▲26일 인터파크 초기화면의 개인정보 유출사건 관련 공지. (사진=인터파크)
정신 못차린 인터파크, 이 판국에 유료가입 유도
해킹여부 확인하려던 고객들, 로그인 하자 낚여
늑장 대응에 무사안일주의…소비자 분노 폭발
한동안 잠잠했던 개인정보 유출 사건이 또다시 발생했다. 이번에 해커들의 표적이 된 것은 국내 인터넷 쇼핑몰의 원조격인 대형 쇼핑몰 ‘인터파크(interpark)’다.
27일 경찰과 인터파크에 따르면, 지난 5월 일단의 해커들이 인터파크 서버를 해킹해 고객 1030만여 명의 이름과 아이디, 암호화된 비밀번호, 주소, 전화번호, 이메일 등의 정보를 탈취했다.
해커들은 불특정 다수에게 악성코드를 심은 이메일을 발송해 해당 PC의 제어권을 장악한 뒤 일정 기간 잠복했다가 데이터베이스(DB) 서버에 침투하는 APT(지능형 지속가능 위협) 방식의 해킹을 사용했으며, 지난 11일 인터파크 측에 협박 메일을 보내 금전을 요구한 것으로 알려졌다.
인터파크는 협박 메일을 받은 후에야 해킹 사실을 인지하고, 13일 경찰에 신고함으로써 수사가 시작됐다.
문제는 이같은 사실이 지난 25일 한 언론의 보도가 있기 전까지 전혀 공개되지 않았다는 것. 보도 이후 인터파크 측은 부랴부랴 해당 사실을 인정하고 사이트 공지사항을 통해 고객들에게 해킹 사실을 알렸다.
5월 이후 2개월여 간 해킹 사실을 전혀 인지하지 못하다 해커들의 통보로 인해 사고를 깨닫게 된 것은 차치하더라도, 13일 경찰에 알린 사안을 12일 후에야 고객들에게 알린 것은 지나친 ‘늑장대응’이라는 지적이 일고 있는 이유다.
이와 관련 인터파크 관계자는 CNB와 통화에서 “사건을 인지한 직후 경찰에 신고했다. 경찰과 협조 하에 비공개적으로 범인 검거와 단서 확보를 위한 수사를 진행하다보니 바로 공개하기가 어려웠던 것”이라며 “언론보도 직후 홈페이지에 공지를 띄우고, 고객들에게 개별 메일도 발송했다”고 해명했다.
▲26일 인터파크 로그인 화면. 우측의 ‘휴대폰번호로그인’ 유료광고의 외견과 배치가 인터파크의 정식 로그인 서비스와 유사한 화면으로 구성되어 고객들에게 혼란을 줬다. 26일 오후 이 광고는 사라졌다. (사진=인터파크)
또다른 문제는 해킹 여부를 확인하기 위해 인터파크 사이트를 방문한 고객들이 로그인 과정에서 원치 않는 유료서비스에 가입하게 되는 점이다. 이른바 ‘낚이게 되는’ 것이다.
한 IT커뮤니티 사용자는 26일 “인터파크 정신 못차렸네요. 유료가입 유도.jpg”라는 게시물에 인터파크 로그인 화면 캡처 이미지를 업로드한 후 “로그인 창 우측의 ‘휴대폰번호 로그인’을 클릭하면 유료 서비스 가입 화면으로 넘어간다. 모르고 동의하면 월 1100원 유료 서비스에 가입된다.”고 분통을 터뜨렸다.
또다른 사용자도 이 광고 배너에 대해 “제정신이 아니네요. 저렇게 혼동할만한 광고를 대놓고 붙일 줄이야”라고 비판하는 게시물을 올렸다.
문제의 유료 서비스 배너 노출이 지금같은 위기 상황에서 소비자들에게 혼동을 주고 있다는 지적에 대해 인터파크 관계자는 “단순 광고라서 미처 그런 부분까지 파악하지 못했다”며 “확인 후 바로 노출되지 않게 처리했다”고 설명했다.
