맑은소프트 (온라인 학습관리시스템 업체)학습관리시스템 업체 침해, 고객사 22곳으로 번져
쉽게 말하면 온라인 교육 시스템 업체가 뚫려, 이 시스템을 쓰는 공공기관·대학·기업 22곳의 이용자 정보가 함께 샜습니다.
온라인 교육 플랫폼을 공급하는 업체가 뚫리면서 이 시스템을 쓰던 공공기관·대학·기업 22곳의 이용자 정보가 함께 노출됐습니다. 국민권익위원회도 고객사에 포함됐습니다.
규모 약 237만 건(개인정보위 접수 기준)현황 개인정보위 조사 중(9/30 착수) · 국회가 전수 실태조사 요구
약 237만 건은 신고 기준 수치이고 중복이 있을 수 있습니다.
내가 해당되는지 확인하기
맑은소프트의 학습관리시스템을 쓰는 기관(국민권익위원회 등 22곳)에서 온라인 교육을 들은 사람
- 교육을 들은 기관의 공지와 개인정보위 안내를 확인하세요. 기관 목록이 모두 공개되지는 않았습니다.
해당되거나 불안하다면
- 개인정보노출자 사고예방시스템 금융감독원 금융소비자정보포털 ‘파인’ 또는 은행 영업점등록하면 금융사에 전달되어 내 이름의 거래 때 본인확인을 더 신중히 합니다. 우려가 사라지면 같은 방법으로 해제합니다.
- 엠세이퍼 msafer.or.kr 또는 이동통신사 지점내 이름으로 가입된 통신서비스를 조회하고, 새 휴대폰 개통을 미리 막습니다. 새 폰을 직접 개통할 때는 제한을 풀어야 합니다.
- 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
- 생년월일·휴대전화번호·본인확인 연계정보(CI·DI)가 포함됐습니다. 사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.
확인된 사실
- 규모
- 개인정보위에 약 237만 건이 신고됨. 보도는 실제 규모가 다를 수 있다고 전함
- 유출 항목
- 계정 정보, 휴대전화번호, 이메일, 주소, 성별, 생년월일, CI·DI(본인확인 연계정보)
- 영향 범위
- 이 업체의 학습관리시스템(LMS)을 쓰는 고객사 22곳(공공기관·학계·민간)
- 원인
- 외부 공격자가 업체 시스템을 침해. 구체적 침투 경로는 공개되지 않음
경과
- 외부 공격자가 내부 시스템에 비정상 접근
- 개인정보 탈취
- 업체가 침입을 인지하고 개인정보위·KISA에 신고(9/22, 9/24, 9/29 세 차례 신고)
- 개인정보위 조사 착수공식 조치
- 한창민 의원실이 개인정보위 자료로 규모를 공개하고, 온라인 서비스·플랫폼 업체 전수 실태조사를 요구
원인으로 지목된 것
- 외부 공격이 업체 서버를 거쳐 이를 쓰는 고객사 사이트로 확산됐다고 보도됐습니다. 세부 기술은 공개되지 않았습니다.
대응과 조치
- 업체가 웹 보안 강화, 암호화·키 관리 개선, 웹서비스와 파일 저장소 분리, 고객사 데이터 격리, 관리자 접근 보안, 관제 강화 등 8개 보안 대책을 발표했습니다.
점검해 볼 지점 (편집 의견)
- 맡긴 업체가 뚫리면 우리 데이터도 뚫리므로, 위탁·솔루션 업체의 데이터 분리와 접근통제 수준을 계약 단계에서 점검해 볼 만합니다.
관련 ISMS-P 인증기준 (편집 의견)
위탁·협력사·솔루션 경유2.3.1 외부자 현황 관리2.3.2 외부자 계약 시 보안2.3.3 외부자 보안 이행 관리3.3.2 개인정보 처리 업무 위탁
공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.
용어: 공급망·수탁사 공격
출처
- 보안뉴스: 맑은소프트 개인정보 유출 규모 237만건, 고객사 22곳 불똥boannews.com