2023년 44주차 보안 사고 리포트
2023.10.30 ~ 11.05 새로 보도된 해킹·개인정보 유출 사건
국내에서는 동행복권 홈페이지 해킹에 따른 회원 개인정보 유출이 기사 14건으로 가장 큰 주목을 받았으며, 워크넷 회원 23만 명의 이력서와 삼쩜삼 이용자 13만 명의 개인정보 유출도 드러났다. 개인정보 850만 건을 탈취해 SNS에서 거래한 해커 일당 검거 등 개인정보 피해가 두드러졌고, 교육·고용·세무·학술 등 여러 분야에서 관련 사건이 이어졌다. 에스티오 고객 문자 시스템 침입이 전체 고객 대상 스미싱 문자 발송으로 이어지는 등 침해된 시스템을 악용한 추가 피해도 나타났으며, 1,500억 원 규모의 보이스피싱 적발도 보고됐다. 해외에서는 영국 국립도서관과 토론토 공공도서관, 보잉, 캐나다 온타리오주 병원에 대한 랜섬웨어 공격으로 정보 탈취와 서비스·진료 차질이 함께 발생했다.
유형별
- 개인정보 유출16
- 해킹·침해15
- 랜섬웨어7
- 피싱·스미싱3
- 악성코드1
주요 국내 사건
동행복권 홈페이지 해킹으로 회원 개인정보 유출
피해: 회원 이름·전화번호 등 개인정보
2023년 11월 동행복권 홈페이지가 외부 해킹 공격을 받아 회원의 이름·전화번호 등 개인정보 유출 가능성이 확인됐다. 동행복권은 서비스를 일시 중단하고 시스템을 긴급 점검했으며, 아이디별 비밀번호는 노출되지 않았다고 밝혔다. 이후 개인정보 유출과 관련해 과징금이 부과됐다.
관련 보도 14건 · 마지막 보도 →천재교과서 개인정보 유출 과징금 취소소송 항소심 패소
2만피해: 밀크티 이용자 2만3,000여명 개인정보
2021년 천재교과서 밀크티 이용자 2만3,000여명의 개인정보가 유출됐다. 천재교과서는 9억원 과징금 처분에 불복해 취소소송을 냈으나 항소심에서도 패소했다. 재판부는 천재교육 웹 서버를 통한 밀크티 데이터베이스 접근이 가능했고 천재교과서가 접근권한 제한 의무를 다하지 못했다고 판단했다.
관련 보도 2건 →에스티오 고객 문자 시스템 침입으로 스미싱 문자 발송
피해: 전체 고객 대상 스미싱 문자 발송
외부인이 에스티오 정보망에 접속해 고객 문자 발송 시스템으로 전체 고객에게 교통범칙금 고지서를 가장한 스미싱 문자를 발송했다. 한국인터넷진흥원은 문자에 연결된 앱이 개인정보 탈취와 스마트폰 원격 통제가 가능한 악성 앱임을 확인했다. 회사는 사과와 함께 한국인터넷진흥원에 신고하고 경찰 수사를 의뢰했으며, 고객정보 유출은 확인되지 않았다.
관련 보도 2건 →개인정보 850만 건 탈취·SNS 거래 해커 일당 검거
850만피해: 개인정보 850만 건
개인정보 850만 건을 빼낸 해커 일당이 검거됐다. 이들은 탈취한 개인정보를 SNS로 거래했다.
뉴시스 기사 보기 ↗워크넷 해킹으로 회원 23만 명 이력서 개인정보 유출
23만피해: 회원 23만 명의 이력서 개인정보
워크넷이 해킹을 당해 회원 23만 명의 이력서 개인정보가 유출됐다. 해외 무단접속과 정보 유출을 7일간 인지하지 못했다. 보안관제 상주 인력의 근무시간이 제한돼 있었던 관리 문제도 드러났다.
보안뉴스 기사 보기 ↗삼쩜삼 이용자 13만명 동의 없는 개인정보 유출
13만피해: 13만명 개인정보
삼쩜삼에서 13만명의 동의 없는 개인정보 유출이 확인됐다는 주장이 제기됐다. 구체적인 유출 시점과 항목, 대응 내용은 확인되지 않았다.
세무사신문 기사 보기 ↗한국식품영양과학회 성명·세부전공 등 개인정보 유출
피해: 성명·세부전공 등 개인정보
한국식품영양과학회에서 성명과 세부전공 등 개인정보가 유출됐다. 구체적인 피해 인원과 유출 시점, 원인 및 대응 내용은 확인되지 않았다.