인터파크 측의 설명대로, 이 광고 배너는 26일 오전까지는 로그인 화면에 지속적으로 노출됐으나, 오후부터는 나타나지 않고 있다.
▲26일 인터파크의 개인정보 유출여부 확인 결과 화면. ‘비밀번호도 유출됐지만 암호화되어 해독이 불가하다’고 설명되어 있다. (사진=인터파크)
마지막으로 가장 민감한 문제는 단연 ‘비밀번호’의 유출 여부다.
인터파크 측은 고객정보 유출조회 페이지에 “비밀번호는 일방향 암호화 되어 있어 해독이 불가하지만, 보다 안전한 비밀번호로 변경을 권유드린다”고 설명해 놨다. 비밀번호가 유출됐지만 완전히 공개된 것은 아니라는 입장이다.
하지만, 전문가들의 생각은 다르다. ‘일방향 암호화된 비밀번호의 유출’은 사실상 ‘비밀번호 유출’로 봐야 한다는 것.
한 보안업계 관계자는 CNB와 통화에서 “일방향 암호화됐다는 표현으로 봐서는 해쉬 함수(Hash function)를 사용한 것으로 보이는데, 널리 사용되는 해쉬 함수는 사전(Dictionary) 기법 같은 단순 단어 조회만으로도 빠른 시간에 해독 가능하다”며 “사실상 비밀번호는 유출된 것이나 다름없다”고 지적했다.
실제로 지난 26일 주요 IT커뮤니티에는 “로그인 시도도 안했는데 아이핀 인증하라는 코드 메일이 엄청 오고 있다” “인터파크 아이디와 비번이 같은 네이버 계정의 해외로그인 차단이 해제됐다” “휴면상태였던 엔씨소프트 이메일 로그인이 갑자기 활성화됐다는 메일이 왔다” “인터파크 로그인을 시도했더니 이미 비밀번호 5회 오류가 났다는 창이 떴다” 등 다양한 해킹 피해·의심사례가 제보되고 있다.
(CNB=정의식 기자)
주요 기사
![[핫+CEO] ‘승부사’ 윤영준 현대건설 사장…잇단 잭팟 비결은 ‘이것’](https://www.cnbnews.com/data/cache/public/photos/cdn/20240417/art_1714028377_176x135.jpg)
![[내예기] 직원이 행복한 회사…내일을 꿈꾸는 동아쏘시오그룹](https://www.cnbnews.com/data/cache/public/photos/cdn/20240416/art_1713409978_176x135.jpg)
![[핫+CEO] ‘승부사’ 윤영준 현대건설 사장…잇단 잭팟 비결은 ‘이것’](https://www.cnbnews.com/data/cache/public/photos/cdn/20240417/art_1714028377_78x71.jpg)
ⓒ 2004~2024 Copyright by CNBNEWS. All rights reserved. (주)CNB미디어 사업자등록번호 : 206-81-40424 전화 02-396-3733 FAX:02-396-7330
대표이사 : 황용철 서울시 서대문구 연희로 52-20 정기간행물 등록번호 : 서울아00105 (2005.11.7) 발행일 : 2005.4.11 CNB뉴스 발행인·편집인: 황용철, 편집국장 : 도기천,
청소년보호책임자 : 류창림, CNB뉴스에 실린 내용 중 제휴기사, 칼럼 등 일부 내용은 CNB뉴스의 공식 견해와 다를 수 있습니다.
대표이사 : 황용철 서울시 서대문구 연희로 52-20 정기간행물 등록번호 : 서울아00105 (2005.11.7) 발행일 : 2005.4.11 CNB뉴스 발행인·편집인: 황용철, 편집국장 : 도기천,
청소년보호책임자 : 류창림, CNB뉴스에 실린 내용 중 제휴기사, 칼럼 등 일부 내용은 CNB뉴스의 공식 견해와 다를 수 있습니다.