검색결과 총 30건
-
-
개인정보위, 모두투어, '웹셸 공격'에 306만명 정보 '줄줄'…과징금 7.5억 '철퇴'
[이코노믹데일리] 개인정보보호위원회가 개인정보보호 법규를 위반한 모두투어네트워크에 역대급 '철퇴'를 내렸다. 모두투어가 웹사이트 파일 업로드 과정의 보안 취약점을 악용한 해커의 공격에 306만명이 넘는 고객 개인정보를 유출, 개인정보위로부터 과징금 7억4700만원과 과태료 1020만원, 공표 명령 및 개선 권고 처분을 받았다. 개인정보위에 따르면 신원 미상의 해커는 지난해 6월 모두투어네트워크 웹페이지의 파일 업로드 취약점을 파고들어 다수의 웹셸 파일을 무단으로 업로드했다. 웹셸 공격은 웹사이트의 파일 업로드 기능 취약점을 악용, 악성코드를 삽입·실행하여 관리자 권한을 탈취하고 개인정보를 빼내는 대표적인 해킹 수법이다. 해커는 웹셸 공격을 통해 고객 정보 데이터베이스(DB)에 침투, 회원 및 비회원 총 306만3285명의 개인정보를 탈취하는 데 성공했다. 유출된 개인정보는 한글 이름, 영문 이름, 생년월일, 성별, 휴대전화번호 등 민감 정보가 대거 포함됐다. 개인정보위 조사 결과 모두투어는 웹셸 공격을 막기 위해 파일 확장자 검증, 실행 권한 제한 등 보안 취약점 점검 및 예방 조치를 제대로 이행하지 않은 것으로 드러났다. 또한 개인정보 유출 시도 탐지 및 대응을 위한 접근 통제 시스템 역시 미흡했던 것으로 밝혀졌다. 더욱 심각한 문제는 모두투어가 2013년 3월부터 수집한 비회원 개인정보 316만여 건(중복 포함)을 법정 보유 기간이 지났음에도 불구하고 파기하지 않고 장기간 보관, 이번 대규모 개인정보 유출 피해를 키웠다는 점이다. 개인정보위는 모두투어가 지난해 7월 개인정보 유출 사실을 인지하고도 정당한 사유 없이 2개월이나 지난 9월에야 피해 사실을 고객에게 통지한 점도 문제 삼았다. 늑장 대응으로 인해 2차 피해 확산 및 고객 불안을 가중시켰다는 지적이다. 개인정보위는 "이번 모두투어 개인정보 유출 사고의 주요 원인인 웹셸 공격은 이미 널리 알려진 웹 취약점 공격"이라며 "DB 접근 권한 탈취를 통해 심각한 피해를 초래할 수 있는 만큼 기업들은 웹셸 공격을 포함한 개인정보 탈취 위협에 대한 사전 탐지 및 차단 정책 강화, 파일 업로드 취약점 점검 및 조치 등 보안 강화에 만전을 기해야 한다"고 강력히 경고했다. 이번 개인정보위의 과징금 및 과태료 부과는 모두투어의 허술한 개인정보 관리 실태에 대한 강력한 경고 메시지로 풀이된다. 모두투어는 이번 처분을 계기로 개인정보 보호 시스템을 전면 재점검하고 재발 방지를 위한 특단의 대책 마련에 나서야 할 것으로 보인다.
