해커, 티머니 이용자 5만 명 계정 로그인… 마일리지 1400만 원 탈취
개인정보위, 티머니에 5억3400만 원 과징금… "티머니, 안전조치 소홀"

[미디어오늘 윤수현 기자]

개인정보위는 지난 28일 전체회의를 열고 티머니에 5억3400만 원의 과징금을 부과하고, 재발방지 대책을 수립하는 시정명령을 결정했다. 티머니는 지난해 4월 해킹 공격을 인지한 후 당국에 이를 신고했는데, 개인정보위 조사 결과 티머니 보안 관리에 문제점이 있는 것으로 나타났다.

해커는 지난해 3월 13일부터 같은 달 25일까지 '크리덴셜 스터핑' 방식으로 티머니 해킹을 시도했다. '크리덴셜 스터핑'은 다른 사이트에서 이용자 계정·비밀번호 정보를 획득한 뒤 공격 대상이 된 사이트에서 성공할 때까지 로그인을 시도하는 해킹 방식이다. 개인정보위에 따르면 해커는 지난해 3월 티머니에서 1분당 최대 5265회, 총 1226만 번 로그인을 시도했고 이 중 5만1691명 회원 계정 로그인에 성공했다. 해커는 4131명 계정에 남아있는 'T마일리지' 1400만 원을 선물하기 기능으로 탈취했다.

문제는 티머니가 특정 IP에서 반복적 로그인 시도를 하는 이상 징후가 나타났음에도 이에 대한 침입 탐지·차단 등 조치를 하지 못했다는 점이다. 개인정보위는 “티머니가 안전조치의무를 소홀히 한 탓에 개인정보 유출 피해로 이어졌다”고 설명했다.

개인정보위는 “최근 크리덴셜 스터핑 해킹 공격이 빈번하게 발생하는 만큼 비정상 접속 등 이상 행위에 대한 침입 탐지·차단 조치를 포함한 보안대책을 점검·강화할 것을 당부했다”며 “개인정보가 포함된 페이지 접근 시 추가 인증 적용 등의 조치가 추가적인 사고 예방에 도움이 될 수 있다”고 밝혔다.

또 개인정보위는 전체회의에서 12만 명의 개인정보를 유출한 한국연구재단에도 과징금 7억300만 원과 480만 원의 과태료를 부과했다. 해커는 지난해 6월 한국연구재단이 운영하는 온라인 논문투고시스템 '비밀번호 찾기' 페이지에 들어가 URL(인터넷주소)을 변경하면 회원 정보가 표시되는 것을 파악하고, 회원 12만 명의 이름·ID·휴대전화 번호·계좌번호 등 개인정보를 열람했다.

개인정보위 조사 결과 해당 취약점은 2013년부터 존재했지만 한국연구재단은 이를 확인하지 못했다. 한국연구재단은 해킹 사실을 인지한 뒤에도 시스템을 개선하지 않았고, 결국 지난해 6월17일 회원 명의가 도용당하는 2차 피해가 발생했다. 개인정보위는 “한국연구재단이 기본적인 개인정보뿐 아니라 연구 내용 등 광범위한 정보를 보유하고 있음에도 장기간 취약점 탐지·개선이 이뤄지지 않았다”며 “이번 유출 사고는 매우 중대한 사고”라고 밝혔다.