미인대회 우승자를 포함 여성 12명의 컴퓨터를 해킹해 누드사진을 빼돌린 남자가 결국 쇠고랑을 차게됐다. 지난 17일(현지시간) 미국 캘리포니아주(州) 오렌지 카운티 법원은 컴퓨터 전공 대학생 자레드 제임스 아브라햄(20)에게 징역 1년 6개월을 선고했다. 선정적인 내용으로 현지를 떠들썩하게 만든 이 사건은 지난해 8월 알려졌다. ‘미스 틴 USA’에서 우승한 캘리포니아 출신의 케시디 울프(19)가 누드사진 유포를 빌미로 한 남자에게 성상납 협박을 받았다며 경찰에 신고한 것. 사건 직후 방송에 출연한 울프는 “한 남자가 이메일로 내 누드 사진을 모두 가지고 있다고 말했다” 면서 “만약 특별한 퍼포먼스(성관계)를 해주지 않으면 사진을 일반에 공개하겠다고 협박했다”고 밝혔다. 울프의 인기와 맞물려 곧바로 사건의 파장은 커졌으며 미 연방수사국 FBI가 나서 지난해 9월 아브라햄은 체포됐다. 조사결과 아브라햄은 울프의 컴퓨터를 해킹한 후 웹캠으로 침실모습을 모두 촬영해 그녀의 누드사진을 손에 넣었으며 다른 피해 여성 역시 같은 수법을 사용했다. 현지언론에 따르면 재판에 나선 아브라햄은 피해 여성들에게 공식적으로 사과했으며 자폐증을 가진 것이 참작돼 형량이 대폭 줄었다. 나우뉴스부 nownews@seoul.co.kr

CJ대한통운 개인정보 유출 일파만파…검거 택배기사 수법은? 카드회사와 이동통신사에 이어 국내 최대 규모의 물류·택배회사인 CJ대한통운에서도 개인정보가 유출된 것으로 드러났다. 인천 삼산경찰서는 개인정보보호법 위반 혐의로 경기도 용인 모 심부름센터 업주 A(32)씨 등 센터 관계자 2명을 구속했다고 17일 밝혔다. 경찰은 또 CJ대한통운 택배기사 B씨(49) 등 8명도 같은 혐의로 불구속 입건했다. A씨는 지난해 9월부터 지난 2월까지 CJ대한통운 택배 배송정보조회 프로그램을 이용해 382차례에 걸쳐 고객 개인정보를 수집한 뒤 팔아 7138만원을 챙긴 혐의를 받고 있다. A씨는 손님들로부터 개인정보 조회 의뢰를 받으면 260만원을 주고 B씨에게서 받은 배송 정보조회 프로그램용 아이디와 비밀번호를 이용, CJ대한통운의 고객 정보를 유출한 것으로 드러났다. 경찰의 한 관계자는 “택배 배송정보조회 프로그램에는 이 회사의 택배 서비스를 이용한 고객들의 이름, 전화번호, 주소 등이 담겼다”며 “조회 시점으로부터 3개월 전까지만 정보를 볼 수 있는 시스템이었다”고 말했다. 경찰은 유출된 개인정보 규모를 파악하는 한편 CJ대한통운의 개인정보 담당자를 불러 조사한 뒤 업무상 관리 소홀 혐의가 인정되면 입건할 방침이다. CJ대한통운은 개인정보 유출 사태와 관련해 보도자료를 내고 “이 같은 일이 발생한 것에 대해 고객 여러분께 사과드린다”고 입장을 밝혔다. 회사 측은 “택배프로그램으로 택배를 접수한 고객이나 받는 사람의 주소와 전화번호를 개별 한 건씩만 검색할 수 있고 다운로드 기능이 없어 개인정보 대량유출 가능성은 없다”라며 “이번 건도 외부 해킹과는 무관하다”라고 해명했다. 이어 “택배프로그램이 설치된 현장 전반의 보안상황을 특별 점검했으며 개인정보보호 관련 택배직원 교육에 더욱 힘써 재발방지에 최선을 다하겠다”고 덧붙였다. 온라인뉴스부 iseoul@seoul.co.kr

최근 카드사와 이동통신사에서 고객 개인정보가 대량으로 유출돼 사회적 물의를 일으킨 가운데 일부 취업 포털 사이트도 개인정보 관리가 허술한 것으로 나타났다. 취업 포털 사이트에 구직자가 등록한 이력서가 제3자에게 쉽게 노출되는 등 허점이 많았다. 한국소비자원은 14일 사람인, 스카우트, 인쿠르트, 잡코리아, 커리어, 파인드잡 등 지난해 이용자 수가 많았던 6개 취업포털 사이트를 대상으로 실태를 조사한 결과 일부 사이트에서 이용자들의 이력서를 관리하는 데 문제가 있었다고 밝혔다. 이력서에는 이용자의 일반 정보뿐만 아니라 휴대전화 번호, 이메일 주소, 학력, 학점, 경력 등 민감한 정보가 포함돼 있다. 하지만 일부 사이트는 구직자가 올려 놓은 이력서를 다른 제휴 사이트와 공유하거나 이력서 일부를 일반 이용자들도 볼 수 있도록 했다. 실제로 소비자원이 6개 취업 포털 사이트를 대상으로 이용자들에게 만족도 조사를 실시한 결과 개인정보 보호제도에 대한 점수가 상대적으로 낮았다. 취업 포털 사이트에 대한 이용자들의 종합 만족도는 평균 3.38점(5점 만점)으로 나타났지만, 개인정보 보호에 대한 만족도는 3.30점에 그쳤다. 바이러스, 해킹 등 방어 기능에 대한 만족도는 3.23점으로 더 낮았다. 사이트별 개인정보 보호제도에 대한 만족도는 파인드잡이 3.18점으로 최하위였고 잡코리아 3.23점, 커리어 3.26점, 스카우트 3.34점, 사람인 3.37점, 인쿠르트 3.39점 등으로 나타났다. 소비자원은 취업 포털 사이트가 개인정보 보호를 위해 기술적, 정책적 조치를 취하도록 업계에 개선을 권고하기로 했다. 장은경 소비자원 서비스조사팀장은 “취업 포털 이용자들은 비밀번호를 주기적으로 바꾸고 사이트를 이용하지 않을 때는 등록한 이력서 등 문서를 바로 삭제하거나 비공개로 설정해야 개인정보를 안전하게 관리할 수 있다”고 말했다. 이번 소비자원의 조사 결과는 공정거래위원회가 운영하는 ‘스마트컨슈머’(www.smartconsumer.go.kr) 사이트에서 확인할 수 있다. 장은석 기자 esjang@seoul.co.kr

