"철도, 마트, 휴대폰까지 다 뚫렸다"…개인정보 유출 어디까지 [도쿄나우]

日 최대 통신사 도코모도 유출
무인양품·JR·도코모 덮친 사이버 공격
정부 美 빅테크와 긴급 공조

일본에서 유통, 철도, 금융, 언론 등 사회 인프라 전반을 겨냥한 사이버 공격이 잇따르는 가운데 일본 최대 이동통신사 NTT도코모에서도 최대 29만4839회선의 고객정보가 유출됐다. 이름과 전화번호는 물론 본인확인 서류 번호와 일부 고객의 은행 계좌번호까지 빠져나갔다. 일본 정부는 6일 사이버보안 긴급대책을 확정했다. 미국 빅테크와 협력해 아직 공개되지 않은 보안 취약점 정보를 확보하고, 고성능 인공지능(AI)으로 전력·통신 등 핵심 인프라를 점검할 방침이다.

 도코모, 신분증 번호까지 유출…위로금 검토

NTT도코모는 6일 오후 기자회견을 열고 스마트폰을 판매하는 온라인몰과 가입자가 계약 내용을 확인·변경하는 ‘마이 도코모’가 외부의 무단 접속을 받았다고 밝혔다. 유출 대상은 개인 최대 20만4157회선, 법인 최대 9만682회선이다. 이름과 주소, 생년월일, 전화번호, 이메일 주소, 본인확인 서류 번호 등이 포함됐다. 일부 고객은 금융기관명과 계좌번호, 예금주명도 유출됐다. 도코모는 어떤 종류의 신분증 번호가 유출됐는지는 공개하지 않았다. 일본의 개인식별번호인 마이넘버는 유출 대상에서 제외됐다고 밝혔다.

공격자는 여러 시스템이 연동되는 구조를 악용해 고객정보를 자동으로 검색하고 수집한 것으로 파악됐다. 도코모는 4일 오전 대량 접속 경보를 감지해 마이 도코모를 중단했다. 같은 날 저녁 공격 경로를 차단했다고 판단해 서비스를 재개했으나 다른 수법으로 공격받을 가능성이 제기되자 5일 새벽 다시 중단했다. 고객정보 유출을 확인한 것은 5일 오전 2시였다. 도코모는 정기적으로 취약점 진단을 해왔지만 이번에 악용된 경로는 사전에 파악하지 못했다.

마에다 요시아키 도코모 사장은 6일 기자회견에서 사과하고 피해 고객에게 위로금을 지급하는 방안을 검토하겠다고 밝혔다. 지급 대상과 액수는 정해지지 않았다. 온라인몰 운영과 마이 도코모의 계약 변경 등 주요 업무가 중단됐고, 온라인 전용 요금제 ‘아하모’ 신규 가입 사이트도 예방 차원에서 닫았다.

 무인양품 최대 2726만 건 유출 우려…GMO는 금전 피해

무인양품 운영사 료힌케이카쿠는 공식 앱에 대한 무단 접속으로 이메일 주소, 생년월일, 성별, 회원 ID 등 최대 약 2726만 건의 고객정보가 유출됐을 가능성을 조사하고 있다. 제휴 신용카드인 ‘MUJI 카드’ 번호 약 109만 건도 유출됐을 가능성이 있다. 료힌케이카쿠는 보안 강화를 위해 6일 온라인몰 운영을 일시 중단했다.

JR도카이·JR서일본·JR규슈는 신칸센 예약 서비스 ‘스마트EX’와 ‘익스프레스 예약’ 회원정보 17만2735건이 유출됐다고 5일 밝혔다. 외부 이메일 발송업체가 공격받으면서 회원의 이메일 주소와 회원 ID, 가타카나 이름 등이 노출됐다. GMO인터넷에서는 외환증거금(FX) 자동매매용 클라우드 서비스가 공격받아 고객정보가 유출됐고, 일부 고객의 FX 계좌에서 부정 거래까지 발생했다.

 美 빅테크서 미공개 취약점 확보…신분증 보관 지침도 손본다

피해가 잇따르자 다카이치 사나에 일본 총리는 6일 총리관저에서 관계 장관회의를 열고 사이버보안 긴급대책을 확정했다. 대책의 핵심은 미국 주요 AI·기술기업이 발견한 미공개 취약점 정보를 일본 정부가 공유받는 체계를 구축하는 것이다. 공격자가 결함을 악용하기 전에 정부와 기업이 위험을 파악하고 방어 조치를 취할 수 있도록 하겠다는 구상이다.

일본 정부와 일부 기업·금융기관은 미국 앤스로픽의 고성능 AI 모델 ‘클로드 미토스’ 등에 접근할 권한을 확보했다. 일본 정부는 이 같은 모델을 활용해 전력·통신 등 핵심 인프라와 국가안보 관련 시스템의 취약점을 우선 점검할 계획이다. 국가사이버총괄실(NCO)을 중심으로 피해 기업과 보안업체, 클라우드 기업이 확보한 공격 정보도 조기에 모은다. 한 기업에서 파악한 공격 수법을 다른 기업과 신속히 공유해 피해가 여러 업종으로 번지는 것을 막겠다는 취지다.

개인정보 보호 대책도 손본다. 일본 정부는 운전면허증 등 본인확인 서류 이미지의 보관 지침을 개정해 내년 1월 시행하는 것을 목표로 하고 있다. 마이넘버카드의 전자증명서를 이용한 본인확인을 확대해 기업이 신분증 이미지를 수집·보관하는 과정에서 생기는 유출 위험을 줄일 방침이다. 중소기업에는 공격 초기 대응부터 데이터 복구와 백업까지 지원을 확대한다.

국가사이버총괄실은 최근 사고를 조사한 결과 기본적인 보안 조치가 미흡한 사례가 여럿 확인됐다고 밝혔다. 공격자가 AI로 대량의 웹사이트를 훑어 침입할 곳을 찾고, 기존 진단에서 위험도가 낮게 평가된 여러 문제를 조합해 공격할 가능성이 있다는 분석이다. 총괄실은 웹사이트와 모바일 앱을 운영하는 사업자들에게 기본 보안 조치를 재점검하라고 당부했다.

도쿄=최만수 특파원 bebop@hankyung.com