"탈퇴했는데 내 면허증까지" 日 줄줄 새는 개인정보 '비상'

쇼핑·외식 넘어 의료·재난 대응망 피해
공격 비용 낮아지자 중소 사이트도 표적
위탁업체 한 곳 뚫려 수십개사 동시 피해
日정부, 통신사 보안 의무 강화 추진

【파이낸셜뉴스 도쿄=서혜진 특파원】 일본에서 개인정보 유출이 쇼핑·외식을 넘어 의료·재난 대응망으로 번지고 있다. 위탁업체 한 곳이 뚫려 수십 개 고객사가 피해를 보고 병원 예약 업무까지 중단됐다. 전문가들은 인공지능(AI)이 공격 비용을 낮추면서 소규모 기업까지 표적이 확대됐다고 분석했다. 탈퇴자 정보까지 쌓아둔 기업의 관리 부실도 피해를 키웠다.

18일 니혼게이자이신문과 요미우리신문에 따르면 E스토어는 지난 16일 약 2335만6000명의 개인정보가 유출됐다고 발표했다.

같은 날 야마토운수는 후불결제 고객정보 약 530만 건, 닛케이는 개발용 클라우드에 보관한 정보 약 183만 건의 유출을 공개했다. 전날에는 소스넥스트가 누적 최대 약 2252만 건의 유출 가능성을, 버거킹 일본 운영사 BK재팬이 약 1118만 건의 앱 회원정보 유출을 발표했다.

피해는 업무 중단으로 이어졌다. 메들리는 지난 15일 최대 787개 의료기관의 환자 정보가 유출됐을 가능성을 발표했다. 예약 시스템 등을 중단하면서 산부인과 등의 업무에 차질이 생기자 병원에 예약 정보를 PDF로 전달했다.

방재 메일 업체 아르카디아도 이메일 주소 300만 건 이상 등의 유출 가능성을 조사 중이다. 미야기현 직원·교원 약 1만3000명의 비상연락망도 유출됐을 우려가 제기됐다.

트렌드마이크로 집계를 인용한 닛케이에 따르면 올해 1~9월 일본의 사이버 공격 피해는 600건으로 지난해 연간 건수를 넘어섰다. 보안업계는 AI 활용으로 공격 속도가 빨라지고 표적도 확대됐다고 분석했다.

한 피해 기업 엔지니어는 공격자가 시스템 반응에 따라 수법을 바꾸면서 사람보다 몇 배 빠르게 움직였다고 전했다. 사이버시큐리티클라우드 관계자도 40분간 1200회 넘는 공격 시도를 관측했다며 "AI나 그에 가까운 구조를 사용한다고 볼 수밖에 없었다"고 말했다.

일본 침해사고 대응기관 JPCERT/CC는 지난 15일 공격자가 AI로 취약점을 탐색한 사실을 확인했다고 밝혔다. 다만 최근 사건 모두에 AI가 사용됐는지는 확인되지 않았다.

AI가 공격 비용을 낮추면서 해커들의 표적 선정 기준도 달라졌다. 우에하라 데쓰타로 리쓰메이칸대 교수는 "인건비를 들이지 않고 취약점을 찾아낼 수 있다"고 설명했다. 분석에 드는 비용 때문에 덜 노려졌던 소규모 시스템도 무차별 공격에 노출됐다는 것이다. 그는 "일본어라는 언어의 방어벽도 자동번역으로 무너지고 있다"고 지적했다.

공식 앱도 예외는 아니다. 일본 정보통신연구기구(NICT)는 안드로이드 앱을 분석해 얻은 정보로 연결 서버를 공격한 수법을 확인했다. 앱과 서버가 정보를 주고받는 통로인 API를 악용한 것이다.

여러 기업이 같은 위탁업체를 이용하는 구조도 피해를 키웠다. 닛케이에 따르면 커뮤니티 운영업체 커뮨에서는 공격자가 관리자를 사칭해 회원정보를 확보했다. 마쓰다·파나소닉 등 최대 64개사에 피해가 발생했을 가능성이 제기됐으며 지난 13일까지 확인된 유출 회원은 추산 30만7000명이다. 웹 제작 서비스 스튜디오에 대한 공격도 시즈오카신문과 와카야마현 등으로 번졌다.

불필요한 개인정보를 장기간 보관한 관행도 문제였다. 차량 공유 서비스 '타임스카'에서는 회원·탈퇴자 정보 약 660만 건이 유출됐다. 본인확인 서류 이미지만 약 160만 건이다.

운영사 파크24는 탈퇴 후에도 7년간 이미지를 보관했다. 다이키수산 담당자는 "목적이 불명확한 채 탈퇴자 데이터를 보유했다"며 "인식이 안이했다"고 말했다.

유출 정보가 결합하면 2차 피해 위험도 커진다. 트렌드마이크로의 다카하시 마사야 시니어 스페셜리스트는 AI로 흩어진 자료를 연결해 "더 정밀한 개인정보"를 만들고 특정인을 겨냥한 범죄에 악용할 수 있다고 경고했다.

일본 정부는 보안 의무 강화에 나섰다. 요미우리에 따르면 총무성은 오는 22일 전문가회의를 열어 통신사업자에게 취약점 조기 파악과 외부 클라우드 업체 관리·감독을 의무화하는 방안을 논의한다. 중대한 유출 사고 때 정부가 서비스 중단을 지시하는 제도도 검토한다. 법 개정을 염두에 두고 내년 여름까지 보고서를 마련할 계획이다.

자민당 다이라 마사아키 국가사이버보안전략본부장은 "사이버 공간은 비상사태"라고 말했다.

기업들도 대응 방식을 바꾸고 있다. 파크24는 신분증 이미지를 등록 확인 직후 삭제하고 기존 보유분도 이달 말까지 지우기로 했다. 이토추상사는 긴급 상황에서 시스템 담당 부서의 판단만으로 서비스를 중단할 수 있도록 했다.

하세가와 요스케 시큐어스카이테크놀로지 CTO는 공격의 "양과 속도"는 늘었지만 이미 알려진 취약점을 이용한 사례가 대부분이라고 분석했다. 우에하라 교수도 "오랫동안 관리하지 않았는데도 문제없이 돌아가는 것처럼 보이는 시스템이 가장 위험하다"고 경고했다.

[email protected] 서혜진 기자