방패 ‘엠세이퍼’도 뚫는 사이버 공격 ‘비상’ [탈탈털털]

■'번호 이동' 날벼락에 ' 엠세이퍼' 해제... 고소까지 했는데 '수사중지'

피해자 최 모 씨가 기자와 만나 관련 서류 등을 보여주며 이야기를 하고 있다.

지난해 8월, 최 모 씨가 받은 문자 한 통. 지옥의 시작이었습니다. 그는 10년 넘게 KT를 사용하고 있었는데 갑자기 번호가 이동됐다는 문자를 받았고 직후부터 사용중인 폰은 먹통이 됐습니다. 마침, 지인들과 함께 한 자리중이어서 핸드폰을 빌려 통신사 콜센터 등을 통해 자초지종을 알 수 있었지만, 주말이라 고객센터에 연결하기조차 쉽지 않았다고 말했습니다.

한 알뜰폰 업체에서 번호가 이동돼 개통된 겁니다. 업체에서 본인 확인을 하는 것조차 어려운 일이었습니다. 본인 확인을 거쳐 가입된 상황에서 업체로부터 쉽게 협조를 얻을 수도 없었다고 합니다. 그가 확인한 가입서류는 너무 정상적이었습니다. 본인 주민등록번호와 이름이 버젓이 포함돼있었고 네이버 아이디로 인증까지 통과했습니다.

이는 지난 1월 KBS가 알뜰폰 홈페이지 인증 시스템의 보안 취약성이 범죄 조직에 악용돼왔다고 보도했는데 이때 피해자들이 당한 방식과 같았습니다.

최 씨가 경찰에 고소했지만 3개월여 만에 돌아온 건 수사 중지 통보. 경찰이 수사했지만, 피의자 특정이 가능한 단서가 없어 추가 단서가 발견될 때까지 수사를 중지한다는 겁니다.

피해는 봤는데 피해를 입증하기도, 수사하기도 어려운 게 해킹 범죄라는 걸 절감했습니다.

■엠세이퍼 운영 KAIT "공동인증서 도용 여부 알 수 없다" … "이용자 IP 기록하지 않아"

더 억울한 건 최 씨가 이런 피해를 보기 열흘 전쯤, 명의 도용 문제 등을 우려해 '엠세이퍼'에 가입해뒀습니다.
가입 제한 서비스는 통신사 지점 방문 없이 온라인상으로 내 명의로 된 또 다른 폰 개통을 막을 수 있는 서비스입니다.
최 씨가 영문도 모르게 '가입제한 해제'가 됐고 알뜰폰으로 번호 이동까지 한 번에 이뤄진 것 같다고 말했습니다.

엠세이퍼측 사무국에 문의를 해봐도 속 시원한 답변은 듣지 못했습니다.

엠세이퍼 고객센터 : 공동 인증서가 도용된 거 같으신데요... 피해자: 어느 기관의 공동 인증서인지는 확인할 수가 없는 건가요? 엠세이퍼 고객센터 : 저희는 못하고요... 저희는 그냥 단순히 이제 인증서 로그인하면은 바로 로그인돼서 이용이 가능한 서비스라서 저희 쪽에서는 그런 게 자세한 내용이 확인이 안 되시고 이거 인증서 발급 기관마다 문의하셔서 발급된 게 있는지 없는지 확인하시고...

■과기부·협회 " 지난해, 엠세이퍼 웹 사이트 인증 취약점 발견… 지난해 말 보완 조치"

최 씨가 명확한 답변을 듣지 못한 이유는 엠세이퍼 시스템에서 접속한 이용자의 IP 등을 별도로 기록하지 않고 있기 때문으로 확인됐습니다. 인증서 기관을 통해 공동인증서 종류를 확인하려고 해도 인증기관에서도 고객의 개인정보 등을 별도로 시스템 로그 기록(접속 및 행위내역)을 남겨 놓지 않아 피해자가 일일이 확인해야 합니다.

실제, 과학기술정보통신부는 지난해 10월 말 경찰청으로부터 엠세이퍼 웹사이트 보안 취약점 대책 마련을 요청받은 것으로 KBS 취재결과, 확인됐습니다. 이 취약점이라는 게 지난 1월 KBS가 보도했던 알뜰폰 비대면 인증 시 본인 인증 단계에서 1차와 전자서명 등 2차 정보 값을 조작하는 것으로 지난 해 말까지 변경 조치했습니다.

한국정보통신진흥협회(KAIT) 측도 KBS에 "엠세이퍼 가입사실현황조회서비스에서 본인 인증 취약점이 발견된 것으로 통보받았으나 가입사실현황조회서비스를 포함한 모든 서비스 및 인증서를 대상으로 개선 조치했다"고 알려 왔습니다.

■"비대면 거래 못 해…신분증 수차례 재발급" 삶이 피폐해지는 해킹 피해

최 씨의 삶은 그 날 이후 완전히 바뀌었습니다. 비대면 거래는 거의 중단했고 어쩔 수 없이 운전면허증 등을 사용해야 한다면 사용한 뒤 폐기하고 다시 발급받고 있습니다. 주민등록증도 발급 일자 등이 보이지 않게 가리고 다닙니다.

기자를 만난 최 씨는 안전한 사회를 만들어 달라고 몇 번이나 말했습니다. 앞으로 끝없는 두려움 속에서 살아가는 피해자의
언제든 누구든 그 타깃이 될 수 있다는 생각에 소름이 끼쳤습니다.

취재가 시작되자 한국정보통신진흥협회 측은 "범죄 조직 가담 여부에 대해 협회가 인지하지 못하였으나 도용된 공동인증서를 사용하지 못하도록 2차 인증수단 도입을 적극 검토하겠다"고 밝혀 왔습니다.

온라인이나 스마트폰, PC 등에서 해킹, 개인정보 탈취 등 사이버 보안 문제로 피해를 본 분들의 제보를 기다립니다. 연락처 : [e-mail]