[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

휴대전화 개통 시 안면인증 본격 시행…대체수단은?

과학기술정보통신부(이하 과기정통부)가 지난 6월 30일 범정부 보이스피싱 근절 대책의 후속 조치로 ‘휴대전화 부정사용 방지 종합대책’을 발표했다. 이번 대책의 골자는 내달 6일부터 휴대전화 개통 시 신원확인 강화를 위해 안면인증을 도입하는 것이다. 이통3사와 알뜰폰사의 모든 채널(대면, 비대면)에 시스템이 적용되며, 신규개통 및 번호이동 시 시행된다. 안면인증을 선택하면 최소 1차례(3회)의 이행 후 후속 절차가 진행된다.

다만 개인정보보호위원회(이하 개인정보위)와 국가인권위원회가 선택권 보장을 권고한 만큼 안면인증에 실패하거나 원하지 않을 경우, 모바일신분증 등 대체 인증수단으로 휴대전화를 개통할 수 있다. 스마트폰이 없는 이용자는 당일 발급받은 주민등록초본으로 대신할 수 있다. 최우혁 과기정통부 정보보호네트워크정책실장은 30일 브리핑에서 “대체 수단은 어느 시점의 문제가 아니고 계속해서 활용된다”며, "생체정보 인증에 불안감을 느끼는 고객은 대체수단 선택이 가능하며, 안면인증은 하나의 선택 요소”라고 설명했다.

보안성에 대한 우려에는 선을 그으며, “안면인증 과정에서 일시적으로 짧게 저장되는 순간에도 모든 정보는 암호화돼 전송된다”고 말했다. 또한 “다른 인증 방식과 달리 생체정보를 저장하지 않다고 판단하며, 현재까지 검증 결과 시스템상 문제는 확인되지 않았다"고 설명했다. 아울러 보안 강화 방안을 지속 검토하겠다는 입장도 덧붙였다.

정부는 오는 8월 대체수단의 편의성을 확대해 다중인증체계 고도화를 검토하고, 9월에는 주민등록초본 위변조 여부를 본인확인 절차와 자동 연계한다. 10월에는 부정개통 등 통신사 제재를 강화하고, 안면인증의 법적 근거를 포함한 전기통신사업법 시행령 개정 작업을 마무리한다. 11월부터는 원치 않는 개통을 차단하는 ‘가입제한서비스’가 계약 시 기본 제공된다.

한편, 정부는 법무부와 협조해 외국인 신분증 진위를 확인하는 시스템을 고도화하고, 회선 개통 요건(1인 1회선 원칙, 소명시 추가)도 한층 엄격화할 계획이다. 취약계층을 노린 ‘내구제 대출’ 등 명의 대여 범죄를 막기 위한 조치도 시행된다. 이통3사는 10월부터 개통 시 대포폰 개설이 처벌 대상임을 반드시 고지해야 하고, 고위험군에 대해서는 고가 단말기 할부 개통이 제한된다. 법인폰 부정개통을 막기 위해 180일 내 4회선까지만 허용하는 다회선 총량제를 도입해, 반복적인 개통·해지로 회선을 세탁하는 수법을 차단한다.

앤트로픽 클로드 페이블 5 수출 통제 해제

앤트로픽이 지난 6월 30일부로 클로드 페이블 5(Claude Fable 5)와 클로드 미토스 5(Claude Mythos 5)에 대한 수출 통제 조치가 해제됐다고 밝혔다. 지난 6월 미국 정부의 제한 조치로 세계 이용자의 접근이 중단된 지 약 보름 만이다.

페이블 5는 ‘클로드 플랫폼’, ‘클로드.ai’, ‘클로드 코드’, ‘클로드 코워크’ 등에서 세계 사용자에게 다시 제공된다. 다만 앤트로픽은 “미토스 5는 6월 26일 미국 정부 승인에 따라 일부 미국 기관에 한해 접근이 먼저 복원됐으며, 프로젝트 글래스윙에 참여하는 국내외 파트너사들로 접근 권한을 확대하기 위해 정부와 지속적으로 협의 중”이라고 밝혔다.

이번 사태의 발단은 아마존 소속 연구자들이 발견한 보안 우회 사례였다. 특정 방식으로 프롬프트를 입력하면 페이블 5가 소프트웨어 취약점을 찾고, 이를 악용하는 코드를 생성한다는 보고서가 미국 정부에 전달된 것이다. 정부는 국적을 실시간으로 식별하기 어렵다는 이유로 페이블 5와 미토스 5를 전면 차단했다.

그러나 앤트로픽은 해당 취약점 탐지는 클로드 하위 모델은 물론 GPT-5.5 등 경쟁사 모델에서도 재현됨을 확인했다. 취약점 악용 코드 시연 역시 현존하는 대부분의 고성능 모델이 만들어낼 수 있는 수준이었다. 앤트로픽은 정부와 협의해 페이블 5에 새로운 안전 장치를 학습시켰다고 밝혔다. 특정 공격 기법을 99% 이상 차단하는 성능을 발휘하며, 미국 상무부 산하 AI표준혁신센터(CAISI)도 안전장치의 효과를 검증했다고 말했다. 페이블 5는 ‘소형 자동화 AI 시스템’ 등 유해한 사이버 보안 요청을 감지해 응답을 차단하는 방어 체계를 갖추게 됐다.

