‘M이코노미뉴스’에서 한 주간 놓치지 말아야 할 국내외 주요 IT 이슈 3가지를 선정, 요약해 보고자 합니다. 이번 주에는 회계·컨설팅 기업 언스트앤영에서 제삼자 지원 티켓 시스템이 해킹돼 고객 데이터가 유출됐다는 소식, 일본에서 선거기간 SNS 허위정보 차단 위한 새 법률이 가결됐다는 소식, 영국에서 런던 교통국 마비시킨 10대 해커 2명에 징역 5년 6개월 선고됐다는 소식 등 세 가지를 단신으로 소개합니다.

1. 언스트앤영, 제삼자 지원 시스템 해킹으로 고객 세금 정보 유출 확인

글로벌 회계·컨설팅 기업 언스트앤영(Ernst & Young, EY)이 IT 직원들이 사용하는 제삼자 지원 티켓 시스템이 해킹돼 고객 데이터가 유출됐다고 밝혔다. 미국 IT 매체 블리핑컴퓨터에 따르면 EY는 전 세계 150여개국에서 회계·세무·컨설팅 서비스를 제공하는 글로벌 4대 회계법인 중 하나로, 40만명이 넘는 직원을 보유하고 지난해 532억 달러(한화 약 79조2680억원)의 매출을 기록했다. 회사는 피해 고객에게 보낸 안내문에서 4월 23일 네트워크에서 이상 활동을 감지해 조사에 착수했으며, 외부 보안 전문가와의 분석 결과 3월 28일부터 4월 12일 사이 승인되지 않은 제삼자가 지원 플랫폼에 접근해 여러 문서를 다운로드한 사실이 확인됐다고 설명했다.

유출된 문서에는 고객의 세금 신고서 작성 과정에서 사용된 개인·금융 정보가 포함돼 있을 가능성이 있는 것으로 알려졌다. 다만 EY는 정확히 어떤 유형의 정보가 노출됐는지, 몇 명의 고객이 영향을 받았는지, 미국 고객만의 문제인지 혹은 다른 국가 고객도 포함되는지에 대해서는 구체적으로 밝히지 않았다. 회사는 무단 접근을 차단하고 시스템 보안 조치를 강화했으며, 연방 사법 당국에도 사건을 통보했다고 밝혔다. 또 현재까지 도난된 파일이 악용되거나 추가로 유출된 정황은 없으며 특정 개인을 겨냥한 공격이라는 징후도 없다고 덧붙였다.

EY는 이번 사건으로 인한 피해를 최소화하기 위해 고객들에게 Experian을 통한 24개월간 신원 모니터링 및 복구 서비스를 제공하고, 2026년 10월 31일까지 가입할 것을 권고했다. 현재까지 EY를 공격했다고 주장하는 랜섬웨어 조직이나 데이터 갈취 그룹은 나타나지 않았다.

2. 일본, 선거기간 SNS 허위정보 차단 위한 새 법률 가결...AI 생성물 표시 의무화

일본 참의원 본회의가 선거 기간 중 SNS를 통한 허위 정보 확산을 억제하기 위한 새로운 법률을 가결했다. NHK 보도에 따르면 이번 법률은 SNS 운영사업자에게 선거의 공정성을 저해할 우려가 있는 정보 유통으로 인한 악영향을 줄이기 위한 조치를 의무화하는 내용을 담고 있으며, 내년 3월 시행돼 통일지방선거에도 적용된다. 여야 9당 협의회를 거쳐 마련된 이번 법안은 최근 선거 과정에서 온라인 허위 정보와 중상비방이 급증하면서 이에 대한 제도적 대응 필요성이 커진 데 따른 것이다.

법률은 SNS 플랫폼 운영자에게 선거 관련 허위 정보나 공정성을 해칠 수 있는 게시물에 대해 적극적인 대응 조치를 취하고, 그 실행 상황을 매년 1회 공표하도록 규정했다. 또한 공직선거법도 개정돼 인터넷 이용 시 허위 정보를 발신해 선거 공정성을 저해해서는 안 된다는 훈시 규정이 신설된다. 특히 인공지능(AI)을 활용해 제작된 선거운동용 사진이나 이미지에는 AI 생성물임을 명확히 표시하도록 의무화해, 유권자가 정보의 출처와 성격을 판단할 수 있도록 했다. 이는 AI 기반 이미지·영상이 선거 여론에 영향을 미칠 수 있다는 우려가 커진 데 따른 조치로 풀이된다.

이번 법률은 13일 참의원 본회의에서 표결에 부쳐져 찬성 다수로 통과됐다. 일본 정부는 온라인 정보 환경 변화에 대응해 선거의 공정성과 투명성을 강화하려는 취지라고 설명했다. 다만 실제 시행 과정에서 플랫폼 사업자의 책임 범위, 표현의 자유와의 충돌, AI 표시 의무의 실효성 등 다양한 논점이 제기될 것으로 보인다. 전문가들은 법률 시행 이후 SNS 운영사들의 대응 수준과 선거 현장에서의 정보 유통 변화가 향후 제도 보완 논의의 핵심이 될 것으로 전망하고 있다.

3. 런던 교통국 마비시킨 10대 해커 2명, 징역 5년 6개월 선고

영국 런던 교통국(TfL)을 마비시킨 대규모 사이버 공격을 감행한 10대 해커 두 명이 징역 5년 6개월의 실형을 선고받았다. 월솔 출신 오웬 플라워스(18세)와 런던 동부의 탈라 주베어(20세)는 2024년 6월 해킹 혐의를 인정했으며, 두 사람은 ‘스캐터링 스파이더’로 알려진 국제적 사이버 범죄 조직의 일원으로 활동한 것으로 드러났다. 이들의 공격으로 TfL 온라인 서비스가 수개월간 중단되고, 1000만명에 달하는 고객 정보와 2만7000명 직원의 계정이 유출됐으며, TfL은 총 2900만 파운드(한화 약 581억3253만원)의 재정 피해를 입은 것으로 추산했다.

수사 결과 두 사람은 16시간 동안 해킹 과정을 온라인으로 생중계하며 오이스터 카드 이용자 데이터베이스를 열람하고 유명 인사들의 정보를 검색하는 등 범죄를 자랑한 것으로 확인됐다. 플라워스와 주베어는 전화 헬프데스크 직원을 속여 비밀번호를 재설정하게 하는 방식으로 내부 시스템에 침투했으며, 이후 수백만 명의 고객 데이터를 다운로드했다. 이들은 금전적 이득보다 온라인에서 악명을 얻는 데 더 집착한 것으로 경찰은 분석했다. 플라워스는 미국 의료기관 해킹에도 관여했으며, 주베어는 엔비디아·BT 등 글로벌 기업을 공격한 전력이 있는 등 이미 수년간 경찰에 알려진 인물이었다.

법원은 두 사람이 대부분의 시간을 온라인에서 보내며 사회적 관계가 거의 없는 외톨이였고, 자폐 스펙트럼 진단 등 개인적 사정을 고려해 형량을 결정했다고 밝혔다. 주베어는 미국에서도 1억1500만 달러(한화 약 1713억5000만원) 규모의 랜섬웨어 관련 혐의로 수배 중이며, 사이버 범죄 커뮤니티 ‘The Com’에서 유명 해커로 활동해왔다. 경찰은 두 사람에게서 약 100만 파운드(한화 약 20억457만원) 상당의 암호화폐를 압수했으며, 이번 사건은 영국 내 청소년 해커 증가가 국가 사이버 보안의 주요 위협으로 떠오르고 있음을 보여주는 사례라고 평가했다.