옥션 개인정보 中서 5000만원에 거래

해커(Hacker)는 중국어로 ‘黑客(헤이커)’라고 번역된다. 발음과 의미까지 절묘하게 고려한 중국식 신조어다. 이들 ‘검은 손님’이 한국사회를 뒤흔들고 있다. 2월4일 무려 1081만명의 아이디와 주민등록번호, 전화번호, 심지어 일부 회원들의 계좌번호와 거래명세까지 포함된 데이터베이스(DB)가 유출된 것으로 확인된 ‘옥션 해킹 사건’이 그것이다.

크래킹(cracking.파괴적이거나 불법적인 해킹)된 아이디 개수가 우리나라 경제인구의 3분의 1에 이르는 1000만명이라는 사실도 놀랍지만, 피해 대상이 국내 최고의 전자상거래 사이트라는 점에서 누리꾼(네티즌)들이 받은 충격은 적지 않았다. 현재 여러 포털사이트에 ‘옥션 소송 카페’가 만들어지고 몇몇 변호사가 피해 회원들을 모아 집단소송을 준비 중이다.

중국 해커들 공격 전자상거래와 금융권 사이트에 집중

피해 사실이 확인되자 누리꾼들의 비난은 옥션에 집중된 상황. 하지만 옥션의 태도는 무덤덤한 편이다. 오히려 “100% 안전한 인터넷 사이트가 어디 있느냐”라며 2차 피해가 확인된 고객에게만 피해보상을 해줄 수 있다는 견해다. 그러나 보이스 피싱(Voice phishing)이나 앞으로 발생할지 모를 금융사고가 옥션에서의 정보유출에 의한 피해인지를 확인하기란 불가능에 가깝다는 점에서 옥션 측에 책임을 묻는 것은 그리 간단치 않다.

단순한 정보유출과 피해보상 논란을 넘어 이번에 발생한 옥션 사태는 중국 해커들의 새로운 경향성을 유추할 수 있다는 점에서 획기적 전환점으로 판단된다. 무엇보다 국내 보안업체 관계자들은 “중국 해커들의 공격이 전자상거래와 금융권 사이트에 집중되고 있다는 사실에 주목해야 한다”고 입을 모은다.



이미 전문가들 사이에서는 이 같은 추세가 2005년부터 본격화된 것으로 알려져 있다. 그것도 보안이 철저한 은행 등 제1금융권이 아니라 인터넷으로 대출을 신청할 수 있는 제3금융권에 집중된다는 점에 주목한다. 따지고 보면 인터넷 전자상거래 사이트인 옥션 역시 물건을 팔고 돈을 입금받기 때문에 넓은 의미의 금융권이라 말할 수 있다. 목표는 바로 계좌번호를 중심으로 한 금융정보다.

여러 경로를 통해 수집된 1차적 금융정보는 스팸메일이나 스팸전화 등 마케팅 도구로 쓰인다. 특히 옥션의 겨우 온라인상에서 개인이 구매한 물품정보를 포함하고 있기 때문에 작은 쇼핑몰로서는 최상의 마케팅 자산이 된다. 그간 국내의 소규모 마케팅 업체들까지 중국에 나가 한국인의 금융정보를 비싼 값에 사오는 일이 비일비재했다. 불법 마케팅으로 돈을 벌려는 추한 한국인들의 욕심과 중국 해커들의 돈벌이가 맞아떨어져 시장이 형성된 것이다.

그러나 문제는 여기에 그치지 않는다. 2007년부터 폭발적으로 증가한 보이스 피싱이나 피싱메일 발송이 그것이다. 경찰청 사이버테러대응센터 김기범 경감은 “이른바 포털 개인정보(주민등록번호나 아이디 등)와 금융 개인정보(계좌번호와 휴대전화 번호)를 연결하거나, 때론 의도적으로 비밀번호를 알아내기 위해 피싱 전화나 e메일을 보낸다”면서 “이들 정보가 결합되면 실제 금융사고를 낼 만큼의 무시 못할 파괴력이 생긴다”고 지적한다.

무기력한 한국 보안 수준 도마에 올라

그런데 이쯤에서 한 가지 의문이 생긴다. 옥션 외에도 이미 다른 인터넷 회사들의 개인정보 역시 빼돌려졌을 가능성도 큰 건 아닐까?

결론부터 말하면 “그렇다”라고 할 수 있다. 포털사이트의 한 관계자는 “그나마 옥션은 스스로 자사가 보유한 개인정보가 크래킹된 사실을 공개하고 경찰에 수사를 의뢰했다는 점에서 양심적이다”라고 말한다. 옥션의 주인은 세계적 인터넷 기업인 이베이(ebay.com). 만일 옥션이 이런 다국적기업이 아니었다면 굳이 평지풍파를 일으킬(해킹된 사실을 국민에게 알릴) 필요가 있었겠느냐는 뜻이다. 이 관계자는 “옥션의 개인정보는 이미 유출된 여러 금융관련 회사의 정보 일부분에 불과할 뿐이다”라고 단정짓는다.

