모바일 쿠폰 플랫폼 ‘기프티엘’ 해킹…고객 이름·휴대전화·이메일·환불 계좌번호 유출

핵심 요약

모바일 쿠폰 플랫폼 '기프티엘'에서 외부 비인가 접근으로 고객 개인정보(이름, 휴대전화번호, 이메일, 환불 계좌번호)가 유출되는 사고가 발생했습니다. 이번 사고는 개인정보처리자의 정보보호 관리체계 미흡으로 인해 민감한 금융 관련 정보까지 유출되어 스미싱, 피싱, 금융사기 등 2차 피해로 이어질 수 있는 심각한 위협을 초래합니다. IT 감사인은 유사 서비스를 제공하는 조직의 개인정보보호 관리체계 전반, 특히 비인가 접근 통제 및 개인정보 유출 사고 대응 절차의 적정성을 중점적으로 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치개인정보를 처리하는 모든 시스템에 대해 정기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대해서는 즉시 보완 조치를 적용해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 및 신고 절차를 포함한 사고 대응 매뉴얼을 최신화하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.
• ✔관리적 조치개인정보처리 시스템에 대한 접근 통제 정책을 재검토하고, 비인가 접근 시도를 탐지 및 차단하기 위한 보안 시스템(예: WAF, IPS, SIEM)의 운영 현황을 점검하며, 관련 로그를 주기적으로 분석하여 이상 징후를 조기에 식별할 수 있는 체계를 강화할 것을 권고함.
• ✔관리적 조치개인정보처리 시스템에 대한 접근 권한 관리 체계를 강화하고, 최소 권한 원칙 및 직무 분리 원칙을 철저히 적용하여 내부자에 의한 정보 유출 위험을 최소화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기