일본 디지털청은 어제 통보를 발표해, 산하에서 AI 사이트 구축 플랫폼 Studio로 만들어진 일부 웹사이트가 해커에게 공격당해 13323건의 개인정보가 유출되었다고 밝혔다.
유출된 것은 국민들이 2021년 5월부터 2023년 3월 사이에 웹 폼을 통해 제출한 각종 문의 내용이다. 세부적으로 보면: 일반 의견 및 건의 약 8833건, 백신 접종 증명 관련 문의 약 3661건, 워크숍 행사 정보 약 462건, 채용 문의 약 250건, 심지어 마스코트 "마이나짱" 인형 의상 대여 문의도 약 117건에 이른다.
더 곤란한 것은 필드다. 디지털청은 발신자의 이름, 이메일 주소, 본문 내용이 모두 유출되었음을 확인했으며, 일부 문의 채널에서는 소속 기관, 수신 주소, 전화번호까지 유출되었을 가능성이 있다. 유출된 것은 단순한 메시지가 아니라 특정 개인을 특정할 수 있는 다중 신원 단서들이다.
아직 2차 피해는 발생하지 않아
다행인 점은 10월 22일 기준으로, 당국이 아직 이 정보가 악용되거나 2차 피해를 일으킨 사례를 발견하지 못했다는 것이다. 다만 디지털청은 경보를 발령했다: 디지털청 또는 관련 기관을 사칭하는 출처 불명의 이메일, 전화, 문자 메시지를 경계하고, 출처 불명의 링크와 첨부파일은 함부로 열지 말며, 비밀번호나 신용카드 정보는 더더욱 함부로 입력하지 말라는 것이다. 일단 누군가 유출된 정보를 이용해 정교한 피싱을 시도하면, 위험은 "가능성"에서 "현재 진행 중"으로 바뀐다. 당국은 특히 이메일이나 전화로 비밀번호 등 본인 인증 정보를 요구하는 일은 결코 없다고 강조했다.
AI 사이트 구축의 편리함이 이번에는 오히려 보안의 약점이 되었다. 진입 장벽이 낮은 도구가 공공 부문의 대외 서비스를 대신 떠안는 이상, 그 이면의 데이터와 보호 책임을 결코 "덤으로" 넘길 수 없다.