앤트로픽 국내 기업 계정 100여 개 유출 신고…개인정보위 정식 조사

먼저 확인할 핵심 사실

조사 착수

개인정보위는 앤트로픽의 신고를 사전 검토한 뒤 정식 조사에 착수했다. [1]

신고 규모당사자 주장

앤트로픽이 신고한 국내 기업 계정은 현재까지 100여 개로 보도됐다. [1]

노출 가능 항목당사자 주장

기업용 계정과 이름, 이메일 주소가 노출됐을 가능성이 고객사에 안내된 것으로 전해졌다. [1]

원인 주장당사자 주장

외부 보안업체의 앤트로픽 내부 시스템 무단 접근이 원인으로 지목됐으나 조사 결과는 나오지 않았다. [1]

100여 개 기업 계정이 신고됐다

앤트로픽은 10월 31일 국내 기업용 클로드 계정 정보가 외부로 유출됐다며 신고했다. 개인정보위는 정식 조사에 들어가 구체적인 피해 규모와 범위를 확인할 방침이다. 100여 개는 현재 신고된 범위이며 최종 피해 계정 수로 확정된 값은 아니다.

확인된 정보와 모르는 범위를 나눠야 한다

일부 고객사는 계정명, 담당자 이름과 이메일 주소가 노출됐을 가능성을 안내받은 것으로 전해졌다. 그러나 대화 내용, 프롬프트, 업로드 문서, API 키나 비밀번호가 실제로 유출됐는지는 공개 원문에서 확인되지 않는다. 조사 전에는 노출 범위를 넓혀 단정하면 안 된다.

기업은 로그와 권한을 함께 점검해야 한다

이름과 이메일만 유출돼도 공격자는 실제 담당자를 사칭한 피싱을 만들 수 있어요. 기업 관리자는 SSO·MFA 설정, 관리자 권한, API 키, 최근 로그인과 외부 연동 앱을 확인해야 해요. 의심 세션을 종료하고 키를 교체하되 포렌식에 필요한 로그를 먼저 보존하는 순서가 중요해요.

협력사 접근권한도 조사 대상이다

외부 보안업체의 무단 접근이 원인으로 지목됐다는 보도는 AI 서비스 공급망의 권한 관리 문제를 보여줘요. 앤트로픽은 사고 시점, 접근 경로, 고객별 영향 범위와 차단 조치를 통지해야 해요. 개인정보위 조사도 본사뿐 아니라 협력사의 접근 범위와 관리 책임을 확인해야 해요.

조사 결과에서 확인해야 할 기준

개인정보위 조사에서는 단순 노출 가능성뿐 아니라 공격자가 실제로 열람하거나 내려받은 기록, 접근 지속 시간, 고객 통지 시점과 회사의 보호조치가 적절했는지를 확인해야 한다. 기업별로 사용하는 클로드 기능과 연동 방식이 다르므로 모든 계정의 영향이 같다고 볼 수 없다. 앤트로픽이 제공하는 영향 범위와 각 기업의 자체 로그를 대조해야 실제 피해와 잠재 위험을 나눌 수 있다.

지금 가능한 결론

정식 조사는 범위를 확인하는 시작 단계예요. 기업은 가능성과 확인된 사실을 구분하면서 계정·키·로그 점검은 즉시 해야 해요.

이렇게 해석한 근거

조사 착수, 신고 규모와 안내된 가능 노출 항목을 근거로 삼았다.

아직 남은 부분

정확한 침입 경로와 프롬프트·파일·인증정보 노출은 확인되지 않았다.

한 걸음 더 생각하기

원문·자료

1. YTN ↗보도 · 본문 확인