[단독] 해커, "이투스 고객정보 42만5천건’ 판매" 주장...이투스에듀 "내부 확인 결과 유출 정황 없어”

핵심 요약

해커가 국내 온라인 교육 플랫폼 이투스의 고객 및 학생 정보 약 42만 5천 건을 침해 데이터 거래 포럼에서 판매한다고 주장하는 사건이 발생했습니다. 게시물에는 이메일, 전화번호, 주소, 생년월일, 주문 내역, 학생 등록 정보 등 민감한 개인정보가 포함되어 있으며, 주민등록번호와 비밀번호 찾기 질문·답변까지 언급되어 계정 탈취 및 추가적인 사회공학 공격으로 이어질 수 있는 심각한 위협을 시사합니다. IT 감사인은 이러한 주장이 사실일 경우 발생할 수 있는 개인정보보호법 위반 리스크와 함께, 데이터 유출 여부의 신속하고 정확한 확인 및 정보주체 통지 의무 준수 여부를 중점적으로 점검해야 합니다.

💡 개선 권고안

• ✔기술적 조치고객의 주민등록번호, 비밀번호 찾기 질문·답변 등 민감 개인정보에 대한 암호화 강도 및 저장 방식을 재검토하고, 접근 통제 정책을 강화하여 인가되지 않은 접근 및 유출을 원천적으로 방지할 것을 권고함.
• ✔관리적 조치개인정보 유출 주장과 관련하여, 신속하고 철저한 내부 조사를 통해 유출 여부, 유출 경로, 유출된 개인정보의 종류 및 규모를 명확히 파악하고, 그 결과를 투명하게 공개할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 통지 및 관계 기관 신고 절차를 재점검하고, 개인정보 보호법 및 ISMS-P 등 관련 법규 및 인증 기준에 따라 72시간 이내 통지 의무를 준수할 수 있도록 비상 대응 체계를 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학 공격(Social Engineering) 및 다크웹 등 침해 데이터 거래 포럼 모니터링의 중요성에 대한 보안 교육을 정기적으로 실시하여, 잠재적 위협을 조기에 인지하고 대응할 수 있는 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문