1,200만 개인정보 유출한 KT 사건에 대한 긴급 진단

KT가 털렸다. 완벽하게, 또, 그리고 오랫동안.

인천경찰청 광역수사대는 KT 홈페이지가 해킹당해 가입 고객 1,600만 명 가운데 1,200만 명의 고객정보가 유출됐다고 밝혔다.

또한 KT 홈페이지를 해킹해 개인 정보를 탈취한 뒤 휴대폰 개통, 판매 영업에 사용한 혐의로 전문해커 김모(29) 씨와 정모(38) 씨를 구속하고, 이들과 공모한 텔레마케팅 업체 대표 박모(37) 씨도 불구속 입건했다고 밝혔다.

이들은 2013년 2월부터 최근까지 '파로스 프로그램'을 응용한 신종 해킹 프로그램을 개발해 KT 홈페이지에 로그인 후 개인정보를 빼내왔다.

홈페이지 이용대금 조회란에 고유숫자 9개를 무작위로 자동 입력시키는 이 프로그램을 통해 KT 가입고객의 9자리 고유번호를 맞춰 개인정보를 탈취했다.

성공률이 높을 경우 하루 20만∼30만 건의 개인정보를 빼내는 등 1년간 1200만 명의 고객정보를 훔쳤다. 유출된 개인정보는 이름, 주민등록번호, 휴대전화번호, 집주소, 직업, 은행계좌 등이다.

이들은 이렇게 빼낸 고객정보를 휴대폰 개통, 판매 영업에 활용, 1년간 115억 원의 부당이득을 챙긴 것으로 드러났다.

이번 사건에 대해 빛스캔 전상훈 이사는 "자세한 사실 관계를 알아야 하겠지만 지금까지 드러난 바로는 설계 오류, 과다접속 통제, 권한 관리 등의 문제점이 결합된 아주 간단한 해킹 사례"라고 말했다.

전 이사는 "파로스 프로그램의 경우, 예전부터 중급 이하의 해커들이 많이 사용하는 것으로, 네트워크 전송 단계에서 트래픽을 잡아서 변경하는 용도로 많이 쓰이는데, 쇼핑몰 물건 가격을 1만 원짜리를 10원에 사는 등의 조작들이 가능하다. 평문으로 전송되니 이걸 전송 직전에 직접 수정하는 형식"이라고 설명했다.

"공격자들은 아마 로그인 이후 다른 사용자의 계정번호를 입력하는 순간에 스크립트 기반의 통제 프로그램들을 파로스를 개조한 프로그램으로 회피했을 듯하다. 이후에는 자체적으로 만든 프로그램으로 자동 대입을 했을 것"이라고 추정했다.

이것이 가능했던 것은 KT 홈페이지에 로그인 한 이후의 로직이 잘못되어 있기 때문이라고. 전 이사는 "진짜 사용자 정보와 해당 사용자의 명세서 번호가 일치하는 것만을 보여줘야 하는데, 이를 검증하는 코드가 아마도 스크립트 코드였음을 추정할 수 있다. 이 코드를 실행 안되게 하는 도구가 바로 파로스였을 것"이라고 말했다.

파로스를 통해 다른 사용자 정보를 조회하지 못하게 하는 기능을 제거한 이후 프로그램을 실행해서 랜덤하게 대입하고 맞는 정보를 뽑아내는 유형이었으며, 계정 로그인 -> 명세서 조회 -> 파로스를 통해 다른 사용자 명세서 번호를 기입하지 못하게 되는 코드 기능을 해제 -> 이후 별도의 프로그램으로 랜덤하게 매핑하고 나오는 정보를 추출이라는 해킹 과정을 거쳤다는 것이 전상훈 이사의 설명이었다.

"분명한 것은 과다한 접속 시도, 동일 IP에서의 대량 접속 등과 같은 이슈들은 이미 5~6년 전부터 대부분의 포털 사이트에서 부정 로그인 방지나 계정 도용 방지 등의 서비스를 통해 방지하고 있다"고 말했다.

특히 "이번 사건에서는 서버에서 추가 검증이 없었다는 것이다. 서버에서 추가 검증이 있었다면 이런 부정 시도는 충분히 잡을 수 있었을 것"이라고 분석했다.

전 이사는 자신의 페이스북을 통해 KT 1200만 명 정보 유출과 관련된 시사점이라는 제목으로 글을 남겼다.

- 공격자는 정문을 노리지 않는다.
- 모든 웹서비스를 일정 수준 관리하는 것은 불가능하다.
- 모든 진단과 관리 체계, 모의해킹 등이 자주 변동되는 웹서비스 보안을 유지할 수는 없다.
- DMZ 상에 존재하는 모든 서버와 서비스들은 공격의 대상이 된다.
- 정보는 DB에 있고, DB에 접근이 가능한 모든 접점은 공격 대상이 된다. 그러나 비교적 관리의 사각지대 혹은 중요도가 떨어지는 시스템은 진단 대상에서 제외된다.

전 이사는 "마지막 항은 몇 년전 현대캐피탈의 해킹 사례와 시사점이 동일한데, 모든 인증체계를 받고, 정기진단 및 모의 해킹까지도 가장 많이 한 기업이었지만 정작 진단 대상에 포함되지 않은 협력사 관리 서비스가 가볍게 해킹당해 내부 DB까지 침투당했던 사례"라고 전했다.

따라서 모든 기업들이 고려해야 할 과제는 다음과 같다.
1. 모든 웹서비스를 일정 수준 이상 유지할 수 있는가?
2. 상시적으로 웹서비스의 리스크를 장애 없이 진단할 수 있는가?
3. 정기 진단 이외에 전체 웹서비스에 존재하는 시급한 해결책을 즉시 발견하고 관리할 수 있는가?
4. DB에 접근 가능한 모든 접점에 대해 상시적 관리가 가능한가?

하지만 전 이사는 "오랫동안 혀에 굳은 살이 박힐 정도로 권고를 해왔지만 소용이 없었다"며, "이번 사건의 경우 수준이 그리 높지 않은 해커들이 간단한 기법으로 공격한 것이었는데, 실제 한국 인터넷 환경을 위협하는 공격자들은 훨씬 더 높은 수준이라는 점을 인지해야 한다"고 말했다. editor@itworld.co.kr