GMO 정보 유출로 거래 고객 피해…일본, 긴급 사이버 보안 대책 마련

정보 유출이 고객 피해로 이어져

다카이치 사나에 일본 총리는 기업을 겨냥한 사이버 공격으로 개인정보가 노출되고, 일부 고객이 무단 금융 거래로 손실을 입은 가운데 2026년 10월 26일, 11월 2일이 시작되는 주 안에 긴급 사이버 보안 대책을 마련하겠다고 밝혔다.

이번 발표는 GMO 인터넷 그룹에서 발생한 정보 유출 사고 이후 나왔다. 회사는 일본과 해외의 증권사, 외환 거래업체 등 70곳이 넘는 사업자의 거래 계좌와 관련된 서버 2만6,739대가 잠재적으로 영향을 받았다고 밝혔다. 가나가와현의 한 고객은 무단 외환 거래로 600만 엔이 넘는 손실을 입었다고 말했다.

다카이치 총리는 도쿄 총리 관저에서 사이버 보안 관련 각료들이 참석한 첫 회의를 소집했다. 그는 공격자의 시스템에 침입해 위협을 무력화하는 새로운 법적 권한의 활용과 일본 기업에 대한 보안 테스트 및 모니터링 강화 등을 포함한 범정부 차원의 대응을 촉구했다.

기하라 미노루 관방장관은 10월 26일 브리핑에서 오후 6시에 회의를 열겠다고 발표하고 정부의 핵심 우려를 밝혔다. 대규모 정보 유출이 반복되는 데 이어, 도난당한 데이터의 악용으로 추가 피해가 발생하고 있다는 것이다. 각 부처는 추가 대책과 협력 강화 방안을 논의할 예정이다.

다카이치 총리는 회의 후 유출된 정보가 해당 정보의 당사자들에게 피해를 입히는 상황을 지적하며 긴급성을 강조했다.

“유출된 정보의 악용으로 민사상 피해가 발생할 수 있다는 우려가 커지는 등 상황이 심각합니다. 대책을 시급히 강화해야 합니다.”라고 그는 말했다.

당면 과제는 침해된 컴퓨터를 복구하는 데 그치지 않는다. 각료들은 도난당한 정보가 고객의 자산을 어떻게 위험에 빠뜨리는지, 기업이 침입을 어떻게 감지하는지, 국가가 언제 공격자에게 개입해야 하는지를 다뤄야 한다.

긴급 대책에 포함될 내용

다카이치 총리는 일본의 방어 역량을 강화하기 위한 조치로 생성형 인공지능을 활용한 모의 공격과 중소기업까지 포함하는 모니터링 네트워크 구축을 꼽았다. 생성형 AI는 텍스트나 컴퓨터 코드 같은 콘텐츠를 만든다. 통제된 보안 테스트에서는 시스템이 어떻게 대응하는지 확인하기 위해 공격 시나리오를 만드는 데 활용할 수 있다.

모의 공격은 허가를 받고 진행하는 훈련이다. 보안팀은 범죄자가 악용하기 전에 취약점을 찾아낸다. 모니터링 네트워크는 다른 역할을 한다. 의심스러운 활동을 감시해 조직이 침입을 감지하고 대응할 수 있도록 한다.

소규모 기업까지 대책 적용 범위를 넓히려는 것은 정부의 대응이 대기업과 공공기관에 국한되지 않도록 하기 위한 것이다. 이번 대책을 통해 더 많은 기업이 공격을 탐지하고 경고 정보를 공유하는 공동 대응에 참여하게 된다.

다카이치 총리는 각료들에게 대책과 재원을 신속히 검토하라고 지시했다. 또한 정부의 역량을 총동원해 업무를 앞당기라고 촉구했다. 대책의 예산, 구체적인 모니터링 체계, 정확한 발표 시기는 아직 공개되지 않았다.

