조폐공사 '착' 개인정보 유출…3083명 정보 조회 확인

(대전=뉴스1) 박찬수 기자 = 한국조폐공사의 모바일 지역사랑상품권 플랫폼 '착(chak)'에서 외부인의 비인가 접근으로 이용자 3083명의 개인정보가 조회된 사실이 확인됐다.

한국조폐공사는 지난 13일 오전 9시 30분께 '착' 시스템에서 비정상적인 접근 징후를 처음 확인하고 긴급 보안조치를 시행했다고 14일 밝혔다.

조폐공사는 공격이 의심되는 IP를 특정해 차단하고 해외 IP의 접근을 전면 제한했다. 이어 공격 대상 서버를 확인해 서비스를 우선 중단하고 긴급 보안조치를 거쳐 정상 서비스를 재개했다.

14일 오전 6시 기준 외부 비인가자의 시스템 접근으로 조회된 개인정보는 이름, 생년월일, 휴대전화번호, 계좌번호, 연계정보(CI), 이메일, 암호화된 카드번호 등 7개 항목이다.

이 가운데 2개 이하의 정보가 조회된 이용자는 3072명, 3~4개 정보가 조회된 이용자는 11명으로 확인됐다. 개인별 조회 정보 항목은 서로 다르며, 정확한 침해 경로와 공격 수법, 추가 정보 조회 여부 등은 조사 중이다.

조폐공사는 사고 확인 직후 공격 의심 IP 차단과 해외 IP 접근 제한 등 긴급 조치를 시행했으며 시스템 전반에 대한 보안 점검과 24시간 집중 모니터링을 강화하고 있다.

한국인터넷진흥원(KISA) 등 관계기관에 신고하고 협조 절차도 진행 중이다. 외부 전문가와 관계기관의 협조를 받아 시스템 취약 요인을 분석하고 접근통제와 비정상 접근 탐지·차단 체계를 개선할 계획이다.

개인정보가 조회된 이용자에게는 확인된 사실과 조회 항목, 피해 예방 유의사항 등을 개별 안내하고 있다. 고객 문의와 피해 신고에 대응하기 위한 전담 고객센터도 운영한다.

특히 조폐공사는 개인정보를 악용한 보이스피싱과 스미싱 등 2차 피해를 막기 위해 의심스러운 전화나 문자메시지에 각별히 주의해 달라고 당부했다.

스미싱(Smishing)은 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 악성 앱 주소(URL)나 가짜 전화번호가 포함된 문자메시지를 보내 사용자를 속이고 개인정보, 금융정보를 탈취하거나 소액결제를 유도하는 사기 수법이다.

조폐공사 관계자는 "국민의 소중한 개인정보를 보호해야 할 공공기관에서 사고가 발생한 데 대해 무거운 책임을 통감한다"며 "사고 원인 규명부터 고객 보호, 재발 방지까지 필요한 모든 조치를 책임 있게 이행하겠다"고 밝혔다.

한편 '착' 전담 고객센터는 평일 오전 9시부터 오후 6시까지 운영한다. 임시 고객센터는 14일 오후 4시부터 8시까지, 15일 오전 9시부터 오후 6시까지 운영한다