최소한 올 1월까지 SK브로드밴드의 고객 개인정보가 유출된 정황이 포착됐다. 개인정보 1230만건 유출 사건을 수사 중인 부산 남부경찰서는 유통업자 문모(44·구속)씨가 지난 1월 SK브로드밴드의 한 영업점 사이트의 아이디와 비밀번호를 중국인으로 추정되는 A씨와 주고받은 문자를 확보했다고 14일 밝혔다. 따라서 경찰은 최소한 지난 1월까지 이 영업점의 고객 정보가 유출됐을 가능성이 큰 것으로 파악하고 있다. 또 문씨가 SK브로드밴드의 고객 정보 15만건을 확보하고 이를 엑셀 파일을 통해 연령, 지역, 성별 등으로 가공한 뒤 권모(31)씨 등에게 팔아넘긴 것으로 경찰은 보고 있다. 이는 문씨 등이 ‘SK’라는 파일명으로 보관하고 있던 개인정보 150만여건 가운데 일부다. 경찰은 미래창조과학부와 한국인터넷진흥원 관계자 등 7명으로 합동 점검반을 편성해 SK브로드밴드의 해당 영업점 사이트 서버를 압수, 정확한 해킹 경로와 시기 등을 조사하고 있다. 해당 영업점이 2개월 단위로 고객 개인정보를 보관하고 수시로 비밀번호를 변경한다고 밝혔지만 유출된 개인정보가 무려 15만건에 달해 장기간 해킹됐을 가능성이 크다. 그러나 경찰은 LG유플러스와 KT 등 이동통신사들과 11개 금융기관, 여행사, 인터넷 쇼핑몰, 불법 도박 사이트 등에서는 어떤 경로를 통해 개인정보가 유출됐는지 아직 파악하지 못했다고 밝혔다. 이에 대해 SK브로드밴드 측은 “문제의 영업점으로 거론된 곳은 우리 회사와 계약을 맺은 영업점이 아니다”면서 “특정 업체만을 대상으로 영업하는 것은 아닌 것으로 알고 있다”고 말했다. 한편 지난 11일 부산 남부경찰서는 통신 3사 등에서 유출된 개인정보 1230만여건을 유통한 혐의로 문씨를 구속하고 이를 영업 등에 사용한 권씨 등 17명을 불구속 입건했다. 부산 김정한 기자 jhkim@seoul.co.kr

카드 3사의 개인정보 유출 사건을 계기로 개인정보보호 전반에 대한 사회적 인식이 바뀌는 단초가 마련된 것은 다행이다. 재탕, 삼탕이라는 비판도 없지 않지만 정부는 지난 10일 금융기관의 불필요한 정보 수집을 제한하는 내용 등을 담은 ‘금융분야 개인정보보호 종합대책’을 내놓고 재발 방지에 애쓰고 있다. 서울신문은 지난 2월 19일과 20일 ‘개인정보유출사고의 불편한 진실’이라는 기획 기사를 비롯해 수차례에 걸쳐 그동안 금융사의 정보책임자들이 보안 전문성이 턱없이 부족하고 금융당국의 금융사들에 대한 관련 처벌수위가 솜방망이에 그치고 있었다고 지적했다. 한마디로 아직까지 우리 사회에서는 개인정보보호라는 문화가 형성돼 있지 않다는 얘기다. 개인정보를 활용해 수익을 내고 있는 기업에서는 일부 전산부서나 담당직원의 일인 양 소홀히 다뤄 왔고, 국민들의 경우에도 쿠폰·경품지급, 제휴사 할인, 이벤트 행사에 무심코 개인정보를 적어 내는 등 개인정보에 대한 권리의식이 부족했던 것 또한 사실이다. 한편, 카드 3사의 개인정보 유출 사건의 여파가 채 가라앉기도 전에 최근 또다시 KT에서 1200만건, 소셜커머스 업체에서 110만건, 인터넷 사이트 225개를 해킹해 1700만건의 개인정보가 유출된 사건이 추가로 밝혀졌다. 이러한 일련의 개인정보 유출 사건은 국민들의 불안감을 증폭시켰고 기업의 책임성을 대폭 강화해야 한다는 목소리가 높아지고 있다. 다행히 이러한 문제의식 속에서 이제 개인정보보호 문제는 우리 사회 전반적으로 매우 중대한 전환점을 맞고 있다. 이번 카드사 정보유출 사건을 계기로 우리 사회가 많이 달라지고 있다. 정부는 지난 2월부터 총리실에 ‘범정부 개인정보보호 태스크포스’(TF)를 구성해 모든 공공기관과 민간사업자의 개인정보 처리 실태와 취약점의 일제점검에 나섰고, 국회에서도 50여개나 되는 개인정보보호 관련 법안이 상정돼 입법논의가 활발히 진행 중이다. 며칠 전 개인정보 유출 사실이 밝혀진 한 통신업체에서도 예전과는 많이 달라진 모습을 보였다. 기업의 최고경영자가 유례없이 신속하게 대국민 사과와 개인정보보호 대책을 내놓았다. 국민 또한 많이 달라졌다. 개인정보를 유출한 기업의 상품이나 서비스 해지, 피해보상을 요구하는 등 자신의 권리를 적극적으로 주장하고 있다. 개인정보보호에 대한 기업과 국민의 인식이 현저하게 변화되고 있는 것이다. 최근의 개인정보 유출 사건은 국민들의 권리 의식과 기업들의 윤리 의식을 확대시켜 개인정보보호가 우리 사회의 문화로 정착될 수 있는 중요한 계기가 되고 있다. 이러한 보호문화의 토대 위에서만 빅데이터 시대에 걸맞게 안전한 개인정보 이용이 뿌리내릴 수 있다. 다만, 이번 계기가 헛되지 않도록 한발 더 나아가야 한다. 정부는 사회 전반의 개인정보보호 실태와 문제점을 점검하고 법·제도적 정비를 신속하게 추진해야 한다. 기업들은 개인정보보호를 위한 비용이 기업의 생존과 관련된 중요한 투자임을 인식하고 최고경영자로부터 말단직원에 이르기까지 전사적인 노력을 경주해야 한다. 아울러 국민들도 자기정보에 대한 권리 의식을 갖고 개인정보 제공 동의서들을 꼼꼼히 읽어보고 불합리한 개인정보 제공 요구에 대해서는 거부할 수 있어야 한다. 서울신문은 정부가 내놓은 정책들이 제대로 이행되고 있는지, 허점은 없는지 추적 보도해 이번 대책이 일회성에 그치지 않도록 깐깐한 감시자 역할을 해야 한다.