2025-03-13 14:07:21
-
-
-
-
테무 쓰면 개인정보 국외이전 동의?…韓 소비자 보호 대책 '미흡'
[이코노믹데일리] 중국 쇼핑 플랫폼 테무가 한국 전자상거래(이커머스) 시장에 직진출을 선언한 가운데, 한국 이용자들의 개인정보 국외이전은 물론 이를 제공받는 제3자 기업을 확대하기로 하면서 논란이 일고 있다. 국내 개인정보 활용 범위가 이전보다 크게 늘어난 만큼 이를 관리할 방안과 유출 사고에 대비한 대책 마련이 시급하다는 목소리가 나온다. 21일 업계에 따르면 테무는 이날 업데이트한 개인정보 처리방침에서 ‘효율적인 서비스 제공을 위해 국내외 제3자 기업에 (한국 고객의) 개인정보 처리를 위탁한다’며 ‘국외 이전을 거부할 경우 서비스를 이용할 수 없다’고 명시했다. 이전 처리 방침에서 서비스 이용을 위해 필수적으로 동의해야 하는 처리 위탁 항목은 해외 송금 정보뿐이었다. 이번 개정에 따라 처리 위탁 항목은 개인 세관 코드, 거래 금액, 주소, 전화번호, 문자 메시지, 장치 정보, 연령 확인을 위한 ID, 정보주체의 사용 중 수집된 데이터 등으로 확대됐다. 정보주체가 서비스를 이용하려면 대부분의 개인정보에 대한 처리 위탁을 동의할 수밖에 없게 된 것이다. 개인정보를 넘겨받는 곳은 한국과 미국, 싱가포르, 일본, 호주, 인도네시아 등 6개국 27개 기업이다. 아울러 이전까지 국세청으로 한정됐던 국내 개인정보 제3자 제공 대상자엔 한국 판매 파트너를 추가했다. 최근 국내 시장에 직접 진출하기로 결정한 테무가 오픈마켓(판매자와 구매자를 연결해주는 온라인 장터)을 열기로 하고 한국인 판매자 모집에 나선 데 따른 움직임으로 분석된다. 일각에서는 국내 고객 정보 수집 범위와 활용이 늘어난 것에 비해 정보 주체 권리를 보호하고 유출 사고 등에 대비할 방안은 미흡하다는 우려가 나온다. 개인정보보호법에 따라 국내에 주소나 영업장이 없는 기업의 경우 국내 대리인을 지정하고, 개인정보 보호책임자의 업무와 개인정보 유출 등의 통지 및 신고 업무를 부여해야 한다. 그러나 작년 9월 국민의힘 박충권 의원이 방송통신위원회로부터 제출받은 자료에 따르면 테무의 국내대리인 근무자는 3명이고, 이 중 상시근무자는 1명에 불과한 것으로 나타났다. 개인정보위원회는 지난해 4월 알리익스프레스와 테무 등 중국 전자상거래 업체들의 개인정보 유출 우려가 제기되자 이들의 개인정보 수집 절차와 이용 실태에 대한 조사에 착수한 바 있다. 작년 7월 알리는 국외 이전 절차를 위반한 점이 확인돼 과징금 19억여원을 물게 됐지만, 당시 테무는 한국에서 사업을 벌인 이력이 짧아 영업 관련 기록이 많지 않은 탓에 처분이 미뤄졌다. 개인정보위는 조만간 테무 관련 조사 결과를 발표할 예정이다.
2025-02-21 16:00:11
-
재건축진단 30일 내 통보… 정부, 정비사업 패스트트랙·조합 전자동의 시행령 입법예고
[이코노믹데일리] 정비사업 패스트트랙 제도를 시행하고 조합 설립 등 각종 동의에서 전자방식 활용을 도입하는 시행령 개정안이 마련된다. 국토교통부는 오는 21일부터 4월2일까지 40일간 '도시 및 주거환경정비법 시행령'을 입법예고한다고 20일 밝혔다. 개정안은 우선 지자체가 재건축진단 실시 여부를 자체 판단했던 현지조사 절차가 법률 개정으로 폐지됨에 따라, 앞으로 재건축진단을 요청받은 지자체는 현지조사 없이 30일 이내에 재건축진단 실시계획을 통보하도록 규정했다. 또한, 재건축진단을 통과하지 못해 사업시행계획인가 전까지 다시 재건축진단을 받아야 하는 경우, 기존 재건축진단 결과보고서를 재활용할 수 있도록 했다. 