여러 부처가 참여하는 이유

기하라 장관의 발표에는 사이버 보안, 경찰, 금융, 통신, 산업, 교통, 방위 업무를 담당하는 관계자들이 참석자로 명시됐다. 다카이치 총리와 기하라 장관 외에 후루카와 도시하루 사이버 보안 담당상, 하나시 야스히로 국가공안위원장, 고이즈미 신지로 방위상이 포함됐다.

여러 부처가 참여하는 것은 문제의 여러 측면을 반영한다. 서버 제공업체에서 발생한 침해 사고로 금융 고객이 사용하는 정보가 노출될 수 있다. 경찰은 범죄 행위를 수사할 수 있고, 방위 당국은 새로운 체계에 따라 사이버 위협에 대응할 책임을 맡는다.

10월 26일 회의는 각료들이 현재 발생한 사건을 함께 파악하고 부처 간 협력을 강화하기 위해 마련됐다. 앞서 10월 23일에는 집권 자민당 사이버 보안 전략 본부가 다카이치 총리에게 대책을 제안했다.

자민당은 총리실 산하 전담 대응 본부 설치, 특히 상장기업 경영진의 사이버 보안 인식 제고, 사이버 보안 전문가 채용 및 교육 강화를 촉구했다. 다카이치 총리는 총리실 주도로 사이버 보안 문제에 대응하겠다고 약속했다.

GMO 정보 유출이 거래 계좌에 미친 영향

GMO는 원격 서버 접속을 대여하는 서비스인 ‘오나마에닷컴 데스크톱 클라우드’의 정보가 유출됐을 가능성이 있다고 10월 24일 밝혔다. 고객은 이 서비스를 자동 외환 거래에 이용한다. 집에 있는 컴퓨터에 의존하지 않고 원격 컴퓨터에서 거래 소프트웨어를 실행할 수 있다.

일반적으로 FX 거래라고 불리는 외환 마진 거래는 거래 금액의 일부만 증거금으로 내고 환율 변동에 투자하는 방식이다. 거래가 예상과 반대로 움직이면 고객은 큰 손실을 볼 수 있다. 이번 사건에서는 고객들이 허가 없이 거래가 이뤄졌다고 항의했다.

GMO는 자사 서버에 있는 거래 계좌와 관련된 비밀번호 및 기타 정보가 제3자에게 노출됐을 가능성이 있다고 밝혔다. 잠재적으로 영향을 받은 서버는 2만6,739대이며, 70곳이 넘는 사업자의 계좌가 관련됐다. 회사는 금전적 손실을 입은 고객의 확정 인원이나 총손실액은 밝히지 않았다.

가나가와현에 거주하는 44세 회사원은 10월 21일 무단 거래로 600만 엔이 넘는 손실을 입었다고 말했다. 그는 당시 심정을 간단히 전했다.

“패닉에 빠졌습니다.”라고 그는 말했다.

이 고객은 나중에 발신자가 “Hacking Team”이라고 밝힌 이메일을 받았다. 이메일에는 계좌 잔액을 없앴다는 주장이 담겨 있었다. 그의 사례는 정부가 유출 정보 악용을 데이터 보유 기업의 문제일 뿐 아니라 시민의 재정에 대한 즉각적인 위협으로 보는 이유를 보여준다.

보상과 고객을 겨냥한 협박

GMO는 금전적 손실이 없었던 고객을 포함해 피해 서비스 이용자 모두에게 5,000엔을 지급하겠다고 밝혔다. 또한 무단 접근으로 발생했다고 판단한 손실을 보상하겠다고 약속했다. 따라서 일괄 지급과 보상 절차는 대상이 다르다. 서비스 이용자 모두가 일괄 지급을 받고, 거래 손실은 별도 심사를 거친다.

구마가이 마사토시 GMO 최고경영자는 10월 25일 블로그 게시물에서 고객을 보호하지 못한 데 대해 사과하고 보상을 약속했다. 그는 정부에 능동적 사이버 방어 조치를 활용해 달라고 요청하기도 했다.