한국인의 개인정보는 주로 중국 베이징이나 동북3성에서 온라인을 통해 거래된다. 100만개, 1000만개 하는 식으로 대량으로 팔리기도 하지만 ‘주민등록번호, 전화번호’ ‘아이디와 전화번호’ 식으로 따로 떨어져 팔리기도 한다. 옥션의 개인정보는 2월 1000만개에 5000만원에 거래가 수차례 이뤄진 것으로 알려졌다(상자기사 참조).

한국 경찰이 관련 수사를 중국으로 확대하자 일단 중국 내 대표적인 해커조직들은 수면 아래로 가라앉았다. 하지만 QQ라는 중국의 대표메신저를 이용해 점조직으로 움직이며 거래를 성사시키기도 한다.

중국에는 2006년 기준으로 약 500만명의 해커가 활동하고 있는 것으로 알려졌다. 물론 초보적인 네트워크 공격 기술을 가진 이들까지 합친 숫자이긴 하지만, 인근 국가들의 해커 숫자들을 압도하는 수치다. 한때 ‘애국주의’ 해커라고 불릴 만큼 이념지향적이던 이들 ‘헤이커’들은 최근엔 “돈만 주면 해킹해준다”는 말이 나올 정도로 변질됐다는 자성(自省)의 목소리마저 흘러나오게 한다.

중국 해커들의 위세가 거세지자 이에 비해 무기력한 한국의 보안 수준도 도마에 올랐다. 우리나라의 경우 2000년을 전후해 유행처럼 번졌던 해커들이 경찰청 사이버수사대의 지속적인 활약으로 그 위세가 현격히 약화된 상황. 전성기 때는 한 보안업체 사장이 주장한 ‘10만 해커 양병설’까지 제기됐지만, 현재 국내에서 해커라 불릴 만한 이들은 100여 명 선에 불과하다.

한 전직 해커는 “공격과 방어는 창과 방패의 관계 같기 때문에, 오로지 방어만 하는 한국 해커들의 야성(野性)과 보안 실력이 줄어들 수밖에 없다”고 설명했다.

인터뷰 중국 거주 한국인 해커 P씨

개인정보 원하는 업자 부지기수 …

국내 최고의 해커로 통했던 P씨는 현재 중국의 한 보안업체에서 일하고 있다. 중국 해커들을 상대로 중국 현지에서 싸우기 때문에 ‘헤이커’들의 소식에 정통한 인물이다. 다음은 4월29일 MSN 메신저를 통해 나눈 그와의 대화 내용이다.
- 한국의 금융정보가 중국인들에게 어떻게 돈이 되나?
“계좌번호와 주민등록번호는 대단히 중요하고 귀한 자산이다. 이런 정보를 원하는 업자가 적지 않다. 이렇게 가정해보자. 예전에 기자가 사금융 회사(제3금융권) 인터넷 회원이었다고 치자. 만일 해커가 기자의 개인정보를 갖고 전화를 걸어 ‘내가 OOO이고 주민등록번호는 어떻고 계좌번호와 휴대전화번호는 이런데, 돈을 빌리려 한다’고 말하면 실제 돈을 내줄 만한 회사가 꽤 된다. 개인정보는 네트워크 경제시대에 절대적인 재화다.”
-옥션에서 유출된 개인정보를 중국에서 살 수 있을까?
“1, 2월에 이미 거래가 활발히 이뤄졌다. 지금은 (업자들이) 다 잠수를 탔다.”
-얼마 정도에 팔렸나?
“지금까지 가장 비싼 거래로 알려졌다. 1000만개에 5000만원 정도. 물론 한두 번 거래가 이뤄진 게 아니라 10번 이상, 또한 조각조각으로도 팔렸을 것이다.”
-중국 해커들은 조직적으로 움직이나?
“아직은 그렇지 않다. 일단 누군가 돈을 준다니까 해킹을 해주는 구조다. 그런데 이를 누군가 악용해서 조직적으로 데이터베이스(DB)를 모으고 있다면 이야기는 달라진다. 이미 어마어마한 양의 한국인 개인정보가 중국인 손에 들어간 셈이다.”
-왜 이런 일이 발생한다고 보나?
“우리나라 특유의 주민등록번호 때문이다. 이게 고유 키(Unique key) 구실을 하니 체계적인 DB를 만들 수 있는 것이다. 막말로 왜 책이나 컴퓨터를 사는 데 주민등록번호까지 요구하는지 모르겠다. 쇼핑몰들의 사소한 (주민등록번호) 욕심이 금융대란까지 일으킬 수 있다고 본다.”