민주신문 기사 보기 ↗카카오게임즈 오딘 업데이트 정보 유출 보상안 공개
피해: 오딘 업데이트 정보 유출
카카오게임즈가 오딘 업데이트 정보 유출에 대한 보상안을 공개했다. 구체적인 유출 시점과 경위, 보상 내용은 확인되지 않았다.
게임톡 기사 보기 ↗서점·작가 SNS 계정 해킹 후 600유로 요구
피해: 서점·작가 SNS 계정 해킹 피해
서점과 작가의 SNS 계정이 해킹되는 피해가 잇따랐다. 공격자는 600유로를 지급하지 않으면 계정을 삭제하겠다고 협박했다.
연합뉴스 기사 보기 ↗1,500억원 가로챈 보이스피싱 적발
피해: 금전 피해 1,500억원
보이스피싱으로 1,500억원을 가로챈 범행이 적발됐다. 범행과 관련해 검사를 사칭하는 딥페이크까지 연습한 정황이 드러났다.
YTN 기사 보기 ↗
주요 해외 사건
영국 국립도서관 랜섬웨어 공격으로 서비스 중단·정보 유출
피해: 직원·고객 정보 및 내부 문서 유출, 온라인·전화·현장 서비스 장애
영국 국립도서관은 2023년 10월 28일 랜섬웨어 공격을 받아 웹사이트와 전자목록, 디지털 자료 접근, 전화 및 현장 서비스에 장애를 겪었다. 직원과 고객 정보 및 내부 문서가 유출됐으며, 리시다 그룹이 공격을 자행했다고 주장했다. 국가사이버보안센터와 외부 전문가가 조사에 참여했고, 도서관은 2024년 1월 온라인 소장자료 접근을 복구하는 등 서비스를 단계적으로 재개했다.
관련 보도 32건 · 마지막 보도 →토론토 공공도서관 랜섬웨어로 정보 탈취·서비스 중단
피해: 직원 개인정보 등 파일서버 자료 탈취 및 도서관 서비스 중단
토론토 공공도서관이 2023년 10월 28일 랜섬웨어 공격을 받아 온라인 계정, 디지털 자료, 공용 컴퓨터와 인쇄 서비스가 중단됐다. 파일서버의 대량 자료가 탈취됐으며 직원의 사회보험번호 등 개인정보 유출이 확인됐다. 1998년 이후 직원들의 신분증 사본과 일부 이용자·자원봉사자·기부자 정보도 영향을 받았을 가능성이 제기됐다. 도서관은 서비스를 단계적으로 복구하고 2024년 12월 장기간 진행한 조사 결과를 공개했다.
관련 보도 14건 · 마지막 보도 →보잉 랜섬웨어 공격으로 서비스 차질과 자료 유출
피해: 글로벌 서비스 차질 및 자료 유출
보잉이 2023년 사이버 공격을 받아 글로벌 서비스에 차질을 겪었다. 록빗은 보잉에서 탈취했다고 주장하는 자료를 공개했고, 보잉은 유출 자료를 조사했다. 보잉은 2024년 5월 당시 2억 달러의 몸값 요구를 받았으며 지급을 거부했다고 확인했다.
관련 보도 11건 · 마지막 보도 →캐나다 온타리오주 병원 랜섬웨어 공격으로 진료·정보 피해
560만피해: 환자 방문 560만 건 관련 정보 탈취 및 암 치료 일정 취소
캐나다 온타리오주 병원들이 랜섬웨어 공격을 받아 암 치료 일정이 취소되고 환자 방문 560만 건에 해당하는 정보가 탈취됐다. 공격자는 수백만 달러의 몸값을 요구했으며, 병원 측은 복구에 수주가 걸릴 것으로 예상했다. 이후 피해 병원 5곳을 상대로 4억8,000만 달러 규모의 집단소송이 제기됐다.
관련 보도 7건 · 마지막 보도 →라스트패스 2022년 정보 유출로 영국 이용자 160만명 피해
160만피해: 영국 이용자 160만명 정보 유출
2022년 라스트패스에서 비밀번호 보관함이 탈취되는 정보 유출 사고가 발생했으며, 영국 이용자 160만명이 영향을 받았다. 조사자들은 이 사고와 연관된 것으로 추정되는 가상자산 도난으로 2023년 10월 25일 하루에 25명 이상이 약 440만 달러의 피해를 봤다고 밝혔다. 영국 당국은 2025년 12월 라스트패스에 120만 파운드의 과징금을 부과했다.
관련 보도 6건 · 마지막 보도 →