가비아, 외부 공격으로 고객 2,998명 개인정보 유출…KISA·개인정보위 신고

핵심 요약

도메인·호스팅·클라우드 서비스를 제공하는 가비아에서 외부 공격으로 고객 2,998명의 개인정보(성명, 아이디, 이메일 주소, 휴대전화번호)가 유출되는 사고가 발생했습니다. 이번 사고는 외부 공격자의 비인가 접근(Unauthorized Access)으로 인해 발생했으며, 이는 접근 통제 및 인증 메커니즘의 취약점을 악용한 것으로 추정됩니다. 유출된 정보는 민감한 개인 식별 정보로, 2차 피해로 이어질 가능성이 높습니다. IT 감사인은 이러한 침해사고 발생 시 개인정보 유출 통지 및 신고 의무 준수 여부와 함께, 비인가 접근을 방지하기 위한 접근 통제 및 보안 시스템의 효과성을 중점적으로 점검해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치모든 시스템 및 서비스에 대한 접근 통제 정책을 재검토하고, 다단계 인증(MFA) 적용을 확대하며, 비인가 접근 시도를 탐지하고 차단할 수 있는 보안 시스템(예: WAF, IPS, EDR)의 탐지 규칙을 고도화할 것을 권고함.
• ✔기술적 조치개인정보를 포함하는 모든 데이터베이스 및 파일 시스템에 대해 강력한 암호화 조치를 적용하고, 접근 권한을 최소 권한 원칙(Principle of Least Privilege)에 따라 엄격하게 관리할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 개인정보 유출 통지 및 관계 기관 신고 절차를 포함한 비상 대응 계획(IRP)을 주기적으로 훈련하고, 관련 법규(개인정보 보호법, 정보통신망법, ISMS-P 등) 준수 여부를 점검할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 개인정보보호 및 보안 의식 강화를 위한 정기적인 교육을 시행하고, 특히 피싱, 사회공학적 공격 등 초기 침투 경로에 대한 경각심을 높일 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기