`여기어때 회원정보 유출` 금품 요구 일당 검거

중국 동포 전문해커 고용 범죄
여기어때측 "상황 지켜보겠다"
숙박 O2O(온·오프라인 연계)서비스 '여기어때' 해킹 사건의 전말이 드러났다. 여기어때 측은 가장 흔한 취약점을 이용한 해킹에 보안이 뚫리는 것이 반복됐는데도 "상황을 지켜보겠다"는 입장만 되풀이하고 있어 비난을 사고 있다.

1일 경찰청 사이버수사과는 해커를 고용해 여기어때 전산망에 침입, 개인정보를 빼낸 뒤 업체 측에 금품을 요구한 혐의(정보통신망 이용촉진 및 정보보호 등에 관한 법률 위반·공갈미수)로 이모(47)씨, 중국인 해커 남모(26)씨 등 4명을 구속했다고 밝혔다. 경찰은 외국으로 도피한 공범 A씨의 소재도 추적 중이다.

경찰 조사 결과 이씨와 A씨는 올 3월 6∼17일 여기어때 홈페이지를 해킹해 이용자 99만명의 숙박 예약정보와 회원정보, 가맹점 정보 등 개인정보 341만건을 빼낸 뒤, 여기어때 측에 비트코인 3억원과 현금 6억원 등을 요구하며 협박한 혐의를 받고 있다. 이들은 박모(34)씨와 조모(31)씨를 통해 국내 체류하던 중국 동포 해커 남모(26)씨를 소개받아 해킹을 의뢰했다. 남씨는 돈을 받고 청부 해킹을 하는 중국인 해커집단 소속이다.

이들은 가상의 보안업체를 사칭, 여기어때 측에 19차례 이메일을 보내고 게시판에 글을 올리는 등 금품을 요구한 것으로 드러났다. 여기어때 측이 응하지 않자 이들은 해킹으로 확보한 개인정보를 토대로 이용자 4600여명에게 성적 수치심을 유발하는 문자메시지 4713건을 세 차례에 걸쳐 발송했다. 경찰은 해외 체류하고 있는 공범의 뒤를 쫓는 한편 2차 피해를 차단하기 위해 추가 수사를 진행할 것이라고 밝혔다.

조사결과에 따르면 남씨는 데이터베이스(DB) 접근 페이지의 보안상 취약점을 이용한 'SQL 인젝션(injection)', 관리자 권한을 가로채는 '세션 하이재킹'(session hijacking) 등 흔히 알려진 해킹 수법을 쓴 것으로 파악됐다.

이는 앞서 방송통신위원회 등이 포함된 민·관 합동조사단이 발표한 조사결과와 일치한다. 여기어때 측은 기초적 수법의 해킹에 보안이 뚫렸다는 사실에 비판받고 있다. 회사는 사태 발생 2개월여 뒤인 지난달 31일 뒤늦게 여기어때 이용자만 후기를 작성할 수 있고, 고객정보 보호를 강화한 '고객안심 캠페인'을 실시한다고 밝혔다. 하지만 보안과 직접 관련된 '안심번호' 제도, 신규 보안 솔루션 등은 아직 도입 전이다. 피해자 보상안도 구체적으로 결정된 게 없어 최근 피해자들이 집단소송에 나섰다. 여기어때 관계자는 "상황을 지켜보겠다"며 "다시 한 번 우려를 끼쳐 사죄드린다"고 밝혔다.

진현진기자 2jinhj@