GMO는 공격자로 의심되는 인물이 금전을 요구하고 회사 및 고객 정보를 공개하겠다고 협박했다고 밝혔다. 회사는 요구에 응해도 고객이 위험에 노출될 수 있는 이유를 설명했다.

“요구에 응하더라도 취득한 정보가 삭제되거나 악용이 방지된다는 보장은 없습니다.”라고 GMO는 밝혔다.

10월 24일에는 공격 배후로 추정되는 인물이 고객 컴퓨터에 랜섬웨어 공격을 하겠다고 온라인에서 협박하기도 했다. 랜섬웨어는 파일이나 시스템을 잠그고 대가를 요구할 수 있는 악성 소프트웨어다. GMO는 이용자들에게 데이터를 백업하고 바이러스 검사를 실행하라고 권고했다.

능동적 사이버 방어로 가능한 조치

일본의 능동적 사이버 방어법은 2025년 5월 국회를 통과해 2026년 10월 1일 시행됐다. 접근·무력화 조항에 따라 당국은 공격자의 시스템에 침입해 사이버 위협의 근원에서 이를 차단하는 조치를 취할 수 있다.

이 접근 방식은 피해자의 컴퓨터를 방어하는 데 그치지 않는다. 당국은 들어오는 활동을 차단하거나 피해를 복구하는 데서 더 나아가 공격에 사용되는 시스템에 직접 조치할 수 있다. 경찰과 자위대가 이 체계의 시행에 역할을 맡는다.

다카이치 총리는 상황이 파악된 사이버 공격에 대해 접근·무력화를 포함해 이용 가능한 대응책을 전략적으로 선택하고 실행하겠다고 밝혔다. 그는 어떤 조치를 내릴지 결정할 때 조사와 작전상 판단이 중요하다고 강조했다.

GMO의 요청은 이러한 권한을 민간 고객의 자산과 관련된 구체적인 사안으로 끌어들였다. 구마가이 CEO는 정부 개입이 전력·교통 사업자 같은 중요 인프라 운영자와 관련된 경우가 일반적이라고 인정하면서, 당국이 개입 시점과 방식을 결정한다는 점도 밝혔다.

구마가이 CEO는 같은 수법을 이용한 공격이 민간 기업의 서비스에 그치지 않고 다른 인프라와 개인 자산으로 확산될 수 있다고 주장했다. 그는 새로 시행된 법이 고객들이 이미 신고한 피해에 대한 대응에 포함돼야 한다고 촉구했다.

개입 여부는 누가 결정하나

기하라 장관은 접근·무력화가 필요한지는 정부가 자체적으로 판단한다고 말했다. 기업의 요청은 당국에 정보와 긴급성을 전달할 수 있지만, 관련 법적 요건에 따른 결정 권한은 국가에 있다.

GMO에 대한 대응을 묻는 질문에 기하라 장관은 개별 공격에 대해 언급하면 정부 전략이 드러날 수 있다며 작전상 세부 사항을 밝히지 않았다. 그는 피해를 입은 조직으로부터 정보를 받았을 때 정부가 일반적으로 취하는 대응을 설명했다.

“일반적으로 정부는 피해를 입은 조직들로부터 다양한 정보를 받고, 각 사건의 상황에 따라 필요한 지원을 제공하고 적절한 조치를 취합니다.”라고 그는 말했다.

총리실 관계자는 GMO 사건이 접근·무력화의 적용 대상에 해당하는지 판단하려면 추가 분석이 필요하다고 말했다. 작전을 공개하면 정부의 역량이 드러날 수 있어 실제 작전은 공개되지 않을 가능성이 크다. 따라서 고객과 기업은 공격자에 대한 대응의 세부 내용보다 보상, 서비스 보호, 정책 발표를 통해 정부의 대응을 확인하기 쉬울 수 있다.

방어 테스트와 공격 조사

아카자와 료세이 산업상도 다음 달 윤리적 해커들로 구성된 팀을 만들 계획이라고 밝혔다. 경제산업성 산하 이노베이션 플랫폼 에이전시에서 일할 사이버 보안 전문가들은 컴퓨터 시스템의 취약점을 찾아낼 예정이다.