정부가 10일 발표한 ‘금융 분야 개인정보 유출 재발방지 종합대책’이 재탕, 삼탕 수준이라는 지적이 나온다. 여기다 상당수 대책들이 신용정보법 등 관련법 개정을 통해 이뤄지는 만큼 실제로 시행되려면 상당한 시일이 걸릴 뿐 아니라 국회 여야 의견이 엇갈려 실효성에도 의문이 제기된다. 다만 본인 정보의 금융사 이용 현황을 확인할 수 있고, 이를 철회할 수 있는 ‘자기 정보 결정권’을 보장해 주는 내용은 눈에 띈다. 금융당국은 지난주 예정된 대책 발표가 또 일주일 미뤄졌던 이유에 대해 해킹방지 대책과 주민등록번호 대체 방안을 담기 위한 것이라고 밝혔다. 하지만 크게 진전된 내용은 없었다. 해킹방지 대책으로는 고유식별정보의 암호화 추진과 내·외부 망분리 방안을 제시했지만, 이 내용들은 해킹 사고 때마다 나왔던 ‘단골 대책’이다. 이해선 금융위원회 중소서민금융정책관은 “부처 간 협의를 완료해 하자고 해서 미뤄진 것”이라고 해명했다. 일각에서는 지난주 KT 해킹 사고를 고려해 일정을 연기한 것이라는 해석도 있다. 금융소비자보호원 설치를 놓고 금융위 조직 개편으로까지 전선을 확대한 여야 관계를 감안하면 이번 대책이 제때 실행될 수 있을지도 미지수다. 신용정보법 개정안은 지난달 여야 합의 실패로 통과가 불발됐다. 여야 간 요구 조건을 받아들이거나, 철회하지 않는다면 다음 달 국회 통과도 쉽지 않은 형국이다. 금융위 관계자는 “다음 달 국회 통과가 안 되면 ‘모범 규준’(업계 자율 규약)을 만들어서라도 추진하겠다”고 말했다. 주민등록번호 암호화, 정보보호와 보안 책임 강화, 보관 정보의 5년 내 파기 등은 사고 때마다 등장하는 ‘약방에 감초’ 같은 대책들이다. 이를 어긴 금융사를 제재하지 않는 금융당국이 더 큰 문제라는 지적이 나온다. 그러나 지난 1월과 달리 이번 대책에 자기 정보 결정권이 추가된 대목은 주목된다. 금융사가 자신의 정보를 어떻게 이용하고, 보호하고 있는지를 확인할 수 있는 권리다. 내키지 않는다면 기존에 동의했던 정보 제공을 철회할 수 있고, 거래가 끝난 이후 금융사가 보유한 자신의 정보에 대해 파기 등을 요구할 수 있다. 특히 명의도용 피해 방지를 위해 신용 조회를 일정 기간(1일) 중지할 수도 있다. 김승주 고려대 정보보호대학원 교수는 “정보 보관 기간을 5년으로 제한하거나 주민등록번호를 내·외부망에서 암호화하는 예방책은 이미 거론됐거나 시행하고 있는 내용”이라고 말했다. 은행계 카드사 관계자는 “고객 동의하에 정보를 활용하되 보안을 강화하는 식으로 가야 하는데 이번 대책은 일단 손발을 묶고 보는 식이어서 안타깝다”고 말했다. 시중은행의 한 관계자는 “정부대책을 따라야 하겠지만, 고객 정보 보유 기간을 5년으로 제한하는 것은 은행법에 명시된 ‘10년 정보 보유 규정’과 달라 혼란스럽다”고 말했다. 김경두 기자 golders@seoul.co.kr 윤샘이나 기자 sam@seoul.co.kr

카드사 개인정보 유출 사고의 충격이 채 가시기도 전에 KT 홈페이지가 초보 해커에게 어이없이 뚫렸다. 보안 사고가 잇따르자 업계는 물론 개인 사용자들도 언제 누구에게 어떻게 당할지 모르는 해킹 위협에 잔뜩 긴장하는 모양새다. PC와 모바일은 물론 삶 전반에 디지털 기기가 녹아들면서 생활 속 보안 위협도 점점 커지고 있다. 디지털 시대 정보의 창과 방패가 된 해킹의 역사를 들여다보고 올해 기승할 것으로 예상되는 해킹 방식과 예방 방법도 함께 짚어봤다. 해킹이 1960년대 미국 대학생들의 호기심에서 시작됐다는 사실을 아는 이들은 많지 않다. 정보가 돈인 시대에서 해킹은 이미 하나의 범죄 유형, 수단으로 자리 잡았기 때문이다. 해킹의 시초는 미 메사추세츠 공과대학(MIT) 동아리 모임이 야밤에 학교 건물에 몰래 들어가, 컴퓨터 시스템을 사용했던 1960년대로 올라간다. 이때는 남의 자료를 재미 삼아 훔쳐보거나 비밀번호를 바꿔 골탕먹이는 게 대부분이었다. 국내에서는 1996년 4월 카이스트 해킹 동아리가 포항공대 전자공학과 전산시스템을 공격하면서 해킹 이슈가 떴다. 이들은 전산시스템에 올라온 자료를 모두 삭제하고 아예 비밀번호를 바꿔버렸다. 조사 결과 포항공대 해킹 동아리와 라이벌이었던 카이스트 동아리가 앞서 뚫린 카이스트 시스템에 대한 범인을 포항공대 동아리로 지목, 보복 공격을 한 것으로 드러났다. 일종의 자존심 싸움이었던 셈이다. 그러나 초창기 해킹과 달리 해킹은 허가받지 않은 시스템에 침투해 정보를 훔치는 부정적인 의미가 더 커졌다. 때문에 악의 여부에 따라 단어를 구분해 사용해야 한다는 목소리도 있다. 보안의 취약점을 찾아 내기 위한 시스템 침투 행위에는 ‘해킹’이란 단어를 그대로 쓰되, 범죄 등 악의적 침투 행위에는 ‘크래킹’이라는 단어를 쓰자는 주장이다. 그렇다면 악의적인 크래킹 공격을 효과적으로 막기 위해서는 어떻게 해야 할까. 체코의 보안업체인 ‘AVG테크놀로지’는 올해 주의해야 할 보안위협으로 ‘랜섬웨어’(Ransomware)와 ‘스캠’(scams) 등을 꼽았다. 랜섬웨어는 PC 파일을 열지 못하도록 하는 악성코드로 모든 정보에 암호를 건 뒤 크래커가 해독키를 조건으로 돈을 요구하는 방식이다. 스캠은 신용사기로 이메일을 해킹해 거래처 등에 ‘계좌가 변경됐다’는 식으로 메일을 보내 돈을 보내게 하는 일종의 해킹과 피싱의 결합 버전이다. 보안 전문가들은 “이제 기업뿐만 아니라 개인 사용자 모두가 해커의 대상”이라면서 “의심 가는 이메일을 열어보지 말고 평소 백신을 최신으로 깔아놓고 데이터를 백업해 두는 습관을 가져야 한다”고 조언했다. PC뿐만 아니라 스마트폰에서도 마찬가지다. 보안업계에서는 특히 올해 안드로이드 운영체제(OS)의 보안 위협이 크게 증가할 것으로 전망했다. 안랩에 따르면 지난해 안드로이드 OS에서 발생한 악성코드는 2012년에 비해 60% 이상 증가했고 현재까지 꾸준히 증가 추세다. 지난해 접수된 보안 문제를 유형별로 들여다보면 전화나 문자 가로채기, 기타 악성코드 다운로드, 원격 조종 등을 목적으로 하는 트로이목마가 전체의 54%를 차지한다. 안랩 관계자는 10일 “모바일에서는 문자나 메일 등으로 전송된 인터넷 주소를 클릭하거나 특정 페이지에서 요구하는 애플리케이션(앱)을 설치할 때 주의해야 한다”면서 “특히 새로운 앱은 일주일 이상 사용자의 평을 지켜본 후 설치하는 것이 좋다”고 조언했다. 명희진 기자 mhj46@seoul.co.kr

