5월 13일~ 5월 24일 동안 보안 소식을 되짚다

[보안뉴스 박은주 기자] <퀴즈 이·보·소!>는 퀴즈를 통해 보안 소식을 되짚어 볼 수 있도록 정리한 코너입니다. 퀴즈를 풀며 이슈를 복습해 보고, 보안 지식을 넓혀보세요.

1. 다가오는 6월 4~5일 국내 최대 규모의 ‘개인정보보호 축제’가 열린다. 행사는 정보보호 담당자 역량 강화와 개인정보보호 제도 활성화, 대국민 인식제고를 목적으로 개최된다. 올해는 ‘AI, 신뢰를 넘어 데이터 가치를 열다’를 주제로 진행되는 ‘이’ 행사는 무엇일까?


▲PIS FAIR 2023 키노트 발표 현장[이미지=보안뉴스]

정답: PIS FAIR(개인정보보호페어&CPO워크숍)
설명: PIS FAIR 2024(제13회 개인정보보호페어&CPO워크숍)는 개인정보보호법 시행연도인 2011년부터 개최된 국내 최대 개인정보보호 축제이다. 2일간 진행되는 행사에서는 CPO(개인정보보호최고책임자)워크숍과 개인정보보호 페어가 진행된다. 5개 키노트 발표와 토크콘서트, 3개 트랙에서 약 30여개 강연이 이어진다. 동시개최 행사로 서울시 개인정보보호 포럼, 개인정보보호 전문강사 포럼, 개인정보보호 솔루션 시연 및 전시회가 진행될 예정이다.

2. 개인정보보호위원회는 2023년 ‘이’ 기업에서 발생한 개인정보 유출과 관련해 역대 최대 금액인 ‘151억 4,196만원’의 과징금을 부과했다. ‘이’ 기업은 어디일까?

① 골프존
② 카카오
③ 알리익스프레스
④ 쿠팡


[이미지=gettyimagesbank]

정답: ②
설명: 2023년 3월 발생한 카카오톡 오픈채팅 이용자 개인정보 유출과 관련해 개인정보보호 법규를 위반해서 과징금 151억 과태료 780만원을 부과하게 됐다. 개인정보위는 카카오가 2023년 카카오톡 오픈채팅 서비스를 제공하는 과정에서 ‘안전조치 의무’, ‘유출 신고·통지 의무’ 위반 사실을 확인했다. 이에 5월 22일 제9회 전체회의를 열고, 개인정보보호 법규를 위반한 카카오에 대해 의결했다. 개인정보위는 “카카오톡과 같이 대다수 국민이 이용하는 서비스의 경우 보안 취약점을 상시 점검‧개선해야 한다”고 밝혔다. 반면 카카오는 개인정보위 결정에 아쉬움을 표하며, 행정소송 등 다양한 조치 및 대응을 적극 검토하겠다고 밝혔다.

3. 다음 설명은 O일까 X일까? 챗GPT 제작사 ‘오픈AI’ 경영진 출신 잰 레이크(Jan Leike)가 “오픈AI에서는 안전이 큰 고려사항이 아니야”라고 밝혔다. 그에 따르면 오픈AI 경영진 대부분은 찬란한 제품을 만드는 데 우선순위를 두고 있다고 한다.


[이미지=gettyimagesbank]

정답: O
설명: 잰 레이크는 “오픈AI에서는 안전이 그리 큰 고려사항이 아니”라고 X(옛 트위터)를 통해 밝히며 인공지능에 관한 안전 연구가 필요하다고 목소리를 높였다. 그는 “영향력이 막강한 기술이야말로 안전부터 점검돼야 하는 게 맞다”며, “오픈 AI가 인공지능 분야에서 가장 영향력이 높은 회사인만큼 좋은 선례를 남겨야 할 책임이 있다”고 주장했다.

