요구됩니다.

과학기술정보통신부(부총리 겸 과학기술정보통신부 장관 배경훈, 이하 “과기정통부”)는 티빙 침해사고에 대한 민관합동조사단(이하 “조사단”)의 조사 결과를 9월 3일(목)에 발표하였다.

Ⅰ. 티빙 침해사고 개요

지난 5.30일 티빙 데이터베이스(DB) 서버의 작업량 과다로 인해 시스템 과부하 현상이 발생하였다.

티빙은 이상징후를 분석하는 과정에서, 비인가자가 내부 서버에 무단 접근하여 이용자 정보를 조회한 사실을 인지하고, 6.1일 한국인터넷진흥원(원장 이상중, 이하 “KISA”)에 침해사고를 신고하였다.

과기정통부는 6.2일 KISA와 함께 현장조사를 착수하여 사고현황을 파악하였다. 이어, 6.3일 침해사고 조사 심의위원회* 심의를 거쳐 민관합동조사단을 구성하고, 피해규모와 사고원인 등에 대한 조사를 진행하였다.

* 침해사고에 선제적 대응을 위해 신설될 법정 위원회(‘26.10.1)로, ‘26.5.19부터 사전 가동

Ⅱ. 조사 범위

조사단은 티빙 이용자 정보 데이터베이스(DB)에 대한 비정상 접근으로 정보가 유출된 사실을 확인하고, 티빙 내부 시스템 접근에 필요한 접속키 탈취 경위부터 공격자가 침투한 경로, 정보유출 규모 및 정보보호 관리체계 등으로 조사범위를 설정하였다.

먼저, 티빙 시스템 침투에 악용된 접속키 탈취경위를 파악하기 위해 개발자 단말기(총 9대, 노트북 8대, PC 1대)에 대해 포렌식 분석을 실시하고, 다양한 공격 시나리오를 정밀 분석하였다.

또한, 보안장비, 데이터베이스(DB) 및 티빙 시스템의 로그(접속기록)를 연계 분석하여 공격자가 침투한 경로를 조사하였다. 이를 통해 유출된 정보의 종류와 피해 규모를 확인하고, 그에 따른 피해 영향도를 분석하였다.

아울러, 정보통신망법에 따른 정보보호조치에 관한 지침, 정보보호 관리체계 인증(ISMS) 기준, 티빙 자체규정에 대한 준수여부 및 정보보호 노력 및 역량 등 전사 차원의 정보보호 관리체계를 점검하였다.

Ⅲ. 피해 규모

조사단은 공격자가 티빙 시스템 내부에 무단 침투하여, 소스코드가 포함된 개발 프로젝트와 이용자 정보를 유출한 것을 확인하였다.

< 기술자산 유출 >

조사단은 티빙 개발환경 보안로그를 분석한 결과, 개발자가 구축 또는 개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 유출되었음을 확인하였다.

개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 OTT 서비스 ‘티빙(TVING)’을 운영·관리하기 위한 기술 자산이 포함되어 있었다.

< 기술자산 유출에 따른 영향 >

< 이용자 정보 유출 >

조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해, 로그인이 가능한 활성화 계정 2,206만 개, 비활성화 계정 1,737만 개(휴면 계정 850만 개, 탈퇴 계정 887만 개), 테스트 계정 11만 개 등 3,954만 개 계정(중복 포함)이 유출되었음을 확인하였다.

※ 세부 수치는 반올림한 값으로, 합계가 일부 차이가 있을 수 있음

< 계정 상태에 따른 구분 >

※ 활성화 계정 : 티빙 서비스 로그인이 가능한 상태의 계정

휴면 계정 : 1년 이상 미접속하여 비활성화된 계정 * ’23.10월 이전에 한해 적용

탈퇴 계정 : 회원탈퇴로 비활성화된 계정 * 전자상거래법 등 타 법에 따른 보관 의무 有

티빙의 3,954만 개 계정은 동일인이 다수의 계정을 보유할 수 있는 구조로 중복이 포함되어 있으며, 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례를 확인하였다.

또한, 가입 방식을 기준으로, 티빙 자체가입 726만 개, CJ ONE 통합회원 863만 개, SNS 간편가입(네이버, 카카오, 페이스북, 애플, X(구 트위터) 등) 2,247만 개 등으로 확인되었다.

< 가입 방식에 따른 구분 >

조사단은 침해사고로 유출된 정보가 △ID, △비밀번호(일방향 암호화), △CJ ONE 통합ID, △성명, △휴대전화 번호, △이메일 주소, △생년월일, △연계정보(CI)* 등을 포함하여 20개 항목(70종)임을 확인하였다.

* 연계정보(CI) : 주민등록번호를 대체하여, 개인을 식별하기 위한 고유값으로, 티빙 서비스 유료결제, 성인인증 등을 위한 본인인증 과정에서 생성·수집

유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태로 유출되었으나, 암호화키가 함께 유출되어 복호화가 가능함에 따라 평문으로 유출된 정보와 동일한 수준으로 판단하였다.

한편, 비밀번호는 일방향 암호화된 상태로 유출되었으며, 평문으로 복호화가 불가능한 상태임을 확인하였다.

< 유출 항목(20개 항목, 70종) >

※ DB 보유기간 : ‘11.03.01~’26.05.31 / 규모 : 데이터베이스 약 3.5TB 및 보안장비 로그 약 5TB

다만, 연계정보(CI) 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이가 존재하였다. 연계정보(CI) 보유 계정의 경우 더 많은 정보가 유출된 것으로 나타났다.

유출정보를 분석한 결과, 연계정보(CI) 보유 계정 1,904만 개(중복 제거 시 1,324만 개 계정)는 평균 11.1개 항목(17.6종) 유출, 연계정보(CI) 미보유 계정 2,040만 개는 평균 4.6개 항목(5.9종) 유출을 확인하였다.

특히, 연계정보(CI) 미보유 계정은 본인인증 절차를 거치지 않은 만큼, 성명, 휴대전화 번호, 이메일주소 등 정보가 누락되었거나 유효하지 않은 부정확한 데이터인 경우도 다수 존재함을 확인하였다.

※ (예시) 성명 : 123456789 / 휴대전화 번호 : 017-234-5678 / 이메일 주소 : 미입력

성명 : ㅇㅅㅂ / 이메일 주소 : Honggildong@naver.com.com

구체적인 개인정보 유출 규모는 개인정보보호위원회에서 유출 항목에 대한 상세 분석을 진행한 이후에 발표할 예정이다.

< 이용자 정보 유출에 따른 영향 >

< 계정 특성별 평균 유출정보(예시) >

※ 계정 특성별 유출 건수가 많은 항목을 표기 / 계정별 유출 정보는 상이

Ⅳ. 사고원인 분석

조사단은 공격자가 티빙 개발자의 ‘개발환경 접속키’를 탈취하여, 시스템 내부(개발환경, 운영환경)에 침투한 것을 확인하였다.

조사단은 유출 경로를 ①개발환경 침투, ②운영환경 접근 및 관리권한이 부여된 ‘운영환경 접속키’ 탈취, ③운영환경 침투, ④1차 유출 시도, ⑤2차 유출 시도 및 대규모 정보유출 등 5단계로 구분하였다.

<< 티빙 개발환경 침투 : 5.29(금) 14:42 ~ 5.29(금) 22:12 >>

① 개발환경 침투 및 프로젝트 유출

공격자는 개발자가 보유하고 있는 ‘개발환경 접속키’를 사전 탈취하여, 티빙 개발환경에 무단 접속하였다.

그 이후, ‘개발환경 접속키’를 악용하여 개발환경에서 접근 가능한 개발 프로젝트 361건 전체를 유출하였다. 공격자는 1차 공격 당시 14개 개발 프로젝트를 유출하고, 2차 공격에서 361개 개발 프로젝트 전체를 유출한 것을 확인하였다.

한편, 조사단은 ‘개발환경 접속키’ 탈취경로 확인을 위해 악용된 ‘개발환경 접속키’를 사용하고 있는 개발자를 특정하여 단말기 포렌식 분석을 실시하였고,

△피싱, △악성코드, △공급망 공격, △‘개발환경 접속키’ 공유·오남용, △취약점 악용 등 다양한 공격 시나리오를 정밀 분석하였으나, 확인이 불가능했다. 다만, 그 과정에서 키 관리체계 부실, 로그 보관기관의 한계* 등 티빙 정보보호 관리체계 상 문제점을 확인하였다.

* 티빙 시스템(VPN) 접속기록 6일 저장, 티빙 개발환경 접속기록 90일 저장

< 조사단 조사내용 >

② 운영환경 접근 및 관리권한이 부여된 ‘운영환경 접속키’ 탈취

공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 티빙 운영환경에 침투할 수 있는 ‘운영환경 접속키’를 확보하였다.

