[디지털투데이 홍하나 기자] 숙박 O2O(온오프라인 연계) 앱 여기어때를 해킹해 총 99만명의 개인정보를 훔쳐, 이용자들에게 협박문자를 보내고 여기어때 측에 금전을 요구한 피의자 일당이 경찰에게 붙잡혔다. 

1일 경찰청 사이버수사과에 따르면 중국인 해커를 통해 숙박 앱 여기어때 전산망에 침입해 총 99만명의 개인정보 314만 건을 유출한 뒤 6억원을 요구하며 협박한 피의자 일당 5명중 4명이 검거됐다. 피의자는 한국인 3명, 중국인 해커 1명이며 나머지는 해외 체류중으로 경찰이 추적중이다.

피의자 일당은 올해 3월 6일부터 17일까지 여기어때 홈페이지를 해킹해 이용자 99만명의 숙박 예약정보, 회원정보, 가맹점 정보 등 개인정보 341만건을 빼낸 뒤 여기어때 측에 금품을 요구해 협박했다.

피의자 A와 B(미검거)는 지난해 11월 여기어때 이용자들의 개인정보를 해킹하기로 공모했다. B는 피의자 C에게 여기어때를 해킹할 경우 1억원을 주겠다고 약속하며 해커를 구해달라고 부탁했다. C는 또다른 피의자 D에게 이를 전달했고, D는 중국인 해커인 E에게 천만원을 주겠다고 약속하며 해킹을 부탁한 것이다.

이에 지난 3월 중국인 해커 E는 여기어때 홈페이지를 해킹해 이용자들의 회원정보, 숙박예약정보, 제휴점 정보 등을 유출했다. 이를 넘겨받은 A, B는 여기어때 개인정보 파일을 빌미로 여기어때 측에 비트코인 3억~6억원을 요구하며 협박했다. 하지만 여기어때 측은 응하지 않았다.

경찰청은 이들을 체포하고 여기어때로부터 유출된 개인정보 원본파일을 모두 압수했다. 중국인 해커 E의 하드디스크에는 여기어때에서 해킹한 파일 외에도 여러 인터넷 홈페이지에서 유출한 개인정보 파일이 발견돼 경찰은 추가 수사를 검토중이다.

하지만 수사 과정에서 해외 체류중인 피의자B가 여기어때 개인정보파일 사본을 가지고 있다는 사실이 확인되면서 현재 경찰은 B의 체포와 사본 파일을 확보하기 위해 다각도로 추진중에 있다.

피의자 일당은 여기어때 측에 한달동안 다양한 방법으로 협박을 했으며, 개인정보가 유출된 직후 추적을 피하기 위해 해외로 출국했다.

해킹 당시 여기어때 홈페이지는 SQL 인젝션 공격에 취약한 상태로 관리자 홈페이지에는 하이제킹 공격을 탐지, 차단하는 체계가 없었던 것으로 나타났다. 

향후 경찰은 B의 체포, 개인정보 파일 회수, 보이스피싱 등 2차 피해 차단위해 추가수사를 계속 진행할 예정이다.