해킹 수법이 갈수록 진화한다. KT 870만건 개인정보 유출사건의 범인들은 단기간에 걸쳐 대량의 개인정보를 유출시키던 기존 해킹방식과 달리 소량의 정보를 장기간동안 빼내는 방법을 사용했다.
해킹프로그램에 몰래 악성코드를 삽입, 구매자들이 유출한 개인정보까지 손쉽게 전송받아 취득한 것으로 드러났다. 이처럼 기업의 보안이 갈수록 교묘해지는 해킹수법을 따라가지 못하며 대형 개인정보유출사고가 언제든 발생할 수 있다는 사실을 감안하면 특단의 안전대책이 조속히 마련돼야한다는 지적이다.
◇진화하는 해킹 수법 대안 시급=29일 경찰의 발표에 따르면 KT 고객정보를 유출, 검거된 범인들은 텔레마케팅 업자로 KT 조회 시스템 속성을 잘 알고 있었다. 한꺼번에 많이 유출하지 않고 오랫동안 야금야금 빼냈기 때문에 발각이 어려웠다.
주범 최 씨는 자신이 개발한 해킹프로그램을 텔레마케팅 업체에 판매하면서 복사할 수 없도록 네트워크 인증을 받도록 설계했다. 구매자가 해킹프로그램으로 KT 고객정보를 조회·유출하면 고객정보가 네트워크를 통해 실시간으로 자신들의 서버로 전송되도록 악성코드를 설치했다.
최 씨 일당은 해킹프로그램 구매자가 빼낸 고객정보까지 고스란히 앉아서 받았다. 피의자 김 씨는 전 KT 직원으로 해킹프로그램을 분석, 네트워크 인증기능을 우회할 수 있도록 변조해 사용료를 내지 않고 KT 개인정보를 조회·유출해 텔레마케팅 사업에 악용했다.
◇내부자 통제 시스템 강화·2차 피해 주의해야=이번 사건과 관련해 해커 출신 이종호 루멘소프트 보안기술팀 연구원은 “한 개의 IP에서 트래픽이 몰리면 분산서비스거부(DDoS) 공격이나 해킹을 의심하지만 다량의 조회시스템에 분산된 조회는 보안관제에 걸리지 않는다는 점을 악용했다”며 “전 KT 고객이 연관되는 등 내부자에서 사고가 시작된 만큼 향후 내부자에 의한 통제를 강화해야할 것”이라고 말했다.
임종인 고려대학교 정보통신대학원 원장은 “KT 내부통제 시스템이 제대로 가동됐다면 870만건에 달하는 대형 고객정보 유출사고는 발생하지 않았을 것”이라며 “KT가 정보통신망법의 기술적·관리적 보호조치를 이행했는지 철저히 조사해야한다”고 말했다.
임 원장은 또 “기업들이 보안시스템 구축에 대규모로 투자를 하고도 인적 관리면에서 소흘하다”며 “시스템과 관리 인력에 대한 지속적인 점검이 시급하다”고 강조했다.
관련 전문가들은 유출된 정보에 주민등록번호, 휴대전화번호, 이름 등 주요 개인정보가 다수 포함되어 있는 만큼 이를 활용한 피싱 등 2차 피해의 가능성이 높다며 2차 피해를 입지 않도록 사용자 스스로 주의해줄 것을 당부했다.
장윤정기자 linda@etnews.com