조사단은 당시 티빙이 보유한 개발 프로젝트 361건에 총 43개의 ‘운영환경 접속키’가 포함되어 있음을 확인하였다.

< 운영환경 침투가 가능했을 것이라 판단한 사유>

<< 티빙 운영환경(AWS) 침투 : 5.29(금) 15:15 ~ 5.31(일) 22:20 >>

③ 운영환경 침투 및 데이터베이스 접속정보 확보

공격자는 확보한 ‘운영환경 접속키’로 운영환경 내부에 접근하였다. 그 이후, 관리자 권한 보유 여부 등 키 권한 및 정보유출에 활용할 수 있는 내부 시스템 등을 탐색하였다.

< 운영환경 접속키 분석결과 >

이 과정에서 이용자 정보가 저장된 데이터베이스(DB)에 접근할 수 있는 접속정보(ID, PW)가 암호화되지 않고 평문으로 저장되어 있는 것을 확인하고, 이를 탈취하였다.

④ 1차 정보유출 시도 : 5.30(토) 09:22 ~ 5.30(토) 18:58

공격자는 확보한 ‘운영환경 접속키’와 데이터베이스(DB) 접속정보(ID, PW)를 활용하여 클라우드 저장소에 정보유출형 공격 도구(스크립트)*를 삽입하고, 해당 저장소와 연동된 데이터베이스(DB)에 접속하여 이용자 정보 조회 및 정보유출을 시도하였다.

* 공격자가 정보유출을 위해 자체 제작한 스크립트로 확인(20종)

다만, 유출 과정에서 데이터베이스(DB) 서버의 작업량 과다로 인해 서버 CPU 이용률이 100%로 급상승(‘26.5.30 18:00)함에 따라 이상징후 알림이 발생하였다.

티빙은 이상징후 알림을 확인하고, 해당 작업을 차단 조치하였다.

⑤ 2차 정보유출 시도 및 대규모 정보유출 : 5.31(일) 19:00 ~ 5.31(일) 22:20

공격자는 가상서버 생성권한이 있는 ‘운영환경 접속키’*를 이용하여, 운영환경 내부에 가상서버를 생성한 후, 이를 정보유출을 위한 통로로 악용하여 대규모 정보유출을 하였다.

※ 1차 정보유출 시도에 사용된 접속키와 별개의 키

데이터베이스(DB)에 있는 이용자 정보를 공격자가 생성한 가상서버로 일괄 저장(24GB 규모)하고, 외부에 있는 서버로 유출하였다. 그 이후에 관련 흔적을 없애기 위해 가상서버를 삭제하였다.

이 과정에서는 1차 시도와 달리, 데이터베이스(DB) 서버 작업량 과다로 인한 이상징후 알림이 발생하지 않았다.

< 이상징후 미발생 사유 >

Ⅴ. 문제점 및 재발방지 대책

조사단은 조사를 통해 티빙의 정보보호 체계에 문제점을 발견하고 재발방지 대책을 마련하였다.

< 키 관리체계 미비 >

티빙은 키 관리가 부실하여, 오남용 및 유출로 인해 공격에 악용될 수 있는 단초를 제공하였다. 티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하거나, 암호화 처리를 통한 숨김없이 평문으로 저장하였다. 또한, 사내 메신저 등을 통해 타인과 무분별하게 공유한 사실을 확인하였다.

< 조사단 확인내용 >

특히, 접근권한은 업무 목적에 따라 필요 최소한으로 부여하여야 함에도, 티빙은 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여하였다. 이로 인해, 공격자가 단 한 개의 ‘개발환경 접속키’를 탈취한 경우에도 모든 개발 프로젝트에 접근할 수 있었다.

또한, 키 발급·사용·변경·폐기 및 정기점검 등을 위한 관리절차를 수립하여야 함에도, 관련 체계가 부재하였다.

⇒ (재발방지 대책) 티빙은 키 관리·통제·접근권한 체계를 구축하고, 운영관리 기준을 명확화해야 한다. 또한, 키 발급·사용 이력 관리를 위한 체계 구축 및 상시 점검을 실시하여야 한다.

< 비정상 행위 탐지·대응 및 모니터링 체계 부재 >

티빙은 공격자의 비정상 행위가 발생했음에도, 해당 공격행위를 탐지·대응하지 못했다. CPU 부하 등 단순 모니터링에만 의존하였으며, 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재하였다.

또한, 권한 없는 자의 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책이 부재하였다.

※(예시) 인가된 IP에 한해 접근 허용(IP ACL), 다중인증(MFA) 등 인증체계 강화

⇒ (재발방지 대책) 티빙은 비정상 행위 탐지 및 대량 데이터 조회 모니터링 체계를 강화하여야 한다. 그리고, 인가된 사용자 및 단말기(PC, 노트북 등)에 한해 시스템 내부에 접근할 수 있도록 접근제어 정책을 강화하여야 한다.

< 정보보호 거버넌스 미흡 >

티빙은 전체 임직원은 265명, 개발인력은 149명 규모임에 반해, 정보보호 전담인력은 4명 내외(외주인력 제외)로 구성되어 있었다. 조사단은 현 인력 수준으로는 상시 보안관제, 취약점 점검 및 비정상 행위 모니터링 등 다양한 정보보호 활동을 수행하는 데 한계가 있을 것이라 판단하였다.

이와 함께, 침해사고 발생 시 초동조치를 위한 부서 간 신속한 상황전파 및 협업체계가 미흡한 사실을 확인하였다. 실제 이상징후 발생 시점(5.30 18:00)으로부터 약 14시간이 지난 후에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황 공유가 되었다.

※티빙 자체규정「침해사고 및 보안사고 대응절차」

(정보보호 최고책임자(CISO) 주요 대응업무 : 보안사고 조사 및 대응 총괄)

⇒ (재발방지 대책) 티빙은 충분한 정보보호 전담인력·예산을 확보하고, 정보보호 전담부서 역할 및 부서 간 협업·대응체계를 재정립하여야 한다.

< 정보보호 활동 미흡 >

티빙은 ’24년 모의해킹 결과, ‘개발·운영환경 접속키’를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하는 취약점을 발견하였음에도, 개선 조치하지 않았다.

또한, 시스템 로그를 관리하고 있으나, 선별적 저장·관리로 인해 신규 장비(VPN)에는 로그관리 정책이 제대로 적용되지 않아 약 6일 간의 접속기록만 보관되고 있었다.

조사 과정에서, 업무용 PC 대상 백신 소프트웨어(SW) 설치 및 최신버전 관리 등 정기적 보안점검이 미흡한 사실도 확인하였다.

※티빙 자체규정「정보보호지침」 제24조(정보처리기기 관리 및 IoT 기기 관리)

⇒ (재발방지 대책) 티빙은 로그 저장관리 정책을 수립하고, 모의해킹 등 주기적 취약점 점검을 실시하고 발견된 취약점에 대한 조치체계를 강화하여야 한다. 아울러, 자체 보안규정 준수 여부를 정기적으로 점검하고, 미준수 사항을 즉각 개선할 수 있는 관리체계를 구축하여야 한다.

< 법 위반사항 : 침해사고 신고 지연>

티빙은 정보통신망법 제48조의3에 따라 침해사고를 인지한 후 24시간 이내에 과기정통부 또는 KISA에 신고하여야 한다. 그러나, 정보보안팀에 상황을 전파한 시점(‘26.5.31 10:10)으로부터 24시간이 지난 후 KISA에 신고(’26.6.1 15:08)하였다.

※ (침해사고 인지시점) 침해사고 발생을 알게 된 때는 정보보호 담당자, 정보보호 담당부서의 장, 정보보호 최고책임자, 기업 대표자 등이 정보통신망법 제2조에 정의된 침해사고의 발생을 알게 된 때를 말한다.(정보통신분야 침해사고 대응 안내서, ’25.8월)

⇒ (조치 사항) 정보통신망법에 따른 과태료를 부과할 예정이다.

※ 정보통신망법 제76조에 따라 3천만원 이하 과태료 부과 대상

Ⅵ. 향후 계획

< 티빙 침해사고 이행점검 >

과기정통부는 이번 조사단 조사결과를 토대로, 티빙에 재발방지 대책에 따른 이행계획을 제출(9월)토록 하고, 티빙의 이행(10~12월) 여부를 점검(‘27.1월~)할 계획이다. 이행점검 결과, 보완이 필요한 사항에 대해서는 정보통신망법 제48조의4에 따라 시정조치를 명령할 계획이다.

< 국가 전반의 정보보호 역량 강화를 위한 「정보보호 종합대책」 후속조치 >

한편 안보실 중심으로 과기정통부와 관계부처가 합동으로 수립한 ｢제1차 및 제2차 범부처 종합대책｣(’25.10월, ’26.1월)을 통해 전 국가적인 정보보호 역량 강화를 추진해 왔다.

