경찰은 현재 해킹 경위를 파악하는 데 수사력을 집중하고 있다. 경찰청 사이버테러대응센터 관계자는 “문제의 해커는 중국인이며, 우회 IP를 통해 옥션 시스템에 침투한 뒤 악성코드를 심었다. 이렇게 해서 빼낸 회원들의 개인정보가 중국으로 넘어간 것으로 보고 중국 공안과도 공조 수사를 벌이고 있다”라고 말했다. 그러나 해킹 수법 자체가 워낙 교묘해 추적에 애를 먹고 있는 것으로 알려지고 있다.
국내 보안 전문가들도 이번 사태가 국내 게임 아이템을 노린 중국 해커들의 소행인 것으로 추정하고 있다. 보안업체인 잉카인터넷의 한 관계자는 “경찰 수사 결과가 나와봐야 자세한 내용을 알 수 있겠지만 중국 쪽으로 상당한 양의 개인정보가 빠져나간 것 같다”라고 추측했다.
때문에 한동안 잠잠했던 중국발 ‘해킹 공포’가 또다시 수면으로 떠오르고 있다. 이한창 윈디소프트 부회장은 “한국 온라인 게임 계정을 노리는 중국 쪽의 해킹 시도가 최근 들어 부쩍 늘어나고 있다. 게임업체들도 나름의 대비책을 마련하고 있지만 그렇지 않은 곳도 많아 걱정이다”라고 토로했다.
보안업체인 안철수연구소가 집계한 1분기 악성코드 피해 건수는 지난해 9월을 기점으로 급증하고 있다. 지난해 9월 1천3백3건에 불과하던 피해 신고가 10월 4천2백65건, 11월 6천4백54건으로 늘어나고 있는 추세다. 올 1월 한 달 동안에만 8천9백48건의 피해 신고가 접수되었다. 불과 반년 만에 해킹 피해자가 6배 이상 늘어난 것이다.
문제는 개인정보를 빼가는 악성코드 형태가 갈수록 교묘해지고 있다는 점이다. 중국발 해킹을 우려한 국내 업체들이 보안을 강화하자 한 단계 진화된 ‘업그레이드형’ 악성코드를 잇달아 토해내고 있다. 최근에는 V3와 같은 안티바이러스 프로그램은 물론이고, 인터넷업체의 보안 체계까지 무력화시킬 수 있는 프로그램까지 등장했다.
국내 온라인 게임 계정 노리고 해킹…무차별 거래 확인
조시행 시큐리티대응센터 상무는 최근 급증하고 있는 중국발 해킹이 국내 온라인 게임 계정을 노린 것으로 보고 있다. 그는 “온라인 게임을 노리는 중국발 해킹은 어제오늘의 일이 아니다. 그러나 최근 들어서는 특정 게임만을 노리는 형태에서 벗어나 무차별적으로 악성코드를 심고 있다”라고 설명했다.
안철수연구소의 분석에 따르면 올해 1분기 새로 발견된 악성코드 및 스파이웨어는 4천8백57개로 전년 동기 대비 2배 가까이 증가했다. 이 중 게임 계정 탈취용 트로이목마가 상당 부분을 차지하고 있다. 신고 건수도 전년 대비 3.6배나 증가했다.
악성코드를 통해 유출된 개인정보가 중국에서 아무런 제재 없이 유출되고 있다는 점도 문제다. 기자는 중국의 ㅇ커뮤니티 사이트를 방문해보았다. 이곳에서는 한국 온라인 게임이나 포털 사이트의 아이디와 비밀번호는 물론이고, 개인의 은행 계좌까지 매매되고 있었다.
게시판마다 ‘옥션 아이디 팝니다. 010-9634-××××.’ ‘네이버 아이디 및 비밀번호 대량 구매 ×××@hotmail.com’ 같은 글이 수시로 올라왔다 내려가고 있었다. 사이트 한쪽에서는 가상사설망(VPN)을 통해 한국 게임에 접속할 수 있는 곳이 별도로 마련되어 있다. 김준현 네오위즈게임즈 팀장은 “국내 게임업체들은 중국에서 이용되는 IP를 차단하고 있다. 그러나 업자들은 VPN이나 한국 아이디를 구입해 제재를 교묘히 피하고 있다”라고 말했다.
이같은 루트를 통해 마련한 사이버머니나 게임 아이템은 현금으로 환전해 다시 중국으로 송금된다. 한국과 중국의 환율 차이가 크기 때문에 중간에 전문적으로 환차를 정산해주는 업자도 끼어 있는 것으로 알려지고 있다. 한 중국 게임 포털 사이트의 경우 한때 한국인의 주민등록번호를 도용할 수 있는 방법까지 상세하게 안내해 현지에서 물의를 빚기도 했다. 이 사이트는 현재 가입 회원 수만 수천만명 이상으로 국내에 알려진 대표적인 중국의 게임 포털이다. 그런 사이트가 주민등록번호 도용 같은 불법을 유도해 눈총을 받았다. 이 사이트에는 한때 한국 게임에 접속할 수 있도록 한국인의 실명과 주민등록번호, 주소, 전화번호 등을 도용할 수 있는 방법이 상세히 게재되어 있었다. 중국 게이머들은 이 정보로 손쉽게 국내 게임 사이트에 회원으로 가입할 수 있었다.
