[디지털투데이 박근모 기자] 지난달 발생한 숙박예약 O2O(온라인-오프라인 연계)서비스 '여기어때'는 홈페이지의 웹 취약점을 노린 사이버공격으로 인해 개인정보 유출이 된 것으로 조사됐다.
특히 이번 공격에 해커들이 이용한 'SQL인젝션' 취약점은 이전부터 잘 알려진 사이버공격 방식으로 여기어때 측의 사이버방어 체계가 제대로 갖춰지지 않아 발생한 것으로 논란이 예상된다.
방송통신위원회와 미래창조과학부는 지난달 7일에서 17일까지 발생한 ㈜위드이노베이션(여기어때) 개인정보 유출 침해사고 관련 '민관합동조사단(이하 조사단)'의 조사 결과를 26일 발표했다.
이번 조사는 위드이노베이션 서비스 이용고객을 대상으로 총 4817건의 '협박성 음란문자(SMS)'가 발송됨에 따라 확인된 개인정보 유출 침해사고에 대한 신속한 대응과 사고 원인 분석을 통한 유사 피해 재발 방지 등을 위해 실시됐다.
조사단은 확보한 사고 관련자료(웹서버 로그 1560만건, 공격서버ㆍPC 5대) 분석 및 재연을 통해 해킹의 구체적인 방법 및 절차, 개인정보 유출규모 등을 확인했다.
해커는 '여기어때 마케팅센터 웹페이지'에 SQL인젝션 공격을 통해 DB(데이터베이스)에 저장된 관리자 세션값을 탈취했다. 탈취한 관리자 세션값으로 외부에 노출된 '서비스 관리 웹페이지'를 관리자 권한으로 우회 접속하고(세션변조 공격), 예약정보, 제휴점정보 및 회원정보를 유출한 것으로 조사됐다.
SQL인젝션이란 데이터베이스에 대한 질의 값(SQL 구문)을 조작해 정상적인 자료 이외에 해커가 원하는 자료까지 데이터베이스로 부터 유출 가능한 공격기법을 말한다.
이를 통해 해커는 서비스 관리 웹페이지에서 제공하는 메뉴를 이용해 제휴점정보(EXCEL) 및 예약내역(CSV)은 파일로, 회원가입정보는 화면조회를 통해, 개인정보(중복제거) 총 99만584건을 유출한 것으로 조사됐다.
위드이노베이션 홈페이지에는 비정상적인 DB 질의에 대한 검증절차가 없어 SQL 인젝션 공격에 취약한 웹페이지가 있었던 것으로 나타났다. 또한 탈취된 관리자 세션값을 통한 우회접속(세션변조 공격)을 탐지ㆍ차단하는 체계가 없는 것으로 확인됐다.
조사단은 위드이노베이션 침해사고 조사과정에서 발견된 문제점을 개선·보완할 수 있도록 조사결과 및 개선사항 공유 등 보안강화 기술지원과 함께 위드이노베이션 홈페이지 대상으로 취약점 점검을 실시했다.
또 지난 인터파크 개인정보 대량 유출시 효율적으로 대응하기 위해 방통위에서 마련한 '개인정보 유출 대응 매뉴얼'에 따라 유출 신고 및 전파, 유출통지, 이용자 피해방지를 위한 대책 수립 등이 이뤄지도록 조치했다.
방통위는 해당 업체의 개인정보 보호조치 위반 사항에 대해서 '정보통신망 이용촉진 및 정보보호 등에 관한 법률'에 따라 과징금 부과 등 행정처분할 예정이다. 조속한 시일 내에 관련 업계를 대상으로 개인정보보호를 위한 교육 및 기술적·관리적 보호조치 준수 여부에 대한 일제 점검을 추진할 계획이다.
송정수 민관합동조사단 단장(미래부 정보보호정책관)은 "정보보호 투자는 기업의 연속성 확보를 위한 선택이 아닌 필수사항으로 기업 스스로 정보보호 투자 확대와 인식제고 노력이 필요하다"라며 "정부도 스타트업 등 중소기업을 대상으로 기본적인 정보보호 체계를 갖출 수 있도록 지원을 확대해 나가겠다"고 말했다.
한편, 미래부는 민감한 정보를 다루는 200여개 O2O 서비스 기업에 대해 유사 피해를 차단하고 보안성을 높이기 위해 기업의 신청을 받아 보안취약점 점검 및 기술지원을 4월 13일부터 실시 중이다.
또한 스타트업 등 중소기업을 대상으로 홈페이지 웹서비스 및 소스코드 취약점 점검, 디도스사이버대피소, 웹방화벽(캐슬) 등 보안도구 보급, 보안컨설팅 등 맞춤형 정보보안 지원을 강화할 계획이다.
SNS 기사보내기
관련기사
- O2O 숙박앱, 인식개선보다 기본적인 윤리경영 먼저 이뤄져야
- 미래부, O2O 서비스 보안 실태 점검 실시
- 도마 위에 오른 O2O 업계 보안...'개인정보보호' 어떻게?
- 여기어때, "91만명 이용자정보, 숙박 이용정보 323만건 유출 확인"
- 성매매와 해킹...숙박 O2O 업계, 양지화 위한 오르막길 '다시 한번'
- 여기어때, 4천명 고객정보 유출...중국 소행에 무게
- 여기어때, 개인정보 유출...피해자 보상은 어떻게 이뤄질까?
- 시만텍, 정치적 동기 사이버공격 증가 추세..."北 추정 사이버공격 발견"
- 개인 정보 수집용 '키로거', 일부 HP 노트북에서 발견
- 99만명 숙박 정보 해킹한 ‘여기어때’ 해커 일당 검거
- 美 유권자 2억명의 개인 정보 유출 사고 발생