과기정통부와 개인정보보호위원회(이하 ‘개인정보위’)는 각각 국민 생활과 밀접한 기업들과 통신 3사, 상조·금융 분야 및 고객센터·에듀테크·의료 분야 등에 대한 점검을 추진하였으며, 양 부처가 ｢정보보호 및 개인정보보호 관리체계* (ISMS·ISMS-P) 인증제 실효성 강화방안｣을 수립(’26.4월)하고 내년까지 순차적으로 인증 제도 전반을 개선해 나갈 예정이다. 이에 더해 과기정통부는 관계기관(국가정보원, 한국인터넷진흥원)과 함께 국내 최초로「보안 취약점 신고·조치·공개(CVD/VDP**) 제도」 시범 사업(’26.5월)을 추진하는 등 침해 사고에 대한 예방･대응 역량을 제고하는 정책을 추진하고 있다.

* ISMS·ISMS-P(Personal Information & Information Security Management System): 주요 정보자산 유출 및 피해 예방을 위해 기업 또는 기관이 구축․운영 중인 개인정보 및 정보보호 체계가 적합한지 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거)

** 화이트해커가 자사 취약점을 합법적으로 찾고 신고할 수 있도록 하는 ‘취약점 공개 정책’ (VDP : Vulnerability Disclosure Policy)과 ‘신고된 취약점을 조치한 이후에 공개하는 정책’ (CVD : Coordinated Vulnerability Disclosure)을 의미

정부는 관련 법적 제도를 완비하는 데에도 박차를 가하고 있으며, 올해 9월과 10월부터 주요 개정 법안이 시행될 예정이다.

먼저 이번 달 11일부터 개정된 개인정보보호법이 시행되어 개인정보 유출에 대해 엄정하게 제재하고 사전예방을 위한 투자를 촉진하게 된다. 반복적이거나 고의·중과실 등에 의한 대규모 개인정보 유출 발생 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 하고, 사전 예방적 개인정보 보호 투자와 연계한 과징금 감경제를 도입하며 개인정보처리자가 ‘유출 등의 가능성이 있음을 알게 되었을 때’에도 지체없이 정보 주체에게 통지하도록 하였다.

이어 10월 1월부터 개정된 정보통신망법이 시행됨에 따라 사이버 침해사고의 예방부터 대응에 이르는 제도 전반이 실효성 있게 운영된다. 주요 기업은 정보보호 인력, 예산을 확충해야 하며, 정부가 기업의 해킹사고 정황을 확보했을 경우 기업의 신고 전에도 조사에 착수할 수 있는 근거가 마련된다. 또한 재발방지 대책을 불성실하게 이행한 기업에 대한 이행강제금이 신설되는 등 기업의 책임성이 강화된다.

과기정통부와 개인정보위는 관련 법이 차질없이 시행될 수 있도록 만전을 기하고, 법 시행 이후에도 현장에서 잘 적용될 수 있도록 이행상황을 지속 점검할 계획이다.

https://www.msit.go.kr/bbs/view.do?sCode=user&mId=307&mPid=208&bbsSeqNo=94&nttSeqNo=3187739

◎ 배경 및 개요

• 2026년 8월, 한 개발자가 멀티포인트 블루투스 헤드폰으로 음악을 듣다가 이상한 현상을 발견했습니다.
• PC와 폰에 동시 연결된 헤드폰은 평소 PC에 오디오가 없으면 폰으로 넘어가도록 설정되어 있었는데, AliExpress 홈페이지를 Firefox나 Chrome에서 열자 폰 재생이 멈추고 헤드폰이 계속 PC를 활성 오디오원으로 인식했습니다.
• 탭을 닫자마자 정상 동작이 돌아왔지만, 탭·브라우저·Windows 음소거로는 해결되지 않았습니다.
• 화면엔 재생기도, 소리도 없었습니다. 원인을 추적하다 드러난 것은 '소리 없는 WebAudio 핑거프린팅'이었습니다.
• 이 사건은 브라우저 핑거프린팅(Browser Fingerprinting)이 얼마나 은밀하게 작동하는지를 보여줍니다.
• 핑거프린팅은 웹사이트가 자바스크립트와 CSS를 실행해 브라우저와 운영체제의 구별 가능한 특징들을 수집·조합해 하나의 고유 식별자를 만들어내는 기법입니다.
• IP 주소나 쿠키 같은 전통적 추적 수단이 아니라, 브라우저가 웹사이트에 자동으로 노출하는 설정과 렌더링 결과 자체를 지문처럼 활용합니다.
• 전자프론티어재단(EFF)은 2010년 '팬옵틱클릭(Panopticlick)' 프로젝트로 브라우저가 얼마나 고유한지를 통계적으로 입증했고, 이 프로젝트는 2020년 'Cover Your Tracks'로 리브랜딩되어 현재까지 운영됩니다.
• EFF는 핑거프린팅을 "쿠키 삭제로도 막을 수 없고, 탐지와 저지가 극히 어려운 강력한 추적 방식"으로 정의합니다.

◎ 주요 변경 사항

 - 최근 브라우저 생태계에서 핑거프린팅 방어와 관련해 의미 있는 변화가 연달아 일어났습니다.

첫째, 서드파티 쿠키 폐지 계획이 사실상 철회되었습니다.

• 구글은 수년간 Chrome에서 서드파티 쿠키를 단계적으로 폐지하겠다고 발표해 왔으나, 2025년 4월 사용자 선택 프롬프트(Choice Prompt) 계획마저 철회하며 서드파티 쿠키를 현행대로 유지하기로 했습니다. 
• 쿠키가 폐지되면 핑거프린팅으로의 수요가 오히려 커질 수 있었는데, 구글의 방향 전환은 다소 완화하는 결과를 낳았습니다.

둘째, 구글이 Privacy Sandbox 대부분의 API를 폐기합니다.

• 2025년 10월 17일, 구글은 Attribution Reporting, Topics, Protected Audience, Private Aggregation, IP Protection 등 10개 Privacy Sandbox 기술을 저채택을 이유로 폐기(Retire)한다고 공식 발표했습니다. 
• 구글이 유지하는 것은 CHIPS, FedCM, Private State Tokens 세 가지뿐입니다. 
• 특히 서드파티 컨텍스트에서 실제 IP 주소를 프록시로 가리고 대략적 지리 정보만 노출해 IP 기반 추적을 막으려 했던 'IP Protection'도 폐기 대상에 포함되었으며, Google의 Privacy Sandbox 상태 페이지에서는 현재 'Discontinue / Scheduled for phaseout' 상태로 안내되고 있습니다.

셋째, 파이어폭스·사파리·브레이브 등은 핑거프린팅 방어를 기본값으로 계속 강화하고 있습니다.

• 서드파티 쿠키 정책과 무관하게, 브라우저 벤더들은 캔버스·폰트·오디오·하드웨어 정보 등 고엔트로피 신호의 노출을 줄이거나 무작위화하는 방향으로 정책·API를 바꾸고 있습니다.

◎ 상세 기능 설명

• 핑거프린팅에 사용되는 신호는 크게 수동(Passive) 신호와 능동(Active) 신호로 나뉩니다.
• 수동 신호는 브라우저가 기본적으로 노출하는 값들로, 사용자 동의나 프롬프트 없이 수집됩니다.
• 대표적으로 User-Agent 문자열, HTTP Accept 헤더, 화면 해상도와 색상 심도, 시간대, 시스템 언어, 플랫폼 정보 등이 있습니다.

 - 능동 신호는 브라우저가 코드를 실행해 그래픽·오디오·하드웨어 특성을 렌더링한 결과를 비교하는 방식입니다.

  > 캔버스(Canvas) 핑거프린팅:

• 화면에 보이지 않는 텍스트·이미지를 그린 뒤 픽셀 데이터를 해시로 추출합니다.
• GPU·드라이버·폰트 렌더링 차이가 미세한 픽셀 차이로 드러나 고유 값을 만듭니다.

  > WebGL 핑거프린팅:

• GPU 벤더와 렌더러 문자열, 셰이더 정밀도 정보를 수집합니다.

  > 오디오(WebAudio) 핑거프린팅:

• 이것이 바로 앞선 AliExpress 사건의 핵심입니다.
• 브라우저가 내부적으로 오디오 파형을 생성·처리한 뒤 그 수치 결과를 읽어 기기·CPU·브라우저 차이를 지문화합니다.
• AliExpress는 '톱니파 오실레이터 → AnalyserNode → ScriptProcessorNode → GainNode(게인 0) → AudioContext.destination' 구조의 음소거 오디오 그래프를 만들었습니다.
• 최종 게인을 0으로 해 소리는 나지 않지만, 그래프를 AudioContext.destination에 연결한 채로 둬 오디오 파이프라인을 활성화시켰고, 그것이 블루투스 라우팅까지 영향을 준 것입니다.
• 두 개의 난독화 스크립트(collina.js, fireyejs.js)가 알리바바 AWSC 반남용 인프라 아래에서 실행되었습니다.

