개인정보보호위원회는 2026년 11월 10일, 기업용 클로드의 계정 정보 유출 신고와 관련해 운영사 앤트로픽에 대한 정식 조사에 들어갔다. 앤트로픽은 10월 31일 국내 기업용 계정 100여 개와 관련된 사고를 신고했다. 이 수치는 신고에 언급된 계정 수다.
앤트로픽 클로드 조사 착수 소식에서 확인할 점은 어떤 정보가 노출됐을 가능성이 있는지와 실제 피해 범위가 어디까지인지다. 신고에서 정식 조사로 넘어간 과정과 앤트로픽이 고객사에 안내한 내용을 나누어 살펴보자.
앤트로픽 클로드 조사 착수는 언제 이뤄졌을까?
개인정보위가 정식 조사를 시작한 날은 11월 10일이다. 전날인 11월 9일 보도에서는 신고 내용을 사전 검토하는 단계였다. 10월 31일은 회사가 개인정보위에 신고한 날이고, 11월 10일은 위원회가 사전 검토를 마치고 정식 조사에 들어간 날이다. YTN 개인정보위 정식 조사 착수 보도 바로가기
아이뉴스24가 전한 앤트로픽의 설명과 개인정보위의 조사 착수 발표를 시간순으로 놓으면 아래와 같다. 시스템 접근을 알아챈 때와 당국에 신고한 때, 고객에게 안내한 때가 각각 다르다.
| 2026년 날짜 | 확인된 발표와 회사 설명 |
| 10월 8일 | 앤트로픽 설명상 외부 보안업체가 내부 시스템에 접근 |
| 10월 10일 | 앤트로픽 설명상 사고를 인지하고 영향을 받은 시스템의 접근을 차단 |
| 10월 31일 | 앤트로픽이 국내 기업용 계정 관련 사고를 개인정보위에 신고 |
| 11월 7일 | 앤트로픽이 국내외 기업 고객에게 계정 정보 노출 가능성을 안내한 것으로 보도 |
| 11월 10일 | 개인정보위가 앤트로픽에 대한 정식 조사 착수 발표 |
어떤 정보가 노출됐을 가능성이 있을까?
일부 고객사에 전달된 안내에 언급된 항목은 계정 식별번호와 조직 식별번호, 이름, 이메일 주소 등이다. 계정 식별번호는 개별 계정을, 조직 식별번호는 서비스에서 해당 계정이 속한 조직을 구분하는 값이다. 아이뉴스24는 요금제 등급과 사용량, 지출 관련 지표도 신고 관련 정보에 포함됐다고 보도했다.
머니투데이가 전한 앤트로픽 측 설명에 따르면 미국 보안업체 캐서드럴(Cathedral)은 앤트로픽이 쓰던 외부 업무용 소프트웨어의 취약점을 통해 내부 시스템에 접근했다. 앤트로픽은 사고를 인지한 날 접근을 차단하고 소프트웨어 공급사와 함께 취약점을 해결했다고 밝혔다.
앤트로픽 측은 캐서드럴이 이용자의 프롬프트와 클로드 답변, 결제정보에는 접근하지 못했다고 설명했다. 프롬프트는 사용자가 클로드에 입력하는 질문이나 지시다. 앞서 언급된 지출 지표는 서비스 이용 비용을 집계한 정보로, 회사가 접근이 없었다고 설명한 결제정보와 구분된다. 현재 알려진 접근 범위에 관한 이 설명은 회사의 입장으로, 개인정보위는 실제 노출 범위를 조사할 예정이다.
정식 조사에서는 무엇을 확인할까?
개인정보위는 실제로 어떤 정보가 노출됐는지, 피해 규모가 어느 정도인지, 내부 시스템에 어떤 경로로 접근했는지 등을 확인할 방침이다. 앤트로픽 클로드 조사 착수 단계에서 나온 100여 개는 신고에 포함된 국내 기업용 계정 수다. 피해 기업과 개인의 수는 조사에서 확인할 사항이다.
조사에서는 개인정보 보호조치가 적절했는지도 쟁점이 될 전망이다. 외부 소프트웨어를 통해 어떤 시스템에 접근했는지와 그 안에서 어떤 정보에 닿을 수 있었는지는 각각 확인이 필요한 부분이다. 개인정보위가 11월 10일 밝힌 내용은 정식 조사 개시이며, 구체적인 조사 결과와 처분 여부는 향후 발표에서 확인할 수 있다.
기업용 클로드를 사용한다면 사내 계정 관리자에게 고객사 안내문을 받았는지 확인할 수 있다. 안내문에서는 회사가 알린 대상 계정과 정보 항목을, 당국의 후속 발표에서는 조사로 확인한 피해 규모와 경위를 살핀다.
마치면서
앤트로픽 클로드 조사 착수는 10월 31일 유출 신고를 접수한 개인정보위가 사전 검토를 거쳐 11월 10일 정식 조사로 넘어갔다는 뜻이다. 신고에는 국내 기업용 계정 100여 개가 언급됐고, 일부 고객에게는 이름과 업무용 이메일, 계정과 조직 식별번호 등의 노출 가능성이 안내됐다. 개인과 기업의 실제 피해 규모, 정보별 노출 여부, 보호조치의 적절성은 개인정보위 조사 결과를 통해 확인할 사항이다.
[안내드립니다] 이 글은 2026년 11월 10일까지 공개된 보도와 회사 측 설명을 기준으로 작성했습니다. 세부 피해 범위는 개인정보보호위원회의 조사 결과에 따라 달라질 수 있습니다.