1억건이 넘는 카드사 고객정보 유출사태의 충격이 채 가시기도 전에 또 대규모 사고가 터졌다.
이번에는 통신업체 KT에서 홈페이지 해킹이 발생해 가입고객 1,200만명의 정보를 털렸다.
주민등록번호, 휴대폰 번호는 물론 집 주소와 은행계좌까지 모두 유출돼 휴대폰 개통·판매 영업자들에게 팔려갔다.
유출사고가 하도 잦으니 ‘아직도 유출될 정보가 남아 있느냐’고 할 정도로 사회 전체가 불감증에 걸릴 지경이다.
KT의 보안체계는 터무니없이 취약했다. 범인은 해킹을 위해 난도가 높지 않은 ‘파로스’ 프로그램을 차용했다.
범행이 이루어진 곳도 서버나 네트워크가 아닌 고객용 홈페이지였다.
9자리의 ‘고객 고유번호’를 무한 반복 입력하는 방식으로 많게는 하루 20만∼30만 건씩 정보를 빼냈다.
누구나 가능한 수법으로, 누구나 접근할 수 있는 공간에서 진행된 초보 수법의 범죄다.
고유번호 주인의 휴대전화를 통해 본인 확인 절차를 거치든지, 세 번 입력에 실패하면 접속이 차단하는 식의 기본 시스템조차 없었다. 한 인터넷주소(IP)에서 계속 다른 번호를 입력하는 상황을 1년여 방치했다.
KT는 국가 기간통신사업자이면서 최고 수준의 정보통신기술 업체로 자부해온 기업이다.
그러나 보안 수준이 국가대표는커녕 동호회보다 못하다는 비아냥이 나오는 판이다.
KT는 2012년에도 내부 전산망 해킹으로 870만 명의 고객정보를 도둑맞았다. 당시 사장이 사과하면서 “세계 최고 수준의 보안 인프라를 갖춘 기업으로 거듭나겠다”고 약속했다.
지난 2년 동안 도무지 뭘 했는지 궁금하다. 결과적으로 경영진의 직무유기이고, 국민과 소비자들을 속인 셈이다.
KT 사고로 유출된 정보는 이름·주민등록번호·전화번호·집주소·직업·은행계좌 등으로, 최대 19가지 정보가 빠져나간 카드사 사태 때보다 낮은 단계다.
그러나 기존의 막대한 유출 정보 등과 결합한다면 위험 수위가 높아지면서 2차 피해도 우려된다.
이동통신사는 가입자를 늘리기 위해 연간 수천억원의 보조금을 뿌린다.
하지만 정작 개인정보 유출을 막는데 쓰는 보안투자액은 전체 투자금액의 1%에도 미치지 못한다. 잿밥에 눈이 멀어 등잔밑 도둑조차 알지 못한 셈이다.
통신사 정보보안의 중요성은 어느 곳보다 크다. 여기가 뚫리면 개인의 통화내역은 물론 위치정보 등을 통해 어디서 무엇을 하고 있는지 모든 사생활을 훤히 들여다볼 수 있다.
생각만 해도 끔찍하다. 사태가 이렇게까지 번지지 않게 하려면 통신사의 보안수준이 지금보다 훨씬 높아질 필요가 있다.
드러난 정황만으로도 KT의 보안 체계 허점은 명백하다.
또한 이번 사태에는 미래창조과학부 등 정부도 책임져야 한다.
북한의 소행으로 추정되는 디도스(DDoS) 공격을 그렇게 당하고도 해킹프로그램 하나 막지 못하는 통신회사의 보안 투자를 보고만 있었으니 입이 열개라도 할 말이 없게 됐다.
KT는 물론이며 정부의 관리감독에 소홀함이 없었는지 철저히 조사, 책임을 엄중하게 물어야 한다.
개인정보 유출사고가 빈발하는 건 약한 처벌 탓이다.
기업이 문을 닫을 수 있다는 위기의식을 갖도록 강력한 민·형사상 책임을 묻는 장치가 필요하다.