회원가입·로그인 정상처리… 온라인서 단돈 2000원에 팔려
빈번한 유출은 물론이고 유출된 정보의 암거래까지 광범위하게 일어나고 있지만, 정부는 '(확인된)피해 사실은 없다'며 안일한 대응으로 일관하고 있다.
23일 디지털타임스가 개인정보 암거래상과 접촉해 직접 주민번호, 아이핀, 비밀번호 등을 구매하려고 시도한 결과 암거래상 접촉부터 구매까지 걸린 시간은 30여분에 불과했다.
가격은 개당 2000원. 암거래상은 판매한 정보의 '정확성'을 자랑하며 교환까지 보증하는가 하면 추가 구매를 유도하며 '덤'으로 구매하지 않은 정보까지 얹어주기도 했다.
개인정보 거래는 주로 온라인으로 이뤄졌다.
포털사이트에 '아이핀 거래' '아이핀 삽니다' 등의 키워드로 검색하면 어렵지 않게 판매자를 찾을 수 있다.
거래는 △아이디+비밀번호 △주민번호 앞자리+아이핀 아이디+비밀번호 △전체주민번호+아이핀 아이디+비밀번호 세가지 형태로 이뤄졌다.
가격은 아이디와 비밀번호만 있는 경우가 가장 저렴하고 추가될수록 오른다.
거래는 메신저로 구매의사를 밝히고 입금하면 거래상이 이메일로 아이핀을 발송해주는 형태로 진행됐다.
디지털타임스는 구글 검색을 통해 해당 키워드를 입력하고 최신 날짜의 웹문서를 기준으로 서치를 했다.
웹사이트에 들어가면 암거래상이 직접 올려놓은 네이트온, 스카이프, 카카오톡 아이디 등이 열거돼 있다.
이중 카카오톡 아이디로 '친구추가'를 한 후 1:1 채팅을 통해 대화를 요청했다.
'아이핀을 구매할 수 있느냐'는 글을 남긴 지 5분여만에 암거래상은 답변을 했다.
그는 "어떤 용도로 사용할 지 말해주면 거기에 맞춰서 줄 수 있다"며 "주민번호 앞자리와 아이디, 비밀번호로 된 아이핀은 개당 2000원, 기본 10개 이상 구매해야 한다"고 말했다.
아이핀은 각종 포털 사이트나 쇼핑·게임 사이트의 회원가입, 로그인, 홍보용 DB 등 용도별로 사용할 수 있는 인증 수단이다.
암거래상은 어떤 용도로 사용할 지를 물어본 다음, '게임용'이라고 답하자 '주민번호 앞자리와 아이핀 아이디, 비밀번호' 세트를 구매하면 된다고 안내까지 했다.
이 거래상은 "아이핀은 내가 직접 해킹한 것도 있고 생성기에서 추출한 것도 있다"며 "원하는 것 말해주면 얼마든지 구할 수 있으니 말만하라"고 말했다.
또 그는 "아이핀 인증 불량이면 교환해 줄 수도 있다"고 덧붙였다.
거래상을 통해 2만원으로 10개의 아이핀을 구매하니 검색부터 아이핀 거래까지 시간은 30~40분 가량이면 충분했다.
아이핀은 기존 구매하기로 한 10개보다 많은 30개를 이메일로 받았다.
거래상은 '서비스'라고 설명했다.
받아본 아이핀을 분석해 보니 주민번호와 아이디가 실제 존재하는 아이핀이었으며 로그인 등이 가능한 번호였다.
총 30개의 아이핀 중 20대가 4명, 30대가 26명이었다.
이 아이핀으로 온라인 행정서비스인 민원24에서 회원가입과 로그인을 한 결과 정상적으로 이용할 수 있었다.
그간 정부는 아이핀이 주민번호 대체인증 수단이라며 이용을 적극 장려해 왔다.
행정문서 발급이나 공공 업무 처리를 위한 로그인, 인증 등은 물론 게임, 포털, 쇼핑몰 등 민간 영역에서도 아이핀은 광범위하게 활용된다.
정부는 지난해 6월부터 대형마트나 백화점 등 '오프라인'에서도 사용할 수 있는 인증번호로 '마이핀'을 만들어 보급하기도 했다.
문제는 정부가 이용을 장려한 아이핀이 이미 해커들에게 손쉽게 '털리는' 먹잇감으로 전락해버렸다는 점이다.
디지털타임스가 접촉한 암거래상은 "아이핀을 생성기로 추출하기도 하지만 대부분 '직접' 해킹을 해 빼내기 때문에 실제 사용할 수 있는 번호"라고 설명했다.
최근 75만건의 공공아이핀이 대량 부정 발급되는 사고가 있었지만, 암거래상의 말을 분석하면 대량 부정발급 외에도 소량씩 해킹이나 정보유출로 아이핀 도용이 빈번하게 일어나고 있는 것이 입증된 셈이다.
상황이 이 지경인데도 정부는 '아이핀 도용으로 인한 피해는 없다'며 효용성만 강조하고 있다.
행자부 관계자는 "아이핀은 도용이나 유출이 의심될 경우 (변경이 불가능한 주민번호와 달리) 아이디를 재발급 받거나 비밀번호를 변경할 수 있어 보안 관리가 가능하다"면서 "현재까지 아이핀 도용으로 피해를 입었다는 이용자는 거의 없는 것으로 파악하고 있다"고 강조했다.
하지만 보안 전문가들의 생각은 다르다.
한 보안전문가는 "해커들은 아이핀이 인증수단으로 활용도가 높기 때문에 등장할 당시부터 공격대상으로 인식했을 것"이라며 "피해 사실이 없는 것이 아니라 피해자가 아이핀 도용으로 인한 피해 자체를 인지하지 못한 경우도 많고, 설령 피해 사실을 인지했다 하더라도 이를 경찰 등에 '신고'까지 하는 일은 더더욱 적어 당국이 파악을 하지 못하고 있을 뿐"이라고 일침을 가했다.
실제 게임 계정이 도용을 당했다며 한 온라인 커뮤니티에 글을 올린 이용자는 "아이템 몇만원어치가 사라져 경찰에 신고를 하려 했으나 신고 전화를 어디다 해야 하는지도 잘 몰랐고, 수소문해 신고를 했더니 경찰은 '정신차리고 게임 그만하고 공부나 하라'는 식으로 대응해 신고를 포기했다"며 억울함을 호소하기도 했다.
김승주 고려대 정보보호대학원 교수는 "이미 다 털린 주민번호를 입력해야새 인증수단인 아이핀을 발급받을 수있는데 이런 `개인정보 돌려막기` 로는정보유출의 고리를 절대 끊을 수 없다"고 목소리를 높였다.
그는 또 "본인임을 `인증` 해야만 인터넷 서비스를 이용할 수 있도록 한 국내 인터넷 환경 자체가 구조적인 문제점을 안고 있다" 면서 "본인인증을 기본적으로 요구하는 인터넷서비스 자체의 체질을 개선할 필요가 있다" 고 강조했다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