정비구역 지정 전 조합설립 추진위원회 조기 구성이 가능해짐에 따라 지정된 정비구역과 추진위원회 조기 구성 당시 면적 차이가 10% 이상이면 추진위원회 승인 등을 다시 받도록 했다. 정비계획 입안요청, 입안제안, 추진위원회 구성 동의 중 토지 등 소유자가 어느 하나에 동의하면 다른 동의도 한 것으로 간주할 수 있도록 법률이 개정된 것에 맞춰 동의 서류에 간주 되는 동의 사항을 포함해 고지하도록 하고, 해당 동의의 인·허가 신청 전까지 철회하지 않으면 동의가 간주되도록 했다. 분양공고 통지기간의 경우 건물 유형이 다양한 재개발사업에 대해 30일 연장할 수 있도록 했다. 정비사업 조합의 전자방식 활용 요건도 갖췄다. 지자체장이 전자서명동의서의 위·변조 방지, 본인확인 등에 관한 사항 등을 확인한 후 활용되도록 하고, 총회 전자의결 이용 시 의결권 행사 방법과 행사 가능기간 등을 총회 소집 시 통보하게 했다. 현장총회 출석 외에 온라인 출석도 인정됨에 따라 이를 위해 '전자서명법' 등에 따른 본인확인 절차를 거치고, 참석자의 의견제시 및 질의응답이 가능하도록 했다. 정비사업 절차도 간소화됐다. 정비구역 지정 또는 시·도지사가 따로 정한 날 이후 구분소유자가 증가한 복리시설에 대해서는 동의요건을 3분의 1로 완화하도록 규정했다. 공기업, 신탁사가 사업시행자 지정 전에 사업 참여를 위한 각종 협약 등을 체결하는 경우의 동의 비율을 토지 등 소유자의 30% 이상으로 규정했다. 김헌정 국토부 주택정책관은 "이번 제도개선에 따라 재건축·재개발 사업 전반에 사업추진이 보다 수월해지고, 사업속도도 빨라져 도심 내 주택공급 기반을 확충하는 데 크게 도움이 될 것"이라며 "제도가 대폭 개선됨에 따라 현장에 제대로 안착될 수 있도록 전국 순회 설명회를 지속적으로 개최해 제도 이해도를 높이는 한편, 정비사업에 대한 지원방안을 지속 강구해 나가겠다"고 밝혔다.
2025-02-20 16:07:19
-
-
-
-
-
업비트 운명의 날, 가상자산 시장 '규제의 덫'에 갇히나
[이코노믹데일리] 금일 열리는 열리는 금융정보분석원(FIU)의 제재심의위원회에 모든 이목을 집중시키고 있다. 바로 대한민국 최대 가상자산 거래소 업비트에 대한 제재 수위가 최종 확정되는 운명의 날이기 때문이다. '신규 고객 가상자산 외부 전송 제한'이라는 전례 없는 징계 카드를 꺼내 든 FIU. 그 이면에는 과연 무엇이 숨겨져 있을까 금일 제재심의위원회의 결과는 한국 가상자산 시장의 미래를 가늠할 중대한 분수령이 될 전망이다. 앞서 FIU는 업비트에 '신규 고객 가상자산 외부 전송 제한'을 사전 통지한 바 있다. 업비트는 이에 대한 소명 절차를 진행했으며 제재심의위원회에서 최종 변론을 펼칠 예정이다. 21일 제재심의위원회의 결과는 한국 가상자산 시장에 지대한 영향을 미칠 것으로 예상된다. 만약 FIU가 사전 통지한 제재를 확정할 경우 업비트는 신규 고객의 가상자산 외부 전송을 일정 기간(최대 6개월, 예상 3개월) 제한받게 된다. 이는 사실상 신규 고객 유입을 차단하는 강력한 제재로 업비트의 시장 지배력에 큰 타격을 줄 수 있다. 반면 제재심의위원회가 업비트의 소명을 받아들여 제재 수위를 낮출 가능성도 배제할 수 없다. 이 경우 업비트는 한숨 돌릴 수 있겠지만 여전히 규제 리스크는 남아있게 된다. ◆ KYC 위반, 그 실체적 진실은...70만 오류, 기술적 결함인가, 고의적 방조인가 FIU가 업비트에 제재를 예고한 표면적인 이유는 고객확인제도(KYC) 및 자금세탁방지(AML) 규정 위반이다. FIU는 업비트가 약 70만 건에 달하는 KYC 의무를 이행하지 않았다고 지적했다. 주로 신분증 인증 과정에서 발생한 빛 번짐, 흔들림 등으로 인한 인식 오류가 원인으로 지목된다. KYC는 자금세탁 방지를 위한 필수적인 절차다. 