일본 애니메이션 전문채널 애니맥스, 개인정보 유출사고 터졌다

소니 픽처스 운영 애니맥스의 한국채널, 외주업체 관리 부실로 발생

성명·주소·전화번호·이메일주소·비밀번호·생년월일과 암호화된 주민번호 포함

유출 규모 등은 안 밝혀... 유출 정보에 주민번호 포함돼 의문 커져

[보안뉴스 권 준 기자] 소니 픽처스에서 운영하는 일본 애니메이션 전문 채널 애니맥스의 한국 채널인 애니맥스 회원들의 개인정보가 유출되는 사건이 발생했다.

애니맥스 채널을 운영하는 애니맥스 코리아는 18일 공지사항을 통해 “일부 이용자들의 개인정보 관련되었을 수 있는 사고를 알게 됐다”며, “2019년 5월 31일에 애니맥스 코리아의 외주 벤더 업체 중 한 업체가 관리하는, 일부 이용자들의 개인정보가 포함된 백업 파일이 인터넷에서 액세스할 수 있고 무단 액세스가 될 수 있는 위치에 저장되어 있음이 발견됐다”고 밝혔다.

이에 따라 유출됐을 가능성이 높은 회원들의 개인정보는 성명, 주소, 전화번호, 이메일 주소, 이용자명, 비밀번호, 생년월일 및 성별인 것으로 드러났다. 더욱이 유출 개인정보에는 암호화된 주민등록번호가 포함된 것으로 알려져 특별한 예외조항을 제외하고는 주민번호 수집이 금지된 상황에서 주민번호를 수집한 이유에 대한 의구심도 커지고 있다.

​ 

[주말판] 보안 담당자를 괴롭히는 클라우드의 사각지대 7

클라우드, 기술과 환경이 급변하면서 보안 담당자들의 가시성은 점점 낮아지고

보이지 않는 걸 지킬 수는 없는데...각종 자산과 사용자는 점점 보이지 않게 돼

[보안뉴스 문가용 기자] 클라우드 컴퓨팅이 IT 서비스 배포를 위한 표준 기술로 자리를 꽤나 많이 차지하고 있다. 엔터프라이즈 스트래티지 그룹(Enterprise Strategy Group, ESG)이 발표한 ‘2019 공공 클라우드 트렌드(2019 Public Cloud Trends)’ 보고서에 의하면 지난 8년 동안 서비스형 인프라(IaaS)를 도입한 기업은 17%에서 58%로 증가했다고 한다. 심지어 ‘클라우드 우선’ 전략을 도입한 조직이 39%나 되고 있다.

클라우드가 혁신에 있어서는 꽤나 유용한 도구인 것은 맞다. 그러나 보안 담당자들에게 있어 클라우드는 악몽과 같다. 테두리라는 게 없어졌으니 그럴 만도 하다. 또한 클라우드가 아직 신기술이기 때문에 기술, 아키텍처, 사용처와 방법이 계속해서 변하고 있다는 것도 보안의 관점에서는 ‘마이너스 요소’다.

​ 

참조사이트  
 http://www.dailysecu.com
 http://www.boannews.com
 http://www.boan.com
 http://www.dt.co.kr/
 http://www.datanet.co.kr/
 http://www.itdaily.kr

 [패치 및 업데이트]

 금일 최신 패치 및 업데이트 없습니다.

 [최신 바이러스 정보]

Adware/Win32.Qjwmonkey
 최초 발견일: 2019-08-16
 종    류 : 유해가능(애드웨어)
 형    태 : 실행파일
 감염/설치경로 : 파일실행
 설   명 : Adware/Win32.Qjwmonkey는 다른프로그램과 함께 번들로 포함되어 설치되며 웹 페이지 방문 시 사용자가 원치않는 광고성 팝업창을 발생시켜 PC이용에 불편함을 발생시키는 애드웨어이다.

PUP/Win32.OnlineIO.C2264929
 최초 발견일: 2019-08-16
 종    류 : 유해가능(애드웨어)
 형    태 : 실행파일
 감염/설치경로 : 파일실행
 설   명 : PUP/Win32.OnlineIO.C2264929는 사용자의 허가 없이 설치되며 기존 브라우저 설정을 변경시키는 PUP성 악성코드이다.

