이스트소프트, 13만 3,800건 고객 정보 유출

ITWorld
안티바이러스 소프트웨어인 알약으로 유명한 이스트소프트의 알툴즈 계정 정보 13만 3,800건이 유출됐다. 특히 이번에 유출된 계정 정보에는 비밀번호가 포함되어 있어 2차 피해가 발생할 가능성이 높은 것으로 알려졌다.

이스트소프트는 지난 1일 17시 경 사이버 공격자로부터 일부 고객 개인정보를 볼모로 한 협박성 이메일을 확인한 결과, 자사 고객의 정보와 일치했다고 9월 5일 밝혔다. 이스트소프트는 방송통신위원회에 사고 신고를 접수하고 이메일, SMS, 홈페이지 공지, 보도자료 등 다양한 창구를 통해 개인정보 침해 가능성에 대한 고객 안내를 준비했다.



이스트소프트의 개인정보 유출신고를 받은 방송통신위원회는 9월 2일 오후부터 관련 조사를 진행중이라고 밝혔다.

이스트소프트 측에서 유출 신고한 개인정보 항목과 규모는 '알툴즈 사용자 아이디 및 비밀번호 13만 3,800건'과 '알툴즈 프로그램 중 알패스(ALPass)에 등록된 웹사이트 명단, 아이디, 비밀번호'였다.

방통위는 이번 개인정보 유출 건은 웹사이트 접속 비밀번호가 공격자에게 직접 유출되어 이용자 2차 피해가 우려됨에 따라, 해당 사용자들은 즉시 비밀번호 변경 등의 조치를 취할 것을 당부했다.

또한 이스트소프트의 알툴즈 프로그램 사용자가 알패스에 등록해 관리하던 아이디와 비밀번호에 대해서도 개인정보 유출사실을 해당 업체에 통보해 비밀번호 변경 등을 안내하도록 조치를 취하고 있다. 알패스는 웹사이트에서 사용하는 아이디와 비밀번호를 기억했다가, 해당 사이트를 재방문할 때 그 정보를 기억하고 로그인 창에 아이디와 비밀번호를 자동으로 입력시켜주는 프로그램이다.

방통위는 이번 개인정보 유출건과 관련해 엄정한 조사를 통해 정확한 유출 규모 및 유출 경위 등을 파악할 예정이며, 정보통신망법 위반사항 발견 시 과태료, 과징금 등 행정처분을 할 계획이다.

한편 이스트소프트는 홈페이지에 사과문과 사건 발생 경위서를 게시하면서 지금까지 확인한 내용과 분석 중인 침해 사항에 대해 공개했다.

이스트소프트 측은 공격자가 기존에 유출된 불특정 다수 개인 정보 도용해 알툴즈 로그인을 시도한 것으로 보고 있다. 또한 공격자가 제공한 고객 개인정보와 자사의 고객 정보를 대조한 결과, 약 13만 사용자 알툴즈 계정과 일치하는 것으로 확인했다. 다만 현재까지 공격자가 이스트소프트 고객 정보가 저장된 서버에 직접적으로 침투해 개인정보를 탈취했다는 증거는 발견되지 않았다고 전했다.

이스트소프트는 지난 몇 년간 발생한 개인정보 침해사고에서 유출된 불특정 다수의 개인 정보를 무작위로 대입하는 방식을 사용해 알툴즈 사이트 로그인을 시도한 '도용'의 가능성이 큰 것으로 보인다고 밝혔다.

이스트소프트는 홈페이지를 통해 유출 가능성을 공지하는 한편, 알툴즈 전체 고객에게 안내 eDM을 발송했다. 또한 추가 사용자 피해 방지와 공격자 검거를 위해 관련 기관과 긴밀한 공조를 통해 가용한 모든 자원을 동원해 진상 규명과 재발 방지책을 마련하고 있다고 말했다.


이번 유출 정보에는 비밀번호까지 포함되어 있어 알툴즈 사용자라면 개인정보 유출 사실을 조회, 확인해야 한다. 개인정보가 침해된 사용자는 알패스에 저장된 외부 사이트의 아이디와 비밀번호가 노출됐을 가능성이 있으니 반드시 비밀번호를 변경해야 한다.

이스트소프트 측은 유출되지 않은 사용자라도 혹시 모를 피해 예방을 위해, 알툴즈 사이트에 로그인 후 비밀번호를 변경(특수문자, 대소문자, 숫자 조합 10~20자)하기를 권유했다. 알툴즈의 경우, 휴면 계정과 활성 계정을 모두 합쳐 총 200~300만으로 알려져 있으며, 알패스 사용자 수는 영업상 기밀 사항으로 공개하지 않았다.

하지만 공격자의 침투 경로나 피해 범위 등이 완전히 파악되지 않은 상태에서 유출되지 않은 사용자들에게 비밀번호 변경을 권유하는 것은 바람직하지 않는 것으로 보인다. 이에 대해 이스트소프트 측은 "공격자가 직접적으로 서버에 침투한 것이 아니라는 점은 여러 관계 기관에서도 확인한 사항이며, 만약 침투한 상황이어도 비밀번호는 일방향 암호화가 되어 있기 때문에 안심해도 된다"고 말했다.

또한 알패스 사용자의 경우, 알패스에 저장된 외부 사이트 비밀번호를 모두 변경해야 하는 상황이지만 자신이 알패스를 사용했는 지 인지하지 못하는 사용자도 있기 때문에 파장이 커질 것으로 예상된다. 이에 대해 이스트소프트 한 관계자는 "알패스 사용자의 경우, 다시한번 로그인 과정을 거쳐야하기 때문에 인지하지 못하는 경우는 없으며, 유출된 사용자에게는 사용자가 쉽게 비밀번호를 변경할 수 있도록 알패스에 저장된 외부 사이트 명단을 제공하고 있다"고 설명했다. editor@itworld.co.kr