6.25사이버테러 1주년, 개인정보 유출은 여전히 ‘핵폭탄’

올 상반기 3사 카드사로 시작, 통신사·쇼핑몰·화장품 분야 등 줄줄이

[보안뉴스 김경애] 6.26사이버테러가 일어난지 1년이 흘렀다. 3.20사이버테러와 함께 대규모 사이버테러로 전국을 강타했지만 여전히 정보유출 사고는 끊이지 않고 있다. 특히 올해 상반기 개인정보 유출사고는 특정 분야가 아닌 전방위적으로 확산되면서 전국을 뒤흔들었다.

지난 1월 8일 발생한 KB국민·롯데·NH농협 3사 카드사에서 1억400만건 이상의 개인정보가 유출됐으며, 2월 26일 의사협회 8만명, 치과의사협회 5만 6천명, 한의사협회 2만명 등 총 15만 6천명의 개인정보가 유출됐다. 이외에도 2월에는 고용노동부에서 내부직원에 의해 12만8천명의 개인정보가 유출됐고, 하비퍼스트 홈페이지가 해킹돼 5만 3천명의 개인정보가 유출된 바 있다.

3월 6일에는 통신사 KT 홈페이지 해킹사태가 터졌고, 3월 7일 보도된 소셜커머스 업체 티켓몬스터의 경우 악성코드의 일종인 ‘웹셸’을 심어 113만 명의 개인정보가 유출됐다. 이후 3월 11일에는 LG유플러스·SKT·KT 고객의 개인정보 420만건, 금융기관 11곳 등에서 유출된 것으로 추정되는 100만건, 여행사와 인터넷 쇼핑몰에서 유출된 187만건 등 총 1230만건의 가공된 개인정보가 대거 유출됐다.

3월 16일 재향군인회에서는 SQL인젝션 취약점을 이용한 홈페이지 해킹으로 1만 3900여명의 개인정보가 유출되며 국방관련 사이트에도 빨간불이 들어왔다.

3월 17일 개인정보가 유출됐다고 보도된 CJ대한통운의 경우 2013년 9월부터 2014년 2월까지 심부름센터 업주와 택배기사가 총 382차례 개인정보를 유출한 것으로 드러났다.

그러나 더욱 심각한 건 개인정보 유출을 위해 악성프로그램을 개발·판매하는 등 공격기법이 더욱 대담해지고 진화하고 있다는 점이다.

3월 25일 보도된 네이버 사례의 경우 해커가 2013년 8월 직접 개발한 로그인 체크기로 유효 계정을 추출한 후, 카페 가입->카페회원 명단 추출->쪽지발송 순으로 1억건(2500만명: 주민번호 기준으로 중복제외)의 개인정보를 유출했다. 이와 함께 공격자는 악성프로그램 22종을 개발해 직접 이용하거나 판매해서 2100만원의 부당이득을 챙겼다.

이 외에도 3월에는 리치정보통신 홈페이지가 해킹당해 1만7천명, 현대기아자동차 홈페이지가 해킹당해 8만 1천명, 파인리조트 홈페이지가 해킹당해 개인정보가 대거 유출됐으며, AK프라자의 개인정보가 내부직원에 의해 유출됐다.

4월 5일에는 치킨프랜차이즈 업체 BBQ가 지난 2013년 2월 홈페이지가 해킹돼 51만건의 개인정보가 유출됐고, 4월 10일에는 국방과학연구소의 기밀문서 및 직원정보가 유출돼 구글 검색을 통해 누구나 손쉽게 찾을수 있었다. 이로 인해 국가안보와 관련된 국방보안에도 경종이 울렸다.

4월 11일 보도된 포스(POS) 단말기 관리업체 해킹사고는 신한·국민·농협·BC 등 카드사 10곳과 기업은행, 씨티은행 등의 고객 개인정보 20만건이 유출되면서 금융권은 또 다시 비상이 걸렸다.

4월 11일 보도된 삼성그룹 전현직 직원 5000여명의 개인정보가 유출됐고, 4월 13일 교육전문기업 천재교육도 2011년 6월 해킹된 사실이 드러났다. 4월 14일에는 KDB생명 직원과 고객과의 상담 통화내용이 녹음된 10,695개 음성파일이 버젓이 웹사이트에 공개된 바 있다.

4월 16일 보도된 스킨푸드의 경우 지난 2010년 10월 8일 이전에 가입된 이용자 개인정보 55만건이 홈페이지 해킹으로 유출됐으며, 토니모리에서도 지난 5월 2일 홈페이지 해킹으로 50만명의 회원 개인정보가 유출돼 화장품 분야에서도 개인정보가 대거 유출됐다.

이 외에도 강원랜드가 내부직원에 의해 5만5천명, 한국씨티은행(2차)이 1만7천명(확인중), 씨티캐피탈이 1만6천명, 한국교원단체총연합회가 28만3천명, 난닝구닷컴(엔라인)에서 61만8천명의 개인정보가 대거 유출됐다. 또한 경상대학교(공공)의 경우 1만2천명의 개인정보가 홈페이지에 노출된 바 있다.

이처럼 개인정보 유출사고는 끊임없이 기승을 부리며 고도화 지능화 되고 있는 실정이다. 6.25사이버테러가 발생한지 1년이 지났음에도 불구하고, 개인정보 유출사고는 되려 증가추세에 있다. 지난 1년 동안 정부를 중심으로 보안강화를 위한 각종 대책이 마련됐지만, 보안의식 제고와 실질적인 투자가 뒤따르지 않는 대책만으로는 한계가 있음을 지난 1년이 여실히 증명하고 있는 셈이다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)