-SQL 인젝션 공격 -DB에 저장된 관리자 세션값 탈취 수법 [헤럴드경제=최상현 기자] 지난달 발생한 숙박 예약 서비스 ‘여기 어때’ 고객 정보 유출은 웹페이지 보안 취약이 원인이었던 것으로 나타났다.

방송통신위원회와 미래창조과학부ㆍ한국인터넷진흥원 등으로 구성된 민관합동조사단은 ‘여기 어때’를 운영하는 ㈜위드이노베이션 개인정보 유출 침해사고와 관련해 이 같은 내용의 조사 결과를 26일 발표했다.

이번 조사는 ㈜위드이노베이션 서비스 이용고객을 대상으로 총 4817건의 ‘협박성 음란문자(SMS)’가 발송돼 개인정보 유출 침해사고에 대한 신속한 대응과 사고 원인 분석을 통한 유사 피해 재발 방지 차원에서 실시됐다.

㈜위드이노베이션이 운영하는 ‘여기 어때’ 서비스에서 지난달 7일에서 17일까지 숙박업소 입퇴실 가능시간, 객실명, 숙박일수 등 예약정보와 제휴점 및 회원 정보 등 총 99만584건의 고객개인정보가 유출됐다.

조사단은 확보한 사고 관련자료(웹서버 로그 1560만건, 공격서버ㆍPC 5대) 분석 및 재연을 통해 해킹의 구체적인 방법 및 절차, 개인정보 유출규모 등을 확인했다.

조사단에 따르면 해커는 ‘여기어때 마케팅센터 웹페이지’에 SQL(Structured Query Language) 인젝션 공격을 통해 DB에 저장된 관리자 세션값(관리자 고유 식별값)을 탈취한 후 탈취한 관리자 세션값으로 외부에 노출된 ‘서비스 관리 웹페이지’를 관리자 권한으로 세션 변조 공격 등 우회 접속하고, 예약정보, 제휴점 정보 및 회원정보를 유출한 것으로 파악됐다.

SQL 인젝션은 데이터베이스에 대한 질의 값을 조작해 정상적인 자료 이외에 해커가 원하는 자료까지 데이터베이스로 부터 유출 가능한 공격기법을 말한다.

이를 통해 해커는 서비스 관리 웹페이지에서 제공하는 메뉴를 이용해 제휴점정보(EXCEL) 및 예약내역(CSV)은 파일로, 회원가입정보는 화면조회를 통해, 개인정보(중복제거) 총 99만584건을 유출한 것으로 조사됐다. 휴대폰 기준 91만705건과 이메일 기준 7만8716건의 중복 여부에 대해서는 방통위에서 추가로 조사 중이다.

조사단은 “㈜위드이노베이션 홈페이지에는 비정상적인 DB 질의에 대한 검증절차가 없어 SQL 인젝션 공격에 취약한 웹페이지가 존재했고 탈취된 관리자 세션값을 통한 우회접속(세션변조 공격)을 탐지ㆍ차단하는 체계가 없는 것으로 확인됐다”고 설명했다.

조사단은 ㈜위드이노베이션 침해사고 조사과정에서 발견된 문제점을 개선ㆍ보완할 수 있도록 조사결과 및 개선사항 공유 등 보안강화 기술지원과 함께 ㈜위드이노베이션 홈페이지 대상으로 취약점 점검을 실시했다.

또 방통위에서 마련한 ‘개인정보 유출 대응 매뉴얼’에 따라 유출 신고 및 전파, 유출통지, 이용자 피해방지를 위한 대책 수립 등이 이뤄지도록 조치했다.


bonsang@heraldcorp.com