  > 폰트 감지:

• 설치된 폰트 목록과 렌더링 측정값으로 식별도를 높입니다.

 - AliExpress 사건에서 주목할 점은 오디오가 단독으로 쓰이지 않았다는 것입니다.

• 같은 스크립트 묶음이 캔버스·WebGL·화면 크기·폰트·플러그인·코덱·WebRTC는 물론 마우스·터치·스크롤·기기 방향까지 수집한 뒤, 결과를 직렬화·암호화해 fetch() 또는 sendBeacon()으로 알리바바 텔레메트리 서버로 전송했습니다. 
• 2022년 IMC 학회 연구(2,093명·57개국)에 따르면 오디오만으로는 95개 군집·2.803비트의 정보량을 갖지만, 캔버스(6.109비트)에 오디오를 더하면 6.699비트로 약 9.6% 증가합니다. 
• 즉 오디오는 단독 식별자라기보다 다른 신호와 겹쳐 후보군을 좁히는 보조 신호로 쓰입니다.
• 이런 신호들이 조합되면 단 한 번의 페이지 로드만으로도 매우 높은 수준의 고유성이 만들어집니다.
• 쿠키를 지워도, 시크릿 모드를 켜도 브라우저의 물리적 특성 자체가 지문이 되기 때문에 추적이 지속됩니다.

◎ 기획 의도/기술적 개선

• 최근 브라우저들의 방어 철학은 '사용자를 완전히 숨기는 것'이 아니라 '많은 사용자와 비슷하게 보이게 하는 것(Uniformity)'과 '세션 간 값을 바꾸어 연결을 끊는 것(Randomization)'으로 나뉩니다.

 - 파이어폭스는 Enhanced Tracking Protection(ETP) 아래 두 가지 계층으로 방어합니다.

• 'Known Fingerprinters Protection'은 Disconnect의 핑거프린터 차단 목록에 있는 스크립트를 차단하고, 'Suspected Fingerprinters Protection'은 차단이 불가능할 때 정보 노출 자체를 제한합니다.
• 캔버스 이미지에 무작위 노이즈를 넣고, 비표준 로컬 폰트 사용을 막으며, 터치 수와 프로세서 코어 수·화면 해상도 값을 단순화합니다. Strict 모드와 사생활 보호 모드에서 기본 활성화됩니다. 
• 특히 오디오 핑거프린팅에 대해 Firefox 118 이상은 WebAudio 결과를 정규화해, 텔레메트리상 99.24%의 사용자가 단 세 개의 값(비-FMA x86/x64, x64 FMA, ARM NEON)에만 해당합니다.
• AliExpress 코드를 분석한 파이어폭스 수석 프라이버시 엔지니어 Tom Ritter는 "현대 Firefox에서는 오디오만으로 개별 기기를 강하게 식별하기 어렵다"고 설명했습니다.

 - 사파리/WebKit은 Intelligent Tracking Prevention(ITP)으로 서드파티 쿠키를 예외 없이 차단하고, 스토리지와 캐시를 퍼스트파티 단위로 파티셔닝합니다.

• User-Agent를 마이너 업데이트에 따라 변경하지 않도록 고정하고, Do Not Track 플래그를 제거했으며, 폰트는 OS 번들·웹폰트·웹 안전 폰트로만 제한합니다.
• 더 나아가 핑거프린팅 가능성을 높이는 API는 아예 구현하지 않는 원칙을 따르며, Web Bluetooth·Battery Status API·Device Memory API 등을 보류하고 있습니다.

 - 브레이브는 '파블링(Farbling)'이라 불리는 무작위화 기법으로, 식별 가능한 값에 인간이 눈치채지 못할 정도의 미세한 무작위성을 주어 지문이 세션·사이트마다 달라지게 만듭니다.

• 2020년부터 캔버스와 WebAudio 모두에 사이트별·세션별 파블링을 적용해 왔습니다.

 - 반면 크롬의 입장은 다릅니다.

• EFF는 구글이 세계 최대 브라우저 기업이자 동시에 세계 최대 광고 기업이라는 '구조적 이해상충'을 지적합니다.
• 알파벳 수익의 약 86%가 광고에서 발생하고, 구글 추적 코드는 상위 100만 개 웹사이트 중 약 3/4에 삽입되어 있습니다.
• EFF는 구글이 "사용자가 원하든 원하지 않든 온라인 활동에 대한 정보를 최대한 빨아들이는 것처럼" 크롬을 만든다고 비판하며, 시크릿 모드조차 구글의 추적으로부터 사용자를 보호하지 못한다고 지적했습니다. 
• 실제로 구글은 시크릿 모드에서도 사용자를 추적한 혐의로 소송을 합의하며 수십억 건의 데이터 삭제에 동의했습니다. 
• 브라우저 비교 평가에서도 크롬의 핑거프린팅 보호는 '약함(weak)/없음(none)'으로, 파이어폭스·브레이브의 '강함(strong)'과 대비됩니다. 
• 즉 크롬은 광고 수익 구조상 추적 표면을 적극적으로 차단하기보다 일정 부분 열어두는 인센티브를 갖는다는 비판을 피하기 어렵습니다.

◎ 사용방법/가이드

 - 사용자 관점에서 가장 효과적인 조치는 다음과 같습니다.

  > 브라우저의 기본 추적 보호를 켜세요.

• 파이어폭스는 설정에서 ETP를 '엄격'으로 올리고, 사파리는 설정 > 사생활 보호에서 '사이트 간 추적 방지'를 켭니다.
• AliExpress 같은 WebAudio 핑거프린팅도 파이어폭스 정규화·브레이브 파블링으로 상당 부분 약화됩니다.

  > 핑거프린팅 전용 브라우저를 고려하세요.

• EFF는 일상적 사용에서 가장 현실적인 보호로 Tor Browser를 꼽습니다.
• Tor는 브라우저 지문을 최대한 동질화하도록 설계되었습니다.

  > 확장 프로그램은 최소로 쓰세요.

• Privacy Badger나 Disconnect는 알려진 핑거프린터 도메인을 일부 차단하지만, 확장을 너무 많이 설치하면 오히려 설치된 확장 목록 자체가 고유한 지문이 됩니다.

  > 자가 점검을 해보세요.

• EFF의 Cover Your Tracks에서 자신의 브라우저가 얼마나 고유한지, 방어가 켜져 있는지 확인할 수 있습니다.

 - 개발자·보안팀 관점에서는 핑거프린팅이 사기 방지와 사용자 식별이라는 양날의 검임을 이해해야 합니다.

• 보안·사기 탐지 관점에서는 캔버스·WebGL·오디오 지문을 위험 신호(Risk Signal)로 활용할 수 있지만, 동시에 사용자 프라이버시를 침해할 수 있으므로 데이터 최소화 원칙을 따르고 수집 목적·보유 기간을 명확히 해야 합니다.
• 또한 Chrome에서 IP Protection이 단계 폐지 중이라는 점, 서드파티 쿠키가 유지된다는 점을 사기 탐지 로직의 전제로 반영해야 합니다.

◎ 기대효과 및 주의사항

- 기대효과

• 핑거프린팅 방어 기능을 켜면 추적 정확도를 의미 있게 떨어뜨릴 수 있습니다. 
• 캔버스 무작위화, 오디오 정규화, 폰트 제한, 쿠키 차단, 스토리지 파티셔닝 등은 식별 가능한 신호의 엔트로피를 줄여 사용자가 '군중 속의 한 명'으로 보이게 돕습니다.

 - 다만 몇 가지 주의가 필요합니다.

첫째, 완전한 차단은 사실상 불가능합니다.

• 핑거프린팅은 정상적인 웹 API의 동작을 이용하기 때문에, 막으면 사이트가 깨질 수밖에 없습니다.
• 방어는 '식별 난이도를 높이는 것'이지 '절대 추적 불가'를 보장하는 것이 아닙니다.

둘째, 방어 기능이 사이트를 깰 수 있습니다.

• 파이어폭스의 캔버스 무작위화로 일부 이미지·비디오 효과가 깨지거나, 비표준 폰트가 렌더링되지 않아 글자가 네모로 보일 수 있습니다.
• 사파리의 7일 스토리지 캡으로 자동 로그인이 풀릴 수도 있습니다.
• 문제가 생기면 해당 사이트에서만 보호를 예외 처리하세요.

셋째, 과도한 확장·지문 숨김은 역효과입니다.

• 일부러 지문을 비정상적으로 바꾸는 도구(안티디텍트 브라우저 등)는 오히려 '방어하려는 사용자'라는 정체 자체를 고유한 지문으로 만들 수 있습니다.

