싱가포르의 개인정보 보호 규제 기관은 약 100만 명에 가까운 고객과 직원에게 영향을 미친 침해 사건 이후 소매업체 Courts에 17만 8천 싱가포르달러의 과징금을 부과했습니다. Courts 데이터 유출 과징금 싱가포르 결정은 보안 팀이 종종 간과하는 한 가지 세부 사항을 지적합니다. 공격자는 주 시스템이 중단될 경우 비즈니스를 계속 운영하기 위한 서버를 통해 침입했을 가능성이 가장 높다는 점입니다.

이 사건은 기업의 가장 취약한 지점이 항상 가장 눈에 띄는 곳은 아니라는 점을 상기시켜 주는 유용한 사례입니다. 또한 소매업체의 데이터베이스에 자신의 정보가 저장되어 있는 모든 사람에게 실질적인 교훈을 제공합니다.

공격자들이 백업 서버를 통해 침입한 방법

스트레이츠 타임스 보도에 따르면, 공격자는 2022년 9월 21일경 Courts의 네트워크에 침입했을 가능성이 가장 높습니다. 진입점은 소매업체의 주 시스템이 아니었습니다. 주 시스템이 고장 날 경우를 대비한 대체 서버였습니다.

이 점이 중요한 이유는 백업 및 재해 복구 인프라가 보통 배경에 위치하는 경향이 있기 때문입니다. 프로덕션 시스템과 동일한 패치, 모니터링, 접근 제어를 받지 못할 수 있지만, 동일한 민감한 데이터의 사본을 보유하고 동일한 내부 네트워크에 연결되는 경우가 많습니다. 공격자에게 있어 방치된 대기 서버는 철저히 감시되는 정문보다 더 쉬운 출입구가 될 수 있습니다.

이 사건에 대해 이용 가능한 원자료가 간략하기 때문에, 악용된 특정 취약점과 같은 세부 사항은 여기서 다루지 않습니다. 분명한 것은 그 패턴입니다. 복원력을 위해 설계된 인프라도 다른 모든 것과 동일한 기준으로 보호되지 않으면 부채가 될 수 있습니다.

누가 영향을 받았고 어떤 데이터가 노출되었는가

보도에 따르면 이 침해 사건은 약 100만 명에 가까운 고객과 직원에게 영향을 미쳤습니다. 이러한 규모는 싱가포르에서 중대한 사건이며, 소매업체에서 쇼핑한 사람들과 그곳에서 근무한 사람들 모두를 포함합니다.

우리가 보유한 요약에는 관련된 모든 데이터 범주가 항목별로 나열되어 있지 않으므로, 추측하지 않겠습니다. 일반적인 원칙으로, 소매 기록에는 보통 연락처 정보와 계정 정보가 포함되며, 직원 기록에는 추가 개인 정보가 포함될 수 있습니다. Courts의 고객이나 직원이었던 적이 있다면, 가장 안전한 방법은 회사의 공식 통지를 주시하고 계정에 관한 예상치 못한 메시지는 주의 깊게 대하는 것입니다.

Courts가 싱가포르 집행 기록에 등장한 것은 이번이 처음이 아닙니다. 이전 검색 결과에 따르면 2020년 10월 개인정보 보호 실패로 9천 싱가포르달러의 과징금을 받은 바 있습니다. 새로운 17만 8천 싱가포르달러의 과징금은 훨씬 크지만, 이용 가능한 자료에는 금액이 어떻게 산정되었는지에 대한 전체 내역이 제공되지 않습니다.

과징금이 규제 기관의 기대에 대해 말하는 것

이 과징금은 규제 기관의 공개된 결정 목록에 근거하여 개인정보 보호를 위한 합리적인 보안 조치를 마련하지 않은 데 대해 부과되었습니다. "합리적인 보안 조치"라는 문구가 핵심 기준입니다. 완벽함을 요구하지는 않지만, 명백한 시스템뿐만 아니라 개인정보를 보유한 모든 시스템을 고려할 것을 기대합니다.

