‘돈맛’ 본 해커들에 청소년들 주민번호 털렸다

초·중등 학생들이 주로 즐기는 온라인 게임 넥슨의 ‘메이플스토리’ 회원 1320만명의 정보가 해킹으로 유출돼 파문이 확산되고 있다.

지난 7월 SK커뮤니케이션즈가 해킹돼 3500만명의 개인정보가 유출되는 최악의 해킹사건이 발생한지 4개월 만에 벌어진 일이어서 더욱 충격을 주고 있다.

넥슨은 개인정보가 유출된 시점과 국내 IP(인터넷주소)를 통해 침입한 정황을 포착했을 뿐 구체적인 해킹 이유나 경로에 대해서는 아직 파악하지 못하고 있다.

서민 넥슨 대표는 해킹 사실이 알려진 지 3일 만인 28일 오전 역삼동 르네상스호텔에서 기자간담회를 열고 개인정보 유출에 대해 공식 사과했다.

방송통신위원회는 정확한 넥슨의 개인정보 유출 사고 경위 파악을 위해 전문가 등으로 사고 조사단을 구성해 조사에 착수했으며 넥슨의 과실과 개인정보보호 관련 위법 사항 등에 대해 엄격하게 조사해 조치할 예정이라고 밝혔다.

◇무엇이 유출됐나=넥슨은 지난 21일 처음 이상 징후롤 감지하고 직후부터 서버들 대상으로 조사 분석을 거친 결과 24일 해커가 내부 서버에 침입해 개인정보를 유출한 흔적을 발견했다. 로그분석을 거친 결과 18일 처음 개인정보가 유출된 사실을 확인했으며 25일 오후 방송통신위원회에 개인정보 유출 사실을 신고했다.

정체모를 해커에 의해 노출된 회원 정보는 성명, ID, 주민등록번호, 비밀번호 등 핵심적인 개인정보들이다. 유출 정보 가운데 비밀번호와 주민번호는 암호화 상태로 빠져나갔지만 암호 해독 가능성도 배제할 수 없어 2차, 3차 피해가 우려된다.

또한 아이템이나 캐시 구입에 필요한 결제 정보는 유출되지 않았다고 넥슨 측은 밝혔지만 게임 이용자의 60%이상이 10대 이용자인 만큼 비밀번호와 주민번호 등 개인정보가 중국 등 해외로 유포될 경우 평생 잠재적 피해자로 살아야 한다는 점에서 우려의 목소리가 높다.

넥슨 측은 암호화 기술이 적용돼 해독이 비밀번호와 주민번호는 해독이 불가능하다고 설명했지만 시간문제일 뿐 100% 장담할 수 없다는 것이 업계의 정설이다.

◇해킹 수법은 SK컴즈때와 유사한 ‘표적 공격’=이번 해킹사고에 대해 보안 전문가들은 내부 서버에 악성코드를 침투 시킨 뒤 정보를 빼내가는 표적 공격인 것으로 보고 있다.

최근 일어나는 해킹 공격의 대부분은 불특정 다수를 대상으로 한 무차별 공격이 아니라 하나의 대상을 정하고 수백~수천번 지속적으로 공격을 감행하는 ‘지능형 표적 지속공격(APT)’이다.

보안 당국 역시 넥슨 해킹이 SK컴즈 때와 유사한 경로로 이뤄졌다고 보고 있다. 서버에 접근할 수 있는 PC에 악성코드를 심어 이를 통해 개인정보를 유출했을 가능성이 높다는 분석이다.

보안 관련 전문가들은 이처럼 진화하는 해킹 사고에 의한 피해를 줄이기 위해서는 기업이 개인정보 수집을 최소화할 필요가 있다고 강조했다. 하지만 넥슨과 같은 게임업체들은 지난 20일부터 적용된 ‘셧다운제’를 위해 개인정보를 전부 보관하고 관리해야 하는 상황이다.

◇최악의 피해, 향후 대책은?=서민 넥슨 대표는 “현행 법상 보관한 주민등록번호 등을 폐기하거나 수집을 최소화할 순 없으며 최고보안책임자(CSO)를 CEO 직속으로 두고 보안 전담반을 꾸리는 등 향후 생길 수 있는 2차 피해에 대비하겠다”고 밝혔다.

또한 현재 비밀번호 변경이 가장 시급하므로 비밀번호 변경 캠페인을 적극적으로 벌인다는 계획이다. 현재 메이플스토리 홈페이지에서만 비밀번호 변경이 가능하지만 향후에는 이것을 확대 실시해 넥슨 닷컴을 포함한 전 게임에서 가능하도록 변경한다는 방침이다.