◎ 마무리

• 마지막으로, 환경이 빠르게 변하고 있습니다. 
• 구글의 Privacy Sandbox 축소와 서드파티 쿠키 유지 결정, 파이어폭스·사파리·브레이브의 지속적 방어 강화 등 상황은 계속 바뀝니다. 
• 적용 전에는 공식 문서의 최신 상태를 반드시 교차 확인하시기 바랍니다.
• 핑거프린팅은 쿠키를 넘어선 조용한 추적 기술입니다.
• 한 사용자의 블루투스 헤드폰 음악이 끊긴 작은 단서가 보이지 않는 오디오 핑거프린팅을 끌어낸 것처럼, 이 기술은 일상 속에 이미 스며들어 있습니다.
• 브라우저가 제공하는 방어를 이해하고, 과도한 조치 없이 합리적으로 활용하는 것이 오늘날 웹 프라이버시를 지키는 가장 현실적인 방법입니다.

 - 구글의 입장 변화: 핑거프린팅 허용 정책

• 구글 크롬이 브라우저 핑거프린팅(Browser Fingerprinting) 방어에 소극적이거나 심지어 광고주에게 이를 허용하는 행보는 구글의 핵심 비즈니스 모델이 '광고 수익'이기 때문이라는 분석이 지배적입니다.
• 현재 웹 서핑 시 프라이버시 보호가 가장 중요한 목적이라면 크롬에서는 광고 및 스크립트 기반 추적을 차단하는 uBlock Origin이나 EFF의 Privacy Badger를 함께 사용하거나 대체 브라우저를 추천드립니다.

 - 핑거프린트 방어에 탁월한 대체 브라우저 추천

  > 토르 브라우저 (Tor Browser)

• 방어 수준: 최상 (강력 추천)
• 특징: 모든 사용자의 핑거프린트(화면 크기, 폰트 등)를 완전히 동일하게 보임으로써 추적을 무력화합니다. 다만, 네트워크 우회로 인해 웹서핑 속도가 느립니다.

  > 브레이브 브라우저 (Brave)

• 방어 수준: 상 (일상용 추천)
• 특징: '핑거프린팅 무작위화(Farbling)' 기술을 사용합니다. 사이트가 내 정보를 요청할 때마다 가짜 데이터를 미세하게 섞어 매번 다른 식별자로 보이게 만듭니다. 속도가 빠르고 크롬 확장프로그램도 그대로 쓸 수 있습니다.

  > 멀바드 브라우저 (Mullvad Browser)

• 방어 수준: 최상
• 특징: 토르 프로젝트와 VPN 기업 멀바드가 협업해 만든 브라우저입니다. 토르 브라우저 수준의 강력한 핑거프린트 방어력을 제공하면서도, 토르 네트워크를 쓰지 않아 일반 브라우저처럼 빠릅니다.

  > 파이어폭스 (Firefox)

• 방어 수준: 중상 (설정 필요)
• 특징: 기본적으로 핑거프린트 차단 기능을 제공하며, 주소창에 about:config 입력 후 privacy.resistFingerprinting 옵션을 활성화하면 토르 수준으로 방어력을 끌어올릴 수 있습니다.

1. 개요

• SK이노베이션의 사내 업무 시스템에서 외부의 비정상적인 접근 및 조회 정황이 확인됐습니다. 
• SK이노베이션의 사내 업무 시스템은 스마트스위트(SMARTsuite)이며, 국내 소프트웨어 기업 엠로가 개발한 구매·조달 및 공급망 관리(SCM) 전문 사내 업무 솔루션입니다.
• 접근 대상은 내부 이용자 정보가 포함된 페이지였으며, 회사는 해당 사실을 인지한 뒤 외부 접근을 차단하고 관계기관에 신고했습니다. 
• 정확한 침입 경로와 실제 정보 취득 여부, 전체 영향 범위는 현재 조사 중입니다.
• 현재까지는 외부에서 관련 페이지를 열람한 정황은 확인됐지만, 개인정보 파일 다운로드나 대량 반출이 발생했다는 사실은 확인되지 않았습니다.
• 따라서 현 단계에서는 비인가 접근은 확인됐으나, 실제 대규모 개인정보 유출 여부는 확정되지 않은 상태로 보는 것이 정확합니다.

2. 피해범위

• 대상 시스템은 SK이노베이션의 사내 업무 시스템입니다.
• 접근 정황이 확인된 정보는 내부 임직원 또는 내부 이용자 정보입니다.
• 영향을 받은 정확한 인원 수는 공개되지 않았습니다.
• 외부 고객 정보와 공급업체 정보는 대상이 아닌 것으로 파악되고 있습니다.
• 현재까지 개인정보 파일 다운로드, 대량 정보 반출, 유출 정보를 이용한 2차 피해는 확인되지 않았습니다.
• 공격 주체와 침입 범위, 실제 정보 취득 여부는 관계기관과 회사가 추가 확인 중입니다.

3. 유출항목

 - 현재 공개된 내용상 외부 접근 정황이 확인된 항목은 다음과 같습니다.

• 성명
• 부서
• 직위
• 연락처 또는 전화번호
• 사내 이메일 주소

 - 반면 주민등록번호, 금융정보, 비밀번호 등 중요 민감정보는 포함되지 않은 것으로 파악되고 있습니다.

• 다만 실제로 해당 정보가 외부에 저장되거나 반출됐는지는 아직 최종 확인되지 않았으므로, 위 항목은 접근 가능성이 확인된 개인정보로 표현하는 것이 적절합니다.

4. 원인

• 현재까지 공개된 뉴스 내용만으로는 공격자가 어떤 방식으로 시스템에 접근했는지 확인되지 않았습니다.
• 확인된 사실은 외부에서 사내 업무 시스템의 내부 이용자 정보 페이지에 비정상적으로 접근한 정황이 있었다는 점입니다.

 - 구체적인 원인은 다음 항목에 대한 조사가 끝나야 판단할 수 있습니다.

• 외부 노출 또는 접근통제 설정 오류 여부
• 인증 및 권한 검증 우회 여부
• 계정 탈취 또는 인증정보 악용 여부
• 웹 애플리케이션 취약점 이용 여부
• 방화벽, VPN, 접근제어 정책의 우회 여부
• 공격자가 실제 데이터를 조회하거나 저장했는지 여부

 - 따라서 현재 특정 취약점, 악성코드, 계정 탈취 또는 내부자 행위를 원인으로 단정해서는 안 됩니다. 관계기관은 사고 경위와 공격 주체, 실제 정보 유출 여부를 조사하고 있습니다.

5. 대응

 - SK이노베이션은 다음과 같은 조치를 수행했습니다.

• 비정상 접근 정황을 인지한 직후 해당 시스템의 외부 접근 차단
• 과학기술정보통신부 등 관계기관 신고
• 개인정보보호위원회 등 관련 기관에 사고 사실 전달
• 관련 내부 이용자에 대한 사실 통지
• 관계기관의 기술 지원 수용 및 침해사고 조사 협조
• 사고 경위, 접근 범위, 실제 정보 유출 여부에 대한 로그 및 시스템 조사
• 보안 체계 점검과 재발 방지 조치 강화 방침 제시

 - 현재 공개된 내용에서는 계정 초기화, 비밀번호 변경, 다중인증 의무화, 특정 IP 차단 범위 등 세부적인 기술 조치까지는 확인되지 않았습니다.

6. 문제점

 - 내부 개인정보 페이지에 외부 접근 정황 발생

• 사내 업무 시스템에 저장된 임직원 정보 페이지에서 외부 비정상 조회가 발생했다는 점은 접근통제, 네트워크 분리, 인증 검증 또는 웹 애플리케이션 설정 중 하나 이상에 보완이 필요했을 가능성을 보여줍니다. 
• 다만 정확한 결함 위치는 조사 결과가 나와야 확정할 수 있습니다.

 - 실제 반출 여부를 즉시 확정하지 못하는 상황

• 외부 조회 및 열람 정황은 확인됐지만, 파일 다운로드나 대량 반출 여부는 아직 확인되지 않았습니다. 
• 웹 접근 로그, 애플리케이션 로그, 인증 로그, 프록시·방화벽 로그, 데이터베이스 감사 로그를 상호 검증해 실제 정보 취득 여부를 판단해야 합니다.

 - 임직원 정보만으로도 2차 공격에 활용될 가능성

• 성명, 직위, 연락처, 사내 이메일이 결합되면 사칭 이메일, 표적 피싱, 악성 링크 전달, 내부 조직을 가장한 사회공학 공격에 활용될 수 있습니다. 
• 현재 2차 피해가 확인된 것은 아니지만, 관련 임직원을 대상으로 한 추가 모니터링과 피싱 주의 안내가 필요합니다.

