[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

할리스, 276만 건 개인정보 유출…비밀번호까지 털려

커피 전문점 할리스가 클라우드 인프라 해킹으로 약 276만 건의 개인정보가 유출된 사실을 확인했다고 지난 16일 밝혔다. 할리스 측은 해커가 가상화폐 채굴 자원을 확보할 목적으로 클라우드에 침입했다가, 내부 시스템에 방치돼 있던 구버전 임시 데이터를 함께 탈취한 것으로 파악했다.

조사 결과 공격은 2026년 9월 3일부터 10월 7일 사이에 이뤄졌다. 유출된 데이터는 현재 운용 중인 주 데이터베이스가 아닌 과거 멤버십 서비스 개편 과정에서 생성된 임시 파일이다. 피해 대상은 2009년부터 2020년 2월 11일 사이 가입한 회원으로, 현재까지 확인된 유출 규모는 누적 고객 데이터 약 276만 건이다. 유출 항목에 아이디, 비밀번호, 성명, 생년월일, 연락처, 주소, 이메일은 물론 본인확인 식별값인 중복가입확인정보(DI)까지 포함돼 2차 계정 도용 피해 우려를 키우고 있다.

할리스는 침입 경로를 차단하는 한편 인증 절차와 로그인 모니터링을 강화하고, 해당 클라우드 기반 멤버십 서비스를 즉시 중단할 방침이다. 미사용 임시 시스템과 과거 데이터 파일을 파기하지 않고 방치한 관리의 허점이 이번 사태를 초래했다는 작용했다는 지적이 나온다.

새마을금고, 해외 IP 우회 공격에 뚫려

새마을금고중앙회가 해킹 공격으로 공제 회원 400여 명의 개인(신용)정보가 유출됐다고 밝혔다. 새마을금고 측은 한글날 연휴인 10월 10일부터 11일 사이 해외 IP 수십 개를 동원한 공격을 받았으며, 예·적금 고객 정보 유출은 확인되지 않았다고 설명했다. 새마을금고는 12일 이를 인지한 뒤 이튿날 한국인터넷진흥원(KISA)에 신고하고 홈페이지에 사과문을 게시했다.

유출 항목은 성명, 주소, 연락처, 암호화된 주민등록번호, 계좌번호와 함께 계좌 잔액 정보까지 포함된 것으로 밝혀졌다. 새마을금고중앙회는 유출 통지와 함께 피해 발생 시 전액 보상 방침을 밝혔으나, 금융 자산 정보까지 노출된 상황에서 관제 소홀에 따른 책임론이 거세지고 있다.

문제는 관제 시스템의 늦은 대응이다. 새마을금고 측은 해킹 발생 후 금융보안원으로부터 타 금융사를 공격한 블랙리스트 IP 정보를 공유받은 뒤에야 사흘 전 자사 공제 사이트가 뚫린 사실을 파악했다. 과거 차단 이력이 있던 IP가 우회 주소를 동원해 지속 접속을 시도했음에도 실시간 관제망이 이를 거르지 못한 셈이다.

한편, 데이터 인텔리전스 기업 에스투더블유(S2W)의 위협 인텔리전스 노트에 따르면, 최근 금융권 공격에 쓰인 주소 대부분은 글로벌 위협 평판 데이터베이스에 신고 기록이 거의 없던 주소로 파악됐다. 기존의 악성 주소 차단 방식으로는 사전에 공격을 막기 어려워지는 실정이다.

금융위, 금융사 점검 및 방어 체계 재편

금융위원회는 최근 잇따른 금융권 해킹 사고에 대응해 지난 14일 신진창 사무처장 주재로 금융보안원, 과학기술정보통신부, 개인정보보호위원회, 경찰청 등 관계기관과 ‘제2차 긴급 상황대응 회의’를 열고 보안 체계 강화 방안을 확정했다.

지난 신한은행 사고 전후로 은행, 저축은행, 여신전문금융사, 온투업, 전자금융업, 가상자산사업자, 상호금융 등 총 16개 금융사에서 사고가 확인됐다. 현재까지 파악된 유출 규모는 약 10만 건(성명, 연락처, 주민등록번호, 이메일 등)이다. 계좌 비밀번호나 카드번호 등 직접적인 금융 부정결제로 이어질 정보는 포함되지 않았으나, 공유된 IP 대조 작업이 진행 중이어서 사고 발생 금융사는 늘어날 가능성이 있다.

