토요타시, 업무 위탁한 회사의 랜섬웨어 감염 피해로 시민 개인정보 약 42만건 유출
랜섬웨어 조직들, 최근 각국 도시 등 지자체 겨냥한 공격 사례 증가
우리나라 공공기관 및 지자체, 이번 사례를 타산지석으로 삼아 보안에 대한 관심과 투자 확대 필요

[보안뉴스 김경애 기자] 일본 토요타시가 지난 4일 약 42만명의 개인정보가 유출됐다고 밝혔다. 이는 도시 전체 인구에 달하는 숫자다. 토요타시에 따르면, “지난 5월, 통지서 등의 작성을 위탁하는 교토시의 회사 ‘이세토’로부터 서버의 일부가 랜섬웨어 감염됐다는 연락을 받았다”며 “당시 그 시점에서는 ‘개인정보 유출은 확인되지 않았다’는 설명을 들었으나, 지난 7월 2일 개인정보가 유출됐다는 연락을 추가로 받았다”고 밝혔다.


[이미지=gettyimagesbank]

유출된 개인정보에는 납세자의 이름, 주소, 세액, 계좌 정보 등이 포함됐는데, 이에 따라 시가 조사한 결과, 최대 약 42만명에 달하는 개인정보가 유출된 것으로 드러났다.

위탁 회사는 시에 계약이 종료된 시점에 삭제해야 할 데이터를 저장한 채로 두고 있다가, 해당 서버가 공격을 받았다고 설명한 것으로 알려졌다.

토요타 시에 의하면, 이러한 개인정보는 일시적으로 인터넷 상에서 공개되어 다운로드할 수 있는 상태였지만, 지금까지 구체적인 피해 보고는 없다고 주장했다.

시는 이 회사에 대한 조사를 계속해 신속하게 보고하는 것과 동시에 적절히 대응하도록 요구했다고 밝혔다.

한편 이세토에 업무를 위탁했던 지자체에서 정보 유출 사실을 잇따라 발표하고 있다. 지난 3일 도쿠시마현이 약 20만 건의 자동차 납세자 개인정보가 유출됐다고 밝혔고, 와카야마시도 주민세 대상자 15만여 명의 성명과 주소 등의 정보가 유출됐다고 발표했다.

이번 개인정보 유출 사고에 대해 이세토 측은 지난 3일 회사 홈페이지에 ‘소중한 정보가 유출되어 정말 죄송하다’며 ‘이 사태를 진지하게 받아들여 외부 전문가들을 통해 정밀하게 조사하고 사실 관계가 밝혀지면 신속하게 보고하겠다’고 밝혔다.

이번 사건과 관련해 순천향대학교 염흥열 교수는 “정부 및 공공기관, 지자체는 국민의 개인 정보을 대규모로 보유 및 관리하고 있어 해당 개인정보처리 시스템의 보안 취약성이 존재하면 대규모 개인정보 유출로 이어질 수 있다”며 “공공기관 및 지자체의 개인정보보호 수준의 강화가 요구된다”고 설명했다. 이어 “우리나라 지자체들도 이번 사례를 타산지석으로 삼을 필요가 있다”고 덧붙였다.

익명을 요청한 보안전문가는 “최근 랜섬웨어 조직들이 도시 등 지자체를 겨냥해서 공격하는 사례가 증가하고 있다”며 “실제로 해외의 많은 도시가 랜섬웨어 공격으로 인해 기능이 마비되거나 시민들의 정보가 유출되는 경우가 많이 발생하고 있다”며 랜섬웨어 감염 주의를 당부했다.

이어 그는 “도시 수도시설이나 행정 시스템 등이 마비될 경우에는 복구를 할 수 없으면 랜섬웨어 조직과 협상을 해서라도 몸값을 지불하고 복구하는 경우가 많기 때문에 더욱 랜섬웨어 조직들의 타깃이 되고 있다”며 “또한 협상에서 우위를 점하기 위해 데이터를 훔쳐가서 유출한다고 협박하기 때문에 지자체들의 보안에 대한 관심과 투자가 필요하다”고 당부했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>