꼰머의 보안공부

1. 개요

- 개인정보보호위원회(이하 개인정보위)는 인공지능 기술 개발 핵심 재료인 비정형데이터에 대한 가명처리 기준 마련
> AI, 컴퓨팅 자원의 발달로 비정형데이터(이미지·영상·음성·텍스트 등) 활용수요 폭발적 증가
> 기존 가명정보 처리 가이드라인(이하 가이드라인)은 정형데이터에 대한 처리기준만 제시
> 의견수렴 등 1년여 기간 동안 준비 작업을 거쳐 가이드라인 대폭 개정

- 개정 가이드라인 내용, 목적 등
> 비정형데이터의 가명처리 및 활용간 나타날 수 있는 개인정보 위험을 사전에 확인하고 통제하기 위한 원칙
> 각 분야 사례 및 시나리오를 제공해 손쉽게 활용할 수 있도록 함
> 여러 분야에서 안전한 가명처리시 유용하게 참고

2. 주요내용

- 개인식별 위험성 검토 체크리스트
> 개인식별 위험을 판단하고 합리적인 처리방법과 수준을 정하도록함

※ 비정형데이터: 개인식별 가능 정보에 대한 판단이 상황에 따라 달라질 수 있으므로, 데이터 처리목적 및 환경, 민감도 등을 종합적으로 고려

- 비정형데이터의 개인식별 위험 요인을 완벽하게 탐지 및 처리할 수 있는 기술 부재를 보완하기 위한 조치 이행 권고
> 가명처리 기술의 적절성·신뢰성 확인 위한 근거 작성·보관
> 가명처리 결과에 대해 자체적인 추가검수 수행
> 외부전문가가 참여한 위원회의 적정성 검토 수행

- 가명처리된 비정형데이터 활용 시 관련 시스템·소프트웨어의 접근·사용 제한 등 통제방안 마련
> 비정형데이터는 기술 발달(인공지능, 데이터 복원기술)에 따른 다른 정보와의 연계·결합 없이도 개인을 재식별해낼 수 있는 위험
> 인공지능 서비스 제공 과정에서도 개인식별 위험 등 정보주체 권익 침해 가능성을 지속 모니터링
※ 인공지능 개발·활용 과정에서 나타날 수 있는 다양한 위험을 사전에 완벽하게 제거하는 것은 불가능하기 때문

- 가명처리 단계별로 고려해야 하는 사항을 안내
> 사전준비 - 위험성 검토 - 가명처리 - 적정성 검토 - 안전한 관리

- 비정형데이터 영역은 다양한 활용사례(use-case)를 축적하는 것이 중요
> 데이터 유형, 활용 분야마다 가명처리 기준‧방법이 다양
> 관련 기술 또한 빠르게 발전하고 있기때문
> 개인정보위는 사전적정성 검토 신청을 받아 모범사례를 확산시킬 계획

- 가이드라인을 시작으로, 생성형 AI와 관련한 기준 발표 예정

3. 참고

[1] https://www.dailysecu.com/news/articleView.html?idxno=153382
[2] https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=9899#LINK

국내 기관 대상 공격 및 자료 유출 활발

1. 개요

- 해킹 포럼에서 국내 기관 대상 공격이 활발
- 데이터 판매, 디페이스 공격 등을 수행

2. 주요내용

- 24.01.01 한국은행, 24.01.06 외교부 DDoS 공격 발생
> 해커 "‘MrCyber’" 한국은행 대상으로 공격도구 ‘ATTACK SENT’를 이용해 DDoS 감행
> 어나니머스는 이스라엘 지지를 이유로 외교부에 DDoS 감행

- 24.01.19 샤오치잉 소속 중국 해커 "니옌" 정부 기관 등 다수 웹 상디트 공격 예고 및 공격 동참 권유
> 김천녹색미래과학관 디페이스 공격을 시작으로 정부기관 및 교육 사이트 공격 예고
> 해커 "NIKTO_R007" 국내 교육 서비스 플랫폼 런피아 웹 페이지 디페이스 공격 및 공격 과정 유튜브 공개

