놀유니버스, 외부 해킹으로 임직원 개인정보 유출…시스템 보안 취약점 악용

핵심 요약

놀유니버스에서 외부 해킹 공격으로 임직원 개인정보가 유출되는 침해사고가 발생했습니다. 공격자는 시스템의 보안 취약점을 악용하여 임직원 정보 조회 기능에 비정상적으로 접근했으며, 이름, 전화번호, 회사 이메일 주소, 사번 등 4개 항목이 유출되었습니다. 이는 Initial Access(TA0001) 및 Account Discovery(T1087) 전술을 활용한 것으로 추정됩니다. IT 감사인은 조직 내 시스템 보안 취약점 관리 프로세스, 접근 통제 및 개인정보 처리 시스템의 안전성 확보 조치에 대한 점검을 강화하여 유사 사고를 예방해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치시스템 및 애플리케이션에 대한 정기적인 취약점 점검(모의해킹, 시큐어 코딩 진단 포함)을 수행하고, 식별된 보안 취약점에 대해 최신 보안 패치를 신속하게 적용해야 함을 권고함.
• ✔기술적 조치임직원 정보 조회 기능 등 중요 시스템에 대한 접근 통제 정책을 강화하고, 다중 인증(MFA) 도입 및 비정상적인 접근 시도에 대한 탐지 및 차단 시스템을 고도화할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 통지 및 관계 기관 신고 등 법적 의무 사항을 포함하는 침해사고 대응 절차를 재정비하고, 관련 담당자의 숙련도 향상을 위한 정기적인 훈련을 시행할 것을 권고함.
• ✔관리적 조치개인정보 처리 시스템의 안전성 확보 조치에 대한 내부 감사 및 점검을 강화하고, 개인정보보호 책임자(CPO) 및 정보보호 최고 책임자(CISO)의 감독 기능을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기