일본의 대표 통신 인프라 기업과 대형 생명보험사가 잇따라 대규모 정보 유출 피해를 공개했다.
KDDI는 7월 6일, 인터넷 서비스 사업자용으로 제공하는 메일 시스템이 무단 침입을 받아 이메일 주소 약 1,223만 건이 유출된 사실을 확인했다고 밝혔다. 이 가운데 약 761만 건에는 비밀번호도 포함됐다.
대상은 일본 인터넷 서비스 브랜드인 니프티(@nifty), BIGLOBE, J, 코뮤파 히카리 등 6개사 서비스 이용자다. KDDI는 au와 UQ mobile 등 자사 메일 서비스에는 영향이 없다고 설명했다.
아플락 생명보험도 6월 30일, 계약자 전용 사이트 아플락 요리소우 넷 등에 무단 접속이 발생해 고객 약 438만 명의 개인정보가 유출됐다고 발표했다.
유출된 정보에는 이름, 주소, 보험증권 번호, 보장 내용 등이 포함됐다. 이 가운데 약 23만 명의 정보에는 보험료 자동이체 계좌 정보도 들어 있었다.
마이넘버와 신용카드 정보는 유출 대상에 포함되지 않았다고 밝혔다.
일본 금융청은 같은 날 보험업법에 따라 아플락에 보고를 요구하는 명령을 내렸다.
두 회사 모두 업계 안에서 보안 투자와 내부 관리 체계가 높은 수준으로 평가받아온 기업이다. 그런데도 왜 이 정도 규모의 정보 유출을 막지 못했을까.
두 사건을 나눠 살펴보면, 현대 기업들이 공통적으로 안고 있는 보안 취약점이 드러난다.
KDDI와 아플랙에서 무슨 일이 벌어졌나
KDDI 사례는 원인이 비교적 분명하다. 회사가 발표한 보고서에 따르면 인터넷 서비스 사업자용 메일 시스템에 들어간 외부 업체 소프트웨어에 취약점이 있었고, 공격자는 이 취약점을 악용했다.
더 큰 문제는 KDDI가 무단 침입을 확인한 6월 17일 당시, 소프트웨어 개발사도 해당 취약점을 알지 못했다는 점이다. 이른바 제로데이 취약점 상태였던 셈이다.
일부 인터넷 서비스 사업자에서는 5월 16일부터 침입이 시작됐고, 이를 알아차리기까지 한 달 넘게 걸렸다.
아플락의 경우 아직 정확한 원인은 공개되지 않았다. 회사 발표에 따르면 첫 무단 접속은 6월 15일 발생했다. 이후 6월 25일 계약자 전용 사이트 시스템에서 비정상적으로 높은 부하가 감지되면서 문제가 드러났다. 약 10일 동안 여러 차례 침입이 이뤄진 셈이다.
침입 경로나 구체적인 수법은 아직 조사 중이다. 공개 자료 어디에도 외부 위탁업체가 발단이었다고 명시돼 있지는 않다. 따라서 이번 사건을 단순히 위탁업체 관리 부실 때문이라고 단정하는 것은 이르다.
다만 아플락은 2023년에도 외부 위탁업체 서버가 공격을 받아 약 132만 명의 정보가 유출된 적이 있다. 이 사건은 위탁업체에서 시작된 것이 확인된 별도 사례다. 이번 사건과는 구분해서 봐야 한다.
결국 두 사건의 공통점은 단순히 외부 업체 관리가 허술했다는 데 있지 않다. 더 큰 문제는 기업이 직접 통제하기 어려운 영역이 공격의 통로가 됐다는 점이다.
KDDI는 외부에서 들여온 소프트웨어가 문제의 시작점이 됐고, 아플락은 고객이 접속하는 온라인 시스템이 공격 대상이 됐다.
업종도 다르고 공격 방식도 다르지만, 방화벽이나 로그인 보안 강화처럼 입구를 막는 방식만으로는 침입을 완전히 막기 어렵다는 사실이 공통적으로 드러났다.
