회사에서 클로드 팀·엔터프라이즈를 쓰는 관리자라면 지난주 앤트로픽 메일함부터 열어 보세요. 외부 보안업체가 앤트로픽 내부 시스템에 허락 없이 들어가면서, 기업 계정 정보 일부가 노출됐을 수 있다는 안내가 나갔습니다. 대화 내용은 아니고 연락처와 계정 정보라서 당장 걱정할 것은 피싱입니다.
클로드 개인정보 유출, 국내 기업 계정 112개｜노출된 정보와 개인정보위 조사, 관리자가 할 일
목차 (6)
11월 10일 개인정보보호위원회가 국내 기업 계정 112개를 놓고 조사에 들어갔습니다. 확인된 사실과 아직 모르는 것을 나누고, 관리자가 오늘 할 일을 순서대로 적었습니다.
무슨 일이 있었나: 날짜순
| 날짜 | 내용 |
|---|---|
| 10월 8일 | 제3자 보안 연구업체가 승인 없이 자체 보안 테스트를 하다 앤트로픽 내부 시스템 데이터에 접근 |
| 10월 10일 | 앤트로픽이 무단 접근을 알아채고 차단, 내부 조사 시작 |
| 10월 31일 | 앤트로픽이 국내 기관에 공식 신고 (뉴스1 보도) |
| 11월 7일 | 이용자에게 개인정보 관련 안내문 발송 |
| 11월 10일 | 개인정보위, 국내 기업 계정 112개 대상 조사 착수 |
해커 집단이 아니라 '보안 연구업체'라는 점이 특이합니다. 이 업체는 가져간 데이터를 지우고 다시 쓰지 않겠다는 서면 확인서를 앤트로픽에 냈다고 해요. 개인정보위는 이 업체를 통한 유출 가능성과 개인정보 보호법 위반 여부를 함께 살펴볼 계획입니다.
노출됐을 수 있는 정보와 안전한 정보
| 노출됐을 수 있음 | 영향 없음 (앤트로픽 안내) |
|---|---|
| 이름, 이메일 주소 등 연락처 | 프롬프트와 답변 (대화 내용) |
| 기업 계정 ID, 조직 ID | 계정 비밀번호 |
| 구독 요금제 등급 | 신용카드, 은행 계좌 정보 |
| 서비스 사용량, 이용 금액 지표 |
앤트로픽은 정보가 바뀌거나 지워진 흔적, 다른 목적으로 쓰인 정황은 찾지 못했다고 밝혔습니다. 다만 각 이용자의 정보가 실제로 열람됐는지는 확인하지 못했다고 해요. 11월 10일 기준으로 공개된 안내문에는 개인 요금제 사용자가 대상인지가 따로 나와 있지 않습니다.
진짜 위험은 정교한 피싱
이메일과 요금제 등급, 사용량까지 알면 그럴듯한 메일을 만들기 쉽습니다. "귀사의 엔터프라이즈 플랜 사용량이 한도를 넘었습니다. 결제 정보를 다시 확인해 주세요" 같은 문장이요. 회사 이름과 실제 요금제가 맞으니 속기 쉽죠.
앤트로픽이 직접 당부한 것도 이 부분입니다. 앤트로픽을 사칭해 비밀번호, 로그인 인증 코드, 결제 정보를 요구하는 연락에는 응하지 말라는 것이죠. AI 도구를 노린 공격은 요즘 확장 프로그램이나 패키지로도 들어오는데, 비슷한 사례는 가짜 클로드 코드 확장 프로그램 백도어 글에 정리해 두었습니다.
관리자 점검 순서
- 안내 메일 확인: 관리자와 결제 담당자 메일함에서 앤트로픽의 개인정보 안내문을 찾습니다. 우리 조직이 대상인지가 여기에 나옵니다.
- 직원 공지: "앤트로픽 이름으로 결제 정보나 인증 코드를 묻는 메일·문자는 무시하고 보안팀에 전달" 한 줄이면 됩니다.
- 로그인 보호: SSO를 쓰지 않는 조직이라면 구성원 계정의 2단계 인증 여부를 확인합니다.
- 결제 정보 변경 요청 경계: 청구 담당자에게 메일 링크가 아닌 콘솔에 직접 들어가 확인하도록 안내합니다.
- 기록 남기기: 받은 안내문과 이후 이상 징후를 날짜별로 남겨 두면 분쟁조정 신청 때 씁니다.
국내 이용자에게는 개인정보 보호법에 따른 손해배상 청구와 개인정보 분쟁조정위원회 분쟁조정 절차도 안내됐습니다. 개인정보위 조사 결과에 따라 내용이 바뀔 수 있으니, 결과가 나오면 이 글에 덧붙이겠습니다.
맺음말
- 노출 가능 정보는 연락처와 기업 계정 정보이고, 대화·비밀번호·카드 정보는 대상이 아니었습니다.
- 개인정보위가 국내 기업 계정 112개를 조사 중이고, 결과는 아직입니다.
- 오늘 할 일은 안내 메일 확인, 직원 피싱 공지, 2단계 인증 점검입니다.
회사 데이터를 클로드에 맡길 때의 기본 설정은 클로드 개인정보·데이터 학습 설정에서 함께 점검해 보세요.
공식 자료
- '클로드' 이용 국내 기업 계정 112개 정보유출…개인정보위, 조사 착수 (뉴스1, 2026-11-10)
- 앤트로픽 내부 시스템 무단 접근…클로드 계정 정보 노출 가능성 (바이라인네트워크, 2026-11-07)
👉 다음에 읽을 글
- LiteLLM 1.107.0 공급망 악성코드 — AI 개발 도구를 통한 침해 사례입니다.
- AI 목소리 보이스피싱 막는 방법 — 사칭 연락에 대비하는 생활 수칙입니다.
자주 묻는 질문
- 클로드 대화 내용도 유출됐나요?
- 앤트로픽 안내에 따르면 아닙니다. 클로드에 입력한 프롬프트와 답변 같은 대화 내용, 계정 비밀번호, 신용카드·은행 계좌 정보는 접근 대상에 들어가지 않았습니다. 노출됐을 수 있는 것은 이름·이메일 같은 연락처와 기업 계정의 계정 ID, 조직 ID, 요금제 등급, 사용량·이용 금액 지표입니다.
- 개인 요금제(프로·맥스) 사용자도 해당되나요?
- 앤트로픽은 노출 가능 정보를 안내하면서 기업용 클로드 계정의 계정·조직 정보를 따로 언급했고, 국내 조사 대상도 기업 계정 112개입니다. 개인 사용자가 해당되는지는 공개된 안내문에 구분돼 있지 않으니, 앤트로픽에서 개인정보 관련 안내 메일을 받았는지부터 확인하세요.
- 안내 메일을 받으면 비밀번호를 바꿔야 하나요?
- 비밀번호는 접근 대상이 아니었다고 했지만, 노출된 이메일로 피싱이 올 수 있으니 2단계 인증을 켜 두는 편이 안전합니다. 무엇보다 앤트로픽을 사칭해 비밀번호, 로그인 인증 코드, 결제 정보를 묻는 연락에는 답하지 말라고 앤트로픽이 당부했습니다.
- 피해가 생기면 어디에 신청하나요?
- 앤트로픽은 국내 이용자에게 개인정보 보호법에 따른 손해배상 청구와 개인정보 분쟁조정위원회를 통한 분쟁조정 신청 절차를 안내했습니다.
