악성 IP 수차례 차단 이력에도 유출…금융보안원 통보 뒤 확인
새마을금고 “비정상 접근 차단했지만 이후 공격으로 일부 정보 유출”
[소셜밸류=변호인 기자] 새마을금고 공제 홈페이지에서 발생한 개인정보 유출 사고의 원인이 이용자 접근권한 검증 미비였던 것으로 나타났다. 공격자가 다른 회원의 정보를 조회할 수 있도록 시스템에 보안 취약점이 존재했던 것이다.
공격에 사용된 인터넷주소(IP)에서는 과거에도 악성 패턴이 여러 차례 탐지됐지만, 새마을금고는 금융보안원의 통보를 받은 뒤에야 개인정보 유출 사실을 확인했다.
 |
| ▲ 사진=MG새마을금고 제공 |
소셜밸류가 15일 손명수 더불어민주당 의원실로부터 확보한 새마을금고중앙회의 금융감독원 최초 사고 신고서에 따르면, 중앙회는 사고 원인을 ‘새마을금고 공제 홈페이지에서 공격자의 접근권한 등을 검증하지 않아 다른 회원의 정보가 조회됨’이라고 기재했다.
사고 유형은 공제 홈페이지를 대상으로 한 ‘파라미터 변조 공격’으로 신고됐다. 파라미터 변조는 웹사이트에 전달되는 데이터값을 변경해 정상적인 이용 절차에서 허용되지 않는 정보나 기능에 접근을 시도하는 수법이다. 이번 사고에서는 정보 조회를 요청한 이용자에게 해당 정보에 접근할 권한이 있는지 제대로 검증하지 못한 것으로 신고서에 명시됐다.
신고서에 기재된 사고 발생 시각은 지난 10일 오전 9시 9분이다. 사고 영향 이용자는 416명으로 집계됐다. 김용만 더불어민주당 의원실이 제공한 자료에 따르면 유출 정보에는 이름과 생년월일, 주민등록번호, 휴대전화번호, 계좌번호, 잔액, 공제상품명 등이 포함됐다.
새마을금고가 신고서에 기재한 사고 인지 시각은 12일 오후 8시 55분이다. 최초 공격이 발생한 시점부터 약 60시간이 지난 뒤다.
사고 발견의 계기는 금융보안원의 공격 IP 정보 공유였다. 김용만 의원실 자료에 따르면 금융보안원은 12일 오후 3시 21분 새마을금고에 공격 의심 IP 26개를 전달했다. 새마을금고는 이를 토대로 자체 분석에 착수해 같은 날 오후 개인정보 유출 내역을 확인했다.
특히 개인정보 유출에 사용된 IP에서는 과거에도 악성 패턴이 수십 차례 탐지돼 웹방화벽에서 차단된 이력이 있었던 것으로 파악됐다. 기존에 일부 비정상적인 접근 요청을 차단했음에도 실제 개인정보 유출로 이어진 공격까지 막지는 못한 셈이다.
새마을금고중앙회 관계자는 이날 소셜밸류와의 통화에서 "당시 비정상적인 접근 시도는 차단됐지만 이후 공격이 발생하면서 일부 개인정보가 유출됐다"고 설명했다. 다만 과거 차단된 요청과 실제 정보 유출이 발생한 공격 사이에 어떤 기술적 차이가 있었는지는 구체적으로 밝히지 않았다.
사고 관련 내부 보고와 개인정보 유출 확인 사이에도 시간 차이가 있었다. 김용만 의원실 자료에 따르면 새마을금고는 금융보안원의 IP 통보 이후인 12일 오후 4시 16분부터 5시 22분까지 방화벽 차단 조치를 진행했고, 오후 5시 29분 경영진에게 관련 상황을 보고했다. 금감원 신고서에 기재된 사고 인지 시각은 이보다 3시간 이상 늦은 오후 8시 55분이다.
이에 대해 새마을금고중앙회 관계자는 “기존에 조사한 게 있고 추가 조사를 진행했다”며 사고 경위를 세밀하게 확인하는 과정에서 시간이 소요됐다고 설명했다. 금융보안원이 제공한 공격 IP 26개는 새마을금고에만 전달된 것이 아니라 금융업권 전체에 공유된 정보라고도 밝혔다.
새마을금고중앙회가 금감원에 제출한 최초 신고서에는 사고 대응 조치로 공제 홈페이지 서비스 중단과 공격자 IP 접근 차단, 개인정보 유출 현황 파악 등이 기재됐다. 신고 당시 홈페이지 취약점 조치가 진행 중이었으며, 정보가 유출된 이용자에 대한 문자메시지 통지와 다른 서비스의 침해 여부 확인도 예정돼 있었다.
[ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