윤리적 해커는 허가를 받고 시스템을 테스트해 취약점을 찾아내고 보완할 수 있도록 한다. 이들의 작업은 제안된 모의 공격 테스트 및 모니터링 네트워크를 보완한다. 테스트는 취약 지점을 찾아내고, 모니터링은 누군가 이를 악용하려는 징후를 포착한다.

아카자와 산업상의 발표는 웹사이트 구축에 널리 쓰이는 프로그래밍 언어 PHP에서 취약점이 발견된 뒤, 예방 차원에서 일부 부처 웹페이지와 기업 서비스가 부분적으로 중단된 가운데 나왔다. 산업계 약 1,000개 단체와 협회에는 사이버 보안 경고가 전달됐다.

수사 당국은 GMO 침입에 사용된 것으로 알려진 도구도 조사하고 있었다. GMO 계열사인 GMO 사이버시큐리티 바이 이에라에는 이번 공격이 ‘아텍스(Artex)’라는 인공지능 도구를 통해 이뤄진 것으로 추적했다고 밝혔다. 크라우드스트라이크는 한국에서 발생한 아텍스 공격을 조사한 결과, 해당 위협이 중국에서 시작됐을 가능성이 가장 높다고 평가했다. GMO 공격의 발원지는 아직 확인되지 않았다.

긴급 대응으로 이어진 주요 날짜

10월에는 새로운 정부 권한이 도입되고 고객 피해가 보고됐으며, 정치권의 결정이 빠르게 이어졌다. 주요 날짜를 보면 거래 고객에게 영향을 미친 사건이 어떻게 여러 부처가 참여하는 대응으로 이어졌는지 알 수 있다.

• 2025년 5월: 국회가 능동적 사이버 방어 관련 법안을 통과시켰다.
• 2026년 10월 1일: 접근·무력화 조항을 포함한 법적 체계가 시행됐다.
• 10월 21일: 가나가와현 고객이 무단 FX 거래로 600만 엔이 넘는 손실을 입었다고 밝혔다.
• 10월 23일: 자민당이 총리실 산하 대응 본부 설치를 포함한 긴급 제안을 제출했다.
• 10월 24일: GMO가 오나마에닷컴 데스크톱 클라우드의 정보가 도난당한 것으로 의심된다고 밝혔다. 고객 컴퓨터를 겨냥한 협박도 온라인에 게시됐다.
• 10월 25일: 구마가이 CEO가 사과하고 보상을 약속했으며 정부 개입을 요청했다.
• 10월 26일: 다카이치 총리가 각료 회의를 열고 다음 주까지 긴급 대책을 마련하라고 지시했다.

긴급 대책은 다음으로 예정된 주요 정책 발표다. 기업과 고객에게 실질적인 도움이 될지는 각료들이 어떤 조치를 선택하는지, 얼마나 많은 예산이 배정되는지, 표적이 된 조직에 테스트·모니터링·사고 대응 역량이 얼마나 신속히 제공되는지에 달려 있다.

핵심 내용

• 다카이치 총리는 2026년 11월 2일이 시작되는 주 안에 긴급 사이버 보안 대책을 마련하려 한다.
• GMO는 70곳이 넘는 사업자의 거래 계좌와 관련된 서버 2만6,739대가 잠재적으로 영향을 받았다고 밝혔다.
• 한 고객은 무단 FX 거래로 600만 엔이 넘는 손실을 입었다고 신고했다.
• GMO는 피해 서비스 이용자 모두에게 5,000엔을 지급하고, 무단 접근으로 발생했다고 판단한 손실을 보상하겠다고 약속했다.
• 정부가 검토하는 대책에는 생성형 AI를 이용한 공격 시뮬레이션과 중소기업까지 포함하는 모니터링이 있다.
• 당국은 공격자의 시스템에 침입해 위협을 무력화하는 새로운 권한을 사용할지 독자적으로 결정한다.