 - 피해자 수와 데이터 처리 범위가 아직 불명확

• 현재까지 정확한 대상자 수와 실제 조회된 레코드, 공격자가 확인한 필드, 데이터 저장 또는 반출 여부가 공개되지 않았습니다. 
• 조사 과정에서는 단순 접근 기록과 실제 개인정보 열람·취득 기록을 구분해 피해 범위를 산정해야 합니다.

 - 시스템 차단 이후에도 증적 보존이 중요

• 외부 접근을 차단하는 조치와 함께 원본 로그, 웹 서버 로그, 데이터베이스 감사 기록, 계정 인증 이력, EDR 및 네트워크 흐름 데이터를 보존해야 합니다. 
• 증적이 부족하면 공격 경로와 실제 유출 여부를 검증하기 어려워지고, 피해자 통지 범위도 정확하게 결정하기 어렵습니다.

7. 기타

 - 엠로의 공급망관리(SCM) 소프트웨어 스마트스위트(SMARTsuite)를 도입한 주요 기업들

• 현대위아, LG화학, 두산에너빌리티, HL만도, 슈피겐코리아, 삼성전자/삼성디스플레이 등 삼성 계열사 다수, 기아/현대모비스 등 현대차그룹 계열사 다수, 포스코, 한화토탈에너지스 등 국내 대형 제조·화학·중공업 기업 등

 - 아키텍쳐

• EMRO SMARTsuite를 프런트엔드로, SAP ERP(예: SAP S/4HANA 또는 ECC)를 핵심 재무/자재 백엔드로 결합한 아키텍처는 매우 일반적이고 SAP 인증을 받은 기업 구성입니다. (SAP 제품 보안 업데이트 권고)

1. 개요

• 롯데케미칼은 2026년 8월 27일, 내부 시스템인 ECOMS가 외부 공격을 받아 일부 개인정보가 유출된 사실이 확인되었습니다. 
• 롯데케미칼 ECOMS는 롯데케미칼의 공사계약관리 시스템(Construction Contract Management System)입니다. 공급망 관리(SRM) 및 전자조달 솔루션 전문 기업인 엠로(emro)의 SMARTsuite(스마트스위트) 솔루션을 기반으로 구축되었습니다.
• 회사는 유출 인지 직후 추가 피해 방지 조치를 시행했으며, 현재 내·외부 전문기관과 함께 사고 원인과 영향 범위를 조사 중입니다.

2. 피해범위

• 현재 정확한 유출 범위는 조사 중이며, 개인별로 차이가 있을 수 있습니다. 
• 다만 회사 안내에 따르면 일부 개인정보가 포함되었을 가능성이 있으며, 개별 확인이 필요한 경우 별도 안내가 진행될 예정입니다.

3. 유출항목

 - 유출 가능성이 있는 항목은 다음과 같습니다.

• 성명.
• 로그인 ID.
• 휴대전화번호.
• 이메일 주소.
• 사번 및 직급 등 업무 관련 정보.

4. 원인

• 회사는 ECOMS에 대한 외부 공격으로 개인정보가 유출된 것으로 안내하고 있습니다. 
• 다만 현재까지는 구체적인 침투 방식이나 취약점이 공식적으로 확정된 상태는 아니며, 원인 분석은 전문기관과 함께 진행 중입니다.

5. 대응

• 롯데케미칼은 사고 인지 즉시 ECOMS 및 관련 시스템을 차단하였습니다. 
• 또한 내·외부 전문기관을 통한 원인 분석과 정밀 조사를 진행하고, 관계기관 신고 및 조사 협조, 추가 피해 방지를 위한 보안 강화, 전사 보안 점검 및 개선 대책 수립을 시행하고 있습니다.

6. 문제점

• 이번 건에서 가장 큰 문제는 정확한 피해 범위가 아직 확정되지 않았다는 점입니다. 
• 또한 개인정보가 포함됐을 가능성이 있는 항목에 로그인 ID, 휴대전화번호, 이메일 등 연락·계정 식별 정보가 들어 있어 2차 피싱이나 스미싱에 악용될 소지가 있습니다. 
• 회사가 차단과 조사에 착수하긴 했지만, 이용자 입장에서는 유출 확정 정보와 실제 악용 가능성에 대한 후속 안내가 더 구체적이어야 합니다.

7. 기타

 - 엠로의 공급망관리(SCM) 소프트웨어 스마트스위트(SMARTsuite)를 도입한 주요 기업들

• 현대위아, LG화학, 두산에너빌리티, HL만도, 슈피겐코리아, 삼성전자/삼성디스플레이 등 삼성 계열사 다수, 기아/현대모비스 등 현대차그룹 계열사 다수, 포스코, 한화토탈에너지스 등 국내 대형 제조·화학·중공업 기업 등

 - 아키텍쳐

• EMRO SMARTsuite를 프런트엔드로, SAP ERP(예: SAP S/4HANA 또는 ECC)를 핵심 재무/자재 백엔드로 결합한 아키텍처는 매우 일반적이고 SAP 인증을 받은 기업 구성입니다. (SAP 제품 보안 업데이트 권고)

1. 개요

• 한국도심공항은 2026년 8월 26일 홈페이지 침해사고를 공지하며, 외부 침해로 인해 개인정보 유출 가능성이 있어 확인 중이라고 밝혔습니다. 
• 홈페이지 공지에 외부 공격을 받아 이용자 개인정보가 외부로 유출됐을 가능성이 제기됐다고 전했습니다. 
• 현재까지는 확정 유출 규모보다 침해사고 발생 사실과 유출 가능성이 핵심으로 보입니다.

2. 피해범위

• 공개적으로 확인된 내용만 기준으로 보면, 피해범위는 한국도심공항 홈페이지 이용자 및 해당 시스템에 저장된 개인정보처리 대상자까지 포함될 수 있습니다. 
• 다만 현재 공개 자료에서는 정확한 유출 인원 수나 확정 피해자 수는 제시되지 않았습니다. 회사 측도 유출 여부를 전문기관과 함께 확인 중이라고 밝혔습니다.

3. 유출항목

• 현재 공개된 공지와 검색 결과만으로는 구체적인 유출 항목이 명시되지 않았습니다. 
• 다만 한국도심공항의 개인정보처리방침상 홈페이지 회원정보에는 이름, 비밀번호, 이메일, 휴대폰번호, CI, DI 등이 포함될 수 있고, 다른 서비스에는 이름, 생년월일, 주소, 전화번호, 소속, 부서, 직장연락처 같은 항목이 처리될 수 있습니다. 
• 따라서 실제 유출 여부가 확인된다면, 이러한 항목 중 일부가 대상이었을 가능성을 염두에 둘 수 있으나, 현재 시점에서는 확정 정보로 단정할 수는 없습니다.

4. 원인

• 공식 공지와 보도 내용상 원인은 홈페이지 외부 침해 공격입니다. 
• 다만 공격 방식, 초기 침투 경로, 취약점 악용 여부, 내부 계정 탈취 여부는 공개 자료에서 확인되지 않았습니다. 
• 즉, 원인은 “침해사고”까지는 확인되지만 세부 기술 원인은 아직 공개되지 않은 상태입니다.

5. 대응

• 한국도심공항은 전문기관과 함께 개인정보 접근 및 유출 여부를 확인하고 있다고 공지했습니다. 
• 또한 현재까지는 고객 개인정보 유출 여부가 확인되지 않았다고 안내했습니다. 
• 일반적으로 이런 사고에서는 침해 경로 점검, 접근 차단, 로그 분석, 비밀번호 변경, 대외 신고 및 정보주체 통지 등이 뒤따르며, 개인정보 유출 대응 기준에서도 신속 대응과 재발 방지 조치가 요구됩니다.

6. 문제점

• 첫째, 공개 시점 기준으로 사실관계가 유출 가능성 수준에 머물러 있어 이용자가 위험도를 즉시 판단하기 어렵다는 점이 있습니다. 
• 둘째, 유출 항목과 영향 범위가 명확히 공개되지 않아, 사용자 입장에서는 추가 예방 조치를 정확히 취하기 어렵습니다. 
• 셋째, 침해사고 이후에는 원인 분석과 재발 방지 대책이 매우 중요한데, 현재 공개 정보만으로는 기술적 원인과 보완 수준을 확인하기 어렵습니다.

1. 개요

• 2026년 현대차 튀르키예 관련 유출은, 내부 시스템이 침해되어 직원 및 지원자 개인정보가 노출된 건과, 별도 유출 조직이 HR·평가 자료 1.5GB를 탈취했다고 주장한 건으로 나뉘어 확인됩니다. 
• 튀르키예 Kişisel Verileri Koruma Kurumu(KVKK : 개인정보보호청)가 다룬 건은 2026년 8월 1일 이상 징후 확인 후 8월 3일 침해를 확인한 개인정보 유출이며, 윈도우와 맥OS 시스템을 겨냥해 확산 중인 신종 서비스형 랜섬웨어(RaaS) 및 사이버 범죄 조직 CRPx0 주장은 7월 말~8월 초에 공개된 협박성 유출 주장입니다.

