보안이 취약한 국내 중견·중소기업 40여 곳이 해킹을 당해 개인정보 2000여만건이 중국 인터넷 사이트에 유출된 것으로 드러났다.
이번 사건은 해커가 해당 기업들의 관리자 계정을 탈취해 이름과 주소, 전화번호 등 개인정보는 물론 비밀번호까지 모두 빼냈다는 데 사태의 심각성을 더하고 있다. 비밀번호는 그동안 빈발했던 대형 정보유출 사고에서도 쉽게 유출되지 않은 항목이다. 개인정보보호법 등에서 비밀번호는 별도 저장하거나 일방향 암호화를 하도록 하고 있으나 해킹을 당한 기업들이 보안이 취약한 중견·중소기업이다 보니 이를 지키지 않은 것이다.
비밀번호를 이용한 심각한 2, 3차 피해가 우려된다. 더욱이 우리는 올해 초 KB국민·롯데·NH농협카드에서 1억건의 고객정보가 유출된 데 이어 2개월 만에 KT에서 또 1200만건이 털렸다. 2011년 이후 유출된 개인정보만 2억건을 넘는다고 한다.
외부로 나간 이름, 주소, 주민번호, 휴대전화번호, 직장명 등 개인정보를 조합하면 신분증을 위조할 수 있다. 여기에 이번 사건으로 비밀번호까지 더해진다면 그 피해는 상상만으로도 끔찍하다. 실제 보안 전문가들은 여러 개 사이트에서 동일 비밀번호를 사용하는 국내 네티즌 특성상 타 사이트 명의도용이나 사칭 등 2차 피해가 일어날 확률이 매우 높은 것으로 우려하고 있다. 개인정보 유출이 피해의 끝이 아니라 시작이 될 수 있다.
정부는 특단의 조치를 강구해야 한다. 우선 2, 3차 피해를 막으려면 유출 방지는 물론 개인정보 불법 거래를 철저히 차단해야 한다. 유출된 정보는 무용지물이 되도록 해야 한다. 그런 차원에서 주민번호를 대체할 새로운 거래 수단을 내놓기로 했으면 서둘러라. 또 공인인증서 의무 사용 폐지에 따른 온라인 쇼핑몰 등에서 신뢰할 만한 본인인증 결제시스템도 만들어야 할 것이다.
이번 해킹이 보안이 취약한 중견, 중소기업들에서 집중적으로 발생했다는 점도 주목해야 한다. 한국인터넷진흥원(KISA)에 따르면 보안에 투자하는 기업 비율이 45.9%에 불과하다. 국내 기업 중 절반 이상이 보안에 전혀 투자를 하지 않고 있는 것이다. 기업들이 보안을 하지 않는 이유는 더 가관으로, 응답기업의 46.5%가 '정보보안 사고 피해가 거의 없어 필요성을 느끼지 않는다'고 답했다.
일단 숨기고 보려는 기업들의 태도도 문제다. 정보통신망법에 따르면 온라인 서비스를 하는 기업의 경우 정보유출 사실을 인지한 즉시 관계기관(방통위)에 신고하고 고객들에게 해당 사실을 알려야 한다. 하지만 이번에 해킹을 당한 40여개 기업 중 해킹 사실을 고객들에게 자발적으로 알린 기업은 많지 않다. 그나마도 적극적으로 고객들에게 해킹 사실을 알리고 비밀번호 변경을 도운 게 아니라, 단지 홈페이지에 공지하는 수준에 그쳤다.
기업들의 인식과 태도가 이 정도라면 정부는 보다 강력한 규제를 마련해야 한다. 기본적인 보안 투자 가이드라인을 제시하고 이를 어긴 기업에 책임을 묻는 제도를 검토할 때다. 말로만 보안을 하라고 해서는 안 된다. 개인정보를 허술하게 관리하고 보안을 등한시했다가는 패가망신할 수도 있다는 인식을 심어줘야 한다. 물론 그에 걸맞은 당근책도 있어야 한다. 특히 자금력이 떨어지는 중소기업들에게는 보안 투자에 비례하는 세제혜택 등이 필요하다.