최근 중국을 다녀왔다는 한 사업가는 “중국 학생들이 PC방 등에서 한국인의 실명과 주민등록번호 등이 있는 사이트를 이용해 아무런 제한 없이 국내 게임에 회원으로 가입하고 있다. 이 사이트에는 수백명의 한국인 개인정보가 고스란히 올라와 있다”라고 귀띔했다.
기자가 방문한 중국 내 또 다른 사이트도 상황은 마찬가지였다. 한국인 이름과 주민등록번호, 연락처 등이 고스란히 게재되어 있었다. 최근 해킹을 당한 옥션의 아이디 및 비밀번호를 벌써부터 이 사이트에서 판매한다는 문구도 올라와 있다. 때문에 최근 해킹된 개인정보가 이 사이트를 통해 벌써 세탁되는 것이 아니냐는 의혹이 제기되고 있다.
이와 관련해 옥션측은 “해킹을 통해 개인정보가 유출되기는 했지만 비밀번호는 암호화 작업이 되어 있어 유출이 되지 않았다. 이번 해킹을 통해 유출된 정보는 아닌 것으로 알고 있다”라고 해명했다. 그러나 판매되는 아이디나 비밀번호 자체가 대량이어서 해킹에 따른 유출 가능성도 배제할 수 없다.
해마다 이같은 일이 해마다 반복되고 있음에도 아무런 대책이 없다는 점은 더욱 큰 문제로 지적되고 있다. 지난 2006년 리니지 명의 도용 사태가 발생했을 당시 회원 20만명 이상의 주민등록번호가 해킹으로 유출되었다. 미래에셋, 다음 등 금융기관이나 포털 사이트도 최근 해킹을 당한 바 있다.
중국의 사이트에는 심지어 국내 최대의 포털 사이트인 네이버의 아이디 및 비밀번호를 판매한다는 글도 간간히 올라오고 있었다. 네이버측은 해킹 가능성을 일축하고 있다. 그러나 네티즌들은 각 포털이나 블로그를 통해 네이버가 해킹되었을 가능성을 제기하고 있다.
한 보안 전문가는 “보안이 취약한 사이트나 개인 컴퓨터를 통해 개인정보가 유출될 수 있다. 그러나 매매되는 아이디나 비밀번호 자체가 대량으로 유통되는 만큼 해킹 가능성도 있다”라고 조심스럽게 말했다.
정부도 주민등록번호를 대체할 수단을 만드는 등 그동안 대책 마련에 고심해왔다. 지난 2006년 6월 터진 리니지 명의 도용 사태 이후 주민등록번호 대체 수단으로 개인인증키(한국신용정보), 가상 주민등록번호 (한국신용평가정보), 개인 ID 인증서비스(서울신용평가정보), 공인인증서(한국공인인증) 등을 마련했다.
가상 주민등록번호도 유출 가능…다각적으로 대비해야
이에 따라 엔씨소프트, 웹젠, 넥슨 등은 지난 2007년부터 가상 주민등록번호로 회원 가입을 받고 있다. 가상 주민등록번호는 신용평가기관에서 부여하는 13자리의 번호로 휴대전화 등을 통해 본인 여부를 확인한 후 발급하고 있다. 휴대전화 등을 통해 별도로 본인 확인 절차가 진행되기 때문에 기존의 주민등록번호보다는 안전하다는 평가를 받고 있다. 한 게임업체 관계자는 “가상 주민등록번호는 기존 주민등록번호처럼 고정된 번호가 아니라 언제든지 변경하거나 폐지할 수 있어 좀더 안정적인 평가를 받고 있다”라고 말했다.
그럼에도 해킹이 끊이지 않으면서 이런 대체 수단들조차 실효성이 의문시되고 있다. 12자리의 난수와 비밀번호가 유출될 경우 주민등록번호보다 더 큰 피해를 볼 수 있다는 것이 전문가들의 중론이다. 익명을 요구한 한 보안업체 관계자는 “가상 주민등록번호 역시 개인정보를 숫자로 표시하는 또 다른 주민등록번호에 불과하다. 해킹 등에 의해 유출될 가능성이 높다”라고 설명했다.
그는 “가상 번호는 기존 주민등록번호를 기반으로 한 아이디를 사용하는 것이 아니라 난수 번호로 모든 사이트에 가입하게 된다. 그러나 번호를 발급하는 기관이 해킹을 당할 경우 그 피해는 기존 인터넷업체들이 당할 때보다 훨씬 심각할 수 있다”라고 지적했다.
전문가들은 무엇보다 해킹에 대비해 스스로 주의해야 한다고 입을 모은다. 어기준 컴퓨터생활연구소 소장은 “최근의 해킹 동향은 취약점을 찾아 집중 공격하는 경향이 있다. 때문에 기업 스스로 보안을 위한 투자를 강화해야 또 다른 피해를 줄일 수 있을 것이다”라고 조언했다.
이한창 윈디소프트 부회장도 “회사에서는 현재 주민등록번호와는 별도로 아이디를 부여하는 두 가지 로그인 절차를 시행 중이다. 아이디는 암호화 처리되어 있기 때문에 통째로 해킹을 당해도 유출될 염려가 없다. 해킹 피해를 줄이기 위해서는 다각적으로 대비하는 것이 중요하다” 라고 강조했다.
