KT 해킹, “웹 개발 시 인증값 웹에 노출되지 않아야”

파로스 외 해킹이용 프로그램 Fiddler·Odysseus·Achilles 등 총 6개

SGA, 서버 계정 및 패스워드 설정 정책 강화 등 10가지 제시

[보안뉴스 김경애] KT의 1,200만 명의 개인정보가 해킹으로 인해 유출되면서 개인정보에 대한 불안이 갈수록 커지고 있다.

특히 이번 해킹사건의 경우 해커가 해킹프로그램을 제작해 KT 고객센터 홈페이지를 해킹한 뒤 개인정보 탈취했다. 이후 텔레마케팅 업체판매, 휴대폰 개통, 판매 영업에 활용해 1년간 115억원의 부당이득을 챙긴 것으로 알려져 있다.

탈취된 개인정보는 이름, 주민등록번호, 휴대전화번호, 집주소, 직업, 은행계좌 등이다.

해킹기법은 파로스(Paros)라는 프리웨어 프로그램을 이용했다. 파로스는 서버와 사용자 중간에서 값을 가로채고, 변경해 보낼 수 있는 웹 프록시 프로그램이다. KT 홈페이지 이용대금 조회란에 고유숫자 무작위 대입해 개인정보를 탈취했다.

그러나 웹 프록시는 이외에도 더 있어 위험하다는 것. 이와 관련 SGA는 “파로스 외 해킹이용 프로그램은 Fiddler, Odysseus, Achilles, Ultrasurf, Burp suit 등 총 6개 웹 프록시가 해킹 시도 이용이 가능하다”며 “웹 개발을 할 때부터 인증값이 웹상에서 노출되지 않도록 해야 하는데, 대부분의 홈페이지는 이를 간과해서 KT와 같은 보안 문제가 발생하고 있으며, 이외 서버 구축 시부터 보안에 미흡하기 때문에 서버취약점을 이용한 해킹사고가 빈번하게 일어나고 있다”고 설명했다.

이에 따라 SGA는 침해사고를 최소한 방지할 수 있도록 서버 보안을 위한 권고 사항 10을 다음과 같이 제시했다.

[서버 보안을 위한 권고 사항 10]

1. 서버 계정 및 패스워드 설정 정책 강화 및 주기적 변경

2. 원격터미널(3389), FTP 및 Telnet 등 원격 서비스는 IP접근제어 사용 또는 Disable 권고

3. 불가능할 경우 터미널 Port를 랜덤한 4~5자리 숫자로 변경하여 사용할 것을 권고

4. 최신 패치가 적용 된 백신 프로그램 설치 및 보안 업데이트 강화

5. 파일 업로드 디렉토리의 스크립트 실행 권한 제거

6. 파일 업로드 확장자 체크 및 파일명에 대한 필터링

7. 주기적 전수검사 및 소스 무결성 검사 권고(백업파일 포함)

8. 로그파일 보호

9. 시큐어코딩 권고

10. 어플리케이션 공격 등을 방어하기 위하여 ID(P)S 혹은 WAF(웹방화벽) 도입 검토 필요

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)