싱가포르의 체계는 상당한 과징금을 허용합니다. 검색 결과에서 인용된 법률 해설에 따르면 개인정보 보호법에 따른 최대 과징금은 100만 싱가포르달러 또는 조직 연간 매출의 10% 중 더 높은 금액입니다. 그 상한선에 비추어 17만 8천 싱가포르달러는 최대치보다 훨씬 낮지만, 보안 격차가 대규모 노출로 이어질 때 규제 기관이 조치를 취할 것이라는 신호를 여전히 보내고 있습니다.

다른 지역의 규제 기관들도 유사한 원칙에 따라 행동하고 있으며, 종종 훨씬 더 큰 금액으로 이루어집니다. 유럽에서 집행이 어떻게 전개되는지에 대한 맥락은 네덜란드 DPA의 Uber에 대한 8억 2,500만 유로 과징금과 LinkedIn의 3억 1,000만 유로 과징금에 대한 아일랜드 대법원 항소에 대한 보도를 참조하십시오. 관할권과 금액은 다르지만, 근본적인 메시지는 일관됩니다. 조직은 수집하는 데이터를 보호할 책임이 있습니다.

이것이 당신에게 의미하는 것

소매업체의 백업 서버를 감사할 수는 없습니다. 그러나 귀하의 정보가 노출될 경우 피해를 제한할 수는 있습니다. 이와 같은 침해 사건은 헤드라인이 끝났다고 해서 드물게 종결됩니다. 도난당한 개인정보는 원래 사건이 발생한 후 오랜 시간이 지나서도 피싱 캠페인과 계정 탈취 시도에서 다시 나타날 수 있습니다.

대비해야 할 주요 위험은 다음과 같습니다:

  • 표적 피싱: 실제 구매나 계정을 언급하는 메시지는 설득력 있게 보일 수 있습니다.
  • 자격 증명 재사용: 다른 곳에서 동일한 비밀번호를 사용했다면, 하나의 침해로 여러 계정이 뚫릴 수 있습니다.
  • 사칭: 노출된 연락처 정보는 소매업체나 배송 서비스로 위장하는 데 사용될 수 있습니다.

강력한 계정 보호가 만병통치약은 아니라는 점에 유의하십시오. D1R 랜섬웨어가 ARM에서 2단계 인증을 우회한 방법에 대한 우리의 보고서는 공격자들이 적응한다는 것을 보여주므로, 하나에 의존하기보다 여러 습관을 결합하는 것이 더 효과적입니다.

소매 데이터 유출 후 해야 할 일

  1. 재사용된 비밀번호를 변경하십시오. 모든 계정에 고유한 비밀번호를 부여하고, 이상적으로는 비밀번호 관리자에 저장하십시오.
  2. 2단계 인증을 활성화하십시오. 가능하면 SMS보다 인증 앱이나 하드웨어 키를 선호하십시오.
  3. 예상치 못한 메시지에 회의적으로 대하십시오. 주문, 환불, 계정 문제에 관한 이메일이나 문자 메시지의 링크를 클릭하지 마십시오. 소매업체의 공식 사이트나 앱으로 직접 접속하십시오.
  4. 공식 통지를 확인하십시오. 제3자 메시지에 의존하기보다 회사나 규제 기관의 커뮤니케이션을 찾으십시오.
  5. 계정을 모니터링하십시오. 은행 및 카드 명세서에서 낯선 활동을 검토하고 의심스러운 점이 있으면 즉시 신고하십시오.

핵심 요점

Courts 데이터 유출 과징금 싱가포르 사건은 복원력 시스템이 프로덕션 시스템과 동일한 보안 관심을 받을 자격이 있으며, 규제 기관이 조직이 개인정보를 보유한 모든 시스템을 보호할 것을 기대한다는 것을 보여줍니다. 개인의 경우, 모든 소매 침해 사건 후 실질적인 대응은 동일합니다. 고유한 비밀번호를 사용하고, 2단계 인증을 활성화하며, 피싱에 주의하십시오. 데이터 보호 실패가 어떻게 처벌되는지에 대한 broader 맥락은 EU 및 영국 중간 개인정보 판결과 네덜란드 DPA의 Uber 과징금에 대한 우리의 보도를 읽어보십시오.