- 24.01.23 해커 "Teamghostof_death" 해킹포럼에 우체국 개인정보 보유 및 판매 게시글 작성
> SQL 취약점을 악용해 6000개 이상의 개인정보를 탈취(1.5GB 용량) 했다 주장
> 협상을 위해 10일 동안의 시간을 제시하였으며, 결렬 시 데이터 개인정보 판매 예고
> 우정사업본부는 유출 흔적 없음 확인 발표

- 24.01.30 "니옌" 국내 공격 대상 IP, 공격 방법 등을 공개
> Oracle, SQL, WebShell 등을 이용

- 24.02.05 신원 미상 해킹그룹 대민 서비스 계정 13,000여개 유출
> 국정원은 미상 해킹그룹이 대민 서비스 이용자의 개인정보가 불법 유통되고 있는 정황 포착
> 인포스틸러 악성코드를 악용해 ID/PW 탈취

3. 대응방안

- 공격이 예고된 도메인 또는 일자 대상 모니터링 강화
- 알려진 취약점, 인증정보 등 부정사용에 대한 모니터링 강화

1. 잡플래닛 회원 개인정보 다크웹 유출 

1. 개요

- 이메일, 해시코드, 주민번호, 연락처 등 개인정보 380K 분량 샘플 공개

2. 주요내용

- 12.02 다크웹에 ‘JOBPLANET.CO.KR 380K EMPLOYMENT SEEKERS DATABASE’ 샘플 자료 공개
- 이메일, 해시코드, 주민등록번호, 연락처 등 개인정보 공개
> 과거 데이터 다수 포함_016, 018, 019 등 전화번호가 포함되어 있음

- 잡플래닛 운영사 브레인커머스측은 개인정보가 유출된 사실이 없다 발표
> 잡플래닛에서 암호화된 개인정보는 해킹이 불가능한 구조
> 공개된 샘플에는 잡플래닛이 수집하지도 않는 정보(주민등록번호)가 포함
> 로그 상에서도 해킹을 시도했거나 성공했다는 기록이 확인되지 않음

2. 샤오치잉 공격 시도 포착

1. 개요

- 샤오치잉, 11월 국내 언론사, 부동산 관련 사이트 공격 시도 포착
- 12.09 텔레그램을 통해 국내 개인정보 파일 공개

2. 주요내용

- 샤오치잉은 상반기 한국을 대상으로 여러 사이트를 공격
> SQL 인젝션 등 취약점과 해킹 툴을 악용해 디페이스공격과 개인정보를 탈취
- 11월부터 샤오치잉 활동 재개 확인 및 공격 시도 화면 텔레그램 공격
- 12.09 “한국의 신선한 데이터베이스” 텔레그램 공개
> 2020년 4월 30일로 표기된 엑셀파일 형태로 이름, 핸드폰번호, 사용 중인 신용카드 회사명 등이 기재
> 누구나 다운로드 할 수 있도록 한국인 및 중국인들의 개인정보가 담긴 파일, 링크, 이미지 및 동영상 등이 업로드

3. 골프존 랜섬웨어 감염 및 탈취 데이터 다크웹에 유출

1. 개요

- 11.23 골프존은 랜섬웨어에 감염 및 탈취 데이터 유출

2. 주요내용

- 골프존은 랜섬웨어에의해 11.23부터 5일 이상 서비스 장애 발생
> 회원정보 및 개인정보를 요구하는 골프존 사칭 스미싱 문자 확인
- 12.08 랜섬웨어 조직 ‘BLACK SUIT’은 다크웹의 릭(leak) 사이트에 골프존 탈취 파일 업로드
> 회원의 개인정보는 없는 것으로 보이나, 유출된 데이터를 활용한 2차 공격이 예상

