[해킹 도미노] ① 은행도 카페도 학교도…일상 곳곳서 내 정보 털렸다

다음 내용이 궁금하다면?

불편하시다면 뒤로 가기를 눌러주세요

10월 25개 기업·기관서 개인정보 약 534만건 유출 집계

금융·교육·항공까지 피해 확산…계좌번호·신분증 사본도

(서울=연합뉴스) 권하영 기자 = 은행에서 금융거래를 하고 카페에서 커피를 마시고 학교에서 공부하는 평범한 일상 곳곳에서 내 개인정보가 털리고 있다.

10월 한 달간 은행과 증권사, 대학, 항공사, 커피전문점 등 업종을 가리지 않고 해킹과 개인정보 유출 사고가 잇따르면서 일상적으로 이용하는 서비스 전반으로 피해가 확산했다.

사이버 침해 사실이나 의심 정황이 드러난 주요 기업·기관 25곳에서 확인된 개인정보 유출 규모를 단순 합산하면 약 534만건에 이른다. 중복된 정보가 포함돼 실제 피해 인원과는 차이가 있지만 한 달 사이 드러난 유출 규모와 피해 범위가 상당하다.

특히 이름과 전화번호 등 기본적인 개인정보뿐 아니라 계좌번호와 대출 관련 정보, 주민등록번호, 신분증 사본까지 유출된 사례도 확인됐다. 여러 기업과 기관의 개인정보를 관리하는 위탁업체 한 곳이 해킹당하면서 20여곳으로 피해가 번지는 등 연쇄 피해도 발생했다.

유출된 정보가 금융기관이나 공공기관을 사칭한 피싱 등 2차 범죄에 악용될 수 있다는 우려가 커지는 가운데 일부 기업과 기관에서는 정확한 피해 규모조차 파악하지 못하고 있다.

◇ 은행·카페·항공사까지…한달간 개인정보 유출 534만건

1일 관련 업계와 당국 발표 등을 종합하면 9월 말 금융권에서 불거진 해킹 사태를 시작으로 10월 중 사이버 침해 사실이나 의심 정황이 드러난 주요 기업·기관 25곳에서 확인된 개인정보 유출 규모를 단순 합산하면 약 534만건에 이른다.

가장 큰 피해가 확인된 곳 중 하나는 커피전문점 할리스다. 할리스는 지난달 16일 멤버십 시스템에 외부 비인가 접근이 발생해 고객정보가 유출된 사실을 확인하고, 19일 약 276만건의 유출 피해를 발표했다.

유출 항목은 아이디와 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일, 중복가입확인정보(DI) 등 9개다. 다만 2009년부터 2020년 2월까지 쌓인 과거 멤버십 데이터로, 동일 회원의 중복 정보가 포함돼 있다.

금융권에서는 은행과 저축은행, 증권사, 가상자산 거래소 등 업종 전반으로 피해가 번졌다.

금융당국은 지난달 14일 기준 은행과 저축은행, 캐피탈사, 가상자산사업자 등 금융회사 16곳에서 침해사고가 확인됐으며, 당시까지 파악된 개인정보 유출 규모가 약 10만건이라고 발표했다.

신한은행에서는 대출 신청 고객 약 2만5천명, 예가람저축은행에서는 약 4만명의 정보가 유출됐다. KB국민은행과 하나은행, 부산은행 등에서도 피해가 확인됐다.

증권업계에서는 대신증권[003540]이 지난달 28일 고객 3만8천490명의 이름과 이메일, 주소, 암호화된 계좌번호 등이 유출됐다고 밝혔다. 미래에셋자산운용도 일부 업무용 시스템 관련 정보가 외부로 빠져나갔으나 구체적인 규모는 공개하지 않았다.

가상자산 거래소 빗썸에서는 고객 6천444명과 임직원 715명의 개인정보가 유출됐다. 특히 고객 844명의 주민등록번호와 운전면허번호, 계좌번호, 신분증 사본 등이 직접 노출됐다. 나머지 고객 5천600명의 정보는 암호화된 파일 형태로 유출됐다는 게 회사 측 설명이다.

항공·여행 분야에서도 사고가 이어졌다. 진에어[272450]는 지난달 29일 회원 1천454명의 개인정보 유출 사실을 공개했으며, 같은달 20일에는 대한항공[003490]과 아시아나항공[020560]은 외부 항공 정보기술(IT) 시스템 운영업체를 통해 고객 예약정보가 유출됐다는 통보를 받기도 했다.

모바일 상품권 서비스에서도 피해가 발생했다. 롯데 계열 대홍기획의 자회사 스푼이 운영하는 '기프티엘'에서는 고객 1만8천359명의 이름과 휴대전화 번호, 이메일 주소, 환불 계좌번호 등이 유출됐다.

SK플래닛 역시 해킹으로 개인정보가 유출된 사실이 확인됐으나 구체적인 피해 규모는 아직 파악되지 않았다.