이날 회의에서는 지난 10월 2일 지시한 555개 전 금융사 대상 긴급 체크리스트(12개 항목) 점검 결과가 공유됐다. 점검 결과 전체의 23.4%인 130개사에서 보완이 필요한 미흡 사항이 적발됐다. 주요 미흡 항목은 최신 보안패치 미적용, 지원 종료 시스템 관리 소홀, 24시간 관제체계 미구축, 인증 및 접근통제 부실 등 기본 관리 소홀로 집계됐다.

금융당국은 금융권 전산 시스템의 외부 접점을 전수 점검하고, 대형 금융사의 취약점 점검 의무를 연 1회에서 연 2회 이상으로 확대하기로 했다. 아울러 금융권 통합관제시스템(FIRST)을 통한 위협 정보 실시간 공유를 의무화하며, “AI 공격은 AI로 방어한다”는 원칙하에 망분리 규제를 유연하게 개선할 방침이다. 점검 이행이 부실할 경우 대표이사(CEO)와 이사회의 책임을 묻는 제재 방안도 함께 추진된다.

한편 개인정보보호위원회는 19일 2차 피해 예방을 위한 생활 속 보안 수칙을 공유했다. 미사용 계정 정리, 2단계 인증 활성화, ‘털린 내 정보 찾기’ 등 공공서비스를 활용한 명의도용 점검, 출처가 불분명한 링크 확인 등이 권고된다. 피해가 의심될 경우 개인정보침해 신고센터(118)나 경찰청 전기통신금융사기 통합대응단(1394)에 신고해야 하며, 금전 피해 발생 시 즉시 112나 해당 금융사에 지급정지를 요청해야 한다.

네이버클라우드, 기업용 무료 보안 자가진단 서비스 개시

기업들이 자사 보안 체계를 직접 검증할 수 있는 무료 도구가 등장했다. 네이버클라우드는 기업의 보안 현황을 빠르게 진단하고 개선 방향을 제시하는 ‘네이버클라우드 보안 자가진단’ 웹사이트를 19일 정식 오픈했다.

별도 회원가입이나 기업 정보 입력 없이 네이버 클라우드 플랫폼 홈페이지에서 누구나 무료로 이용할 수 있다. 네트워크 보안, 접근제어, 데이터 보호·암호화 등 7개 영역 21개 문항으로 구성됐으며, ‘AI 활용 환경 보안’ 영역을 별도 신설해 점검 범위를 넓혔다.

AI 영역에서는 자동화 공격 방어 대책, 사내 AI 이용 시 민감 정보 유출 방지 정책, 접근 권한 관리 등을 다룬다. 네이버클라우드 측은 진단 완료 후 산업별 규제 사항과 연계된 맞춤형 솔루션을 안내받을 수 있어 전문 보안 조직이 부족한 중소·벤처기업의 보안 역량 강화에 도움을 줄 것이라 전망했다.

슈프리마, AI 안면인식 탑재한 순찰로봇 솔루션 공개

지능형 출입통제 및 물리보안 전문기업 슈프리마는 오는 21일부터 24일까지 인천 송도컨벤시아에서 열리는 ‘국제치안산업대전(KPEX 2026)’에서 AI 영상보안 기반 순찰로봇 솔루션 ‘큐페이스 가디언’을 최초 공개한다고 밝혔다. 큐페이스 가디언은 자사 AI 안면인식 기술인 ‘큐페이스 파인더(Q-Face Finder)’를 뉴빌리티의 순찰로봇(뉴비 쉴드) 및 사족보행 로봇(뉴트렉)에 이식해 수집 영상을 실시간 분석하는 통합 관제 솔루션이다.

슈프리마는 기존 의상 색상이나 소지품 중심 검색이 지닌 높은 오탐률을 극복하기 위해 독자적인 실시간 AI 안면인식 기술을 적용했다고 밝혔다. 로봇 순찰 영상과 기존 CCTV 영상을 연계 분석해 실종 아동이나 치매 노인을 탐지하고, 3D 이동 경로를 실시간 추적해 골든타임을 확보한다. 야간 순찰 중 연기, 화재, 보행자 쓰러짐 등 이상 징후 감지 시 관제센터로 즉시 알림을 전송하며, 대대적인 설비 교체 없이 감시 사각지대를 해소할 수 있다.

슈프리마는 현재 안양시 AI 로봇 실증사업에 참여 중이며, 향후 경찰청과 지자체, 스마트시티, 산업단지 등으로 사업 영역을 확장할 계획이다. 최종규 슈프리마 국내사업 및 시스템 총괄은 “사람의 눈이 닿지 않는 곳까지 아우르는 도시안전 솔루션을 지속 선보이겠다”고 밝혔다.

IT동아 김예지 기자 (yj@itdonga.com)