4. 국내 온라인쇼핑몰 M사 개인정보 추정 데이터 유출

1. 개요

- UTC 기준 12일 06:16경 온라인쇼핑몰 M사의 개인정보를 다크웹에 공개

2. 주요내용

- 온라인쇼핑몰 M사의 개인정보 샘플을 다크웹에 공개
> 주소, 휴대폰 번호, 사용은행 계좌번호, 이메일주소, 전화번호 등이 샘플로 공개
> SQL 인젝션을 이용해 DB 추출 및 2023년 정보로, 1.8kk 데이터 보유 추정
- 공개한 데이터 형식을 보면, DB에서 직접 추출한 칼럼 형태로 공개되어 있어 실제 유출됐을 가능성이 매우 높음

1. 개정 의의

- 20.08.05 데이터 3법(개보법, 망법, 신용정보법) 개정

> 개인정보 보호 컨트롤 타워 구축 및 데이터 경제 활성화를 위한 초석 마련

＊ 행안부, 방통위, 금융위의 개인정보 보호 기능을 개인정보보호위원회로 통합, 망법 관련 규정의 이관, 가명정보 개념 도입 및 안전한 결합, 활용 등

- 데이터 3법 개정 국회 논의 시, 인공지능과 빅데이터 등 변화하는 환경에서 약화될 우려가 있는 국민의 정보주권 강화는 유보

> 데이터 시대로의 전화에 대응해 현실과 괴리된 불합리한 과제＊가 존재

> 따라서, 데이터 경제 활성화의 장애 요인으로 작용할 우려

＊ 필수적 사전 동의 제도, 경직된 국외 이전 요건, 온-오프라인 규제 이원화 등

- 개보법 제정이래 민관산학의 의견을 반영한 첫번째 정부안

> 국민 신뢰 기반의 디지털 대전환을 선도하는 법적 기반 마련

1.1 개보법 시행에 따른 하위 법령 개정 방향

- 23.09.15 시행되는 후속 시행령 및 고시 등을 우선적으로 개정

- 24.03 이후 시행 예정인 개인정보 전송요구권, 자동화된 결정에 대한 정보주체 권리 등은 사전 준비 후 시행시기에 맞추어 순차적으로 개정

2. 주요내용

2.1 디지털 경제 성장 견인

2.2 디지털 시대에 적합한 국민의 적극적 권리 강화

2.3 글로벌 스탠다드에 부합하는 법 제도 정비

2.4 2024.03.15 이후 시행

3. 향후 계획

- 분야별 설명회, 간담회 등을 통해 법 개정 사항 통보

- 개인정보 보호법 개정사항 안내서 발간 추진

- 개인정보 보호법 시행령 2차 개정 추진

4. 참고

[1] https://www.boannews.com/media/view.asp?idx=121977&page=1&kind=2
[2] https://www.dailysecu.com/news/articleView.html?idxno=149388 

1. 개요

- 데일리시큐 "[진단] 국민의힘·더불어민주당·정의당, 입법부 대표 정당들의 개인정보보호 민낯"