박근혜 대통령은 10일 규제 개혁에 대해 “쓸데 없는 규제는 우리가 쳐부술 원수, 제거하지 않으면 우리 몸이 죽는다는 암덩어리로 생각하고 겉핥기식이 아니라 확확 들어내는 데에 모든 역량을 집중했으면 한다”고 밝혔다. 박 대통령은 이날 수석비서관 회의 마무리 발언을 통해 “이번에 규제(개혁)에 대해서는 비상한 각오를 해야 된다고 생각한다”며 이같이 말했다. 이어 “우리 경제가 혁신해서 정말 성장이 멈추지 않게 하려면 쓸데없는 규제는 우리의 원수라고 생각하고, 우리 몸을 자꾸 죽여 가는 암덩어리라고 생각해서 적극적으로 들어내는 데에 온 힘을 기울여야만 경제혁신이 이루어지지 웬만한 각오 갖고는 규제가 혁파되지 않을 거라 생각한다”고 강조했다. 박 대통령은 최근 KT의 해킹 사태를 겨냥한 듯 “정보기술(IT) 강국이라면서 그렇게 많은 국민이 이용을 하면 그만큼 정보 보호를 위한 보안에 투자를 해야 되는데 투자를 너무 안 했다”고 지적했다. 이어 “간단한 해킹에도 다 뚫린다는 것은 말이 안 된다”면서 “어떻게 보안에 대해서 투자도 안 하고 보안이 지켜지길 바라느냐”고 강조했다. 박 대통령은 평창 동계올림픽에 대해서도 “평창이 빚더미에 앉으면 안 되지 않느냐”면서 “어떤 스포츠 명소 등으로 나중에 시설들을 활용한다든지 해서 그 지역이 뭔가 활성화되고 또 빚더미에 앉지 않고 미래를 바라볼 수 있게끔 하는 것도 굉장히 중요한 과제라고 생각한다”고 제안했다. 이어 비인기 종목 육성에 대해 “우리 국민의 DNA 속에 썰매를 잘 타는 그 DNA가 있다고 그런다”면서 “체육공정성위원회는 활동을 제대로 해서 다시는 체육계에 사기 떨어지는 그런 일이 나오지 않도록 이번 기회를 잘 활용했으면 한다”고 했다. 온라인뉴스부 iseoul@seoul.co.kr

국가 행정사무를 다루는 공무원이 앞으로 시간과 장소에 구애받지 않고 공문을 확인하고 즉시 결재할 수 있을 것으로 보인다. 공무원의 재택근무를 위한 발판이 마련되는 셈이다. 안전행정부는 스마트폰이나 태블릿PC 등을 이용해 이동 중에도 공문에 결재하고 전송할 수 있는 전자결재 사업을 올해 안에 추진해 ‘전자정부’ 구현 수준을 한 단계 끌어올릴 계획이라고 10일 밝혔다. 이를 위해 예산 3억원을 들여 기존의 행정기관 업무용 애플리케이션(앱)에 모바일 결재 기능 등을 추가해 중앙부처를 포함한 행정기관 154곳에 보급하기로 했다. 이 앱은 ‘온나라시스템’(정부 업무처리 전산화 시스템)을 도입한 일부 지방자치단체에서도 이용할 수 있다. 공무원들은 현재 사무실에 있는 PC 기반의 업무처리 시스템을 통해서만 전자결재와 문서 유통을 포함한 모든 공무 수행이 가능하다. 안행부는 스마트 시대를 맞아 2012년에 모바일용 업무 포털 ‘하모니’를 구축했으나 직원 검색이나 일정 관리, 메모 보고 등 보안등급이 낮은 공무에만 이용하고 있을 뿐이다. 하모니와 비슷한 행정기관용 업무 포털은 국토교통부, 산업통상자원부, 산림청 등 행정기관 13곳에서도 별도로 운영되고 있다. 전자인사관리시스템 e사람에는 결재 기능이 있긴 하지만 이마저도 휴가 신청이나 출장 보고 등 복무 관련 사항에만 해당한다. 안행부 관계자는 “현재로서는 이동 중에 공문을 확인하는 방법이란 사무실에 있는 직원이 PC에서 공문 자체를 사진으로 찍어 이동 중인 직원에게 이미지 파일을 전송하는 것뿐”이라면서 “하지만 무선통신망 해킹 위험이 있기 때문에 이는 보안 규정 위반”이라고 말했다. 안행부는 이와 함께 예산 8500만원을 들여 서로 다른 행정기관에서 근무하는 공무원들끼리 자유롭게 소통할 수 있도록 공용 메신저인 ‘공무원 소셜네트워크서비스(SNS)’ 공간도 운영할 계획이다. 민간용 카카오톡과 같은 공무원 SNS는 일반 인터넷망이 아닌 정부통합전산센터 서버 통신망을 이용한다. 상반기에 안행부 내부에서 시범 운영한 뒤 하반기에 다른 중앙행정기관에도 보급할 계획이다. 다만 해킹이 가능한 무선통신망을 이용해 국가 문서를 처리하는 만큼 전송 대상이 되는 전자문서를 ‘원문공개 대상’ 공문으로 제한하고, 해킹과 악성코드 감염을 방지할 수 있는 보안 시스템을 구축하기로 했다. 안행부 관계자는 “국정과제 중 하나인 정부3.0의 적극적 실현과 함께 세종청사에 입주한 행정기관의 간부들이 서울 출장길에서도 문서 확인이나 결재가 가능하다는 데 의미가 있다”고 말했다. 반면 세종청사의 한 사무관은 “중요한 안건은 결재권자가 업무 보고 자리에서 공문을 작성한 사람에게서 직접 설명을 듣고 천천히 검토해야 하는데 스마트폰 사용으로 몰입도가 떨어지고 날림 처리가 될 수도 있다”고 말했다. 오세진 기자 5sjin@seoul.co.kr

한국공인중개사협회 홈페이지 해킹 사건을 수사 중인 경찰이 협회의 부동산 거래 관련 정보가 외부로 유출되지는 않은 것으로 확인했다. 경찰청 사이버안전국은 지난달 17일 발생한 공인중개사협회 홈페이지 해킹 사건을 수사한 결과 홈페이지가 해킹돼 악성코드가 설치된 것은 맞지만 악성코드가 작동하지는 못해 정보 유출 등 추가 피해는 발생하지 않았다고 9일 밝혔다. 지난달 협회 홈페이지가 해킹당한 사실이 알려지자 일각에서는 “홈페이지와 연결된 부동산거래정보망 ‘탱크21’의 데이터베이스(DB) 서버에서 부동산거래 관련 정보 597만건이 유출됐을 수 있다”는 우려가 제기됐었다. 경찰 관계자는 “해커가 부동산 거래 DB에서 정보를 빼내려면 악성코드를 외부에서 조종해야 하는데 조작에 실패한 것으로 보인다”고 말했다. 악성코드는 지난해 11월 8일 중국에 있는 IP 주소에서 협회 홈페이지에 전송돼 설치된 것으로 파악됐다. 경찰은 홈페이지 외 협회의 전산망 서버와 보안시스템에 대한 전수조사를 벌였지만 다른 경로로 부동산 거래 DB가 유출된 흔적은 찾지 못했다. 또 조사 과정에서 협회가 DB의 주민등록번호 등을 암호화하지 않은 사실을 적발해 국토교통부와 미래창조과학부 등에 통보해 보완 조치를 하도록 했다. 유대근 기자 dynamic@seoul.co.kr

