“당신의 운전면허증 정보가 유출됐습니다” [탈탈털털]

KBS '뉴스9'은 정부와 민간의 다양한 사이버 보안 현황을 점검하고, 사이버 영토에서 안전한 대한민국을 만들고자 연중기획 [사이버 위협 -당신은 안녕하십니까]를 연속 보도합니다. 동시에, 기사에 다 담지 못한 내용을 [탈탈털털]을 통해 공개합니다. 한 번 털리면 또 '털'리고 두 번도 '털'리는 게 사이버 범죄입니다. 그래서 디지털 기사 시리즈 제목이 [탈탈털털]이 됐습니다.

식당을 운영하는 60대 A 씨는 지난 11일 도로교통공단으로부터 우편물을 한 통 받았습니다. '과속해서 벌금이 나왔나?' 싶어 급히 우편물을 뜯어 봤다는 A씨는 놀라지 않을 수 없었는데요.

본인의 개인 정보가 유출됐다는 소식이었습니다. 도로교통공단은 A씨의 운전 면허 정보는 물론 주소, 증명사진, 휴대전화번호 등이 유출됐다고 했습니다. A 씨는 "너무 불안하다."라며 "사진, 이름, 운전면허 번호로 위조 신분증을 만들 수 있지 않냐. 어떤 2차, 3차 피해가 생길지 걱정된다."라고 말했습니다.

■ 도로교통공단 사이트 로그인 과정 '허점'…"운전면허 정보, 사진, 휴대전화번호까지 유출"

개인정보가 유출된 건 도로교통공단의 '안전운전통합민원' 사이트입니다. 도로교통공단은 운전면허시험 관리 업무 전반은 물론 교통안전 교육 등을 담당하는 공공기관입니다. 운전자들이 온라인으로 운전면허 시험을 예약하거나 면허를 갱신하려면 도로교통공단의 '안전운전통합민원' 사이트에 접속해야 합니다.

운전자들이 이 서비스를 이용하려면 2단계 인증 절차를 거쳐야 하는데요. 먼저, 이름과 주민등록 번호를 입력해 1차 인증을 통과한 뒤, 공동인증서나 간편인증 같은 2차 인증을 거쳐야만 로그인이 됩니다.

그런데 이 2차 인증 방법 중 하나인 '핀 인증'에 허술한 점이 있어, 개인정보가 유출된 것으로 KBS 취재 결과 확인됐습니다.
1차 인증에 입력한 정보와 2차 인증에 넣은 핀 정보가 달라도 로그인이 가능했던 것으로 추정됩니다. 예를 들어 기자의 이름과 주민등록 번호로 1차 인증을 통과한 뒤, 다른 사람의 핀 정보로 2차 인증을 시도했는데도 아무 제약없이 통과해 로그인이 됐던 겁니다.

그렇게 '인증의 문턱'을 통과한 범죄 조직은 도로교통공단 사이트에서 본인이어야만 확인할 수 있는 각종 개인 정보를 탈취해갔습니다. 운전면허증에 나온 주요 정보들, 즉 운전면허번호와 주소, 증명사진은 물론 휴대전화 번호, 이메일도 털어갔습니다. 금융 거래를 위해 필요한 사실상의 대부분의 정보를 털어간 겁니다. 현재까지 도로교통공단이 파악한 피해자만 수십 명에 달하는 것으로 파악됐습니다.

운전면허는 주민등록증과 흡사하게 본인확인을 할 때 사용되는 수단입니다. 운전면허증 사진을 찍어서 인증하는 경우도 있지만, 운전면허증에 명시된 운전면허번호와 발급번호를 텍스트로 입력하는 방식으로 인증을 넘어가는 경우도 있다 보니 2차, 3차 피해로 이어질 가능성도 있습니다.

도로교통공단이 피해자 A씨에게 보낸 사과문 중 일부. 도로교통공단은 운전면허증 재발급 비용을 지원하겠다고 밝혔다.

도로교통공단은 지난 4일 경찰로부터 개인정보 유출 사실을 통보받고, 즉시 '핀 인증'을 차단했다고 밝혔습니다. 경찰이 통보해주기 전까지는 몰랐던 겁니다.

도로교통공단 관계자는 "어디선가 입수한 이름과 주민등록번호로 1차 인증을 통과한 것이지 해당 사이트에서 개인정보가 노출된 건 아니다."라며 "데이터베이스에 접근한 건 아니고, 웹사이트 로그인을 통해 보이는 정보들을 가져간 것"이라고 설명했습니다. 그러면서 "보안 취약점을 점검하는 등 매년 노력을 하고 있는데도 이런 사고가 발생해 죄송스럽게 생각한다."라고 덧붙였습니다.

도로교통공단 관계자는 또 "피해자들에게 정보 유출 사실을 알렸다."라며 "유출된 개인정보로 인한 2차 피해가 있을 수 있으니 피해자분들은 운전면허증 재발급이 필요하다고 권유했다."라고 설명했습니다.

서울경찰청은 개인정보 유출 경위와 범죄 조직에 대해 수사중이고, 개인정보보호위원회도 조사에 나섰습니다. 도로교통공단이 밝힌 피해자 외에 또다른 피해자는 없는 것인지, 금융 피해 같은 2차 피해로 이어지진 않았는지, 무엇보다 도대체 누가 내 정보를 털어갔는지 제대로 밝혀지면 좋겠습니다.

온라인이나 휴대전화, PC 등에서 해킹, 개인정보 및 기업정보 탈취 등으로 인한 피해를 본 분들의 제보를 기다립니다. 연락처 [e-mail]