> 개인정보 처리방침 문구에 대한 강조가 되어있지 않음

> 이전 개인정보 처리방침 변경 내용 확인 불가

> 개인정보 열람요구서와 위임장 등을 다운로드 할 수 있는 기능 없음

> 개인정보 처리방침 문서 내 '개인정보 취급방침' 용어 사용

> 개인정보 수집항목 관련 필수항목과 선택항목을 구분해 고지하지 않음

- 관련하여 지자체, 금융, IT, 의료, 교육 등 여러 사이트의 개인정보 처리방침을 확인

> 기사에서 언급된 문제점 또는 추가적인 문제점이 있는지를 검토

2. 주요내용

- 모공제조합 개인정보 처리방침의 내용에서 문제점으로 판단되는 총 5가지 항목 확인

- 국민신문고를 통해 개인정보보호위원회에 문의 진행

2.1 가시성 문제

- 개인정보 처리방침의 조항별 글씨 크기 및 글씨체의 차이를 보여 가시성이 떨어짐

- 「개인정보 보호법」 제30조는 개인정보처리자에게 개인정보 수립·공개의무를 부과

> 제4항에 따라 보호위원회는 「개인정보 처리방침 작성지침」을 제공

- 이에 따른 답변은 다음과 같음

① 「개인정보 보호법」 제30조 제4항에따라 보호위원회는 「개인정보 처리방침 작성지침」을 정하여 그 준수를 권장할 수 있음

② 즉, 권장 사항이므로 권장 내용을 따르지 않았다고 해서 처벌의 대상이 되지 않음

③ 단, 법에 따른 필수 작성항목을 법령에 따라 적정하게 작성하고 있어야함

- 개인정보 처리방침이란 개인정보처리자의 개인정보 처리 기준 및 보호조치 등을 작성하여 문서화한것을 말함

> 「개인정보 보호법」 제30조 제2항에따라 정보주체가 확인하기 쉽게 공개할 것을 의무화

> 또한, 개인정보 처리방침의 목적은 개인정보 처리의 투명성을 높이고, 정보주체에게 자신의 개인정보가 어떻게 처리되고 있는지 처리방침을 통해 상시적으로 확인 및 비교하도록 하여 개인정보 자기결정권을 보장하기 위함이라고 생각함

- 해당 목적을 달성하기 위해서는 개인정보처리자가 정보주체로 하여금 이해하기 쉽도록 작성하는것을 보장하도록 할 필요가 있음

> 법에서 명시한 내용을 문서에 모두 포함하였다고 하여도, 내용 작성 방식의 문제로 인해 정보주체가 쉽게 확인 및 이해하지 못하는 문제가 충분히 발생할 수 있을 것으로 생각되기 때문

