“천만 원 줄 테니 해킹해줘”…숙박업소 정보 유출 전말은?

'○○님, ○월 ○일, 황홀한 밤 되셨나요' .. 보안 구멍 숭숭 뚫렸던 '여기어때'

지난 3월, 숙박업소 추천 애플리케이션인 '여기어때'가 해킹당했다. 업체가 보유한 300만 명의 회원 중 99만 명의 회원 개인정보가 해킹됐고, 341건의 숙박내역이 유출됐다. 해당 앱을 이용했던 대한민국의 남녀들은 하루아침에 비상이었다.

자신의 휴대폰으로 실명과 숙박 내역이 담긴 선정적인 문자가 도착했기 때문이다. 처음엔 스팸 문자인 줄 알았던 이들도, 문자 내용을 자세히 읽어보고는 깜짝 놀랐다. 총 4천 600명의 회원에게 4천 700여 건의 문자가 발송됐다. 덕분에 '여기어때' 고객센터는 불이 났고, 회원 수도 급감했다.

보안이 강할 것이라고 믿었던 숙박업소 앱은 사실 구멍투성이. 해당 업체를 해킹한 해커는 아주 초보적인 수준의 해킹을 통해 서버를 무력화시켰다. 업체 프로그램의 허점을 이용해 회원 정보에 접근하고, 동시에 관리자 계정에 접속하는 등 불과 열흘 만에 모든 개인정보를 빼돌렸다. 업체는 이후 보안을 강화했다고 했지만, 당시 서버는 해킹에 취약한 상태임은 분명했다.

협박 문자에 협박 메일.. 그리고 금품 6억 원 요구까지

사실 '여기어때'는 급감한 회원 수 만큼이나 골머리를 앓고 있는 사건이 있었다. 서버를 해킹한 일당이 확보한 회원정보를 빌미로 6억 원의 금전을 요구했기 때문이다. 처음에는 3억 원 상당의 비트 코인을 요구했다. 그 다음에는 5억, 또 그다음에는 6억 원의 금품을 요구하기 시작했다. 회원들에게 보낸 문자뿐 아니라, 개별 페이스북 계정까지 만들어 유출 회원들 정보를 공개하겠다고 협박했다. 회사 게시판, 메일에도 협박글이 이어졌다.

"천만 원 줄 테니 '여기어때' 해킹해줘".. 해킹의 전말

누가, 왜 이런 해킹을 지시하고 협박까지 한걸까. 돈에 쫒기던 평범한 사람들이었다. 지난해 11월, 조그만 게임회사를 운영했던 47살 이 씨는 회사를 닫고 금전이 부족한 상태였다. 도박에도 손을 데 급전도 필요했다. 그러던 중, 자신의 친구인 A씨와 돈을 벌 방법을 궁리하던 중 숙박 앱인 '여기어때'를 해킹해 금전을 얻어내자는 결론에 이르렀다. 데이트 앱 특성상, 회원들이 개인정보 유출에 민감하다는 사실을 악용한 것이다.

이들은 자신의 지인들을 통해 서버를 해킹할 수 있는 해커를 수소문했다. 섭외한 상대는 중국 동포 해커 26살 남 씨. 남 씨는 중국에 조그마한 전문해커조직에 소속돼 있는 사람이었다. 한국말이 가능해 가끔 한국을 왕래하며 일을 수주받았다. 그는 천 만원의 사례금을 약속받고 대구의 한 원룸을 얻어 작업실을 차렸다. 그곳에서 여기어때 회원의 정보를 모두 빼돌렸다. 그리고 이 씨 등은 남 씨가 확보한 개인정보를 이용해 '여기어때' 측에 금품을 요구하기 시작했다.

성공할 것 같았던 '해킹 프로젝트'는 결국 꼬리를 잡혔다. 경찰은 IP를 추적해 대구에 작업실을 차린 해커 남 씨를 현장에서 검거했다. 이후 남 씨를 탐문해 주범인 이 씨까지 총 4명을 구속했다. 하지만 이들이 해킹한 개인정보는 아직 회수하지 못했다. 남 씨에게 개인정보를 전달받았던 공범 A씨가 해외로 도피했고, 아직 잡히지 못했기 때문이다.

'남자친구 이름 부른 그놈 목소리'..아직 밝혀지지 않은 정보유출 의혹

지난 4월, KBS는 이들이 해킹한 개인정보가 제 3자에게 유출됐을 수 있다는 정황 의혹을 보도했다. 개인정보가 유출된 '여기어때' 회원이자, 선정적인 문자까지 받았던 직장인 김 씨가 그 실마리였다.

김 씨는 자신의 남자친구 이름으로 앱을 가입했다. 문자를 받고 나흘 뒤, 김 씨에게 걸려온 보이스피싱 전화에서는 김 씨 이름이 아닌 남자친구의 이름이 흘러나왔다. 김 씨가 자신의 실명으로 가입하지 않은 인터넷 서버는 단 한 곳. '여기어때' 뿐이었다.

경찰은 "지금까지 수사한 결과로는 제 3자에게 개인정보가 유출됐을 가능성은 없다"고 발표했지만, 개인정보를 그대로 지니고 해외로 도주한 A씨가 아직 잡히지 못했다. 해외에서 다른 곳에 개인정보를 유출하거나 판매했을 가능성이 있는 것이다. 경찰은 추가 피해를 지속적으로 추적하고, A씨를 검거하기 위해 노력하겠다고 밝혔다.

경찰. '보안프로그램 강화', '암호화 백신 설치' 당부

경찰관계자는 '여기어때' 사건을 수사하며 꼭 당부할 말이 있다고 전했다. 생각보다 기업체의 홈페이지 등 서버 계정이 불안정하다는 것이다. 특히 개인정보를 다루는 업체는 반드시 보안시스템을 강화하고 개인정보 암호화 백신을 설치해달라고 부탁했다.

또한, '여기어때' 처럼 금품을 요구하는 협박을 받았을 때 절대 응하지 말라고 전했다. 개인정보의 경우, 언제든 복사가 가능하므로 금품을 주어도 언제든 다시 협박할 수 있기 때문이다. 부득이하게 서버가 해킹 됐을 때는 수사당국에 알리고, 가이드라인을 따라주길 당부했다.