Gyazo 유출로 2,362만 명의 사용자 기록과 4억 9천만 개의 이미지 메타데이터 기록 노출

핵심 요약

일본 교토에 본사를 둔 Helpfeel의 이미지 공유 서비스 Gyazo에서 대규모 보안 침해 사고가 발생하여 약 2,362만 명의 사용자 기록과 4억 9천만 개의 이미지 메타데이터 기록이 노출되었습니다. 이번 유출로 이메일 주소와 비밀번호 해시가 포함된 사용자 정보와 2019년 1월 이전에 업로드된 이미지의 메타데이터가 외부에 공개되었으며, 이는 데이터베이스 접근 제어 미흡 또는 시스템 취약점 악용으로 인한 데이터 유출(Data Exfiltration, TA0010)로 추정됩니다. IT 감사인 및 CISO는 유사한 제3자 서비스 이용 시 개인정보 처리 위탁에 대한 관리 감독 강화, 데이터베이스 보안 설정 검토, 그리고 침해사고 발생 시 신속한 탐지 및 대응 체계의 중요성을 인지하고 내부 통제를 점검해야 합니다.

개선 권고안

• ✔기술적 조치사용자 계정 정보(특히 비밀번호 해시)를 포함한 모든 개인정보에 대해 강력한 암호화 및 접근 통제를 적용하고, 데이터베이스 및 스토리지에 대한 보안 설정을 주기적으로 점검 및 강화할 것을 권고함.
• ✔기술적 조치제3자 서비스 연동 시 API 보안, 데이터 전송 암호화, 최소 권한 원칙 적용 등 기술적 보안 조치를 철저히 검토하고 적용해야 함을 권고함.
• ✔관리적 조치개인정보 처리 위탁 계약 시 수탁사의 보안 수준을 면밀히 평가하고, 계약서에 정보보호 의무 및 책임 범위를 명확히 명시하며, 주기적인 보안 감사 및 점검을 통해 수탁사의 정보보호 관리 실태를 감독할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 신속한 탐지, 분석, 복구 및 정보주체 통지 절차를 포함하는 포괄적인 침해사고 대응 계획(IRP)을 수립하고, 정기적인 모의 훈련을 통해 실효성을 검증 및 개선할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기