2.2 열람요구서, 위임장 등 다운로드 기능 부재

- 데일리시큐의 기사에서는 열람요구서, 위임장 등을 다운로드할 수 있는 기능이 없음을 문제점으로 지적

> 확인 결과 일부 사이트의 경우 다운로가 아닌 해당 파일이 위치한 경로 또는 법 별지 서식 이용 안내

- 공제조합 또한 별지 서식이용을 안내하고 있음

> 따라서, 단순히 다운로드 기능이 없다고 해서 문제점으로 지적하는 것은 합당하지 않다고 판단하여 문의 진행

- 이에 따른 답변은 다음과 같음

> 열람요구서 및 위임장 다운로드 기능과 관련하여, 개인정보 처리방침에 포함하는 것을 의무화하지 않음

> 개인정보 처리자의 자율에 맡겨진 사항

- 정보주체는 개인정보처리자가 처리하는 자신의 개인정보를 열람한 후 정정 또는 삭제를 요구할 수 있음

> 해당 과정을 처리하는 방식이 업종별로 상이할 수 있겠지만, 정보주체의 권리를 보장하기 위해 통일된 방식을 사용하는 것이 좋을것 같음

2.3 개인정보보호법 시행규칙 단어 사용

- 개인정보보호법에서 행안부령(행정안전부)으로 정하던 사항을 개인정보보회위원회가 정하여 고시하도록 개인정보보호법이 개정됨

> 따라서, "개인정보보호법 시행규칙"  단어를 삭제하거나 다른 단어로 정정되어야 할 것임

- 공제조합은 개인정보보호법 시행규칙을 아직 사용하는 것으로 확인

- 이에 따른 답변은 다음과 같음

> 기존의 「개인정보 보호법 시행규칙」 은 현재 「개인정보 보호 처리 방법에 관한 고시」 로 변경

> 용어의 변경이 필요함

- 관련 내용은 23.09.15부터 시행되는 개인정보보호법에 의거 개선될 것으로 기대됨

2.4 개인정보 수집 항목 관련 필수 및 선택 항목 미분류와 과다수집

- 「개인정보 보호법」 제3조 제1항에서 목적에 필요한 최소한의 개인정보만을 적법하고 정당하게 수집하도록 지정

> 작성지침에서는 수집목적에 필요한 최소한의 정보(필수항목)와 그 외의 정보(선택항목)을 구분하여 기재 안내

* 다만, 선택항목을 따로 두지 않고 필수항목만을 수집하는 경우에는 필수항목/수집항목을 구분하지 않아도 됨

- 공제조합의 경우 필수와 선택항목의 구분이 없으며 원적, 본적, 종교 등 불필요한 정보를 수집하는 것으로 판단

- 이에 따른 답변은 다음과 같음

> 구체적 사실확인이 필요한 사안으로 일률적으로 답변하기 어려움

2.5 개인정보 자동 수집 장치의 설치ㆍ운영 및 거부에 관한 사항

- 「개인정보 보호법」 제30조 제1항 제7호에서 개인정보 자동 수집 장치의 설치, 운영 및 근거에 관한 사항을 포함하도록 지정

> 작성지침에서는 쿠키와 같이 개인정보를 자동으로 수집하는 장치를 설치 및 운영할 경우, 설치 및 운영, 그 거부에 관한 사항을 기재하여야 함

- 공제조합의 경우 관련되 내용을 "생성정보 수집 툴을 통한 수집"으로 안내

- 이에 따른 답변은 다음과 같음

> 구체적 사실확인이 필요한 사안으로 일률적으로 답변하기 어려움

3. 문의 및 답변 전문

4. 참고

[1] https://www.dailysecu.com/news/articleView.html?idxno=148012
[2] https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=7034
[3] https://www.privacy.go.kr/front/bbs/bbsView.do?bbsNo=BBSMSTR_000000000049
[4] https://www.moleg.go.kr/lawinfo/makingInfo.mo?mid=a10104010000&lawSeq=59913&lawCd=0&lawType=TYPE5&currentPage=1&keyField=&keyWord=&stYdFmt=&edYdFmt=&lsClsCd=&cptOfiOrgCd=
[5] https://ggonmerr.tistory.com/327

1. AI를 악용한 공격도구의 등장

1. 개요

- ChatGPT 등 AI를 이용한 신기술이 등장하면서 다크웹에서도 이를 활용한 새로운 공격 도구들이 등장

2. 주요내용

- WormGPT

> 피싱 공격과 BEC 공격을 실시할 때 효과를 크게 높일 수 있다고 홍보

> 개인화된 매우 설득력 있는 가짜 이메일 생성을 자동화하여 공격의 성공 가능성을 높일 수 있음

- FraudGPT

> BEC 공격을 가능하게 해 주며, 한 달 200달러 구독료로 사용이 가능

> 스피어 피싱 이메일 생성, 크래킹 도구 및 카딩과 같은 공격적인 목적으로만 판매되고 있는 중

※ 참고

- PoisonGPT

> AI 보안 관련 기업 Mithril Security가 기존의 대규모 언어 모델에 거짓 정보를 추가하여 개발한 가짜 뉴스를 생성하는 채팅 AI
> AI 공급망의 전반적인 문제를 부각하고 대규모 언어 모델의 위험성을 전달하기 위해 PoisonGPT를 구축

