이재명 대통령 부부 등 168명의 개인정보가 5개월가량 노출된 ‘바이러스토탈’은 전 세계 보안업체들이 악성코드 정보를 공유하는 플랫폼이다. 누구나 무료로 악성코드 검사를 받을 수 있지만 제출한 파일은 보안업체와 일부 유료 고객에게 공유될 수 있다. 사이버 위협을 탐지하기 위한 정보 공유 기능이 개인정보 유출 통로가 된 것이다.

8일 바이러스토탈 홈페이지에 따르면 이 플랫폼은 2004년 스페인에서 개발돼 2012년 구글에 인수됐다. 현재 구글의 보안 서비스로 운영되고 있다. 70개 이상의 백신 검사 엔진과 인터넷주소(URL) 차단 목록 등을 활용해 파일이나 웹사이트의 악성 여부를 분석한다. 이용자는 웹사이트에 직접 파일을 올리거나 브라우저 확장 프로그램, 응용프로그램인터페이스(API) 등을 통해 검사를 요청할 수 있다.

구글 자회사가 운영하는 무료 악성코드·위협 분석 플랫폼 '바이러스토탈'. 사진=바이러스토탈 홈페이지 캡처

바이러스토탈 핵심 기능은 정보 공유다. 이용자가 제출한 파일 검사 결과는 여러 보안업체에 전달된다. 보안업체들은 이를 활용해 새로운 악성코드를 탐지하고 자체 보안 제품의 성능을 개선한다. 한 업체가 발견한 위협정보를 다른 업체들도 활용할 수 있도록 하는 구조다. 정상적인 파일을 악성으로 잘못 판단하는 ‘오탐’을 식별하는 데도 쓰인다.

이용자에게 비상업적 목적의 검사를 무료로 제공하는 대신 축적한 위협정보를 기업 고객에게 유료로 제공하는 사업모델을 운영한다. 유료 고객은 복잡한 검색 조건을 활용해 악성 파일 표본을 찾거나 내려받아 분석할 수 있다. 바이러스토탈은 제출된 파일이나 웹페이지의 내용도 유료 고객에게 공유될 수 있다고 안내하고 있다.

문제는 악성코드 감염 여부와 관계없이 개인정보나 기밀이 담긴 파일을 제출하면 외부에 노출될 수 있다는 점이다. 바이러스토탈은 공식 홈페이지에서 “민감정보나 기밀정보, 개인식별정보가 포함된 자료를 제출하거나 조회하지 말라”고 경고하고 있다. 유료 비공개 검사가 아닌 일반 검사로 제출한 내용은 기밀로 취급하지 않고 보안 커뮤니티나 협력업체와 공유한다는 게 업체 설명이다.

유사한 사고는 이전에도 발생했다. 2023년에는 바이러스토탈 직원이 기업 고객의 이름과 이메일 주소 등이 포함된 파일을 실수로 올렸다. 회사는 당시 외부 해킹이나 시스템 취약점이 아닌 직원의 실수였다며 해당 파일을 1시간 이내 삭제했다고 밝혔다.

국내에서는 2024년 5월 중앙선거관리위원회 시스템 유지보수업체 직원이 선관위 직원 3000여명의 이름과 부서, IP주소 등이 담긴 파일을 바이러스토탈에 제출해 정보가 노출됐다. 악성코드 감염 여부를 확인하는 과정에서 발생한 사고였다.

이번에는 지난 6월 대통령 순방단의 여권번호와 생년월일 등이 포함된 파일이 바이러스토탈에 게시됐다. 현재 해당 파일은 열람이 차단된 상태다. 경찰은 자료가 플랫폼에 제출된 경위와 유출 책임 등을 수사하고 있다. 악성코드 검사 과정에서 파일이 올라갔을 가능성이 제기되지만 구체적인 경로는 아직 확인되지 않았다.