2년만에 또 해킹..어이없게 홈페이지 뚫린 KT

[이데일리 이유미 김현아 이승현 기자] 2년만에 또 다시 해킹을 당해 대량의 고객정보 유출사고가 일어난 KT(030200)의 보안 취약점이 도마위에 올랐다. 복잡한 해킹 수법이 아니어서 더 충격을 준다.

1200만 고객정보 빼간 해킹수법은 단순

해커들은 ‘파로스 프로그램’을 자신 PC에 설치한 뒤 KT 홈페이지에 접속해 KT 홈페이지의 취약점을 이용해 고객 정보를 빼냈다. KT의 이용요금 조회란에 접속해 고객의 고유숫자인 9개를 무작위로 자동 입력하면서 다른 고객들이 고유 번호를 찾아내고 고객 정보를 해킹하는 방법을 쓴 것.

파로스 프로그램은 인터넷을 통해 누구나 쉽게 접근하고 이용할 수 있는 일종의 개발 툴이다. 이 프로그램은 사용방법이 쉬우면서도 많은 기능을 제공하기 때문에 대중적으로 사용되고 있으며 인터넷에서 다운로드할 수 있다. 이 프로그램은 웹 서버와 클라이언트 사이에서 데이터 뿐 아니라 쿠키와 폼필드 등을 중간에 가로채 모니터링하거나 값을 변경해 서버로 보낼 수도 있다.

조성인 인천경찰청 광역수사대 강력2반장은 “KT는 이용대금 명세서에 기재된 고유번호 9자리만으로 고객의 정보를 확인할 수 있는 보안시스템을 통해 고객정보 관리를 소홀히 한 것으로 확인됐다”며 “이번 사건의 해커들을 검거하지 않았으면 증권사, 인터넷 게임사 등에 가입한 추가 고객정보도 유출돼 피해가 확산될 수 있었다”고 말했다.

더군다나 서버나 네트워크가 아닌 가장 기본적인 홈페이지가 해킹됐다는 점에서도 KT가 보안에 너무 소홀했다는 비판이 커지고 있다.

서울대 출신 해커 이두희는 “파로스프로그램 자체는 대단하지 않고 비슷한 도구는 수백개가 된다”며 “더군다나 홈페이지 해킹을 당했다는 것은 KT의 보안이 굉장히 허술했다는 것을 알 수 있다”고 말했다.

KT 고객정보 유출 사고 개요도

정신 못차린 KT

KT는 지난 2012년 7월말에도 해킹을 통해 870만 명의 고객정보가 유출됐다. 당시 해커들은 KT의 KT 고객정보 조회시스템에 접근해 고객정보를 자동 조회할 수 있는 해킹프로그램을 제작해 약 5개월간 KT 약 870만 명의 휴대전화 고객들의 개인정보를 빼돌렸다.

당시 방통위는 7억5300만원의 과징금을 부과했다. KT가 개인정보를 제3자에 제공하면서 제공항목을 명확하지 표시하지 않았다는 이유에서였다. 당시 방통위는 KT가 전체 고객의 0.8% 정도에 대해서는 이용자 개인정보 송수신시 암호화하지 않은 것으로 확인했지만, 과태료나 과징금을 부과하지 않았다.

한번 큰 사고를 겪었음에도 다시 허술한 고객정보 관리가 발생한 탓에 KT는 책임을 피하기 어려울 전망이다. 해킹 및 개인정보 유출 사고 발생 시 정부에 신고를 해야하나, KT는 사건 신고조차 하지 않았다.

미래창조과학부, 방송통신위원회, 한국인터넷진흥원(KISA) 등 정부기관은 현재 경위 파악에 나서고 있다. 방통위 관계자는 “우리도 언론 보도를 보고 알았다”며 “여기저기 물어보면서 경위를 파악하고 있다”고 말했다.

KT 홈페이지 가입고객 1천600만명 중 1천200만명의 고객정보가 해킹으로 유출된 것으로 알려진 6일 오후 KT 광화문 지사 모습. 연합뉴스 제공

IT강국의 고질병 ‘개인정보유출’

올해 초 카드사 개인정보 유출 사고가 발생한 이후 또다시 비슷한 사고가 일어나는 등 잦은 개인정보 유출 사고로 IT강국에 먹칠을 하고 있다.

최근 주요 카드사의 1억4000만 건이 넘는 개인정보가 유출되기 이전에도 KT(2012년 870만명), EBS(2012년 400만명), 넥슨(2011년 1320만명), SK커뮤니케이션즈(2011년 3500만명) 등 매년 한두차례씩 꾸준히 발생했다.

허술한 보안 의식 뿐 아니라 우리나라 국민의 개인정보가 돈벌이 수단이 될 수 있기 때문이다. 개인의 주요 정보 한두개만 수집하면 마케팅 등으로 활용하거나 명의 도용 등 범죄적 수단으로도 활용할 수있다.

때문에 개인정보 유출에 대한 근본적인 대책 마련이 필요하다는 인식이 강해지고 있지만 아직은 뚜렷한 방안이 나오지 않고 있다.

국회 미래창조과학방송통신위원회 소속 최민희 의원(민주)은 6일 “KT의 정보유출 관련 긴급 현안 질의가 필요하다”면서 “3월 원포인트 국회를열어, 현안 질의와 함께, 법안심사소위 논의를 마친 개인정보보호 관련법을 통과시키자”고 제안했다.