"해커는 내 사생활까지 알고 있다"...인터파크 개인정보 유출, 동생사칭 e메일이 발단

온라인 쇼핑몰 인터파크의 회원 개인정보 2665만여건을 탈취한 해커는 인터파크 직원의 가족관계까지 미리 파악하고 있었던 것으로 드러났다.

기업의 내부 정보를 빼내기 위해 특정인물을 겨냥해 개인사생활, 가족관계, 자주 쓰는 e메일 등 세세한 정보를 미리 파악하고 이를 악용해 악성코드가 담긴 가짜 e메일을 보내 인터파크 내부 전산망에 침투한 것이다.

이번 인터파크 개인정보 유출 사고는 해커들의 사이버 공격기술이 고도화되는 것은 물론 갈수록 교묘하고 집요해지고 있는 것을 단적으로 보여준 것이어서 기업과 공공기관 등 전산 운용자들의 각별한 주의가 요구되고 있다.

미래창조과학부와 방송통신위원회는 지난 5월3일부터 6일까지 발생한 인터파크 침해사고에 대해 '민관 합동조사단'의 조사 결과, 해커가 인터파크 직원의 신상정보를 미리 알아내 직원의 동생 이름으로 e메일을 보낸 것으로 확인됐다고 8월 31일 밝혔다. 특정 개인이나 기관의 약점을 미리 파악하고, 이를 겨냥해 작살(스피어)를 던지듯 공격하는 해킹 수법을 스피어피싱이라고 부르는데 인터파크가 스피어피싱에 당한 경우라는 것이다.

■해커, 직원 동생 이름으로 악성코드 e메일 발송
조사단에 따르면 해커는 지난 5월 3일께 인터파크 직원의 동생을 사칭해 악성코드가 첨부된 e메일을 발송하는 스피어피싱으로 감염을 성공시켰다.

해커는 이 직원이 평소 사용하던 포털 e메일 아이디와 비밀번호를 먼저 파악하고, e메일로 주고받은 내용까지 알아낸 뒤 "가족사진으로 화면보호기를 만들었으니 첨부파일을 열어보라"고 가짜 e메일을 보냈다는 것이다.

이 e메일을 받은 직원은 의심없이 첨부파일을 열었고, 악성코드에 감염된 직원 PC를 타고 해커는 인터파크 전산망에 침투했다.

파일공유 서버를 통해 패스워드 대입공격이 이뤄지면서 내부망 감염확산과 정보수집이 진행됐고 해커는 5월 4일께 결국 개인정보취급자 PC로까지 접속하게 됐다. 개인정보취급자 PC와 데이터베이스(DB) 서버 점거에 성공한 해커는 내부망 감염을 이용해 또 다른 직원의 PC를 경유해 DB서버에 재접속했다.

이후 5월 6일 새벽까지 해커는 DB서버의 개인정보를 탈취해 웹서버에서 취급자PC, 직원 PC를 거쳐 회원들의 개인정보를 외부로 유출시켰다.

이 과정에서 해커는 패스워드 관리 및 서버 접근통제 관리 등의 취약점을 악용해 인터파크 회원정보 2665만여건이 보관된 파일을 16개로 나눠 직원PC를 경유해 외부로 유출시켰다.

■총 2665만여건 정보 유출..초기대응 미흡
유출된 정보는 인터파크 일반회원 1094만7544건과 제휴사 아이디 정보 245만4348건, 탈퇴회원 아이디 173만4816건, 휴면회원 정보 1152만2045건 등 총 2665만8753건이다. 휴면회원 정보와 다른 회원들의 정보 중복 여부는 조사중이다.

미래부는 조사과정에서 발견된 문제점을 개선해 보완할 수 있도록 인터파크에 보안강화 기술지원을 실시했고, 방통위는 개인정보 유출사고가 발생할 경우 사업자가 준수해야 할 사항을 담은 '개인정보 유출 대응 매뉴얼'을 발표했다.

인터파크의 개인정보 유출사고가 이용자 통지와 관계기관 신고가 지연돼 초기 대응에 한계가 있었다는 점에서 세부적인 대응절차를 제시한 것이다.

방통위는 인터파크와 같이 해킹에 의해 유출된 경우 24시간 이내에 방통위에 신고하고 이용자에게 통지할 때에는 전화, 문자, e메일 등 이용빈도가 높은 방법을 활용할 것을 당부한데 이어 추가유출 방지를 위해 시스템 일시정지, 비밀번호 변경 등 상황에 따른 긴급조치를 시행해야 한다고 강조했다.

[e-mail] 김학재 기자