- 보안 취약 여기어때 99만명 개인정보 털려 - 고객들 “XX모텔서 좋은 밤 보내셨나” 문자에 화들짝 - 관련 업계 보안 투자 수준은 뒷걸음질 [헤럴드경제=원호연 기자]숙박 예약 서비스 ‘여기어때’의 회원 가입정보는 물론 숙박예약 이력정보 등 341만건의 개인정보가 해킹으로 탈취된 것이 수사결과 공식 확인되면서 위치기반 서비스들에 대한 보안 불안감이 커지고 있다. 이들 서비스는 단순 가입 정보 뿐 아니라 이용자의 시간대별 위치나 행동패턴까지 수집하고 있어 개인정보가 유출될 경우 납치나 유괴, 보복범죄 등에 활용될 수 있어 위험성이 더 크다.

지난 1일 경찰청은 지난 3월 숙박 예약 서비스 ‘여기어때’를 해킹해 99만명의 개인정보 341만여건을 유출한 일당을 검거하고 유출된 개인정보 사본을 가지고 해외로 도주한 1명을 추적중이라고 밝혔다. 특히 이들은 업체를 협박해 돈을 갈취하기 위해 고객 5000여명에게 “좋은 밤 보내셨냐”는 내용의 문자를 보내 개인 정보 유출 사실을 흘렸다. 이 문자에는 해당 고객이 이용한 숙박업소 이름과 이용 날짜 등이 고스란히 적혀 있어 충격을 줬다. 이들은 이후 페이스북에 비공개 계정을 만들어 유출 개인 정보를 게시한 뒤 여기어때 측에 과시하기도 했다.

숙박 예약 서비스 여기어때에서 99만명의 민감 개인정보가 유출되면서 위치 기반 서비스의 보안에 비상이 걸렸다. 이들 서비스가 저장하고 있는 각종 개인정보를 이용하면 납치나 유괴 등 2차 범죄가 발생할 수 있지만 이들 업체의 보안 투자는 오히려 후퇴하고 있다. 여기어때를 해킹한 일당들이 개인 정보를 이용해 고객들에게 보낸 협박 문자 [제공=경찰청]
숙박 예약 서비스 여기어때에서 99만명의 민감 개인정보가 유출되면서 위치 기반 서비스의 보안에 비상이 걸렸다. 이들 서비스가 저장하고 있는 각종 개인정보를 이용하면 납치나 유괴 등 2차 범죄가 발생할 수 있지만 이들 업체의 보안 투자는 오히려 후퇴하고 있다. 여기어때를 해킹한 일당들이 개인 정보를 이용해 고객들에게 보낸 협박 문자 [제공=경찰청]

피해자들은 지난달 29일 서울중앙지방법원에 여기어때 측을 상대로 1인당 100만원씩 손해배상청구소송을 제기했다. 이들은 “해커가 탈취한 예약정보에는 숙박일수와 제휴점 위치, 객실명, 예약 일시, 휴대폰 번호나 입퇴실 가능시간 등 민감 정보가 고스란히 담겨 2차 피해가 우려되고 있다”고 우려했다.

문제는 숙박앱을 비롯해 우후죽순 늘어나는 위치기반 서비스들을 운영하는 개발 및 운영업체의 보안이 허술하다는 점이다. 여기어때 측을 해킹한 일당은 사이트 해킹에 자주 사용되는 SQL인젝션과 세션 하이재킹 방식을 사용했다. SQL인젝션은 데이터베이스에 접근하는 페이지의 백도어 등 취약점을 이용한 공격이며 세션 하이재킹은 관리자 등 정당한 사용자의 권한 정보를 가로채는 공격을 말한다. 보안에 신경썼더라면 예방할 수 있었다는 게 보안업계의 평가다. 여기어때 측은 사고가 터지고서야 부랴부랴 최고정보보호책임자(CISO)를 채용하기 위해 공고를 내고 별도 보안전문팀을 꾸린 것으로 알려졌다.

이들 서비스 대부분이 고객의 특성을 고려한 타겟마케팅을 하다보니 소비 행태룰 저장하고 있다. 개인 정보가 유출되면 범죄자가 특정인이 특정 시간에 특정 장소에 나타나는지 분석해 납치하거나 불륜 등 사생활 폭로 협박에 사용할 가능성을 배제할 수 었다. 실제로 포털 사이트에서 해킹된 정보로 신용정보 좋은 고객 명의로 비대면 신용카드 발급한 경우도 있다.

이상진 고려대정보보호대학원장은 “주민번호나 패스워드는 암호화된 해시값으로 저장하지만 구매 패턴 등은 평문으로 저장하는 경우가 많다. 들여다보기 전에는 알 수 없다”고 설명했다.

위치 기반 서비스는 담고 있는 개인정보가 방대하고 그 민감도도 높아 보안 투자가 필수적이지만 실상은 그렇지 않다. 실제로 한국인터넷진흥원(KISA)에 신고된 전체 개인정보 침해 건수는 2012년 76만3868건에서 10만8285건으로 급감했지만 기술적 관리적 조치 미비로 인한 개인정보누출이 차지하는 비율은 0.5%에서 2.5%로 폭증했다.

2016년 정보보호실태조사에 따르면 출판ㆍ영상ㆍ방송통신 및 정보서비스업계에서 개인정보보호 정책 수립률은 54.3%에서 39.2%로 되려 하락했다. 이들 업계에서 CISO를 임명한 비율은 32%로 금융보험업계의 절반에도 못 마친다. 정보보호를 위한 예산이 전혀 없다는 응답이 47.7%에 달했고 전체 예산중 1% 미만인 곳도 26.2%로 나타났다.

이 원장은 “보안은 매출과 연결되지 않기 떄문에 비용으로 생각해 불필요한 투자로 여기기 쉽다“고 지적했다.


why37@heraldcorp.com