[비즈니스포스트] 미국 인공지능(AI) 기업 앤트로픽이 기업용 AI 서비스 '클로드'의 국내 고객 계정 정보를 유출했다고 개인정보보호위원회에 신고했다.

9일 업계에 따르면, 앤트로픽은 기업용 AI 서비스 '클로드 엔터프라이즈'에서 한국 기업 계정 정보가 유출됐다고 지난 10월31일 개인정보보호위원회에 신고했다.
 

국내 기업용 계정 정보는 100여 건 유출된 것으로 파악됐다.

유출된 정보에는 기업 고객 이름과 이메일 주소를 비롯해 계정 식별번호(ID), 조직 식별번호, 요금제 등급, 사용량 및 지출 관련 지표 등이 포함됐다.

개인정보보호위원회는 신고 내용 검토 뒤 정식 조사 착수 여부를 결정할 예정이다.

이번 사고는 지난 10월8일 미국 사이버보안 스타트업 '캐시드럴'이 앤트로픽의 내부 시스템에 무단 접근하면서 일어났다. 캐시드럴은 외부 소프트웨어의 보안 취약점을 이용해 앤트로픽 내부 시스템에 접근한 것으로 알려졌다.

캐시드럴은 미국 정부효율부(DOGE) 출신 인사들이 설립한 사이버보안 기업이다. 당시 앤트로픽의 외부 보안 연구 프로그램에 참여하고 있었지만, 내부 시스템에서 수행한 활동을 모두 공개하지 않는 등 프로그램 규칙을 위반한 것으로 전해졌다.

앤트로픽은 사고 발생 이틀 뒤인 10월10일 무단 접근 사실을 인지하고 당일 해당 업체의 접근을 차단했다. 캐시드럴로부터 접근한 데이터를 삭제하고 앞으로 사용하지 않겠다는 서면 확인도 받았다.

이후 앤트로픽은 11월7일 국내외 기업 고객에게 계정 정보 유출 사실을 알렸다.

앤트로픽이 고객들에게 발송한 안내문에 따르면, 클로드의 대화 내용과 비밀번호, 신용카드 및 은행 계좌 정보는 유출 대상에 포함되지 않았다. 앤트로픽은 "접근된 정보가 변경되거나 삭제 또는 오용됐다는 증거도 발견하지 못했다"고 설명했다. 다만, 개별 이용자 정보가 실제로 열람됐는지는 확인되지 않았다.

개인정보보호위원회는 지난 10월19일 발표한 새 개인정보 보호 수칙에서 기업과 기관에 '외부 연계 서비스의 접근 권한과 개인정보 조회 범위를 최소화하고 사용하지 않는 응용프로그램 인터페이스(API)를 폐기하라'고 권고했다.

장기간 사용하지 않은 API 키와 인증 토큰을 즉시 회수하고 비정상적인 대량·반복 요청을 차단하는 조치도 제시했다. 조성근 기자