2. 피해범위

• KVKK 기준으로는 최대 422명이 영향을 받았을 가능성이 있으며, 대상은 현대차 튀르키예의 직원과 입사 지원자로 한정됩니다. 
• 해당 설명에서는 고객 또는 고객 후보자의 개인정보는 영향이 없었다고 밝혔습니다.
• CRPx0 주장 기준으로는 튀르키예 현지 운영과 연결된 시스템에서 1.5GB 규모의 인사·채용 자료가 빠져나갔다고 적시했습니다.
• 다만 이 부분은 공식 확인 전 단계의 외부 주장이며, 샘플의 진위도 독립 검증되지 않았습니다.

3. 유출항목

• 공개된 내용에 따르면 직원·지원자 관련 유출 항목에는 이름, 이메일, 사용자명, 비밀번호, 직책이 포함됩니다. 
• 또한 Hogan/BEYT 성격·역량 평가 결과가 함께 노출된 것으로 알려졌습니다.CRPx0가 주장한 자료 범위에는 면접 답변, 평가 점수, 채용 추적 기록, 시험 사진·영상, 심리측정 및 성격분석 보고서, 내부 이메일 등이 포함됩니다. 이 부분은 채용·평가 관련 고민감 정보까지 포함된다는 점이 특징입니다.

※ Hogan/BEYT 성격·역량 평가 : 주로 글로벌 기업이나 다국적 기업(예: 현대자동차 해외 법인 등)에서 채용, 임직원 역량 진단, 성격 분석 및 인사 평가 목적으로 사용하는 전문적인 인적성·심리 검사 도구입니다.

4. 원인

• KVKK 공개 내용에서는 공격자가 웹 기반 애플리케이션의 SQL Injection 취약점을 악용해 시스템에 접근한 것으로 설명됩니다. 
• 즉, 원인은 웹 애플리케이션 보안 취약점 관리 미흡으로 요약할 수 있습니다.
• CRPx0 쪽은 구체적 침투 경로를 공개하지 않았고, 일반적으로는 피싱, 미패치 취약점, 자격증명 탈취 가능성이 언급되지만 이는 추정 수준입니다.
• 따라서 원인으로 단정할 수 있는 부분은 KVKK가 밝힌 SQL Injection 취약점 악용입니다.

5. 대응

• 현대차 그룹 보안운영센터는 2026년 8월 1일 이상 행위를 발견했고, 8월 3일 관련 조사를 본격화했습니다. 
• 이후 KVKK에 법적 신고가 이뤄졌고, 관련 서비스 제공자와 함께 조사도 진행된 것으로 전해졌습니다.
• 또한 회사는 영향 가능성이 있는 대상자에게 안내할 수 있도록 공식 연락 창구를 열어둔 상태입니다.
• KVKK 역시 사건에 대한 공식 조사 절차를 개시했습니다.

6. 문제점

• 가장 큰 문제는 웹 애플리케이션의 기본 취약점인 SQL Injection이 실제 침해로 이어졌다는 점입니다. 이는 입력값 검증, 쿼리 방어, 애플리케이션 보안 점검이 충분하지 않았을 가능성을 시사합니다.
• 두 번째로는 채용·평가 데이터처럼 민감한 인사 정보가 함께 노출되었다는 점입니다. 이런 자료는 단순 식별정보보다 2차 피해 가능성이 크고, 차별·평판 훼손·표적 피싱으로 이어질 수 있습니다.
• 세 번째로는 외부 유출 주장과 공식 확인 정보가 섞여 있어, 대외 커뮤니케이션이 혼선을 만들 수 있다는 점입니다. 따라서 실제 확정 사실은 KVKK 공개 범위로 좁혀서 보는 것이 안전합니다.

AI-901: Microsoft Azure AI Fundamentals 자격증은 Microsoft 社의 클라우드 기반 인공지능(AI) 및 머신러닝 서비스에 대한 기초 지식과 실무 구현 역량을 검증하는 초급(Fundamentals) 단계의 국제 인증 자격증입니다. 시험시간은 45분, 온라인 객관식 43문제이었고, 응시자마다 시험시간과 문항이 다릅니다. 
1000점 환산기준 700점이 넘으면 합격입니다. 응시 비용은 $99 이지만 저의 경우 무료 교육 과정을 수료하여 응시료 지원 혜택을 받았습니다.
기존의 AI-900 시험은 2026년 6월 30일부로 종료되었으며, 현재는 AI-901 시험으로 대체되어 시행되고 있습니다.
AI-901은 Microsoft의 Fundamentals(기초) 라인업 자격증으로 Associate나 Expert 등급과 달리 유효기간이 없어 한 번 취득하면 별도의 갱신 없이 평생 유지됩니다.
시험 내용은 AI 개념, Microsoft Foundry 기반의 생성형 AI 및 에이전트 구현, 책임 있는 AI 원칙 등을 다룹니다.

1. 개요

• 2026년 8월 26일, 전남 장성 소재 A골프장의 온라인 회원 개인정보가 외부로 유출된 사실이 확인됐습니다.
• A골프장 측에 따르면, 해당 골프장의 유지보수업체가 다른 골프장 시스템에서 발생한 사이버 침해 사고를 조사하던 중 실수로 A골프장 회원정보가 노출된 것으로 파악하고 있습니다.
• 따라서 현재까지는 A골프장 홈페이지가 악성코드나 해킹 공격으로 직접 장악됐다는 사실, 공격 주체, 최초 침투 경로가 확인된 상태는 아닙니다.

2. 피해범위

• 피해 대상은 장성 A골프장의 온라인 회원입니다.
• 개인정보가 외부로 유출된 사실은 확인됐습니다.
• 구체적인 유출 건수와 영향을 받은 회원 범위는 아직 파악되지 않았습니다.
• 현재까지 보이스피싱, 스팸, 계정 탈취 등 추가 피해가 발생했다는 사실은 확인되지 않았습니다.
• 유출된 정보는 회원 식별정보와 연락정보가 결합된 형태이므로, 향후 스미싱·피싱·스팸성 연락에 악용될 가능성이 있습니다.

3. 유출항목

 - 현재 공개된 뉴스에서 언급된 유출 항목은 다음과 같습니다.

• 비밀번호, 결제정보, 금융정보, 주민등록번호가 유출됐다는 내용은 현재 공개된 자료에서 확인되지 않았습니다.
• 다만 유출 항목의 최종 범위는 관계기관과 유지보수업체의 조사가 끝나야 확정될 것으로 보입니다.

4. 원인

 - 확인된 직접 원인은 유지보수업체의 조사 과정에서 발생한 취급 오류입니다.

• 유지보수업체가 다른 골프장의 사이버 침해 사고를 조사했습니다.
• 그 과정에서 장성 A골프장 회원정보가 외부로 노출됐습니다.
• 골프장 측은 이를 “실수로 개인정보가 유출된 상황”으로 설명했습니다.
• 구체적으로 어떤 계정, 서버, 데이터베이스, 파일 또는 접근권한이 사용됐는지는 공개되지 않았습니다.
• 장성 A골프장 자체가 해커의 직접 공격을 받아 정보가 유출됐다는 사실은 현재 확인되지 않았습니다.

5. 대응

 - A골프장과 유지보수업체 측은 다음과 같이 대응하고 있습니다.

• 회원들에게 개인정보 유출 사실을 알리고 사과했습니다.
• 의심스러운 문자메시지, 이메일, 웹링크에 접속하지 말고 즉시 삭제하도록 안내했습니다.
• 보이스피싱과 스팸문자 등 2차 피해 예방 메시지를 발송했습니다.
• 골프장 시스템에 저장돼 있던 데이터를 완전히 파기했다고 밝혔습니다.
• 관계기관에 관련 사실을 신고했습니다.
• 보안체계를 전면적으로 강화하고 있습니다.
• 정확한 피해 규모와 유출 경위를 추가로 확인하고 있습니다.
• 골프장 홈페이지에 사과문과 스팸문자 주의 안내문을 게시할 예정입니다.

6. 문제점

 - 위탁업체 접근통제가 충분하지 않았습니다

• 유지보수업체가 다른 골프장 시스템의 침해사고를 조사하는 과정에서 장성 골프장 회원정보가 노출됐다는 점은, 수탁업체의 관리자 권한과 조사 범위가 적절히 제한되지 않았을 가능성을 보여줍니다.
• 특히 고객사별 데이터가 논리적·물리적으로 분리되지 않았거나, 유지보수 계정에 불필요하게 광범위한 접근권한이 부여됐을 가능성을 점검해야 합니다.

