"개인정보 조회시 본인여부 검증단계 없이 홈페이지 만들어져"
[아시아경제 김영식 기자] 981만명의 개인정보가 유출된 KT 홈페이지 해킹 사고는 홈페이지 설계 때부터 있었던 취약점을 이용했던 것으로 판명됐다.
미래창조과학부는 25일 KT 홈페이지 해킹 개인정보 유출 사건에 대한 민관합동조사단의 조사결과를 발표했다. 그간 해킹경로와 해킹수법에 대해 조사를 진행한 민관합동조사단은 "KT에 남아 있는 최근 3개월간 홈페이지 접속 기록 538기가바이트(GB) 분량을 조사한 결과, 해커가 약 1266만번 접속한 기록(로그)을 확인했다.
해커는 ▲해커ID 로그인 ▲타인 고객번호 변조 ▲취약 홈페이지 접속 ▲타인 개인정보 수집의 총 4단계를 거쳤으며, 짧은 시간 동안 많은 개인정보 해킹을 위해 자동화된 프로그램을 제작·사용한 것으로 확인됐다.
또 해킹은 사용자의 ‘고객서비스계약번호’에 의해 조회되는 KT의 홈페이지 프로그램에서 타인의 ‘고객서비스계약번호’ 변조 여부를 확인하지 않는 취약점을 악용하여 이루어진 것으로, 개인정보(DB) 조회 시 ‘고객서비스계약번호’의 본인 여부를 검증하는 단계가 없이 홈페이지가 제작된 것으로 나타났다.
보안장비 접속 기록을 분석한 결과 특정IP에서 일 최대 34만1000여건의 접속이 있었음에도 감지하지 못한 것으로 드러났다.
이외에 추가적인 해킹프로그램을 조사한 결과 정당한 가입자 여부 확인 없이 조회 가능한 9개 홈페이지 취약점이 확인됐고, 해당 홈페이지로 접속하는 기록 8만5999건이 확인됐다.
미래부는 “검찰·경찰 및 방통위 등에 관련 정보를 공유하고 KT에 보안조치를 요청했으며, 추가적인 유사피해를 방지하기 위해 통신사, 포털, 쇼핑몰, 웹하드 등의 업체에 취약점 점검·보완조치를 하도록 요청했다”고 밝혔다.
또 미래부는 “사이버공격에 신속하게 대응하기 위해 방통위·금융위·검찰·경찰 등 관계기관과 긴밀히 협력하여 나갈 것”이라고 덧붙였다.
김영식 기자 grad@asiae.co.kr
<ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제(www.asiae.co.kr) 무단전재 배포금지>
