옥션, 고객정보 유출 어디까지?(종합)

온라인 오픈마켓 옥션 사이트(www.auction.co.kr)가 설날 연휴를 앞두고 해킹 공격을 받아 회원들의 개인정보가 유출되는 사건이 발생했다.

구체적인 이용자 피해는 아직 접수되지 않은 상황. 그러나 옥션 회원수가 현재 1800만명에 달하는 대형 쇼핑몰이라는 점에서 자칫 대규모 개인정보 유출사태로 비화될 가능성을 배제할 수 없다.


◇회원정보 어떻게 빠져나갔나

옥션은 5일 해킹공격으로 회원 이름, 주민등록번호 등의 다수의 개인정보와 일부 회원의 환불정보가 유출되는 사고를 당했다.

아직 구체적인 고객 피해 사례는 집계되지 않있다. 그러나 해킹을 당한 쪽에서 이를 정확하게 파악한다는 것은 불가능하다. 자칫 1800만명 회원들의 개인정보 상당수가 빠져나갔을 가능성도 배제할 수 없는 셈이다.


옥션은 사고발생 후 현재 경찰청 등 관계기관에 신고한 상황이며, 관계 전문가들과 함께 원인진단 및 추가 피해에 대한 확인작업을 진행 중이다.

아직까지 구체적인 사고원인은 밝혀지지 않은 상태. 그러나 회사측은 "중국쪽으로 추정되는 IP가 지속적으로 접근했으며, 이들이 개인정보 등에 접촉한 흔적을 발견했다"고 밝혀, 중국發 해킹 공격일 가능성이 큰 것으로 추정된다.

보안 전문가들은 해커가 웹 애플리케이션을 취약점을 이용해 시스템 권한을 획득하는 등 방화벽과 침입탐지시스템 등 보안제품을 우회하는 수법으로 데이터베이스(DB) 서버에 접근했을 가능성에 무게를 두고 있다.

이같은 해킹 방식은 그동안 국내 게임이용자들의 개인정보를 빼가기 위한 중국발 웹해킹시 자주 악용돼왔던 수법이다.

그러나 국내인들이 중국 IP를 우회해 접속할 수도 있는 상황인만큼, 정확한 사고원인은 수사결과를 지켜봐야 알 수 있다.

◇비밀번호 변경해야 '안전'

우선 당장은 빼내간 회원정보를 이용해 불법으로 옥션에서 거래를 하는 등 2차 범죄 피해 가능성 여부도 주목된다.

이에 대해 회사 관계자는 "비밀번호의 경우, 회원 신상정보와 다른 별도의 DB테이블로 보관하고 있는데, 이쪽에 대한 접근은 이루어지지 않았다"고 밝혀, 해커가 회원신상정보를 탈취했더라도 이를 통해 사이트내에서 거래변조 등의 2차범죄로 연계됐을 가능성은 낮게보고 있다.

그러나 옥션측은 만일의 사태를 대비하기 위해 주민번호와 휴대전화 번호 등을 조합한 패스워드를 사용하는 고객들에게 즉시 패스워드를 변경할 것으로 당부했다.

한편, 옥션은 정보보호 부문을 전문업체에 위탁해왔다는 점에서 책임소재도 논란거리다. 현재 옥션은 SK그룹 계열사인 인포섹(주)에 네트워크 보안 등을 위탁해왔다.

옥션 관계자는 "지난해부터 계약을 맺고, 인포섹측에 침입차단, 침입탐지 장비 운영 및 취약점 진단(모의해킹 포함), 24시간 보안 모니터링 등을 위임한 상태"라고 주장했다.

그러나 이에 대해 인포섹 관계자는 "인포섹과 계약을 체결한 업무내역은 낮은 단계의 네트워크 보안에 국한됐으며, 이번 해킹사건은 엄연히 이 관제영역을 벗어난 침해사고"라며 옥션측에 책임을 돌렸다.