[단독] 플라이, 개인정보 유출 공식 확인…“의심 건수 약 33만건, 4,790만건은 공격자 주장”

핵심 요약

국내 배달 플랫폼 플라이가 개인정보 유출 사실을 공식 확인하고 사과문을 발표했다. 회사는 한국인터넷진흥원(KISA)을 통해 사고를 인지했으며, 공격자가 주장한 4,790만 건과는 달리 약 33만 건의 개인정보 유출 의심 건수를 파악하고 있다고 밝혔다. 이는 개인정보처리자의 정보보호 관리체계 미흡으로 인한 데이터 유출 사고로, 정보주체의 권리 침해 및 기업의 신뢰도 하락으로 이어질 수 있다. IT 감사인은 유사 사고 방지를 위해 개인정보보호 조치 및 침해사고 대응 절차의 적정성을 면밀히 점검해야 한다.

💡 개선 권고안

• ✔기술적 조치개인정보처리 시스템에 대한 정기적인 취약점 점검 및 보안 패치 적용을 통해 알려진 취약점을 제거하고, 데이터베이스 및 중요 파일에 대한 접근 통제 및 암호화 설정을 강화할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF) 및 침입 방지 시스템(IPS)의 탐지 규칙을 최신 위협 정보에 기반하여 지속적으로 업데이트하고, 이상 행위 탐지 및 차단 기능을 고도화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 재검토하고, 개인정보 보호법 및 ISMS-P 등 관련 법규에서 정한 기한 내에 정확한 정보를 통지할 수 있도록 비상 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 개인정보보호 교육을 강화하고, 특히 피싱, 사회공학적 공격 등 초기 침투 경로에 대한 인식을 제고하여 보안 사고 예방 역량을 강화할 것을 권고함.
• ✔관리적 조치침해사고 대응팀(CSIRT)의 역량을 강화하고, 모의 훈련을 정기적으로 실시하여 실제 사고 발생 시 신속하고 효과적인 대응이 이루어질 수 있도록 준비 태세를 점검할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문