3. 시사점

- 새로운 신기술을 악용하여 사이버 공격을 위한 진입장벽이 낮춰지는 중

- 벤더사에서 악용을 방지 하기위해 다양한 필터링 규칙 등을 적용하나 지속적으로 탈옥방법이 공유되는 중

- 다량의 잘못된 데이터를 고의로 학습시키는 등의 적대적 공격에 대한 대응이 필요

2. 폐쇄되었던 다크웹 해킹 포럼의 서비스 재개

1. 개요

- 국제 공조로 폐쇄되었던 다크웹 해킹 포럼이 최근 서비스를 재개하기 시작

2. 주요내용

- Genesis Market

> 17년부터 운영된 다크웹 해킹 포럼으로, 23.04 국제 공조를 통해 관련 인물 검거 및 포럼 폐쇄

> 전반적인 인프라부터 기존에 보유한 불법 데이터 또한 포함되어 거래

- BreachForums

> 22년부터 운영된 다크웹 해킹 포럼으로, 23.03 FBI의 수사로 포럼 운영자 검거 및 포럼 폐쇄

※ 참고

- BreachForums

> 익명의 사용자가 MyBB(무료 오픈 소스 포럼 소프트웨어)의 제로데이 취약점을 이용해 포럼에서 4,000명의 회원 데이터 유출
> 탈취한 데이터를 또 다른 공격자들이 재판매 하는 중