여행·숙박 플랫폼 놀유니버스에서는 옛 인터파크투어의 국내 숙소 예약 고객정보가 유출됐다. 정확한 피해 규모는 확인되지 않았지만 회원 아이디와 예약자명, 전화번호, 이메일뿐 아니라 상품명과 구매금액, 이용일자 등 예약 내역까지 포함된 것으로 알려졌다.

주거시설도 안전지대가 아니었다. GS건설[006360]은 지난달 28일 아파트 커뮤니티 시설 예약 관리 시스템에 외부 비인가 접근이 발생했으며, 이로 인한 개인정보 유출 사실을 30일 알렸다.

◇ 대학·공공기관도 피해…위탁업체 한 곳 뚫리자 20여곳 연쇄 유출

교육 분야에서는 온라인 학습관리시스템 운영업체 한 곳이 해킹당하면서 개인정보를 맡긴 대학과 공공기관, 기업·단체까지 연쇄적으로 피해를 보는 사태가 발생했다.

온라인 교육 플랫폼 업체 맑은소프트는 9월 19~20일 해킹 공격을 받아 지난달 초 개인정보 유출 사실이 알려졌다. 이 사고로 국방부와 국민권익위원회, 한국교육시설안전원, 기아[000270] 노조 등 개인정보 처리를 위탁한 기업·기관 20여곳으로 피해가 확산했으며, 유출 규모는 약 237만건에 달한다.

국가청렴권익교육원 이용자 약 10만명과 한국교육시설안전원 약 4만명, 기아 광명공장 노조원 약 5천명의 정보도 여기에 포함됐다.

대학들이 자체적으로 운영하거나 이용하는 시스템에서도 잇따라 보안 사고가 발생했다.

연세대는 포털서비스 해킹으로 지난달 22일 기준 재학생과 졸업생 등 1만여명의 개인정보가 유출됐고, 국립부경대는 지난달 17일 수협은행 등록금 수납관리시스템이 공격받아 학생과 직원 5천108명의 정보가 빠져나갔다.

서울사이버대에서도 재학생과 졸업생, 교직원 등의 개인정보가 외부로 유출됐으나 정확한 피해 인원은 확인되지 않았다.

한국전력에서는 직원 약 2만4천명의 이름과 소속, 전화번호 등이 외부 웹페이지에 노출되는 사고가 발생했다. 한전은 현재 협력사에 의한 유출과 외부 해킹 가능성을 모두 열어 두고 사고 원인을 조사하고 있다.

다만 이번에 집계된 전체 유출 규모는 기업·기관의 신고 내용과 잠정 조사 결과를 단순 합산한 수치로, 개인정보 유출 건수와 실제 피해 인원이 혼재돼 있다.

한 사람이 여러 서비스에서 중복으로 피해를 봤을 가능성이 있고, 아직 유출 규모가 확정되지 않은 사고도 있어 향후 조사 결과에 따라 전체 수치는 달라질 수 있다.

◇ 계좌·신분증까지 털렸다…2차 범죄 우려에 피해 파악도 난항

이번 연쇄 해킹 사태에서 주목할 대목은 유출된 개인정보의 범위와 종류다. 단순한 연락처를 넘어 금융거래와 본인확인에 쓰이는 정보까지 외부로 빠져나가면서 피해가 추가 범죄로 이어질 가능성이 제기된다.

특히 계좌번호와 대출 관련 정보, 주민등록번호, 신분증 사본 등이 다른 개인정보와 결합하면 금융기관이나 공공기관을 사칭한 피싱 등 보다 정교한 범죄에 악용될 수 있다는 우려가 나온다.

사고가 발생한 뒤에도 정확한 피해 범위를 파악하기 어렵다는 점은 또 다른 문제다. 기업이 해킹 사실을 확인하더라도 어떤 정보가 얼마나 유출됐는지 조사하는 데 상당한 시간이 걸릴 수 있다. 실제로 최초 사고 발표 이후 피해 규모가 추가로 드러나는 사례가 이어지고 있다.

개인정보 처리를 외부 업체에 맡기는 위탁 구조 역시 피해를 키우는 취약점으로 드러났다. 이용자가 직접 가입하거나 정보를 제공한 기업·기관의 시스템이 공격받지 않더라도, 여러 곳의 데이터를 관리하는 위탁업체 한 곳이 뚫리면 피해가 동시다발적으로 번질 수 있기 때문이다.

국내 보안 전문가는 "개인정보 유출이 특정 업종에 국한되지 않고 일상적으로 이용하는 서비스 전반에서 발생하고 있다"며 "특히 유출된 정보가 다른 정보와 결합되면 정교한 사칭이나 피싱 등 2차 범죄에 악용될 수 있어 사고 이후에도 지속적인 주의가 필요하다"고 강조했다.

kwonhy@yna.co.kr

올해 자사주 취득도 삼전닉스 효과…전년보다 5.7배 급 [해킹 도미노] ② 10월 해킹 대란이 남긴 질문…왜

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.