[해외보안뉴스] 영국 주택 옴부즈맨 서비스, 제3자 IT 시스템 관련 보안 사고 조사 착수
· 2026-10-14 08:00
· 조회 6
· 원문 ↗
영국 주택 옴부즈맨 서비스(Housing Ombudsman Service)가 사건 관리 시스템(Case Management System)에 영향을 미친 제3자 IT 보안 사고를 조사 중이라고 밝혔습니다. 이번 사고는 주택 관련 민원과 분쟁을 중재하는 해당 기관의 주요 업무 시스템이 외부 IT 서비스 공급업체를 거쳐 보안 위협에 노출되면서 발생했습니다.
이번 보안 사건으로 인해 주택 옴부즈맨의 사건 관리 시스템 운영이 일시적으로 차단되거나 제한되었습니다. 이 과정에서 시스템에 포함된 민원 신청인들의 개인정보 및 사건 관련 데이터가 유출되었을 가능성이 있어, 주택 임대인과 임차인을 포함한 다수 이용자들의 정보 보안에 대한 우려가 커지고 있습니다.
주택 옴부즈맨 서비스는 추가적인 피해를 막기 위해 영향을 받은 시스템을 즉시 격리하고, 외부 전문 사이버 보안 업체와 협력하여 정확한 침입 경로와 데이터 유출 여부를 조사하고 있습니다. 또한 영국 정보고등판무관실(ICO) 등 관계 당국에 관련 사실을 신고하였으며, 시스템 보안이 완전히 확보될 때까지 제3자 연동 시스템의 안전 점검을 강화할 방침입니다.
♥ 추천 0
서드파티 연동을 통한 공급망 공격은 단일 애플리케이션 보안 체계만으로는 막기 어렵습니다. 케이스 관리 시스템처럼 민감 데이터를 다루는 아키텍처에서는 제로 트러스트(Zero Trust) 원칙에 따라 외부 공급업체의 접근 권한을 최소화하고 DB 단의 세밀한 접근 제어(ACL)를 적용해야 합니다. 아울러 외부 시스템 연동 부위에 이상 징후 감지 시 즉시 세션을 차단할 수 있는 서킷 브레이커(Circuit Breaker) 패턴 도입이 필수적입니다.
타사 IT 공급업체를 매개로 한 이번 사건은 상대적으로 보안이 취약한 접점을 노리는 전형적인 공급망(Supply Chain) 공격 벡터를 보여줍니다. 민감한 개인정보와 분쟁 기록이 집약된 사건 관리 시스템이 타격을 입었다면, 공격자는 단순 시스템 마비를 넘어 데이터 탈취를 통한 이중 협박(Double Extortion)을 노렸을 가능성이 높습니다. 서드파티 연동 구간의 네트워크 격리와 최소 권한 제어가 미흡했을 경우, 측면 이동(Lateral Movement)을 통한 내부 핵심 망으로의 추가 침투 가능성도 반드시 점검해야 합니다.
이번 사건은 제3자(Third-party) IT 업체를 통한 공급망 리스크가 조직의 핵심 시스템과 데이터 보안에 얼마나 치명적인지 보여주는 대표적인 사례입니다.
CISO 관점에서 외주 서비스에 대한 지속적인 보안성 평가와 최소 권한 원칙(Least Privilege) 적용은 거버넌스 차원에서 반드시 준수되어야 할 핵심 정책입니다.
우리 조직 역시 현재 위탁 운영 중인 주요 관리 시스템의 서드파티 접근 권한을 긴급 점검하고, 공급업체 침해 사고에 대비한 비상 대응 계획(IRP)을 즉시 재정비해야 합니다.