[데일리시큐]SQL인젝션·접근제어 취약점 방치…개인정보위, 한국인정지원센터·텔루스에 1억 5천만 원 제재

내용 요약

한국인정지원센터와 TELUS International AI Ltd.는 개인정보보호법 위반으로 각각 1억 3,720만 원과 1,320만 원의 과징금 및 과태료를 부과받았습니다. 한국인정지원센터는 SQL 인젝션 공격으로 인해 홈페이지 회원 정보가 유출되었고, 텔루스는 개인정보 처리시스템 접근 통제를 소홀히 하여 개인정보 유출 사고를 야기했습니다.

핵심 포인트

• 한국인정지원센터: SQL 인젝션 공격으로 인한 개인정보 유출, 게시판 입력값 검증 미흡, 취약점 관리 소홀
• TELUS International AI Ltd.: 개인정보 처리시스템 접근 통제 미흡, 개인정보보호 교육 미실시

기술 세부 내용

1️⃣ SQL Injection (SQL 인젝션)

• 공격 원리: 웹 애플리케이션의 보안 취약점을 악용하여 악의적인 SQL 코드를 삽입하는 공격 기법입니다. 공격자는 웹사이트 입력 폼이나 URL 매개변수 등에 SQL 쿼리를 주입하여 데이터베이스에 접근하거나 조작합니다. 한국인정지원센터의 경우, 게시판 입력값 검증 절차가 미흡하여 공격자가 악의적인 SQL 코드를 삽입, 데이터베이스에서 회원 정보를 탈취했습니다.
• ️ 방어 방법:
  • 입력값 검증: 모든 사용자 입력에 대해 철저한 검증을 수행해야 합니다. 특수 문자, SQL 키워드 등을 필터링하고, 허용된 입력 형식만 처리하도록 설정해야 합니다.
  • Prepared Statements (매개변수화된 쿼리): SQL 쿼리와 데이터를 분리하여 처리하는 Prepared Statements를 사용하면 SQL 인젝션 공격을 효과적으로 방지할 수 있습니다.
  • Stored Procedures (저장 프로시저): 데이터베이스에 저장된 미리 컴파일된 SQL 코드를 사용하는 저장 프로시저를 활용하여 SQL 인젝션 공격을 예방할 수 있습니다.
  • 최신 보안 패치 적용: 웹 애플리케이션 및 데이터베이스 소프트웨어의 최신 보안 패치를 적용하여 알려진 취약점을 제거해야 합니다.
  • Web Application Firewall (WAF): 웹 애플리케이션 방화벽을 사용하여 악의적인 트래픽을 차단하고 SQL 인젝션 공격을 탐지 및 방어할 수 있습니다.

2️⃣ Access Control (접근 통제)

• 개념: 허가된 사용자만 시스템이나 리소스에 접근할 수 있도록 제한하는 보안 조치입니다. 텔루스는 개인정보 처리시스템 접근 통제를 소홀히 하여 개인정보 유출 사고를 야기했습니다.
• ️ 구현 방법:
  • Authentication (인증): 사용자의 신원을 확인하는 절차입니다. 일반적으로 ID와 비밀번호를 사용하지만, 생체 인증, 2단계 인증 등 다양한 방법이 있습니다.
  • Authorization (권한 부여): 인증된 사용자에게 특정 리소스나 기능에 대한 접근 권한을 부여하는 절차입니다. 역할 기반 접근 제어(RBAC)와 같은 모델을 사용하여 효율적인 권한 관리가 가능합니다.
  • Logging and Monitoring (로그 기록 및 모니터링): 시스템 접근 기록을 로깅하고 모니터링하여 비정상적인 활동을 감지하고 대응해야 합니다.
  • Data Encryption (데이터 암호화): 저장된 데이터 및 전송 중인 데이터를 암호화하여 무단 접근을 방지해야 합니다.
  • Regular Security Audits (정기적인 보안 감사): 시스템의 보안 취약점을 파악하고 개선하기 위해 정기적인 보안 감사를 수행해야 합니다.

3️⃣ Security Awareness Training (보안 인식 교육)

• 중요성: 직원들의 보안 인식을 높이는 교육은 개인정보 유출 사고를 예방하는 데 중요한 역할을 합니다. 텔루스는 개인정보보호 교육을 실시하지 않아 제재를 받았습니다.
• 교육 내용:
  • 개인정보보호법 및 관련 규정: 개인정보의 정의, 처리 원칙, 유출 시 대응 방안 등
  • 정보보안의 중요성 및 위협: 피싱, 스미싱, 랜섬웨어 등 다양한 사이버 공격 유형 및 예방 방법
  • 안전한 비밀번호 관리: 강력한 비밀번호 생성 및 관리 방법
  • 데이터 보안: 데이터 암호화, 접근 제어, 백업 및 복구
  • 물리적 보안: 출입 통제, 장비 보안 등

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=167407