국가 기간통신사업자인 KT에서 1200만명의 개인정보를 도둑맞는 사고가 터졌다. KT의 서비스 이용 고객이 1600만명이라니 400만명만 남기고 다 털린 것이다. 그럼에도 KT는 이 사실을 1년 동안 까마득히 모르고 있었다고 한다. 최고 통신업체의 구멍 난 정보관리 체계도 그렇거니와 초보 수준의 해킹에 당했다는 사실에 허탈함으로 말문이 막힐 지경이다. 한 달여 전인 1월에 카드3사에서 1억 400만건의 개인정보가 유출된 터라 언제쯤 유사 사고가 멈출까 하는 불안감도 지울 수 없다. 사고에 이용된 수법은 아주 단순했다. 구속된 해커 김모(29)씨는 인터넷에서 쉽게 구할 수 있는 ‘파로스’라는 프로그램을 이용, 한 개의 인터넷주소(IP)로 접속한 뒤 9자리의 ‘고객 고유번호’를 무작위로 입력시켜 주민등록번호, 은행 계좌번호 등을 야금야금 빼돌렸다. 이 방법은 일반인도 가능한 초보 수준이다. 성공률이 높은 날은 20만~30만건도 가능했다고 한다. 그는 공모한 텔레마케팅 업체 대표와 함께 이들 정보를 휴대전화 판매 영업에 활용했고, 400만건은 대리점 3곳에다 팔아 115억원 이득을 챙겼다. “여러 곳을 시도했는데 KT에만 통했다”는 그의 말은 KT의 개인정보 관리의 현주소를 여실히 보여주고 있다. KT는 2012년 7월 전산망의 해킹으로 873만건의 개인정보가 유출됐을 때 세계 최고수준의 보안 인프라를 갖추겠다고 약속했다. 물론 이번 사고는 고객이 이용하는 관리센터의 홈페이지를 해킹한 것으로, 2년 전 내부적으로 관리하는 대리점 영업부문 시스템을 접속해 개인정보를 빼내간 것과 중요도는 다르다. 고객들이 이용한 요금 조회를 손쉽게 하려고 접근 편의성을 고려했을 수도 있다. 하지만 동종 업체인 SK텔레콤과 LG유플러스에서는 입력한 고객번호가 반복해 틀리면 접속을 차단하는 시스템을 갖추고 있다고 한다. 대부분의 기업도 이런 잠금기능이 작동되는 체계를 갖고 있다. 이는 KT가 잇따른 유출 사고에도 불구하고 개인정보 관리를 전사적으로 하지 않았다는 것을 뜻한다. 개인정보 유출 사고는 해당 기업의 잘못이 크지만 법적·제도적 허점에서 비롯된 측면도 있다. 현재 개인정보 유출을 막기 위한 ‘정보통신망법’ 개정안과 보이스피싱·스미싱과 관련한 ‘전기통신사업법’ 개정안이 국회에 계류돼 있다. 지난 2월 국회에서 방송법 이견으로 통과되지 못했다. 정보통신망법에는 손해배상제도의 도입과 과징금 강화 등의 내용이 담겨 있다. 또한 정부는 곧 카드사의 정보 유출과 관련해 개인정보보호 종합대책을 발표한다. 지난달 금융위원회가 발표한 금융사에 매출액의 1%를 징벌적 과징금으로 부과하는 등의 내용이 담길 것으로 보인다. 이들 내용은 ‘신용정보법’ 개정안 등에 포함된다. 개인정보 유출로 인한 피해는 고객이 고스란히 입는다. 배상금을 정부가 가져가는 구조는 잘못됐다. 징벌적 과징금 부과와는 별개로 민사소송 절차 없이 피해 고객이 직접 배상을 받을 수 있게 해야 한다. 끊임없는 정보 유출 사고로 피해고객이 참을 수 있는 한도를 넘어선 상태다. 당연히 정보 유출 당사자인 KT에는 엄정한 책임이 뒤따라야 한다. 하지만 피해 당사자가 뛰어다니며 소송에 임하는 구조는 더 이상 안 된다. 고객이 KT에 배상 책임을 물을 수 있는 법적· 제도적 장치가 속히 도입돼야 한다.

“수사 발표 당일 4시간 전까지도 KT에서는 (정보 유출 사실을) 전혀 몰랐어요.” KT 고객정보 유출 사건을 수사 중인 한 경찰은 7일 KT의 허술한 대처를 두고 혀를 내둘렀다. 그는 “우리가 6일 오전 직접 방문해 유출 사실을 전해줄 때까지 KT는 뜬 눈으로 1200만명의 고객 정보를 흘렸다”면서 “국내 최대 통신사의 보안이 이렇게 쉽게 뚫릴 수 있는지 범인의 해킹 방법을 눈으로 보고도 황당했다”고 말했다. 인천지방경찰청 광역수사대가 해당 사건을 인지한 건 지난 2월 1일. 수사는 ‘해커가 개인정보를 빼내 텔레마케팅 장사를 한다’는 첩보에서 시작됐다. 탐문 수사 끝에 경찰이 영장을 받아 해커 김모(29)씨의 사무실을 압수수색하기까지 걸린 시간은 2주. 경찰은 김씨가 빼낸 정보가 KT 고객정보라는 사실을 그 이후 알았다. 김씨는 경찰 조사에서 약 한 달간 독학해서 해킹 프로그램을 만들었다고 말했다. 해커의 능력을 떠나 KT의 보안 시스템이 얼마나 취약했는지를 단적으로 보여주는 대목이다. 김씨는 “개인정보를 해킹해 돈을 벌려 했다”면서 “(만든 프로그램으로) 여기저기 시도했는데 KT만 뚫렸다”고 진술했다. 김씨가 시연한 해킹 방법은 단순했다. 김씨는 먼저 KT 홈페이지에 무작위로 만들어진 9자리 숫자를 입력하는 프로그램을 돌렸다. 9자리 고유번호가 맞아떨어지면 개인정보가 뜨는 KT의 고객정보 관리 시스템의 허점을 파고들었다. 보안이 철저한 곳은 본인 인증 서비스를 한번 더 이용하게끔 돼 있다. 김씨는 이때 2000년대 유행했던 해킹 툴인 ‘파로스 프로그램’을 이용했다. 파로스는 인터넷에서 누구나 공짜로 다운받을 수 있는데 PC와 서버 간에 오고 가는 정보를 중간에 가로챌 수 있다. 김씨는 고유번호가 맞아떨어졌을 때 파로스로 KT 메인 서버가 보내는 개인정보를 수집했다. 이름, 주민번호, 휴대전화번호, 이용대금, 계좌번호, 카드사, 잔여 가입비 등 암호화되지 않은 13개 항목의 정보가 그대로 잡혔다. 정보통신보안법에 따르면 서버상의 모든 개인정보는 암호화 준칙을 준수하도록 돼 있다. 서버 간 정보를 보낼 때도, 심지어 본인이 개인정보를 조회하려 해도 일부 개인정보는 ‘*’ 표시로 가리도록 권장한다. 전화번호가 ‘2000-0000’이라면 ‘20**-00**’식으로 표시돼야 한다는 소리다. 경찰이 KT 보안 담당자를 사법처리하려는 이유가 여기에 있다. 김씨가 가로챈 정보가 전혀 암호화되지 않았다는 건 KT 홈페이지의 보안이 뚫린 게 아니라 뚫려 있었다는 얘기가 된다. 해킹에 대한 기초적인 지식만 있으면 누구나 개인정보를 빼갈 수 있는 빌미를 제공한 셈이다. 이에 경찰도 다음 주초 KT 보안 관계자들을 불러 허술한 홈페이지 보안 시스템과 관리 소홀 여부를 집중 추궁할 계획이다. 한 수사관은 “만약 암호화 준칙을 제대로 지키지 않은 것이 확인된다면 보안 관리자뿐만 아니라 필요에 따라 홈페이지를 만든 업체까지 불러 조사할 수 있다”고 말했다. 이 관계자는 “해커가 하루 종일 9자리 숫자를 집어넣는데도 KT가 이를 눈치채지 못한 것이 이해가 되지 않는다”면서 “번호 입력자가 고유번호의 원래 주인이 맞는지 휴대전화 인증이나 아이핀 인증 절차를 두는 게 보안의 기본”이라고 덧붙였다. 명희진 기자 mhj46@seoul.co.kr