놓쳐서는 안 될 발견까지의 시간
또 하나의 공통점은 침입이 시작된 뒤 이를 알아차리기까지 시간이 걸렸다는 점이다. KDDI는 침입 시작부터 발견까지 약 한 달, 아플락은 약 10일이 걸렸다. 이 기간 동안 공격자는 시스템 안에 머물며 정보에 접근했을 가능성이 있다.
사이버보안 컨설턴트 니이미 스구루는 “제로데이 취약점이 존재하는 이상 침입을 100% 막는 것은 원칙적으로 거의 불가능하다”고 지적했다.
그는 중요한 것은 침입 사실을 얼마나 빨리 알아차리고, 피해 범위를 얼마나 신속하게 파악해 차단하느냐라고 설명했다.
비정상적인 접속 패턴이나 로그인 실패 횟수 등을 민감하게 감지하는 시스템이 없다면, 시스템에 부하가 걸린 뒤에야 뒤늦게 알아차리는 대응에서 벗어나기 어렵다는 것이다.
외부 업체와의 계약서에 보안 준수 조항을 넣어두는 것만으로도 충분하지 않다. 점검이 형식적으로만 이뤄진다면 사고가 났을 때 계약서는 책임을 피할 근거가 되지 못한다.
오히려 대비를 해뒀다고 믿는 경영진의 안일한 판단이 위험을 더 늦게 보이게 만들 수 있다.
보안은 비용이 아니라 사업을 지키기 위한 투자
이번 사건에서 기업의 IT 부서뿐 아니라 경영진까지 짚어야 할 핵심은 크게 세 가지다.
첫째는 제로트러스트 보안의 강화다. 대형 벤더 제품이니까 안전하다거나, 자사 사이트니까 보호되고 있다는 전제를 버려야 한다.
네트워크 경계선을 막는 데 집중하는 방식에서 벗어나, 데이터 자체를 보호하는 방향으로 보안 체계를 바꿔야 한다.
보험료 자동이체 계좌 정보처럼 민감한 데이터는 접근 권한을 더 세밀하게 나누고, 만약 침입이 발생하더라도 피해가 일부 영역에 그치도록 설계해야 한다.
둘째는 보안 평가 기준을 바꾸는 일이다. 사고를 막았는가만 볼 것이 아니라, 사고가 발생했을 때 얼마나 빨리 움직였는지를 봐야 한다.
제로데이 공격을 완전히 막기는 어렵다. 따라서 문제가 드러난 뒤 공표까지 걸린 시간, 비밀번호 강제 변경, 시스템 차단, 추가 피해 방지 조치의 속도와 투명성이 사후 신뢰 회복을 좌우한다.
셋째는 시스템 의존 관계를 평소에 정리해두는 것이다. 자사 시스템이 어떤 외부 소프트웨어에 의존하고 있는지, 어떤 외부 업체가 중요한 데이터에 접근할 수 있는지 목록화해야 한다.
이를 위해 소프트웨어 자재 명세서, 즉 SBOM을 정비하고, 위기 상황이 발생했을 때 관련 시스템과 업체를 한꺼번에 점검하고 대응할 수 있는 체계를 평소부터 갖춰야 한다.
KDDI와 아플락의 사례는 업종도 공격 방식도 다르지만, 복잡해진 기업 시스템 구조가 안고 있는 위험을 보여준다.
아무리 자사 보안 체계를 강화해도 외부 소프트웨어, 고객용 온라인 시스템, 협력업체와의 연결 지점이 존재하는 한 위험을 완전히 없앨 수는 없다.
앞으로 경영자에게 요구되는 역량은 정보 유출을 절대 일으키지 않는 것이 아니다. 유출이 발생할 수 있다는 전제 아래 피해를 최소화하고, 빠르고 투명하게 대응할 수 있는 조직을 평소에 만들어두는 것이다.