  ​

[보안TIP]

사이버 보험 가입과 관리를 검토하는 기업들을 위한 팁

[보안뉴스 문가용 기자] 보안 업체 리스크 베이스드 시큐리티(Risk Based Security)의 CISO인 제이크 쿤즈(Jake Kouns)는 수년 전부터 사이버 보험이 더 많은 관심을 받아야 한다고 생각했다. 그래서 2012년부터 보안 행사에 초대될 때마다 보험과 관련된 강연을 했다. 그러다보니 그의 강연 제목을 물어본 뒤 거절하는 곳도 생겨났다.

물론 자신의 노력 때문인 것만은 아니지만 최근 사이버 보험에 대한 인식과 태도가 조금씩 바뀌기 시작했다고 쿤즈는 말한다. 보안 전문가들과 지도자들이 조직을 보호하기 위한 전략의 일환으로서 보험 가입을 진지하게 고민하기 시작했다고 말이다.

물론 아직 사이버 보험에 가입한 조직은 30% 정도에 불과하다(PwC 통계 근거). 그러나 쿤즈의 말대로 성장세에 있는 것 역시 확실하다. 2018년에서 2019년 사이 사이버 보험 가입 조직의 수가 12%나 증가했고, 그 규모가 20억 달러에 이르기 때문이라고 한다. 이는 2015년에 비해 두 배나 오른 것이다.

쿤즈는 이번 블랙햇 행사에 참여해 또 다시 사이버 보험에 대해 강연했다. 제목은 ‘위험 관리 프로그램에 사이버 보험 통합하기’였다. 이 시간을 통해 쿤즈는 사이버 보험과 관련된 여러 가지 팁이나 현황 정보를 제공했다. 그 중 CISO들에게 도움이 될 만한 내용을 몇 가지로 추려보았다.

1. 사이버 보험에 아직 가입하지 않았다고? 조만간 가입할 것이다

쿤즈는 사이버 보험 가입은 이제 곧 필수적인 요소로 굳어질 것이라고 장담한다. 조만간 선택지 이상의 것이 될 예정이라는 뜻이다. “특히 주요 기업들과 파트너십을 채결하기 위해서는 사이버 보험이 필수 조건처럼 요구되고 있습니다. 많은 정부 기관들도 사이버 보험에 가입된 자들만 허락하는 프로젝트를 내놓고 있고요. 사이버 보험에 가입함으로써 얻어가는 이득이 더 많아질 것입니다.”

또한 쿤즈는 “사이버 보안을 튼튼히 할 만큼 예산이 충분치 않은 중소기업들의 경우, 사이버 보험이 좋은 대체제가 될 것”이라고 말하기도 했다. “현재 사이버 보험 상품들은 대체적으로 좋은 가격에 나오고 있습니다. 적어도 중소기업에서 돈만 보고 거절하기는 힘든 가격이라는 겁니다. 보안을 대기업의 것으로만 여기던 중소기업들의 사이버 보험 가입 러시가 이어질 것으로 봅니다.”

2. 그렇다고 보험에서 보장해주는 내용이 보안 프로그램인 것은 아니다

자동차 보험에 가입했다고 해서 일반 도로에서 F1 드라이버처럼 운전하지 않는 것처럼, 사이버 보험에 가입했다고 해서 온라인 활동을 아무렇게나 해도 되는 건 아니다. 보험이 곧 보안 전략은 아님을 인식하는 게 가장 중요하다고 쿤즈는 거듭 강조했다. “보험에 가입했다며 보안에 대한 투자와 연구, 고민을 중단하는 조직들이 간혹 있는데, 가장 위험한 일입니다.”

쿤즈는 그런 행위에 대해 “도덕적 해이 그 자체”라고 표현했다. “자동차 보험에 들지만, 바퀴도 제 때 갈아주고, 브레이크도 점검하는 것처럼 보안도 따로 돈을 들여야 하는 분야입니다. 예를 들어 사이버 보안 사고가 터져서 잃은 고객 신뢰나 브랜드 명성은 아무리 보험이 좋아도 되돌려주지 못하기 때문입니다.”

