이스트소프트에 따르면 해커는 지난 1일 오후4시45분 일부 회원의 개인정보를 볼모로 한 협박성 이메일을 보냈다. 해커가 제시한 개인정보와 회사 고객 데이터베이스(DB)를 대조한 결과 약 13만건의 개인정보가 일치했다. 이 때 이스트소프트는 침해사고를 처음 인지하고 관련 당국에 신고했다.

현재 방송통신위원회(이하 방통위), 한국인터넷진흥원(KISA), 경찰은 이번 개인정보 침해사고를 공동 조사하고 있다. 알툴즈 사이트 이용자 아이디 및 비밀번호 13만3800건과 알툴즈 프로그램 중 알패스에 등록된 웹사이트 명단, 아이디, 비밀번호가 침해당한 것으로 확인됐다.

이스트소프트는 보안사업으로 대표되는 곳이다. 백신 ‘알약’을 비롯해 문서보안 솔루션, 인텔리전스 및 모바일 보안 제품 등을 보유하고 있다. 올해 초 이스트소프트는 보안사업을 확대하기 위해 보안사업 조직을 분할해 100% 자회사인 이스트시큐리티를 설립했다.

현재는 보안사업을 자회사인 이스트시큐리티에서 전담하고 있으나, 신설된 지 1년도 채 되지 않았기 때문에 이스트소프트로부터 경영 인프라를 지원받고 있다. 정상원 이스트소프트 대표가 이스트시큐리티 대표직을 겸임하고 있는 것만 봐도 알 수 있다.

이런 상황에서 발생한 이스트소프트의 개인정보 침해사고는 이스트소프트뿐 아니라 이스트시큐리티의 보안사업까지 영향을 미칠 가능성이 있다. 물론 100% 안전한 보안은 없지만, 보안사업을 갖추고 있는 회사에 대한 신뢰도 타격은 피할 수 없다.

다행히, 이스트소프트와 조사당국은 개인정보 유출보다는 도용에 무게를 두고 있다. 업계에서 바라보는 유출과 도용은 다른 개념이다. 유출의 경우, 해커가 내부 시스템에 침투하는 등의 공격 방식을 취한 후 직접 정보를 가져가는 것으로 볼 수 있다.

도용은 미리 확보한 개인정보 값을 악용하는 것이다. 예를 들어, 해커가 유출된 개인정보를 중국 등에서 산 후 아이디와 비밀번호를 확보해 포털 사이트에 로그인하거나 게임 계정으로 접근해 아이템 등을 무단으로 파는 행위 등을 들 수 있다.

이스트소프트는 고객정보가 저장된 서버에 직접 침투해 개인정보를 탈취한 것으로 보이는 증거가 발견되지 않았다며 도용 가능성을 강조하고 있다. 지난 몇 년간 발생한 개인정보 침해 사고에서 유출된 불특정 다수의 개인정보를 무작위로 대입해 알툴즈 사이트에 로그인을 시도한 것으로 예상하고 있다.

이스트소프트 입장에서는 같은 채찍이라도 유출보다는 도용으로 향하는 편이 유리하다. 개인정보 유출로 결론나면, 자사의 보안정책 및 시스템이 해커에 의해 속수무책 당한 것과 마찬가지다. 특히, 전국민을 대상으로 백신 사업을 펼치고 있는 만큼 고객의 신뢰도는 추락할 수밖에 없다.

이스트소프트 관계자는 “여러 정황들을 종합했을 때 아직 공개하기는 어렵지만 기존에 유출된 개인정보를 활용해 도용한 것으로 보인다”며 “알패스, 알툴즈 등 몇몇 프로그램만 로그인 기반으로 돼 있는데, 아무래도 비밀번호를 바꾸지 않는 사용자들이 많다보니 오랜 기간 조금씩 접속 시도를 한 것으로 예상하고 있다”고 설명했다.

한국인터넷진흥원 관계자는 “확정은 아니지만 정황상 도용 가능성이 높아 여러 측면을 고려하고 있다”며 “개인정보를 도용하게 되면 해당 계정에 대한 부분이 노출되는데, 시스템을 해킹하지 않아도 아이디와 비밀번호로 이용자에 대한 권한을 얻을 수 있다”고 부연했다.

이와 관련 방통위는 도용도 유출로 본다는 입장을 드러냈다. 또한 암호화조치 미흡에 대한 가능성도 지적됐다. 방통위는 이번 사건을 조사한 후 정보통신망 위반사항 발견 때 엄정한 행정조치를 취한다는 방침이다.

천지현 방통위 이용자정책국 개인정보침해조사과장은 “도용도 유출로 본다”며 “기존에 유출된 아이디와 패스워드를 통해 대입 공격을 한 것으로 업체는 보고 있는데, 좀 더 확인해봐야겠지만 분산 대입 공격은 유출로 봐야 할 것 같다”고 말했다.

이어 “침입탐지시스템 상 거르기 힘든 부분이 있기 때문에 검토를 해봐야 한다”며 “비밀번호의 경우 일방향 암호화를 했으면 해킹에 의해 유출되기 어려운데, 어떻게 유출됐는지, 암호화 조치가 미흡했는지 등에 대해 조사하고 있다”고 덧붙였다.

<최민지 기자>cmj@ddaily.co.kr