앤트로픽 개인정보 유출 신고가 공식 접수되었습니다. 미국 인공지능 기업 앤트로픽이 자사의 생성형 AI 서비스 클로드의 국내 기업용 계정 100여개와 관련해 개인정보 유출 사실을 개인정보보호위원회에 알렸습니다. 외부 보안업체가 제3자 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 무단 접근하면서 계정 정보가 노출됐을 가능성이 제기되었습니다. 이번 사건을 정리하고 기업 이용자들이 지금 해야 할 일을 살펴보겠습니다.
| 구분 | 내용 |
|---|---|
| 신고 시점 | 지난달 31일 |
| 영향 대상 | 국내 기업용 클로드 계정 100여개 |
| 침해 경로 | 제3자 소프트웨어 취약점을 이용한 무단 접근 |
| 노출 가능 정보 | 계정 식별번호, 조직 식별번호, 이름, 이메일, 요금제 등 |
| 미노출 정보 | 사용자 프롬프트, AI 응답 결과물, 결제정보 |
사건의 전말은 어떻게 전해졌나
이번 앤트로픽 개인정보 유출 신고는 워싱턴포스트의 보도를 통해 더 자세히 알려졌습니다. 미국 보안 스타트업 캐서드럴이 외부 업무용 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 접근한 정황이 확인되었습니다. 캐서드럴은 보안 취약점을 연구하는 업체인데, 이 과정에서 클로드 기업용 계정의 일부 정보에 무단 접근한 것으로 전해졌습니다. 앤트로픽은 사고를 인지한 당일 관련 시스템을 차단하고 공급업체와 협력해 취약점을 보완했다고 설명했습니다. 다만 아직 해결할 과제가 남아 있다며 제3자 소프트웨어 보안과 모니터링 체계를 계속 강화하겠다고 밝혔습니다.
개인정보보호위원회는 현재 정식 조사에 앞서 사전 검토를 진행하고 있습니다. 해외 기업의 경우 국내 사업자와 달리 조사 착수 전 자료 요청 등 별도 절차가 필요할 수 있어 시간이 걸릴 수 있습니다. 위원회는 정식 조사에 착수하면 구체적인 피해 규모와 침해 경위를 추가로 확인하겠다는 입장입니다.
어떤 정보가 노출되었고 어떤 정보는 안전한가
앤트로픽이 고객사에 전한 안내문에 따르면 노출됐을 가능성이 있는 정보는 클로드 기업용 계정의 계정 식별번호와 조직 식별번호, 사용자 이름, 이메일 주소 등의 업무 연락처 정보입니다. 여기에 요금제와 사용량, 이용 금액 관련 정보가 포함됐을 가능성도 제기되었습니다. 반면 이용자가 AI에 입력한 프롬프트와 생성된 결과물, 결제정보에는 캐서드럴이 접근하지 못한 것으로 전해졌습니다. 앤트로픽 기술연구원은 사회관계망서비스를 통해 이 같은 내용을 설명하며 계정 정보에 무단 접근은 있었지만 핵심 업무 데이터와 결제 수단은 보호되었다고 강조했습니다.
이번 앤트로픽 개인정보 유출 신고를 접하면서 개인정보 보호가 단순히 비밀번호 관리 차원을 넘어섰다는 생각이 들었습니다. 생성형 AI는 기업의 중요한 자료와 고객 데이터를 다루는 경우가 많습니다. 이번 사건처럼 제3자 소프트웨어의 취약점을 통한 경로가 발생할 수 있기 때문에, AI 도입을 검토하는 기업은 보안 정책을 함께 점검해야 합니다. 실제로 많은 기업이 클로드 같은 AI 서비스를 업무에 활용하며 이메일 주소와 조직 정보를 등록합니다. 이런 정보가 외부에 노출되면 피싱 공격이나 사회공학적 공격에 악용될 수 있습니다.
기업 이용자가 지금 확인해 볼 일
이번 사건의 영향 범위에 해당하는 기업은 앤트로픽으로부터 별도 안내를 받았을 가능성이 높습니다. 안내를 받은 기업 담당자는 먼저 계정에 로그인해 최근 접속 기록을 확인해 보시기 바랍니다. 비정상적인 접근이나 해외 아이피 접속 기록이 있는지 살펴보고, 계정 비밀번호를 즉시 변경하는 것이 좋습니다. 특히 같은 비밀번호를 다른 서비스에서 재사용하고 있었다면 해당 서비스의 비밀번호도 함께 변경해야 합니다. 이메일 주소가 노출되었을 수 있으므로 출처가 불분명한 메일을 열거나 첨부 파일을 다운로드하지 않도록 각별히 주의해야 합니다.
앤트로픽은 이번 사고를 계기로 제3자 소프트웨어에 대한 보안 감시 체계를 강화하겠다고 밝혔습니다. 하지만 기업 스스로도 AI 서비스 이용 약관과 보안 설정을 다시 확인하고, 민감한 정보를 AI에 입력할 때는 내부 보안 기준을 적용하는 습관이 필요합니다. 개인정보보호위원회의 정식 조사 결과가 나오면 더 구체적인 피해 범위와 대응 방안이 안내될 것입니다.
마무리와 앞으로의 시선
앤트로픽 개인정보 유출 신고는 AI 서비스가 안전하게 운영되기 위해서는 기업 내부 시스템뿐 아니라 외부 소프트웨어 공급망까지 꼼꼼히 관리해야 한다는 교훈을 남겼습니다. 노출된 정보가 업무 연락처와 계정 식별 정보에 한정되고 프롬프트와 결과물은 보호된 점은 다행이지만, 보안 사고는 언제든 다양한 경로로 발생할 수 있습니다. 앞으로 개인정보보호위원회의 후속 조사가 진행되면서 더 정확한 피해 규모와 재발 방지 대책이 나오기를 기대합니다. 기업 이용자도 이번 기회에 AI 서비스 이용 현황을 점검하고 비밀번호 변경, 이상 접속 확인, 임직원 보안 교육을 강화하는 계기로 삼으면 좋겠습니다.
Q. 이번 유출 사고로 AI 대화 내용도 외부에 공개되었나요 A. 앤트로픽은 사용자가 입력한 프롬프트와 AI 응답 결과물에는 접근하지 못했다고 설명했습니다. 노출 가능성이 있는 정보는 계정 관련 연락처 정보에 한정됩니다.
Q. 국내 기업은 어떻게 피해를 확인할 수 있나요 A. 앤트로픽이 영향받은 일부 고객사에 별도 안내문을 보낸 것으로 알려졌습니다. 개인정보보호위원회가 정식 조사에 착수하면 구체적인 피해 규모와 안내 절차가 공개될 예정입니다.
Q. 지금 당장 해야 할 일은 무엇인가요 A. 클로드 기업용 계정의 비밀번호를 변경하고 최근 접속 기록을 확인하시기 바랍니다. 같은 비밀번호를 다른 곳에서 쓴다면 함께 변경하고, 의심스러운 이메일이나 링크는 열지 않는 것이 좋습니다.