3. 보험 가입은 준비 단계부터 보안 전문가들이 해야 한다

보험에 대해 이야기를 하다보면 늘 재정 문제나 CFO로 귀결되는데, 사실 여기에 ‘보안’이라는 기능도 끼어들어야 한다. 즉 CFO와 CISO가 모두 보험 검토 단계부터 개입해야 한다는 것이다. 쿤즈는 “액수로만 보험을 정하는 게 아니라, 현실과 어울리는 상품을 찾는 게 가장 중요한데, 이는 CISO가 할 수 있는 일”이라고 주장한다.

“보안 책임자가 상품 안내문과 보험 내용을 꼼꼼하게 검토해야 합니다. 신청서 작성도 CISO가 하는 게 안전합니다. 현실적으로 어울리지 않는 상품이면 거절하고, 신청서에 특별한 요구 사항도 따로 기재하는 등, CISO가 적극 나서야 하는 일인 겁니다. 보험도 결국 보안의 큰 전략 자산 가운데 하나이니까요.” 또한 사이버 보험 상품에는 필연적으로 각종 IT 전문용어들이 삽입될 수밖에 없다. 이를 제대로 이해하려면 CISO의 도움이 필요하다.

그러나 그 무엇보다 중요한 건, 보험 상품에 빠져있는 것들을 파악하는 것이다. 현재 조직이 겪을 수 있는 보안 사고들 중 가능성이 높은 시나리오를 머릿속에 그리고 있어야 빠진 것들을 짚어낼 수 있는데, 이는 CISO만이 할 수 있다.

4. 보험에서 요구한 필수 사항들을 다 지켜야 보장을 제대로 받을 수 있다

정책에 서명을 했으니 이제 어지간한 사고에도 다 대비가 되었다고 생각한다면, 안타깝지만 잘못 생각하고 있는 것이다. 보험에 명시된 보장을 다 받으려면, 보험사가 요구한 사항들을 지켜야 한다. “CISO들 중에 의외로 이 부분을 간과하는 분들이 많습니다.”

이는 다시 말해 사이버 보안 상품에 대한 내용을 조직 내 누군가(아마도 보안 담당자)가 잘 이해해야 한다는 것으로 귀결되는 내용이라고 쿤즈는 강조한다. “보장을 다 받기 위한 일들을 전부 수행하고 있는지, 보험사와 약속한 부분에서 뭔가 애매한 구석은 없는지, 사고 발생 시 우리 편에서 떳떳하게 뭐든지 요구할 수 있는 상황인지 항상 파악하고 있어야 합니다.”

5. 사건 대응과 관련하여 몇 가지 내용이 수정되어야 할지도 모른다

쿤즈는 사이버 보험에 가입한 이후에는 사건 대응 절차가 수정되어야 할지도 모른다고 말했다. “사건에 대해 유관기관과 소비자들에게 보고하는 시간이 달라져야 할 수 있습니다. 사실 현존하는 사이버 보험 상품 대부분이 이 부분을 다루고 있어요. 일단 자기들도 보험 사고에 대한 보고를 받아야 대처를 할 수 있으니까요. 지금 가지고 있는 ‘보고 혹은 통보 시간’에 관한 규정을 검토하고 얼마나 바꿀 수 있는지도 확인하세요.”

두 번째로는 사건 대응 계획을 실제로 훈련해봐야 할 수도 있다. 보험 상품에 따라 다르긴 하지만 훈련과 확인을 요구하는 것도 꽤나 많이 존재한다. 그들 입장에서도 사건 대응에 대한 실제적인 부분을 보고 보장을 약속하고 싶으니 그런 것이다. 실제 많은 기업들이 사건 대응 계획을 가지고는 있지만, 실제 사건이 터졌을 때 그림같이 실행하지는 못한다. 보험사와 함께 이 부분을 연계해 훈련하는 것도 도움이 될 것이다.

http://www.krcert.or.kr/data/secNoticeList.do
http://www.microsoft.com/korea/security/default.mspx
http://www.adobe.com/kr/downloads/updates/