고객의 신원을 명확히 확인하여 불법 자금의 유통을 차단하는 것이 목적이다. 따라서 이를 소홀히 한 것은 분명 문제가 될 수 있다. 그러나 70만 건이라는 숫자에만 매몰되어 본질을 놓쳐서는 안 된다. 업비트는 국내 최대 가상자산 거래소로 압도적인 이용자 수를 보유하고 있다. 방대한 양의 신규 가입 및 인증 과정에서 일부 기술적 오류가 발생하는 것은 불가피한 측면도 있다. 더욱 중요한 것은 위반의 고의성 여부다. 업비트가 고의적으로 KYC 절차를 소홀히 했는지 아니면 기술적 한계로 인해 발생한 불가피한 오류인지에 따라 제재의 정당성은 크게 달라질 수 있다. FIU는 업비트가 고의적으로 KYC 의무를 소홀히 했다고 판단한 것일까 아니면 기술적 한계를 참작하여 제재 수위를 조절할 것인가에 대한 내용이 오늘 제재심의위원회의 결정에 귀추가 주목되는 이유다. 일각에서는 이번 제재에 '괘씸죄'가 적용된 것 아니냐는 의혹을 제기한다. 업비트가 독보적인 시장 지배력을 바탕으로 막대한 수익을 올리는 것에 대한 금융 당국의 견제 심리가 작용했다는 것이다. 또한 업비트가 가상자산 제도권 편입 과정에서 정부 정책에 소극적으로 협조했다는 시각도 존재한다. 물론 이러한 의혹은 현재로서는 추측에 불과하다. 금융 당국은 '괘씸죄' 의혹에 대해 공식적으로 부인하고 있으며 오로지 법과 원칙에 따라 제재 절차를 진행하고 있다는 입장이다. ◆ 또다른 리스크 부각에 따른 가상자산 시장에 드리운 먹구름 이번 업비트에 대한 제재는 가상자산 시장 전반에 또다른 '규제 리스크'라는 먹구름을 드리우고 있다. 특히 빗썸, 코인원 등 FIU의 현장 검사를 앞둔 거래소들은 긴장감을 감추지 못하고 있다. 업비트와 마찬가지로 KYC 위반 사례가 적발될 경우 유사한 수준의 제재를 받을 가능성을 배제할 수 없기 때문이다. 투자자들 역시 혼란스러운 모습이다. 일부 투자자들은 이번 제재가 가상자산 시장의 건전성을 높이는 계기가 될 것이라며 긍정적으로 평가하는 반면 다른 투자자들은 정부의 과도한 규제가 시장을 위축시킬 것이라며 우려를 표하고 있다. 가상자산 시장은 아직 초기 단계에 머물러 있으며 규제의 틀이 명확하게 정립되지 않은 상황이다. 따라서 정부는 규제 수위를 조절하고 시장과의 소통을 통해 합리적인 규제 체계를 마련해야 한다. 투자자 보호는 매우 중요하다. 그러나 과도한 규제는 시장의 자율성을 훼손하고 혁신을 저해할 수 있다. 정부는 투자자 보호와 산업 발전 사이에서 균형점을 찾아야 하는 어려운 과제를 안고 있다. ◆ 가상자산, '혁신의 씨앗'인가 '거품'인가...기로에 선 미래 가상자산은 블록체인 기술을 기반으로 탄생한 새로운 형태의 자산이다. 탈중앙화, 투명성, 보안성 등의 특징을 지닌 가상자산은 기존 금융 시스템의 한계를 극복하고 새로운 금융 생태계를 구축할 잠재력을 지니고 있다. 그러나 가상자산은 여전히 높은 변동성과 불확실성을 내포하고 있으며 투기적 성격이 강하다는 비판도 받고 있다. 또한 자금세탁, 테러 자금 조달 등 불법 행위에 악용될 가능성도 존재한다. 가상자산이 '혁신의 씨앗'으로 성장하기 위해서는 적절한 규제가 필수적이다. 규제를 통해 투자자를 보호하고 시장의 건전성을 확보해야 한다. 그러나 과도한 규제는 오히려 시장을 위축시키고 혁신의 싹을 자를 수 있다. 금일 열리는 제재심의위원회의 결과는 가상자산의 미래를 가늠할 중요한 시금석이 될 것이다. FIU가 어떤 결정을 내리느냐에 따라 가상자산이 '혁신의 씨앗'으로 성장할지 아니면 '거품'으로 전락할지 판가름 날 것이다.
2025-01-21 06:00:00
-
-
-