2월 17일~28일 동안 보안 소식을 되짚다

[보안뉴스 박은주 기자] <퀴즈 이·보·소!>는 퀴즈를 통해 이주간의 보안 소식을 짚어보는 코너입니다. 퀴즈를 풀며 보안 지식을 넓혀보세요.

1. 다음 중 ‘바이비트 해킹 사건’에 관한 설명으로 틀린 것은?

① 가상화폐 거래소 바이비트가 해킹당해 약 14억6000만 달러 상당 코인이 탈취됐다.
② 블록체인 전문가들은 공격 패턴이 최근 해킹 사건과 유사하다고 분석했다.
③ 바이비트는 해킹 피해로 인해 모든 거래 서비스를 일시 중단했다.
④ 해킹 배후로 북한 해킹 조직 ‘라자루스’가 지목됐다.


[이미지=gettyimagesbank]

정답: ③
설명: 바이비트는 해킹 피해에도 불구하고 출금 제한 없이 정상적으로 거래를 진행했다. 이는 기존 업계 불문율을 깬 파격적인 조치로 평가된다. 이번 해킹 사건은 가상화폐 역사상 최대 규모로, 탈취된 자금은 40개 이상 지갑으로 분산돼 매각되고 있는 것으로 알려졌다. 전문가들은 이번 공격이 북한 해킹 조직 라자루스의 소행일 가능성이 높다고 말했다. 금융권 및 보안 업계에서는 이에 대한 철저한 대비가 필요하다고 당부했다.

---

2. 빈칸에 들어갈 말은?

최근 (______) 홈쇼핑 웹사이트에서 158만 건 개인정보가 유출됐다. 공격자는 타 사이트에서 유출된 아이디와 비밀번호를 활용해 웹사이트에 로그인 시도했다. (______)은 로그인 시 본인 확인 절차를 강화하고, 고객에게 비밀번호 변경을 권고했다.


▲GS리테일 로고. [자료: GS리테일]

정답: GS리테일
설명: 이번 해킹 공격으로 유출된 개인정보는 이름과 성별, 생년월일, 연락처, 주소 등 10개 항목이다. GS리테일은 유출된 개인정보에 회원 포인트 및 결제 수단 등 금융 정보는 포함되지 않았다고 밝혔다. 해당 공격은 ‘크리덴셜 스터핑’ 기법을 이용했다. 크리덴셜 스터핑은 타 사이트에서 수집한 사용자 계정정보를 무작위로 대입해 로그인을 시도하는 해킹 공격이다.

---

3. 다음 중 ‘탑섹(TopSec·北京天融) 유출 사건’에 관한 설명으로 틀린 것은?

① 中 보안업체 탑섹의 내부 정보가 유출되면서 중국 정부와 협력 정황이 드러났다.
② 유출된 자료에는 정부 기관과 민간 기업들 정보도 포함됐다.
③ 탑섹은 중국 정부의 감시 및 검열 업무를 지원해 온 것으로 보인다.
④ 탑섹은 해외 보안 기업과 긴밀한 협력을 유지해 왔다.


▲탑섹 홍보 영상 캡처. [자료: 탑섹]

정답: ④
설명: 중국 보안 시장은 해외 연구자에게 오랫동안 폐쇄된 상태다. 서방 보안 기업과 협력도 거의 이뤄지지 않았다. 이번 유출 사건을 통해 중국 보안 업계 운영 방식과 정부와 관계가 일부 드러났다. 특히, 탑섹은 공안부와 협력하며 감시 기술을 제공하고, 특정 기업을 대상으로 맞춤형 감시 서비스를 수행한 정황이 확인됐다. 여론 통제를 위한 기술까지 제공한 것으로 분석됐다.

---

4. 다음 설명은 O일까 X일까?

국내 한 연구팀은 챗GPT와 클로드, 제미니 등 상용 LLM 모델을 이용해 특정 개인정보를 평균 5∼20초 이내에 30∼60원의 비용으로 최대 95.9% 정확도로 수집할 수 있음을 입증했다.


[이미지=gettyimagesbank]

정답: O
설명: 한국과학기술원(KAIST) 연구팀은 거대언어모델(LLM) 에이전트가 개인정보를 수집하고 피싱 공격 등에 악용될 가능성이 있음을 실험적으로 규명했다. 연구 결과, LLM을 활용하면 기존 공격자보다 빠르고 적은 노력으로 개인식별정보(PII)를 수집할 수 있으며, 맞춤형 피싱 이메일 생성 능력도 뛰어난 것으로 나타났다.

---

5. 빈칸에 들어갈 말은?

최근 한국인터넷진흥원(KISA)에 따르면 (___)을 노린 랜섬웨어 감염 사례가 잇따르고 있다. 소프트웨어 개발사나 IT 유지보수 업체 통해 고객사에 원격 접속 후 감염된 경우가 많았다. 기업은 생산중단과 정보 유출 피해를 예방하기 위한 사전 보안 점검과 대비를 갖춰야 한다.


[이미지=gettyimagesbank]

정답: 제조업
설명: 제조업에서는 원격 접속 계정관리 미흡과 취약한 MS-SQL 서버, 웹 취약점 등을 악용한 랜섬웨어 감염 사례가 증가하고 있다. 특히 파일 암호화 및 내부 민감 데이터 유출 협박을 통한 금전 갈취가 주요 수법으로 나타난다. 이에 기업은 외부 접속 및 계정관리를 강화하고, 중요 데이터를 별도 저장소에 정기적으로 백업하는 등의 보안 대책을 마련해야 한다.

---

6. 해외사업자의 개인정보 보호책임을 강화한 ‘개인정보 보호법 개정안’이 국회 정무위원회에서 의결됐다. 이에 관한 내용으로 틀린 것은?

① 국내대리인 제도는 기존에도 실질적으로 운영되어 큰 문제가 없었다.
② 국내대리인은 해외사업자의 개인정보 보호책임 및 피해 구제를 위한 제도다.
③ 개정안에 따르면 해외사업자가 국내에 법인을 둔 경우, 법인을 국내대리인으로 지정해야 한다.
④ 법 개정은 여·야 의원 모두 동의로 신속히 이루어졌다.


[이미지=gettyimagesbank]

정답: ①
설명: 기존 국내대리인 제도는 법적 공백이 존재해 형식적으로 운영된다는 지적받았다. 이에 개인정보 보호법 개정을 통해 해외사업자가 국내 법인을 보유한 경우 해당 법인을 국내대리인으로 지정하도록 하고, 해외 본사의 관리·감독 및 위반 시 제재 규정을 신설했다. 해외사업자의 개인정보 보호책임을 강화하고, 국내 기업과의 형평성 문제를 해결하기 위한 조치다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>