이스트소프트(047560)는 네이트 해킹 사건에 자사 공개용 알집의 보안 취약점이 악용되었다는 경찰 발표와 관련하여, 사고 경위와 함께 공식 입장을 발표했다.

경찰은 이번 네이트 개인 정보 유출 사건과 관련하여, 공개용 알집 업데이트 서버가 악성코드에 감염됐고, 네이트 직원의 PC에 설치되어 있던 공개용 알집의 취약점으로 인해 변조된 업데이트 정보를 수신하여, 해커에 의해 변조된 모듈이 위장서버로부터 다운로드 되었을 가능성이 있다고 보고 있다. 다만, 알약 및 기업용 알툴즈 제품은 이번 사건과는 무관하며, 일반 사용자 대상의 공격도 없었던 것으로 밝혔다.

이에 대해 이스트소프트는 “네이트 해킹과 공개용 알집의 취약점에 대한 경찰 결과가 발표되었는데, 경찰이 해커를 추적하기 위해 분석한 과정과 분석에 사용된 기술을 존중한다”며, “앞으로 경찰의 해커를 추적하기 위한 추가 조사에도 적극 협조할 것이며, 다시는 이러한 사고가 발생하지 않도록 업데이트 시스템 보안을 더욱 강화하겠다”고 말했다.

또한 이스트소프트는 조사와 별개로 지난 3일 공개용 알집 업데이트 시스템의 보안 취약점을 확인하고, 혹시 모를 추가해킹 사고를 예방하기 위해 4일 긴급 보안패치를 완료하였다. 또한 공식 사이트에 보안 공지와 사과문을 게재하고 자사의 배너광고 및 SNS 채널을 동원하여 보안패치를 적극 안내하는 등 신속한 문제해결을 위해 노력하였다.

실제로 보안 패치 발표 후 일주일 만에 약 1,400만명의 사용자가 보안 패치를 내려 받은 것으로 집계되었다. 보안 패치 대상 제품의 사용자가 약 1,500만명이라는 점을 감안할 때 약 93%가 이미 보안패치를 완료한 것이다. 회사측은 “광고 모듈을 사용하지 않는 기업용 알툴즈 제품과 별도의 업데이트 시스템을 갖추고 업데이트 파일셋에 대한 무결성 검증을 강력하게 하는 알약은 이번 취약점과 무관하다”고 다시 한번 확인했다.

아울러 이스트소프트는 비록 일반 사용자에게 피해가 발생하지는 않았지만, 알툴즈 제품 사용을 불안해하고 있는 사용자들을 안심시키고 향후 이러한 문제가 재발되지 않도록 하기 위해 보다 강력한 보안 대책을 발표했다.

우선, 취약점으로 지적된 제품 업데이트 과정의 보안을 강화하는 방법으로 ▷제품 업데이트 시 업데이트할 파일이 정상 파일인지 확인하는 무결성 검증을 강화하고 ▷전송 과정에서의 데이터 변조를 방지하는 등 기존 알약 제품에 적용되어 있는 자가보호기술을 공개용 알툴즈 제품군에도 적용하겠다고 밝혔다.

또한 해커의 공격으로부터 업데이트 서버의 보안을 더욱 강화하기 위해 ▷내부 통제 시스템 정비를 통한 사내 보안 인프라 강화 ▷사업부문별 보안 전담팀 신설을 통한 보안조직 강화 ▷서버 접근 권한 및 보안 취약점 검증 강화 등 총 3가지 분야의 보안 대책을 수립하고 철저히 시행하겠다고 밝혔다.

김장중 대표는 “1993년 창립해 18년간 소프트웨어를 개발해 오는 동안 이러한 보안 사고가 발생한 것은 처음으로, 범용 소프트웨어 개발사로서 어떤 형태로든 해킹 사건에 연루되었다는 점에서 사용자 여러분께 깊이 사과 드린다”며, “이번 사건을 계기로 업데이트 시스템 및 서버 보안을 더욱 강화하여 사용자 여러분의 신뢰를 회복하고 더욱 튼튼한 회사로 만들어 가겠다”고 다짐했다. 현재 공개용 알툴즈에서 발견되었던 보안 취약점은 자동업데이트 패치를 통해 제거할 수 있으며, 관련한 상세 내용은 알툴즈 공식 홈페이지(www.altools.co.kr)에서 확인할 수 있다.

<정순식 기자@sunheraldbiz>sun@heraldcorp.com