‘여기어때’ 개인정보 유출 충격

숙박 예약 서비스 ‘여기어때’의 회원 가입정보는 물론 숙박예약 이력정보 등 341만건의 개인정보가 해킹으로 탈취된 것이 수사결과 공식 확인되면서 위치기반 서비스들에 대한 보안 불안감이 커지고 있다. 이들 서비스는 단순 가입 정보 뿐 아니라 이용자의 시간대별 위치나 행동패턴까지 수집하고 있어 개인정보가 유출될 경우 납치나 유괴, 보복범죄 등에 활용될 수 있어 위험성이 더 크다.

지난 1일 경찰청은 지난 3월 숙박 예약 서비스 ‘여기어때’를 해킹해 99만명의 개인정보 341만여건을 유출한 일당을 검거하고 유출된 개인정보 사본을 가지고 해외로 도주한 1명을 추적중이라고 밝혔다. 특히 이들은 업체를 협박해 돈을 갈취하기 위해 고객 5000여명에게 “좋은 밤 보내셨냐”는 내용의 문자를 보내 개인 정보 유출 사실을 흘렸다. 이 문자에는 해당 고객이 이용한 숙박업소 이름과 이용 날짜 등이 고스란히 적혀 있어 충격을 줬다. 이들은 이후 페이스북에 비공개 계정을 만들어 유출 개인 정보를 게시한 뒤 여기어때 측에 과시하기도 했다.

피해자들은 지난달 29일 서울중앙지방법원에 여기어때 측을 상대로 1인당 100만원씩 손해배상청구소송을 제기했다. 이들은 “해커가 탈취한 예약정보에는 숙박일수와 제휴점 위치, 객실명, 예약 일시, 휴대폰 번호나 입퇴실 가능시간 등 민감 정보가 고스란히 담겨 2차 피해가 우려되고 있다”고 우려했다.

문제는 숙박앱을 비롯해 우후죽순 늘어나는 위치기반 서비스들을 운영하는 개발 및 운영업체의 보안이 허술하다는 점이다. 보안에 신경썼더라면 예방할 수 있었다는 게 보안업계의 평가다. 여기어때 측은 사고가 터지고서야 부랴부랴 최고정보보호책임자(CISO)를 채용하기 위해 공고를 내고 별도 보안전문팀을 꾸린 것으로 알려졌다.

이들 서비스 대부분이 고객의 특성을 고려한 타겟마케팅을 하다보니 소비 행태룰 저장하고 있다. 개인 정보가 유출되면 범죄자가 특정인이 특정 시간에 특정 장소에 나타나는지 분석해 납치하거나 불륜 등 사생활 폭로 협박에 사용할 가능성을 배제할 수 었다.

이상진 고려대정보보호대학원장은 “주민번호나 패스워드는 암호화된 해시값으로 저장하지만 구매 패턴 등은 평문으로 저장하는 경우가 많다. 들여다보기 전에는 알 수 없다”고 설명했다.

원호연 기자/


why37@heraldcorp.com