3줄 요약
1. KISIA, 뉴스레터 발송 과정에서 수신인 메일 주소 10,592건 삽입 오류 발생해 유출
2. 사고 인지후 피해 최소화 위해 메일 전송 서버 강제 중단 조치, 메일 송부 프로그램 교체
3. 메일 발송 시 식별 가능한 개인정보 첨부 여부 철저히 확인해야

[보안뉴스 김경애 기자] 한국정보보호산업협회(KISIA)에서 개인정보 유출사고가 발생했다. 유출된 개인정보 항목은 KISIA의 뉴스레터 구독자 이메일 주소다. KISIA 뉴스레터 구독자는 2차 피해가 발생하지 않도록 각별한 주의가 요구된다.


▲한국정보보호산업협회의 개인정보 유출 공지 화면[이미지=KISIA]

3일 KISIA는 “지난 2일 낮 1시 30분경 뉴스레터를 발송하는 과정에서 수신인 메일 주소 10,592건이 내용에 삽입되는 오류가 발생해 구독자의 이메일 주소가 유출됐다”고 밝혔다.

이어 KISIA는 “해당 사실을 인지한 후, 피해 최소화를 위해 메일 전송 서버를 강제 중단 조치했다”며 “향후 동일한 상황이 발생하지 않도록 메일 송부 프로그램 교체 및 발송 확인 절차도 강화했다”고 설명했다.

또한, KISIA 측은 뉴스레터 구독자들에게 2일 수신한 뉴스레터 메일을 삭제할 것을 당부했다. 현재까지 악용 의심사례는 발생하지 않았다며, 개인정보 유출 관련 신고 절차를 준비 중이라고 전했다.

한국인터넷진흥원 침해사고분석단 박용규 단장은 “보통 메일 발송시 수신자 분리 발송을 해서 어떤 수신자인지를 알 수 없도록 처리해야 하는데 관리자 실수 혹은 시스템상 기본 설정 적용이 미흡(분리발송 기본 설정 적용)해 발생된 사건으로 보인다”고 밝혔다.

또한, 신동휘 보안전문가는 “이메일 주소만으로 대단히 의미있는 행동을 취하기는 어려우나 이메일 정보를 기반으로 수집한 다른 정보들과 결합한다면 공격을 발전시킬 수 있는 가능성도 있다”며 “다수의 메일 주소가 담긴 뉴스레터 수신자들의 적극적인 협조가 필요하다”고 말했다.

이어 신동휘 보안전문가는 “메일 서버 중단을 통해 피해를 최소화했다고 하나 메일을 발송하면 빠르게 수신자 메일 서버에 도착하므로 이미 수신인 메일 서버 측에 도달했을 것”이라며, “뉴스레터 수신인과 메일 서버 관리자에게 별도로 협조를 요청할 필요가 있다”고 당부했다.

에스케어 윤우희 부대표는 “이번 사고는 메일 발신자와 수신자의 특수성에 있어 보다 적극적인 모니터링이 필요하다”며 “KISIA 뉴스레터를 수신하는 대상들은 국내 보안 솔루션 제조사 관계자이거나 기업의 핵심 보안담당자일 가능성이 높다. 해당 메일의 수신자 리스트를 수집해 KISIA 또는 국가기관을 사칭한 피싱 공격으로 이어질 가능성이 있다”고 우려했다.

덧붙여 윤 부대표는 “최근 많은 기업들이 뉴스레터, EDM, 이벤트 홍보를 위해 대량 메일을 발송하고 있다”며 “이로 인해 빈번하게 발생하는 사고 사례이지만, 대량 메일 발송 체계의 기술적·관리적 보호 절차 수립을 통해 의도되지 않은 사고에 노출되지 않도록 하는 주의가 필요하다”고 강조했다. 특히, 메일 발송 시 식별 가능한 개인정보 첨부 여부를 확인하는 기술적 조치 적용을 검토하는 것도 필요하다고 제시했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>