 - 고객사 간 데이터 분리 여부가 불분명합니다

• 한 골프장의 침해사고를 조사하면서 다른 골프장의 회원정보가 노출됐다는 설명은 테넌트 분리, 데이터베이스 권한, 백업파일 관리, 운영도구 접근통제에 문제가 있었을 가능성을 제기합니다.
• 다만 현재 공개된 뉴스만으로는 실제 노출 지점이 데이터베이스인지, 백업파일인지, 운영자 화면인지 확정할 수 없습니다.

 - 피해 규모가 확정되지 않았습니다

• 유출 사실은 확인됐지만, 몇 명의 회원이 영향을 받았는지 공개되지 않았습니다. 
• 또한 실제로 외부에서 열람·복사된 데이터와 단순히 접근 가능했던 데이터가 구분되지 않았습니다.
• 따라서 회원별 유출 항목, 노출 시간, 외부 반출 여부, 다운로드 기록을 기반으로 한 정밀한 영향평가가 필요합니다.

 - 유출 항목의 최종 확정이 필요합니다

• 현재 이름, 휴대전화번호, 아이디, 이메일, 주소, 생년월일이 언급됐지만, 유출 대상 회원별로 어떤 항목이 포함됐는지는 확인되지 않았습니다.
• 특히 아이디와 휴대전화번호가 함께 노출된 경우에는 다른 서비스와의 계정 연계, 피싱 메시지 정교화, 비밀번호 재사용 공격으로 이어질 수 있으므로 회원별 안내가 필요합니다.

 - 데이터 파기와 증거보존의 균형이 필요합니다

• 골프장 측은 시스템에 저장된 데이터를 완전히 파기했다고 밝혔습니다. 
• 그러나 사고 조사 과정에서는 원본 데이터 자체와 함께 접근 로그, 관리자 활동 기록, 파일 생성·복사 이력, 네트워크 로그 등을 별도로 보존해야 유출 범위와 책임 주체를 확인할 수 있습니다.
• 따라서 개인정보의 추가 노출을 막기 위한 파기 조치와 침해사고 원인 규명을 위한 증거보존이 적절히 분리됐는지 확인할 필요가 있습니다.

 - 직접 침해와 위탁업체 사고를 명확히 구분해야 합니다

• 현재까지 확인된 내용은 장성 골프장에 대한 직접 해킹보다는 유지보수업체의 조사 과정에서 발생한 개인정보 노출에 가깝습니다. 
• 이를 명확히 구분하지 않으면 공격 방식과 보안대책을 잘못 판단할 수 있습니다.

1. 개요 

• 2026년 8월 27일 29CM의 주문정보 조회 연동 기능인 API에 외부의 비정상적인 접근이 발생했습니다.
• 29CM는 같은 달 29일 일부 고객의 개인정보가 외부로 유출된 사실을 확인했다고 밝혔습니다.

2. 피해범위

• 전체 피해 규모는 약 15만 9천 건으로 알려졌습니다.
• 공개된 세부 수치는 고객 이름 13만 8,841건과 이름·이메일 주소·휴대전화번호·배송정보 등이 포함된 2만 1,011건입니다.
• 다만 13만 8,841건과 2만 1,011건이 서로 중복되는지, 완전히 별개의 레코드인지에 대해서는 명확한 설명이 확인되지 않았습니다.
• 따라서 단순 합계인 15만 9,852건을 실제 피해자 수로 단정해서는 안 됩니다.
• 현재 공개된 내용만으로는 무신사의 무신사닷컴 전체 시스템이나 모든 계정이 침해됐다고 보기는 어렵습니다.
• 확인된 대상은 29CM의 주문정보 조회 API입니다.

3. 유출항목

•  고객별로 유출 항목은 서로 다를 수 있으며, 모든 피해 고객에게 동일한 정보가 노출된 것은 아닌 것으로 보입니다. 
• 특히 배송정보의 구체적인 범위가 주소 전체인지, 일부 배송 관련 데이터인지까지는 공개된 뉴스만으로 확인하기 어렵습니다.

4. 원인

 - 현재까지 확인된 직접적인 원인은 주문정보 조회 API에 대한 외부의 비정상적인 접근입니다. 

  > 다만 다음과 같은 세부 원인은 아직 공개적으로 확인되지 않았습니다.

인증 토큰 검증 우회 여부.

고객별 주문정보에 대한 객체 단위 권한검사 미흡 여부.

반복적인 API 호출에 대한 속도 제한 또는 자동 차단 적용 여부.

API 응답에 필요 이상의 개인정보가 포함됐는지 여부.

공격자가 정보를 단순 조회했는지, 대량으로 수집했는지 여부.

  > 따라서 이번 사건을 현재 단계에서 서버 전체 침투, 계정 탈취, 악성코드 감염 또는 크리덴셜 스터핑으로 규정하기는 어렵습니다.

  > 확인된 수준은 API 접근통제 또는 API 악용 탐지 과정과 관련된 문제 가능성이며, 정확한 근본 원인은 관계 기관의 조사 결과를 지켜봐야 합니다.

5. 대응

 - 29CM가 밝힌 대응 내용은 다음과 같습니다.

• 비정상적인 접근을 확인한 즉시 해당 API 접근 경로를 차단했습니다.
• 한국인터넷진흥원과 개인정보보호위원회에 개인정보 유출 사실을 자진 신고했습니다.
• 관계 기관과 협력해 추가 보호조치를 진행하고 있습니다.
• 유출된 고객에게 구체적인 유출 항목과 대응 방법을 개별적으로 안내하고 있습니다.
• 공지 게시일부터 30일 동안 본인 인증을 거쳐 개인정보 유출 여부와 세부 내역을 확인할 수 있도록 했습니다.
• 주문 내역을 언급하면서 결제·환불·배송 오류를 안내하는 문자, 전화, 이메일에 주의해 달라고 안내했습니다.
• 다른 서비스와 동일한 비밀번호를 사용한 고객에게는 비밀번호 변경을 권고했습니다.
• 배송 요청사항에 개인정보가 포함된 경우 해당 내용도 변경하도록 안내했습니다.

  > 결제정보와 아이디·비밀번호는 유출 항목에 포함되지 않은 것으로 확인됐지만, 이름·연락처·배송정보가 결합되면 주문 사칭형 피싱, 스미싱, 보이스피싱에 악용될 가능성이 있습니다.

6. 문제점

 - 주문 조회 API의 개인정보 노출 범위

주문 조회 기능은 고객별 주문정보를 반환해야 하지만, 외부의 비정상적인 접근으로 다른 고객의 정보까지 조회될 수 있었다면 고객 식별과 권한 검증이 충분했는지 점검할 필요가 있습니다. 

특히 이름과 연락처, 배송정보가 함께 노출된 점은 단순한 이름 유출보다 악용 위험이 큽니다.

 - API 보안통제의 실효성

  > 현재 공개된 내용만으로 취약점의 정확한 형태는 알 수 없지만, 비정상 접근이 실제 개인정보 조회로 이어졌다는 점에서 다음 통제가 제대로 작동했는지 확인해야 합니다.

• 고객·주문 단위의 세밀한 접근권한 검증.
• 요청자와 주문 소유자의 일치 여부 확인.
• 비정상적인 반복 조회 및 대량 조회 탐지.
• API 호출량 제한과 자동 차단.
• 응답 데이터 최소화 및 민감정보 마스킹.
• API 접근 로그의 실시간 분석과 경보.

 - 2차 피해 가능성

• 결제정보와 계정정보가 포함되지 않았더라도, 배송정보와 휴대전화번호는 공격자가 실제 주문정보를 알고 있는 것처럼 가장하는 데 활용될 수 있습니다. 
• “배송 오류”, “환불 확인”, “결제 취소” 등을 내세운 문자나 전화가 실제 고객정보와 함께 전달될 경우 신뢰도가 높아질 수 있습니다.

 - 피해 규모 설명의 명확성

• 전체 규모는 약 15만 9천 건으로 제시됐지만, 세부 수치인 13만 8,841건과 2만 1,011건의 관계가 명확하지 않습니다. 
• 중복 여부, 실제 영향받은 고객 수, 정보별 유출 건수, 노출 기간, 공격자가 실제로 확보한 데이터 범위를 구분해 설명할 필요가 있습니다.

 - 근본 원인과 재발 방지책의 미공개

• 현재 확인된 대응은 접근 경로 차단과 관계 기관 신고에 집중되어 있습니다. 
• 그러나 API의 어떤 보안통제가 실패했는지, 유출이 언제부터 지속됐는지, 추가 접근이 완전히 차단됐는지, 재발 방지를 위해 어떤 기술적 조치를 적용했는지는 아직 구체적으로 확인되지 않았습니다.