4. 최근 AI 기술을 활용한 딥보이스, 딥페이크 피싱이 기승을 부리고 있다. 이에 경찰청은 AI 신종 피싱 경보를 통해 주의를 당부했다. 이와 관련한 설명으로 틀린 것은?
① 가족이나 친구, 지인 목소리를 흉내 내어 돈을 갈취하는 범죄가 벌어지고 있다.
② 정부는 제도적 안전장치·탐색기술 및 방지 기술개발 등을 추진할 계획이라고 밝혔다.
③ 금전 요구 등 의심스러운 요청 시, 전화를 끊은 뒤 바로 경찰청 사이버수사국에 신고해야 한다.
④ 경찰청은 SNS에 음성이 포함된 게시물을 올릴 땐 각별한 주의가 필요하다고 당부했다.


[이미지=gettyimagesbank]

정답: ③
설명: 의심스러운 요청은 사실을 확인하는 게 중요하다. 일단 전화를 끊고 당사자 또는 주변 지인에게 사실을 확인해야 한다. 딥보이스 기술은 억양과 호흡, 침묵까지 표현할 정도로 정교해져 실제 음성과 구분이 점점 어려워지고 있다. 딥보이스 기술을 활용한 모델을 제작하기 위해서는 음성데이터가 필요하다. 범죄자는 SNS 등에 올라온 데이터를 무단으로 활용하고 있어 SNS에 음성이 포함된 게시물을 올릴 때 각별한 주의가 필요하다.

5. 최근 ‘이’ 봇넷이 40만 개가 넘는 리눅스 서버를 공략했다. 각종 금융 사기와 암호화폐 탈취 공격을 활성화하고 있으며, 아직 복구되지 않은 서버가 10만개 이상이라고 한다. 15년 전 처음 발견됐으며, 데이터센터 장악 시 수많은 서버를 감염시킬 수 있는 위협적인 ‘이’ 봇넷은 무엇일까?


[이미지=gettyimagesbank]

정답: 에버리(Ebury)
설명: 2009년 처음 발견된 에버리 봇넷은 최근 신용카드 정보나 암호화폐를 훔치는 데 사용되고 있다. 이더리움이나 비트코인 노드에서 발생하는 트래픽을 훔쳐 암호화폐 지갑을 탈취하고, 운영자 신용카드 정보도 노린다. 또한, 서버 관리자용 소프트웨어에 제로데이 취약점을 공략해 서버를 대량으로 해킹하거나, 타 시스템에 로그인해 감염을 확산시킨다. 가장 최신 버전인 ‘에버리1.8.2’는 각종 난독화 기술 및 스텔스 기능이 포함돼 있다. 따라서 탐지 및 완벽한 삭제가 어려운 만큼 각별한 주의가 필요하다.

6. 개인정보보호위원회는 개인정보 유출 사고가 발생했을 때, 피해확산 방지와 정보 주체에 대한 피해 구제를 위해 ‘개인정보 유출 등 사고 대응 매뉴얼’을 발간했다. 이 내용으로 틀린 것은?
① 개인정보처리자는 개인정보 유출 사고 대응 계획을 수립하고 시행해야 한다.
② 매뉴얼은 공공기관과 1,000명 이상 개인정보를 처리하는 개인정보처리자에 해당한다.
③ 개인정보 유출 대응 절차는 유출 통지 및 신고 -> 유출 대응체계 구축 -> 피해 최소화 및 긴급조치 등의 순서로 진행해야 한다.
④ 개인정보보호 처리자는 유출 등에 따른 피해복구 조치 등 정보주체의 불편과 경제적 부담을 최소화할 수 있도록 노력해야 한다.


[이미지=gettyimagesbank]

정답: ③
설명: 개인정보가 유출되면 개인정보 보호법 제34조가 적용되며, ①유출 대응체계 구축 ②피해 최소화 및 긴급조치 ③유출 통지 및 신고 등의 순서로 진행해야 한다. 매뉴얼에 따르면 개인정보처리자는 개인정보 유출사고 대응 및 계획을 수립·시행하고, 개인정보 유출 등 사고 대응 매뉴얼 마련이 요구된다. 또한, 개인정보 유출에 대한 통지 및 신고가 이뤄져야 한다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>