15년 경력의 해커 서종식(34·가명)씨는 KT의 고객 정보 유출이 알려진 6일 KT 홈페이지(www.olleh.com)에 들어가 본 뒤 “이게 대기업 홈피가 맞나 할 정도로 기가 막혔다”고 말했다. 기자와 7일 만난 그는 “온통 난리가 났길래 6일 오후 3시쯤 인터넷에서 기사를 확인하고 2시간 뒤 올레닷컴에 접속했는데도 여전히 무방비였다”고 혀를 찼다. 아이디와 패스워드를 입력(1차 확인)한 뒤 자신의 고객 번호 가운데 앞뒤 번호만 입력(2차 확인)해도 쉽게 다른 사람의 정보를 확인할 수 있었다는 것이다. 가입 요금제, 부가서비스, 미납 요금, 단말기 할부금, 단말기 구입일 등의 통신 관련 정보뿐 아니라 주민등록번호, 카드사, 카드 번호, 카드 유효기간, 스마트폰 모델, 스마트폰 일련번호, 집주소 등의 순수 개인 정보까지 무궁무진했다. 10여분간 별다른 해킹 프로그램의 도움 없이도 20여명의 정보를 취합할 수 있었다. 그는 “수법 자체는 초등학생도 할 수 있는 초보적인 수준이었다”며 “뒷문을 훤히 열어놓은 꼴”이라고 말했다. 서씨는 특히 이번 사건의 패턴이 2012년 7월 KT 고객 정보 880만건이 유출됐을 때와 해킹 방식이 동일하다고 분석했다. 그는 “아이디, 패스워드와 고객 번호만으로 개인 정보에 접근하는 방식을 이용한 수법이라는 점에서 두 건은 같다”고 말했다. 유치원생 놀이터 수준의 시스템이라는 게 서씨의 결론이다. 이와 관련해 황창규 KT 회장은 이날 서울 광화문 KT사옥에서 “KT 전 임직원을 대표해 머리 숙여 사죄드린다”고 대국민 사과를 했다. 김양진 기자 ky0295@seoul.co.kr 명희진 기자 mhj46@seoul.co.kr

소셜커머스 티켓몬스터에서도 대규모 개인정보 유출이 있었던 것으로 확인됐다. 티켓몬스터는 2011년 해킹에 의해 회원 113만명의 개인정보가 유출된 사실을 확인했다고 7일 밝혔다. 티켓몬스터에서 유출된 개인정보는 회원의 이름과 아이디, 성별, 생년월일, 전화번호 등이다. 주민등록번호와 패스워드 등은 암호화돼 있어 추가적인 피해로부터 안전하다고 티켓몬스터 측은 설명했다. 티몬은 다른 사건을 수사 중이던 경찰로부터 2011년 4월 발생한 것으로 추정되는 해킹에 의해 티몬 고객의 개인정보가 유출된 사실을 전달받았다고 밝혔다. 회사 측은 개인정보가 유출되고도 3년간 이 사실을 알지 못하고 있었다. 해당 사건을 저지른 해커는 현재 구속돼 경찰 수사를 받고 있으며, 티몬은 사건을 경찰로부터 통보받은 후 방송통신위원회 신고 및 고객 공지 등 법적 절차를 완료했다고 말했다. 이에 대해 티몬은 “공식 사과와 함께 경찰 수사에 적극적으로 협조해 유출경위를 파악하고 고객 피해 최소화 및 향후 개인정보 보호에 최선을 다하겠다”고 밝혔다. 신현성 티켓몬스터 대표는 “믿어 주셨던 고객 분들께 실망과 불편을 드리게 되어 진심으로 죄송하고 머리 숙여 사과 드린다”고 말했다. 신현성 대표는 “고객 정보를 안전하게 보호하기 위해 최선의 노력을 기울여 왔지만, 보안에 있어서는 누구도 안심할 수 없다는 큰 깨달음을 얻었고 앞으로 수사에 적극적으로 협조해 추가로 발생할 수 있는 사고에 대비할 것”이라고 덧붙였다. 한편 티켓몬스터 측이 경찰로부터 지난 5일 유출 사실을 전달받고도 금요일 오후 늦게서야 언론에 관련 사실을 공표해 사건의 파장을 축소하기 위한 의도가 아니냐는 의혹도 제기되고 있다. 이와 관련해 티켓몬스터 측은 “5일 오후 늦게 유출 사실을 알았고 방통위에 신고하기 위한 준비 및 법적 자문, 고객 피해확인을 위한 프로그램 개발 등에 시간이 필요했다”면서 “최대한 빠르게 피해사실을 알린 것”이라고 말했다. 티몬 고객정보 유출에 네티즌들은 “티몬 고객정보 유출, 대체 유출 안된 곳은 어디지?”, “티몬 고객정보 유출, 주민등록번호와 비밀번호 유출 안된 건 다행이지만 이게 무슨 난리”, “티몬 고객정보 유출, 3년간 몰랐다는 게 말이 되나” 등의 반응을 보였다. 온라인뉴스부 iseoul@seoul.co.kr

