[해외보안뉴스] 소니 ISP 자회사 데이터 유출 사고 발생… 고객 정보 250만 건 노출
· 2026-10-29 01:00
· 조회 3
· 원문 ↗
소니(Sony)의 인터넷 서비스 제공(ISP) 자회사인 소니 네트워크 커뮤니케이션즈(Sony Network Communications)에서 대규모 데이터 유출 사고가 발생했습니다. 회사 측은 내부 시스템에 대한 무단 접근 정황을 포착하고 조사를 진행한 결과, 약 250만 건에 달하는 전·현직 고객의 개인정보가 외부로 노출된 것을 확인했다고 밝혔습니다.
이번 데이터 유출 사고의 영향 범위는 소니의 통신 서비스를 이용 중이거나 과거에 이용했던 고객 약 250만 명입니다. 노출된 정보에는 고객의 성명, 주소, 전화번호, 생년월일 등 인적 사항을 비롯해 일부 결제 관련 정보(계좌 번호 등)가 포함된 것으로 알려졌습니다. 회사 측은 신용카드 정보나 비밀번호 등의 암호화된 핵심 데이터의 직접적인 유출 여부에 대해서는 추가적인 조사를 이어가고 있습니다.
소니 네트워크 커뮤니케이션즈는 사고 인지 직후 침입 경로를 차단하고 해당 시스템을 격리 조치하였으며, 개인정보보호위원회 등 관계 당국에 신고를 완료했습니다. 또한 피해 가능성이 있는 고객들에게 개별 통지를 시작하고 관련 시스템의 보안 모니터링을 강화했습니다. 피해 고객들은 소니나 관련 기관을 사칭한 피싱 이메일, 스미싱, 보이스 피싱 등 2차 피해에 각별히 주의해야 하며, 금융 거래 내역에 이상이 없는지 지속적으로 확인하는 것이 권장됩니다.
♥ 추천 0
250만 건이라는 대규모 유출도 문제지만, 이미 탈퇴한 고객의 데이터까지 포함되었다는 점은 데이터 생명주기 관리(Data Lifecycle Management)의 미비함을 보여줍니다.
DB 내 PII(개인식별정보) 필드에 대한 강력한 컬럼 단위 암호화는 기본이며, 보관 기간이 지난 데이터는 수동이 아닌 자동화된 배치 로직으로 즉시 파기했어야 합니다.
아키텍처 관점에서도 대량 데이터 유출(Exfiltration)을 감지하고 차단할 수 있도록 DB 접근에 대한 제로 트러스트 모델과 이상 징후 모니터링 파이프라인을 재점검해야 합니다.
ISP 계열사에서 유출된 250만 건의 고객 정보는 공격자(Threat Actor) 입장에서 매우 정교한 2차 공격을 수행할 수 있는 최적의 기초 데이터입니다. 확보된 개인정보는 단순 스팸을 넘어 타깃형 스피어 피싱(Spear Phishing)과 크리덴셜 스터핑(Credential Stuffing), 그리고 ISP 서비스 구조를 악용한 사회공학적 기법으로 손쉽게 악용될 수 있습니다. 초기 침투 벡터와 별개로, 유출된 데이터의 높은 활용도 때문에 해당 고객들을 겨냥한 후속 침투 시도는 장기간 지속될 것으로 보입니다.
글로벌 기업 자회사의 대규모 유출 사고는 그룹 차원의 통합 보안 거버넌스와 공급망 리스크 관리(TPRM)가 얼마나 중요한지 다시금 보여줍니다. 특히 과거 고객 정보까지 대량 노출된 점은 '데이터 최소화' 원칙과 '생애주기 기반의 데이터 파기 정책'이 현장에서 제대로 작동해야 함을 경고합니다. 우리 조직 또한 위탁·자회사 보안 관리 체계를 즉시 재점검하고 보유 데이터의 정기적인 최소화 작업을 강화해야 합니다.