이번 사건은 해커가 해당 기업들의 관리자 계정을 탈취해 이름과 주소, 전화번호 등 개인정보는 물론 비밀번호까지 모두 빼냈다는 데 사태의 심각성을 더하고 있다. 비밀번호는 그동안 빈발했던 대형 정보유출 사고에서도 쉽게 유출되지 않은 항목이다. 개인정보보호법 등에서 비밀번호는 별도 저장하거나 일방향 암호화를 하도록 하고 있으나 해킹을 당한 기업들이 보안이 취약한 중견·중소기업이다 보니 이를 지키지 않은 것이다.
비밀번호를 이용한 심각한 2, 3차 피해가 우려된다. 더욱이 우리는 올해 초 KB국민·롯데·NH농협카드에서 1억건의 고객정보가 유출된 데 이어 2개월 만에 KT에서 또 1200만건이 털렸다. 2011년 이후 유출된 개인정보만 2억건을 넘는다고 한다.
외부로 나간 이름, 주소, 주민번호, 휴대전화번호, 직장명 등 개인정보를 조합하면 신분증을 위조할 수 있다. 여기에 이번 사건으로 비밀번호까지 더해진다면 그 피해는 상상만으로도 끔찍하다. 실제 보안 전문가들은 여러 개 사이트에서 동일 비밀번호를 사용하는 국내 네티즌 특성상 타 사이트 명의도용이나 사칭 등 2차 피해가 일어날 확률이 매우 높은 것으로 우려하고 있다. 개인정보 유출이 피해의 끝이 아니라 시작이 될 수 있다.
정부는 특단의 조치를 강구해야 한다. 우선 2, 3차 피해를 막으려면 유출 방지는 물론 개인정보 불법 거래를 철저히 차단해야 한다. 유출된 정보는 무용지물이 되도록 해야 한다. 그런 차원에서 주민번호를 대체할 새로운 거래 수단을 내놓기로 했으면 서둘러라. 또 공인인증서 의무 사용 폐지에 따른 온라인 쇼핑몰 등에서 신뢰할 만한 본인인증 결제시스템도 만들어야 할 것이다.
이번 해킹이 보안이 취약한 중견, 중소기업들에서 집중적으로 발생했다는 점도 주목해야 한다. 한국인터넷진흥원(KISA)에 따르면 보안에 투자하는 기업 비율이 45.9%에 불과하다. 국내 기업 중 절반 이상이 보안에 전혀 투자를 하지 않고 있는 것이다. 기업들이 보안을 하지 않는 이유는 더 가관으로, 응답기업의 46.5%가 '정보보안 사고 피해가 거의 없어 필요성을 느끼지 않는다'고 답했다.
일단 숨기고 보려는 기업들의 태도도 문제다. 정보통신망법에 따르면 온라인 서비스를 하는 기업의 경우 정보유출 사실을 인지한 즉시 관계기관(방통위)에 신고하고 고객들에게 해당 사실을 알려야 한다. 하지만 이번에 해킹을 당한 40여개 기업 중 해킹 사실을 고객들에게 자발적으로 알린 기업은 많지 않다. 그나마도 적극적으로 고객들에게 해킹 사실을 알리고 비밀번호 변경을 도운 게 아니라, 단지 홈페이지에 공지하는 수준에 그쳤다.
기업들의 인식과 태도가 이 정도라면 정부는 보다 강력한 규제를 마련해야 한다. 기본적인 보안 투자 가이드라인을 제시하고 이를 어긴 기업에 책임을 묻는 제도를 검토할 때다. 말로만 보안을 하라고 해서는 안 된다. 개인정보를 허술하게 관리하고 보안을 등한시했다가는 패가망신할 수도 있다는 인식을 심어줘야 한다. 물론 그에 걸맞은 당근책도 있어야 한다. 특히 자금력이 떨어지는 중소기업들에게는 보안 투자에 비례하는 세제혜택 등이 필요하다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
