나이트클럽 대기업 RCI 호스피탈리티, 데이터 유출 보고

핵심 요약

나이트클럽 대기업 RCI 호스피탈리티가 자사 인터넷 서비스에서 발생한 IDOR(Insecure Direct Object Reference) 취약점으로 인해 계약자 데이터가 노출되는 사고를 보고했습니다. 이 사고는 웹 애플리케이션의 접근 통제(OWASP A01:2021 – Broken Access Control)가 미흡하여 비인가된 사용자가 객체 식별자 조작을 통해 중요 정보에 접근할 수 있었음을 보여줍니다. IT 감사인은 모든 인터넷 서비스에 대한 접근 통제 설계 및 구현의 적절성을 철저히 검토하고, 정기적인 취약점 점검을 통해 유사한 데이터 유출 리스크를 조기에 식별하고 예방해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치웹 애플리케이션의 모든 객체 식별자(Object Identifier)에 대해 서버 측에서 사용자 권한을 철저히 검증하는 강력한 접근 통제 로직을 구현하고, IDOR 취약점 점검을 포함한 정기적인 웹 취약점 진단을 수행할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF)을 도입하여 IDOR과 같은 웹 기반 공격 패턴을 탐지하고 차단하는 정책을 수립 및 적용해야 함을 권고함.
• ✔관리적 조치개인정보를 처리하는 모든 시스템 및 서비스에 대해 개인정보보호법 등 관련 법규에서 요구하는 기술적·관리적 보호조치 준수 여부를 정기적으로 점검하고 미흡점을 개선할 것을 권고함.
• ✔관리적 조치사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 포함한 정보보호 및 개인정보보호 사고 대응 계획을 수립하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문