카드번호 16자리부터 공동현관 비밀번호에 이르는 민감한 개인정보가 업종 불문 새나가고 있다. 명품 브랜드 디올·티파니에 이어 파파존스와 써브웨이 등 외식 프랜차이즈에서도 ‘보안 구멍’이 잇따라 드러났다. 유례없는 대규모 개인정보 유출 속 기업들의 허술한 보안 관리가 도마 위에 올랐다.
30일 국회 과학기술정보방송통신위원회 최민희 위원장실에 따르면, 샌드위치 전문점 써브웨이 웹이나 앱에 접속한 뒤 로그인 없이 링크(URL) 끝자리 숫자만 바꿔도 타인의 이름·휴대전화·주문 내역을 그대로 볼 수 있는 것으로 나타났다. 최 위원장은 “최소 5개월간 같은 방식으로 개인정보가 무방비로 방치된 것으로 보인다”고 말했다.
불과 사흘 전 파파존스에서도 유사 결함이 드러났다. 최 의원실은 2017년 1월 이후 주문자 기준 약 3732만 건에 달하는 이름·연락처·카드 일부 번호·공동현관 비밀번호가 URL 조작으로 노출됐을 가능성이 있다고 분석했다. 파파존스는 뒤늦게 긴급 점검에 착수했지만, 9년 동안 유출 가능성을 전혀 인지하지 못했다는 점에서 비판이 거세다. 앞서 명품 플랫폼 머스트잇에서도 별도 인증 없이 회원 정보를 조회할 수 있는 취약점이 발견됐다.
이같은 정보 유출의 핵심 위험 요소로는 ‘파라미터 변조’가 지목된다. 이는 사용자 입력 데이터를 조작해 본래 의도와는 다른 요청을 보내는 것을 의미한다. 공격자가 정보 값을 임의로 바꿔 입력해 타인의 정보에 접근하거나 권한을 가로챌 수 있다.
그러나 전문가들은 이번 사고의 근본적인 원인으로 기업들의 ‘안일한 보안 시스템’을 지목한다. 개발 기간과 예산을 핑계로 기본적인 관리를 생략해 온 게 문제라는 지적이다. 박춘식 아주대 사이버보안학과 교수는 “URL 끝자리만 바꿔도 뚫리는 서비스는 사실상 ‘입문 수준’ 보안”이라며 “영세 업체일수록 기초 방어조차 갖추지 못한 경우가 대다수다. 보안을 비용이 아닌 신뢰 자산으로 인식하도록 하는 명확한 제재가 필요하다”고 강조했다.
기업들의 늑장 대응도 문제다. 정보통신망법은 침해 사실을 인지한 뒤 24시간 이내에 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고하도록 명시하고 있으나 뒤늦은 신고와 소비자 고지로 비판을 받고 있다. 정보 유출로 2차 피해 사례도 늘고 있다. 체험단 선정·상품 당첨을 빙자한 ‘피싱 사기’가 급증했다. 직장인 홍모(29)씨는 “정체불명의 단체 채팅방에 초대되거나 스팸 전화·문자가 부쩍 늘어 불안하다”며 “개인정보 유출 위험 공지에도 비밀번호 변경 외에 할 수 있는 게 없다”고 말했다.
이다연 기자 ida@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
511