개인정보위, 개인정보 국외이전 위반 ‘빗썸’ 과징금

개인정보위가 지난 6월 24일 열린 제12회 전체회의에서 빗썸에 과징금 2억 1000만 원을 부과하고 적법한 국외이전 요건을 갖추도록 하는 시정명령을 의결했다. 앞서 지난해 개인정보위는 국정감사에서 제기된 빗썸의 오더북(주문정보) 공유(거래소 간 매수·매도 주문정보를 공유해 상호 교차 체결이 가능하도록 하는 제휴 형태) 방식에 대해 조사에 착수한 바 있다.

빗썸은 지난해 9~11월 테더(USDT) 마켓에서 해외 거래소와 오더북을 공유하는 과정에서 문제를 일으켰다. 이용자에게는 스텔라 거래소로 개인정보를 이전한다고 동의를 받아놓고, 실제로는 전혀 다른 거래소가 운영하는 시스템(bingx)으로 회원번호와 주문정보를 전송한 것이다.

또한 자금세탁방지 명목으로 가상자산을 13개 해외 거래소로 이전하는 과정에서, 송금인과 수취인의 이름, 지갑 주소, 생년월일 등의 개인정보를 이용자의 별도 동의 없이 무단으로 제공한 사실도 함께 적발됐다.

한편, 제재와 함께 개인정보위는 ‘블록체인 서비스 개인정보 보호 가이드라인’을 발표했다. 블록체인 기술의 투명성·분산성·불변성이 오히려 개인정보 보호에는 위험 요인이 될 수 있다는 지적에 따른 조치다. 가이드라인에 따르면, 개인정보는 온체인(블록체인 네트워크의 블록에 기록되는 정보)에 기록하지 않고, 암호화된 익명 형태로만 기록해야 한다. 개인정보 파기 시에는 오프체인에 저장된 데이터와 온체인 정보 생성에 쓰인 값 등 추가정보를 삭제하는 방식으로 파기 의무를 이행해야 한다는 방안도 제시됐다.

과기정통부, 양자내성암호 전문 인력 양성

과기정통부와 한국인터넷진흥원(KISA)이 ‘양자 내성 암호 전문교육’을 7월부터 11월까지 순차 운영한다. 교육생 모집은 6월 30일부터 시작됐다. 이번 교육은 양자컴퓨터 기술이 고도화됨에 따라 기존 공개키 기반 암호 체계가 무력화될 수 있다는 보안 위협에 선제적으로 대응하기 위한 조치다.

교육 과정은 ▲개발 과정, ▲전환과정, ▲실무과정의 3개 과정으로 구성되며, 개발·전환과정은 각 90명, 실무과정은 440명 등 총 620명의 전문인력 양성을 목표한다. 이는 지난해 9월 ‘범국가 양자 내성 암호체계 전환 종합 추진계획’과 올해 1월 ‘제1차 양자 과학기술 및 양자 산업 육성 종합계획’에 따른 후속 조치로, 국가 암호체계를 양자 시대에 맞게 안착시킬 실무 인력을 키우는 게 목표다.

개발 과정은 양자내성암호 알고리즘의 원리와 구조, 실제 구현 기술을 배우는 대학원생 및 개발자, 연구원을 위한 2일 과정이다. 전환 과정은 기존 공개키 기반 암호체계를 양자 내성 암호로 바꾸는 절차와 적용 방안을 시나리오 기반 실습으로 익히는 정보보호 담당자를 위한 2일 과정이다. 실무 과정은 국내외 동향과 정책, 전환 필요성 등을 다루는 1일 과정으로, 공공과 민간의 보안 관리자를 위해 마련됐다.

S2W, 인터폴과 손잡고 인권 유린 범죄 수사 지원

국내 빅데이터 분석 AI 기업 에스투더블유(S2W)가 인터폴 및 유럽안보협력기구(OSCE)가 주도한 국제 공조 작전 ‘사이버프로텍트 III(Operation CyberProtect III)’를 지원했다고 7월 1일 밝혔다. 이번 작전은 구독형 콘텐츠 플랫폼을 악용해 여성과 미성년자 등을 유인한 뒤, 성 착취물 제작에 동원하는 조직적 범죄 네트워크를 소탕하기 위해 전개됐다.

범죄 조직들은 정상적인 모델 에이전시로 위장해 피해자에게 접근한 뒤, 계정 운영권을 빼앗고 수익 대부분을 가로챘다. 특히 콘텐츠 구독 플랫폼의 유료 접근 구조와 은어 중심 소통 방식, 국가별 수사 관할권은 그동안 법 집행기관의 발목을 잡아온 요인으로 꼽혀왔다.

이에 네덜란드, 독일, 영국 등 유럽 7개국 법 집행기관은 지난 5월 해커톤 방식으로 공동 대응에 나섰다. 그 결과 의심 사례 34건과 용의자 프로필 18건, 잠재적 피해자 27명을 식별하는 성과를 냈다.

이 과정에서 S2W는 인터폴 민관협력 프로그램 ‘게이트웨이 이니셔티브’의 한국 유일 파트너 자격으로 참여했다. 자사 보안 AI 플랫폼 ‘자비스(XARVIS)’를 활용해 다크웹과 텔레그램, SNS에 흩어진 범죄 단서를 모니터링하고 교차 분석함으로써 수사에 필요한 단서를 제공했다. S2W는 앞서 ‘사이버프로텍트 II’와 ‘시너지아 III’ 등 인터폴 주도 국제 공조 작전에도 여러 차례 참여해 기술력을 입증한 바 있다.

IT동아 김예지 기자 (yj@itdonga.com)