“개인정보 유출 사고, 가상자산 보유자 물리적 폭력으로 이어져”

핵심 요약

가상자산 보유자를 대상으로 한 개인정보 유출 사고가 온라인 해킹을 넘어 납치, 주거침입 등 물리적 폭력으로 이어지는 '렌치 공격' 위협이 증가하고 있습니다. 이 공격은 가상자산 거래소 해킹 등으로 유출된 개인정보를 악용하여 피해자의 신원을 특정하고, 이를 기반으로 물리적 위협을 가해 가상자산을 탈취하는 방식으로, MITRE ATT&CK의 Financial Theft(T1657) 전술과 연관됩니다. IT 감사인 및 CISO는 개인정보 유출 사고의 잠재적 위험이 단순한 재무적 손실을 넘어 정보주체의 물리적 안전까지 위협할 수 있음을 인지하고, 개인정보 보호 체계 전반에 대한 재평가와 강화된 안전 조치 적용 여부를 시급히 점검해야 할 핵심 시사점입니다.

💡 개선 권고안

• ✔기술적 조치개인정보처리 시스템에 대한 접근 통제, 암호화, 보안 취약점 관리 등 기술적 안전조치를 최신 위협 동향과 '렌치 공격'과 같은 고도화된 공격 수법을 반영하여 지속적으로 고도화하고, 정기적인 모의 해킹 및 취약점 점검을 통해 방어 체계의 실효성을 검증할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고의 잠재적 위험 평가 시, 단순한 재무적 손실이나 명예 훼손을 넘어 정보주체의 물리적 안전(납치, 주거침입 등)에 미칠 수 있는 최악의 시나리오를 포함하여 위험을 재평가하고, 이에 대한 대응 계획을 수립 및 시행할 것을 권고함.
• ✔관리적 조치가상자산 관련 서비스를 제공하거나 고객의 가상자산 관련 정보를 처리하는 조직은 해당 정보의 민감성과 공격의 고도화를 고려하여, 개인정보보호 책임자(CPO)와 정보보호 최고책임자(CISO) 간의 협업을 강화하고 특화된 보안 거버넌스 체계를 구축할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체에 대한 통지 및 신고 절차 외에, 유출된 정보가 물리적 위협으로 이어질 가능성에 대비한 비상 대응 계획을 수립하고, 관련 부서 간의 협력 체계를 강화하여 정보주체 보호를 위한 신속하고 효과적인 조치를 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문