개인정보 유출 '늪' 빠진 日…기업 주가 폭락에 정부도 긴급대응

[이데일리 김정유 기자] 일본에서 최근 기업 대상으로 개인정보 유출 사건들이 확산하며 사회적 파장이 커지고 있다. 택배, 차량 공유, 편의점, 증권, 언론사, 정부 기관까지 광범위하게 피해가 번지자 다카이치 사나에 총리까지 나서 긴급 대책 마련을 지시한 상태다.

사진=로이터

27일 니혼게이자이(닛케이)신문에 따르면 26일 도쿄 증시에서 GMO인터넷그룹의 종가는 전거래일대비 16% 폭락한 3179엔을 기록했다. 이날 하락률은 도쿄증권거래소(TSE) 프라임 시장 상장 종목 중 전체 1위에 해당한다. 이번 주가 폭락은 그룹 자회사인 GMO인터넷의 외환증거금거래(FX) 서비스의 해킹 피해에 따른 고객정보 유출건이 터진데 따른 것이다.

앞서 GMO는 지난 22일 자사 FX 서비스가 해킹 피해를 입어 일부 고객의 거래 계좌에서 제3자에 의한 무단 입출금 및 매매 조작 정황이 확인됐다고 발표했다. 해커들은 27일 정오까지 ‘몸값’으로 5000만 달러(약 790억원)을 지불하라고 전달한 상태이지만, 쿠마가이 마사토시 GMO 회장 겸 사장은 “어떠한 금전 지불도 응하지 않겠다”며 맞서고 있는 상황이다.

또한 일본 라쿠텐그룹이 운영하는 여행 예약 플랫폼 ‘라쿠텐 트래블’의 해외 호텔 예약 사이트도 해킹을 당해 최대 260만건에 달하는 고객 정보가 유출된 것으로 27일 확인됐다. 외부로부터의 해킹으로 추정되며 고객 이름, 이메일 주소, 전화번호, 사내 식별번호 등이 유출된 것으로 파악됐다. 이중에는 약 3만 6000건의 신용카드 결제 정보까지 포함돼 있던 것으로 확인됐다.

이처럼 최근 일본은 개인정보 유출로 몸살을 앓고 있다. 현재까지 가장 피해가 큰 곳은 택배업체 사가와큐빈이다. 사가와큐빈은 지난 23일 화물 추적 시스템에 대한 무단 접근으로 최대 5323만건의 개인정보가 유출됐다. 화물 발송인·수취인 이름, 주소, 전화번호와 회원 서비스 ‘스마트클럽’에 등록된 이메일 주소 등이 포함됐다. 또 다른 택배 대기업 야마토운수도 후불결제 서비스 일부 이용자의 개인정보 531만건이 유출됐다.

이번 사태의 신호탄이 된 것은 차량 공유 서비스 ‘타임즈카’였다. 타임즈카가 지난달 25일 정보 유출 피해를 공표한 이후 거의 매일 새로운 유출 공지가 이어지고 있다. 유출된 약 660만건의 개인정보 중 약 160만건에는 운전면허증 등의 이미지까지 포함돼 있다. 피해는 업종을 가리지 않았다. 외식업체 야키니쿠킹을 운영하는 모노가타리코퍼레이션은 공식 앱과 회원 관리 시스템에 대한 무단 접근으로 약 1080만건의 개인정보가 유출됐다고 발표했고, 화장품 기업 판클과 계열사 아테니아도 총 약 83만명 규모의 유출 사고를 공표했다.

언론사도 예외가 아니었다. 니혼게이자이신문은 시스템 개발용 클라우드 서비스에서 약 183만건의 정보가 유출됐다. 정부 기관에서도 피해가 확인됐다. 일본 디지털청은 외부 위탁업체 시스템에 대한 무단 접근으로 1만 3000명 이상의 개인정보가 유출됐을 수 있다고 밝혔다.

일본 보안업체 마크니카 집계에 따르면 올해 들어 이달 6일까지 일본기업내 웹 시스템에서 개인정보가 유출된 공개 사례는 119건이며, 이 중 81건이 지난 7월 이후 공표됐다.

상황이 심각하게 번지자 일본 정부도 부랴부랴 대책 마련에 나섰다. 다카이치 총리는 26일 긴급 사이버보안 정책 패키지를 마련하겠다고 밝혔다. 각료 긴급회의에서도 개인정보 유출 공격 주체를 규명하기 위한 국제 공조에 참여하겠다고 했다. 다카이치 총리는 사이버공격에 대한 모든 대처 방안을 전략적으로 선택해 다음주 내 발표하겠다고 했다. 아카자와 료세이 경제산업상도 “부처내에 정보 무단 접근과 유출을 막을 사이버보안 전문가팀을 신설하겠다”고 발표했다.

일본 기업을 집중적으로 노리고 있는 해킹 공격 수법과 배후를 둘러싼 다양한 분석도 나오고 있다. 요미우리신문에 따르면 인터폴 사이버범죄 수사 부문에서 근무한 경력이 있는 후쿠모리 다이키 GMO사이버시큐리티 사이버범죄대책센터장은 “중국에서 사이버 방어 테스트용으로 개발된 AI 도구 ‘아르텍스’가 최근 일본 공격 다수에서 사용된 것을 확인했다”고 밝혔다. 그에 따르면 공격은 대부분 일본만을 겨냥한 단일 서버 인프라에서 시작됐으며, 표적에는 같은 업종 9곳을 포함한 일본 기업 약 20곳이 포함됐다.

일본 사이버 대응 기관 ‘JPCERT/CC’도 연쇄 개인정보 유출의 배후 공격자들이 모바일 앱용 API를 악용해 소프트웨어 취약점을 노렸고, 이는 랜섬웨어 등과는 별개로 대량의 개인정보 유출로 이어지고 있다고 분석했다.

이번 대규모 개인정보 유출 사태는 일본에 큰 충격으로 다가온 모습이다. 업무상 필요가 없는 신분증 이미지와 개인정보를 장기간 보관해 온 일본내 오랜 관행은 물론 위탁업체를 통한 2차 피해, AI발(發) 새로운 위협 환경이 한꺼번에 드러난 사태로 평가된다. 일각에선 공격 근원지 서버를 직접 무력화하는 국가 차원의 ‘능동적 사이버 방어’(Active Cyber Defense) 도입에 대한 필요성도 대두되고 있다.

일본 국가사이버통괄실(NCO) 관계자는 니혼게이자이신문에 “정보 제공 및 상담을 받아 조치 실시 여부를 검토할 수는 있다”면서도 “정부가 사안의 중대성과 긴급성을 판단해 대처하되 원칙적으로 ‘사이버통신정보관리위원회’의 사전 승인을 거쳐야 한다”고 말했다.