싱가포르 토지청(SLA)이 IBM 관리 환경에서 발생한 데이터 보안 사고로 약 7만 명의 개인정보가 영향을 받았다고 밝혔습니다. 무단 접근이 발생한 곳은 부동산 등기 업무의 실시간 운영 시스템이 아니라, 개발과 시험에 쓰이는 별도 환경이었습니다.
2
3
10
어떤 정보가 들어 있었나
문제가 된 데이터에는 이름과 국가등록신분증(NRIC) 번호, 부동산 주소가 포함돼 있었습니다. NRIC는 싱가포르의 국가 신분증 식별 번호입니다. 데이터는 1998년 공급업체의 개발·시험 목적으로 만들어졌고 이후 주기적으로 업데이트됐습니다. 당초 부동산 소유권 및 등기 기록을 바탕으로 한 모의·익명화 정보만 담도록 돼 있었지만, 조사 과정에서 실제 개인정보가 확인됐습니다.
2
4
다만 공개된 자료만으로는 실제 정보가 누가, 언제, 어떤 경위로 데이터에 들어갔는지 알 수 없습니다. 익명화가 이뤄지지 않은 이유도 아직 확인되지 않았습니다. 데이터 전체가 내려받아졌는지, 이후 오용됐는지도 보고된 자료로는 단정할 수 없습니다.
IBM이 맡은 역할과 영향 범위
IBM은 SLA의 싱가포르 부동산권리 자동등록 시스템(STARS)과 전자문서 제출 시스템(ELS)을 지원·유지보수하는 업체입니다. 두 시스템의 개발 및 시스템 통합 시험 환경도 IBM이 관리했습니다. 이번 무단 접근은 그 시험 환경에 있던 데이터에서 확인됐습니다.
3
SLA는 해당 환경이 실시간 운영 시스템과 분리돼 있으며, STARS와 ELS의 실시간 시스템은 영향을 받지 않았다고 밝혔습니다. 법무부도 피해 환경이 SLA의 실시간 시스템과 별개라고 설명했습니다.
4
10 따라서 이번에 확인된 사고는 시험용 데이터에 담긴 개인정보에 관한 것이며, 부동산 등록 업무를 처리하는 실시간 시스템이 침해됐다는 내용은 아닙니다.
조사와 대응, 그리고 아직 확인되지 않은 내용
SLA는 경찰에 신고했으며 IBM, 정부기술청(GovTech), 싱가포르 사이버보안청(CSA)과 함께 사고를 조사하고 있다고 밝혔습니다.
4
한편, 제공된 보도와 발표 자료만으로는 접근 권한을 언제 어떤 방식으로 차단했는지, 피해자에게 개별 통지를 했는지, 개인정보보호위원회(PDPC)에 신고했는지 확인하기 어렵습니다. 이 조치들은 현재 자료에서 확인된 사실로 단정하지 않는 것이 정확합니다.