거래소 파산과 해킹 등 온라인 가상화폐인 비트코인의 부작용 사례가 최근 확산되고 있는 가운데 창시자로 알려진 ‘나카모토 사토시’라는 인물에 대한 보도가 나오며 진위 논란이 불거졌다. 지금까지 비트코인 창시자는 이름만 알려졌을 뿐 신원은 베일에 싸여 있어 취재 경쟁이 이어져 왔다. 미국 시사주간지 뉴스위크는 6일(현지시간) 종이판 복간호 머리기사에서 캘리포니아주 로스앤젤레스 교외에 거주하는 65세 일본계 미국인 물리학자 도리언 S. 나카모토가 비트코인 창시자라고 보도했다. 뉴스위크에 따르면 그는 일본에서 태어난 뒤 미국으로 이주해 캘리포니아 폴리테크닉 대학에서 물리학을 전공했다. 졸업 후 이름을 나카모토 사토시에서 현재 이름으로 바꿨다. 연방항공국에서 소프트웨어 전문가로 근무했으며, 퇴직 후 취미 생활로 모형열차를 만들며 평범한 생활을 보내고 있다. 뉴스위크는 기차 모형을 구입한 회사에서 이메일 주소를 얻어 나카모토와 이야기를 나눴으며, 이후 직접 만나 비트코인에 대해 물어보자 “더 이상 그것에 관여하지 않고 있고, 그에 관해 말할 수 없다. 다른 사람(비트코인 핵심 개발자, 재단)에게 넘겼고 그들이 관리하고 있다”고 말했다고 보도했다. 뉴스위크는 또 나카모토의 형제 중 한 명이 “그는 매우 영민하며 집중력이 높고 컴퓨터나 엔지니어링에도 일가견이 있다”면서 “충분히 비트코인을 개발했을 법하지만 호락호락한 성격이 아니라서 만나기 어려울 것이고 비트코인에 대한 것도 절대 인정하지 않을 것”이라는 말에 확신을 얻었다고 전했다. 하지만 이에 대해 당사자가 사실이 아니라고 부인하면서 곧바로 진위 논란이 제기됐다. 집 앞에 취재진이 몰려들고 확인 전화가 빗발치자 나카모토는 AP통신에 “뉴스위크가 내 말을 오역했다”며 “군에서 근무한 경력 등 기사 대부분은 맞지만 비트코인과는 아무런 관계가 없다”고 말했다. 그러나 뉴스위크는 “우리 대화의 맥락과, 그가 비트코인과의 관계를 시인한 사실에는 아무런 혼선이 없었다”며 기사를 철회하지 않겠다는 뜻을 밝혔다. 백민경 기자 white@seoul.co.kr

이번 KT의 고객 정보 유출 사건은 해커가 이동통신 3사를 비롯해 이곳저곳 다 돌아다녔는데 유독 KT만 뚫렸다는 데 심각한 문제가 있다. 그렇다면 다른 데는 멀쩡한데 왜 KT만 뚫렸을까. 이는 SK텔레콤이나 LG유플러스 등 다른 이통사와 달리 보호해야 할 고객 개인 정보 전체 데이터를 별도의 전산 서버가 아닌 해킹이 쉬운 회사 홈페이지 서버에 보관했기 때문이다. KT가 ‘보안 빵점’이라고 지적받는 이유다. SKT와 LGU+는 고객 정보 홈페이지에서 아이디와 패스워드를 넣고 로그인을 하면 본 서버에 있는 데이터 중 당사자와 관련된 데이터만 링크되도록 했다. 하지만 KT 올레닷컴에 로그인을 하면 다른 모든 고객의 개인 정보까지 통째로 링크된다. 또 로그인 이후 개인 정보에 접근하려면 SKT나 LGU+에서는 문자나 전화, 공인인증서 등을 통해 2차 신분 확인을 거쳐야 하지만 KT는 그런 절차를 생략했다. 고객 번호 9자리만 넣고 돌리면 곧바로 개인 정보를 확인할 수 있도록 했다. 고객 번호를 실수로 잘못 입력하면 다른 고객의 정보를 볼 수 있을 정도로 시스템 보안이 취약했던 것으로 드러났다. 특히 KT는 고객 정보를 입력할 때 데이터 필드 마스킹 등의 기본적인 보호장치도 활용하지 않은 것으로 확인됐다. 데이터 필드 마스킹은 특수문자를 이용해 자신이 입력하는 문자나 숫자가 안 보이도록 하는 장치다. 보안 전문가들은 “홈페이지 서버는 시스템적으로 해커를 100% 막기는 어렵다”고 말한다. 그렇게 때문에 고객 개인 정보는 전산시스템에 별도로 보관한다. 홈페이지는 단순히 인증을 위한 형태로만 운영하고 있다. 전산시스템에 접속해도 인증한 것만 고객 정보 열람이 가능하기 때문에 한꺼번에 빠져나가는 일은 거의 없다. 더구나 2년 전 고객 정보 유출 사고 뒤 KT 표현명 사장이 “최고의 보안시스템을 구축하겠다”고 했으나 구두 선에서 그쳤다. 이 부분에 대한 수사가 이뤄져야 할 것으로 보인다. 정상적인 회사라면, 더더욱 당시 사고가 발생했던 KT 측이라면 보안정책팀이 실질적으로 허술한 부분을 모를 리 없었을 것이라는 게 업계의 진단이다. ‘어느 부분에 문제가 있는지’ ‘어느 정도 수준인지’를 재점검해 보안이 뚫리지 않도록 변경했어야 했다. 이는 말로만 했지, 실행은 안 했다는 근거가 된다. 특히 해커가 1년 동안 고객 정보를 빼내 가는데도 트래픽 체크가 안 됐다는 점은 보안 수준 문제를 넘어 황당하기 짝이 없는 일이다. 해커가 들어오면 시스템적으로 바로 인지해야 한다. 그래야 자체 조사를 하든 수사를 의뢰하든 할 수 있다. SKT나 LGU+의 경우엔 한 사람이 여러 명의 정보를 확인하면 보안담당자에게 경고가 전달되도록 시스템이 설계돼 있다. 김양진 기자 ky0295@seoul.co.kr

소셜커머스 업체 티켓몬스터의 일부 회원 개인 정보가 유출된 사실이 뒤늦게 확인됐다. 티켓몬스터는 최근 인천지방경찰청 사이버수사대로부터 2011년 4월 발생한 해킹으로 회원 113만명의 개인 정보가 유출된 사실을 전달받았다고 7일 밝혔다. 티몬은 경찰이 알려주기 전까지 3년간 유출 사실을 몰랐다. 당시 이 업체의 회원 수는 300만명으로 3분의1 이상의 정보가 빠져나간 셈이다. 현재 회원 수는 1000만명에 이른다. 유출된 개인 정보는 이름과 아이디, 성별, 생년월일, 전화번호 등이다. 티켓몬스터 관계자는 “주민등록번호와 비밀번호는 해시값으로 일방향 암호화돼 있어 아무도 풀어내거나 식별할 수 없기에 유출되지 않았다”고 말했다. 고객 정보를 빼돌린 해커는 현재 구속돼 구체적인 개인 정보 유출 경로 등에 대한 경찰 조사를 받고 있다. 티켓몬스터는 수사에 적극 협력하고 재발 방지를 위해 노력하겠다고 밝혔다. 오달란 기자 dallan@seoul.co.kr

