해킹과정 개요 자료=미래창조과학부

숙박 검색 모바일 서비스 '여기어때'를 운영하는 위드이노베이션에서 총 99만건의 개인정보가 유출된 것으로 확인됐다.

미래창조과학부와 방송통신위원회, 한국인터넷진흥원, 민간 전문가 등으로 구성된 민관 합동 조사단은 3월7~17일 발생한 위드이노베이션 개인정보 유출 침해사고 조사결과를 26일 발표했다.

조사단이 웹서버 로그 1560만건과 공격에 이용된 서버·PC 등 컴퓨터 5대를 분석한 결과에 따르면 해커는 여기어때 마케팅센터 웹페이지에 'SQL 인젝션' 공격을 통해 데이터베이스(DB)에 저장된 관리자 세션값을 탈취했다.

SQL 인젝션은 데이터베이스에 대한 질의를 조작해 정상적 자료 이외에 해커가 원하는 데이터를 뽑아내는 공격 기법으로, 허술하게 설계·관리되는 서비스를 해커가 공격할 때 흔히 쓰인다. 세션아이디는 웹 통신에서 접속·로그인한 사용자를 식별하기 위해 서버가 사용자별로 할당하는 고유 식별 값이다.

해커는 탈취한 관리자 세션아이디를 이용해 외부에 노출된 '서비스 관리 웹페이지'에 관리자 권한으로 우회 접속했으며, 이런 '세션 변조 공격'을 통해 예약정보·제휴점 정보·회원정보 등을 빼 간 것으로 조사됐다.

조사 결과 위드이노베이션 홈페이지에는 비정상적인 데이터베이스 질의에 대한 검증절차가 없어 SQL 인젝션 공격에 취약한 웹페이지가 존재했다. 또 세션 변조 공격을 탐지·차단하는 체계도 없는 것으로 확인됐다.

유출된 개인정보는 중복을 제거하고도 99만584건이며 중복을 포함하면 340만건에 달한다.

방통위는 위드이노베이션의 개인정보 보호조치 위반 사항에 대해 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 따라 과징금 부과 등 행정처분을 내릴 예정이다. 관련 업계를 대상으로는 개인정보 보호를 위한 교육 및 기술적·관리적 보호조치 준수 여부에 대한 일제 점검도 추진할 계획이다.

위드이노베이션은 3월30일 "이번 사건으로 피해를 본 고객들의 피해보상에도 최선을 다하고 있다"며 "적법한 절차에 따라 신속하게 피해 보상하는 방안을 마련하겠다"고 밝혔다.

장영일 기자 [e-mail]

<세계파이낸스>