3. 시사점

- 기 유출된 데이터가 악용에 재사용 되지 않도록 관련 대응 강화 필요

- 다크웹뿐만 아니라 텔레그램을 통해 포럼을 홍보하는 것으로 판단되어 관련 모니터링 강화 필요

3. 서피스웹에서의 불법 데이터 거래 확산 

1. 개요

- 기존 접근이 제한되던 다크웹이 아닌 서피스웹에서의 불법 데이터 거래가 확산되는 중

2. 주요내용

- Cracked[.]io

> 홈페이지 하단 소개를 통해 공격 도구, 유출 데이터 거래 등을 제공한다고 소개 

3. 시사점

- 관련된 서피스웹 모니터링 강화 필요

1. 개인정보 처리방침

- 개인정보처리자의 개인정보 처리 기준 및 보호조치 등을 「개인정보 보호법」에 따른 기재사항을 포함하여 문서화한 것

- 개인정보처리자는 개인정보보호법 제30조에 의거 개인정보 처리방침을 수립 및 공개하여야 함

> 공공기관의 경우 개인정보보호법 제32조에 의거 개인정보파일을 등록 및 공개하여야 함

※ 개인정보보호법 개정으로 23.09.15부터 제30조에 민감정보 및 가명정보와 관련된 조항이 추가

※ 개인정보보호법 개정으로 23.09.15부터 제30조의2(개인정보 처리방침의 평가 및 개선권고) 추가

1.1 개인정보보호위원회 개인정보 처리방침 작성 가이드라인

- 개인정보보호위원회는 개인정보 처리방침 작성 가이드라인을 배포

- 가이드라인 상 개인정보 처리방침 기재 사항은 다음과 같음

※ 기타 자세한 사항은 [1] 참고

2. 정당별 문제점

2.1 국민의힘

① 개인정보 처리방침 문구에 대한 강조가 되어있지 않음

② 이전 개인정보 처리방침 변경 내용 확인 불가

③ 개인정보 열람요구서와 위임장 등을 다운로드 할 수 있는 기능 없음

> 가이드라인에서 관련된 정보를 찾지못함

> 일부 지자체 개인정보 처리방침 확인 결과 열람요구서와 법정대리인 등 위임장 작성을 위한 문서 다운로드 기능이 존재

2.2 더불어민주당

① 개인정보 처리방침 문구에 대한 강조가 되어있지 않음

② 개인정보 처리방침 문서 내 '개인정보 취급방침' 용어 사용

③ 이전 개인정보 처리방침 변경 내용 확인 불가

④ 개인정보 수집항목 관련 필수항목과 선택항목을 구분해 고지하지 않음

⑤ 개인정보 열람요구서와 위임장 등을 다운로드 할 수 있는 기능 없음

2.3 정의당

① 개인정보 처리방침 확인 불가

> 우측 하단 이용안내를 통해 관련 내용을 확인할 수 있음

② '개인정보 취급방침' 용어 사용

③ 개인정보 수집항목 관련 필수항목과 선택항목을 구분해 고지하지 않음

④ 이전 개인정보 처리방침 변경 내용 확인 불가

⑤ 개인정보 열람요구서와 위임장 등을 다운로드 할 수 있는 기능 없음

3. 관련 추가 사례

- 해당 기사를 접한 후 지자체, 금융, IT, 의료, 교육 등 여러 사이트를 확인해 보았음

> 기사에서 언급한 사항과 관련된 문제점을 찾아볼 수 없었음

> 별도 페이지를 마련하는 등 더욱 세분화하여 개인정보 처리 관련 정보를 제공

- 모 조합 사이트에서 일부 문제점으로 판단되는 사항이있어 개인정보보호위원회에 문의를 진행

① 가시성 문제: 글씨 크기 및 글씨체의 차이로인한 가시성 확보의 어려움

② 열람요구서, 위임장 등 다운로드 기능 부재: 개인정보호법 별지 서식 이용 안내

③ 개인정보보호법 시행규칙 단어 사용: 20.08.05부 개인정보보호법 시행령 폐지

④ 개인정보 수집 항목 관련 필수 및 선택 항목 미분류와 과다 수집: 불필요한 정보의 수집

⑤ 개인정보 자동 수집 장치의 설치ㆍ운영 및 거부에 관한 사항: 생성정보 수집 툴을 통한 수집 중

4. 참고

[1] https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=D010030000&nttId=7034
[2] https://www.dailysecu.com/news/articleView.html?idxno=148012 

1. SK바이오팜 내부 정보 유출

1. 개요

- 아키라(Akira) 랜섬웨어 그룹의 피해 기업에 SK라이프사이언스 등재

2. 주요내용

- 아키라 그룹은 딥웹에 SK라이프사이언스의 데이터 공개를 예고

- SK바이오팜 관계자는 랜섬웨어 공격을 받음을 인정 및 민감정보 유출은 없으며, 구체적인 사항은 비공개

2. RA 랜섬웨어 그룹에 의한 한국 기업의 정보 유출

1. 개요

- 바북(Babuk) 랜섬웨어의 소스코드를 이용해 미국과 한국의 기업들을 침해
- 주로 제조사, 자산 관리 업체, 보험사, 제약 회사 등에서 피해가 발견

2. 주요내용

- 한국 기업과 관련된 1.4TB 크기의 데이터 유출

- 피해자 데이터의 전체 파일 목록을 다운로드할 수 있는 URL을 제공

3. 챗GPT 크리덴셜 발견

1. 개요

- 약 10만 대의 장비에서 정보 탈취형 멀웨어들을 통해 챗GPT 계정 정보가 유출

2. 주요내용

- 22.06 ~ 23.05까지 다크웹에서 판매되는 정보들 중 챗GPT 크리덴셜 총 101,134개를 발견

4. 제로다크웹 다크웹 모니터링

1. 개요

- 국내 100대 기업 및 국내 30대 금융사 대상 다크웹 정보 유출 모의 조사 수행

2. 주요내용

- 국내 100대 기업 관련 내용

> 99개 사에서 유출된 계정은 총 105만 2,537개, 사내 문서 유출은 87개 회사, 해킹 우려 PC는 1만 5,028대 (81개 사) 등

> 23년 1월말 기준 일본 100대 기업의 경우와 비교 시 2배가 넘는 수치

- 국내 30대 금융사 관련 내용

> 메일 계정 유출 19만 6,395개, 사내 문서 유출 23개 금융사, PC 해킹 우려 18개 금융사 1,137대

> 23년 1월말 기준 일본 100대 기업의 경우와 비교 시 2배가 넘는 수치

3. 대응방안

- 즉시 보안 전문가 및 전문 회사를 통해 유출 경로 파악
- 유출된 정보를 보호하기 위해 비밀번호 변경 및 보안 인증 절차 강화
- 유출 경로 및 방법을 파악한 경우 관련 상세내용을 사내고지하고 사원 전원이 경계심을 갖도록 교육
- 자동 감사 솔루션을 사용하여 보안 문제 점검 및 감시
- 새로운 보안 절차 작성, 전사 취약성 확인, 지속적 모니터링 시스템의 도입 및 정기 유지보수 계획 검토