소셜커머스 티켓몬스터에서도 대규모 개인정보 유출이 있었던 것으로 확인됐다. 티켓몬스터는 2011년 해킹에 의해 회원 113만명의 개인정보가 유출된 사실을 확인했다고 7일 밝혔다. 티켓몬스터에서 유출된 개인정보는 회원의 이름과 아이디, 성별, 생년월일, 전화번호 등이다. 주민등록번호와 패스워드 등은 암호화돼 있어 추가적인 피해로부터 안전하다고 티켓몬스터 측은 설명했다. 티몬은 다른 사건을 수사 중이던 경찰로부터 2011년 4월 발생한 것으로 추정되는 해킹에 의해 티몬 고객의 개인정보가 유출된 사실을 전달받았다고 밝혔다. 회사 측은 개인정보가 유출되고도 3년간 이 사실을 알지 못하고 있었다. 해당 사건을 저지른 해커는 현재 구속돼 경찰 수사를 받고 있으며, 티몬은 사건을 경찰로부터 통보받은 후 방송통신위원회 신고 및 고객 공지 등 법적 절차를 완료했다고 말했다. 이에 대해 티몬은 “공식 사과와 함께 경찰 수사에 적극적으로 협조해 유출경위를 파악하고 고객 피해 최소화 및 향후 개인정보 보호에 최선을 다하겠다”고 밝혔다. 신현성 티켓몬스터 대표는 “믿어 주셨던 고객 분들께 실망과 불편을 드리게 되어 진심으로 죄송하고 머리 숙여 사과 드린다”고 말했다. 신현성 대표는 “고객 정보를 안전하게 보호하기 위해 최선의 노력을 기울여 왔지만, 보안에 있어서는 누구도 안심할 수 없다는 큰 깨달음을 얻었고 앞으로 수사에 적극적으로 협조해 추가로 발생할 수 있는 사고에 대비할 것”이라고 덧붙였다. 한편 티켓몬스터 측이 경찰로부터 지난 5일 유출 사실을 전달받고도 금요일 오후 늦게서야 언론에 관련 사실을 공표해 사건의 파장을 축소하기 위한 의도가 아니냐는 의혹도 제기되고 있다. 이와 관련해 티켓몬스터 측은 “5일 오후 늦게 유출 사실을 알았고 방통위에 신고하기 위한 준비 및 법적 자문, 고객 피해확인을 위한 프로그램 개발 등에 시간이 필요했다”면서 “최대한 빠르게 피해사실을 알린 것”이라고 말했다. 온라인뉴스부 iseoul@seoul.co.kr

‘티몬 고객정보유출’ 7일 티켓몬스터는 최근 경찰로부터 2011년 4월에 발생한 것으로 추정되는 해킹에 의해 113만 명의 고객들의 개인정보 일부가 유출된 사실을 전달받았다고 밝혔다. 경찰에 따르면 유출된 정보는 일부 고객의 성명, 아이디, 성별, 생년월일, 휴대전화번호, 전자우편주소, 배송지 전화번호 및 주소, 사진을 업로드한 경우 해당 이미지 파일에 대한 링크 등이다. 그러나 주민등록 번호와 패스워드 같은 중요 정보는 해쉬 값(hash value)으로 일방향 암호화(one-way encryption) 처리돼 있어 그 누구도 풀어내거나 식별할 수 없으므로 추가적인 피해는 발생하지 않았다. 하지만 티몬은 2011년 4월 발생한 고객정보 유출사건을 3년간 알지 못했다는 점에서 이용자들의 비난을 면하기 힘들게 됐다. 또한 티몬은 경찰로부터 지난 5일 유출 사실을 전달받고도 금요일 오후 늦게야 언론에 사실을 공표해 사건의 파장을 축소하기 위한 의도가 아니냐는 의혹도 제기되고 있다. 이에 티몬 사과문을 발표하고 공식 사과했다. 티몬측은 “고객정보를 유출한 해커는 현재 구속돼 구체적은 유출 경위 등에 대한 경찰의 수사가 진행되고 있으며 당사는 경찰의 수사에 적극 협력하면서 고객님께 발생할 수 있는 피해를 예방하고 유사 사례 방지를 위해 최선의 노력을 기울이고 있다”고 전했다. 또한 “고객정보 보호를 위해 최선을 다하고 있다. 개인정보보호법과 정보통신망 법에서 제시한 모든 보안관련 사항을 준수하고 있으며, 보안업계 최고 수준의 관제회사로부터 365일 24시간 전문적인 보안관제 서비스를 받고 있다”라며 “향후에는 이런 일이 발생하지 않도록 임직원 모두가 고객님의 개인정보 보호에 더욱 만전을 기할 것임을 약속드린다”고 덧붙였다. 사진 = 서울신문DB (티몬 고객정보유출) 온라인뉴스부 seoulen@seoul.co.kr

KT 홈페이지가 전문 해커에게 뚫려 가입 고객 1600만명 가운데 1200만명의 개인정보가 유출됐다. 인천경찰청 광역수사대는 6일 KT 홈페이지를 해킹, 개인정보를 빼낸 뒤 텔레마케팅 업체에 판매한 해커 김모(29)씨와 정모(38)씨를 정보통신망이용촉진 및 정보보호 등에 관한 법률 위반 혐의로 구속했다. 이들과 공모한 텔레마케팅 업체 대표 박모(37)씨는 같은 혐의로 불구속 입건했다. 김씨 등은 인터넷에 배포된 ‘파로스 프로그램’(웹사이트 취약성 등을 분석하는 강력 해킹 프로그램)을 이용해 신종 프로그램을 개발, 지난해 2월부터 최근까지 KT 홈페이지에 로그인한 뒤 개인정보를 빼내 왔다. 이들은 이용대금 조회란에 고유숫자 9개를 무작위로 자동입력시키는 이 프로그램으로 KT 가입 고객의 9자리 고유번호를 찾아냈다. 성공률이 높을 땐 하루 20만∼30만건의 개인정보를 탈취하는 등 1년간 1200만명의 고객정보를 털었다. 이름, 주민등록번호, 휴대전화번호, 집주소, 직업, 은행계좌 등이 줄줄이 샜다. 박씨는 KT 직원을 사칭해 김씨 등으로부터 사들인 개인정보를 휴대전화 개통·판매 영업에 사용해 1년간 115억원의 부당수익을 올렸다. 주로 약정 기간이 끝나는 고객에게 전화를 걸어 “시세보다 싸게 휴대전화를 살 수 있다”고 꾀었다. 또 휴대전화 대리점 3곳에도 500만명의 고객정보를 판매했다. 김씨 등은 다른 방식의 해킹 프로그램을 추가로 만들어 증권사 등의 홈페이지를 해킹하려다 경찰에 검거됐다. 경찰 관계자는 “KT가 이용대금 명세서에 기재된 고유번호만으로 고객의 정보를 확인할 수 있는 허술한 보안 시스템으로 고객정보를 관리했다”면서 “증권사, 인터넷 게임사 등에 가입된 고객의 정보도 유출됐을 가능성이 있어 수사를 확대하고 있다”고 말했다. 경찰은 KT 보안담당자의 고객정보 관리소홀 여부를 수사한 뒤 입건 여부를 결정할 방침이다. KT 측은 “범죄조직이 불법수집한 개인정보는 경찰이 전량 회수했다”며 “지속적인 감시로 더 이상의 피해가 발생하지 않도록 조치했다”고 밝혔다. KT는 태스크포스(TF)를 조직해 2차 피해를 막겠다는 방침이다. 앞서 2012년 2~7월에도 정보기술(IT) 업체에서 10년간 프로그램 개발을 담당한 베테랑 프로그래머에 의해 KT 휴대전화 개인정보 873만건이 유출되기도 했다. 미래부 고위 관계자는 “또다시 같은 일을 당해 우려스럽다. 잘잘못을 가려 문제가 있다면 일벌백계하겠다”며 “이를 위해 공무원 외에 사태를 좀 더 객관적으로 볼 수 있는 민간인 전문가를 현장에 파견했다”고 강조했다. 김학준 기자 kimhj@seoul.co.kr 김양진 기자 ky0295@seoul.co.kr