2025년 1주차 보안 사고 리포트

GS리테일 고객 166만 명 개인정보 유출

166만피해: 고객 166만 명 개인정보

GS리테일이 크리덴셜 스터핑 공격을 받아 고객 개인정보가 유출됐다. 처음에는 약 9만 명의 피해가 알려졌으나 GS샵의 추가 유출이 드러났고, 이후 확인된 피해 규모는 166만 명이었다. GS리테일은 사과하고 경영진이 참여하는 대책위원회를 발족했으며, 개인정보보호위원회는 과징금 128억3,600만원을 부과했다.

한국예술종합학교 해킹으로 약 1만8천명 정보 유출

2만피해: 재학생·졸업생 약 1만8,000명 개인정보

한국예술종합학교가 2024년 12월 29일 해킹을 당해 재학생·졸업생 약 1만8,000명의 개인정보가 유출됐다. 유출 항목에는 성적과 보호자 정보, 은행 계좌 등이 포함됐다.

한국정보보호산업협회 뉴스레터 구독자 이메일 유출

1만피해: 뉴스레터 구독자 이메일 주소 약 1만건

2025년 1월 한국정보보호산업협회의 뉴스레터 구독자 이메일 주소 약 1만건이 유출된 사실이 알려졌다. 유출 원인은 인적 실수로 파악됐다.

미국 재무부 원격지원 서비스 침해로 내부 문서 접근

피해: 업무용 컴퓨터와 내부 문서 무단 접근, 해외자산통제국·금융연구국 피해

미국 재무부가 원격지원 서비스를 통한 침해로 업무용 컴퓨터와 내부 문서에 대한 무단 접근 피해를 입었다. 공격자는 BeyondTrust 원격지원 서비스에서 탈취한 API 키를 이용했으며, 해외자산통제국과 금융연구국도 피해 대상으로 확인됐다. 미국은 공격을 중국 연계 Silk Typhoon 조직과 연결하고 관련 사이버 행위자에 대한 조치를 발표했으며, 중국은 관여를 부인했다.

폭스바겐 전기차 80만 대 관련 정보와 위치 데이터 노출

피해: 전기차 약 80만 대 관련 고객 정보 및 위치 데이터

폭스바겐 소프트웨어 자회사 카리아드에서 전기차 약 80만 대와 관련된 고객 정보와 위치 데이터가 노출됐다. 유럽 내 차량의 정밀 위치 데이터가 수개월 동안 노출됐으며, 원인으로 클라우드 설정 오류와 AWS 인증정보 보안 관리 부실이 지목됐다.

스티이지 고객 38만 명 신분증·구매정보 유출

38만피해: 고객 38만 명의 신분증 정보·서명·구매이력 등

미국 대마 제품업체 스티이지에서 2024년 11월 POS 서비스 공급업체 계정 침해로 일부 매장 고객정보가 유출됐다. 유출 정보에는 운전면허·여권번호, 신분증 사진, 서명, 구매이력이 포함됐으며 피해자는 38만 명으로 알려졌다. 회사는 고객에게 유출을 알렸고 이후 관련 집단소송이 제기됐다.

포드 공식 X 계정 침해로 친팔레스타인 게시물 게재

피해: 공식 X 계정에 친팔레스타인 메시지 무단 게시

포드의 공식 X 계정이 침해돼 이스라엘을 테러 국가로 지칭하는 등 친팔레스타인 메시지가 게시됐다. 포드는 계정이 일시적으로 침해됐다고 확인하고 사건을 조사했다. 구체적인 침입 수법은 확인되지 않는다.

탬파 종합병원 데이터 유출로 집단소송 합의

탬파 종합병원에서 데이터 유출이 발생해 집단소송으로 이어졌다. 병원은 소송에서 680만 달러 규모의 합의에 동의했다. 사고 발생일과 유출 규모, 원인은 확인되지 않았다.