숙박앱 '여기어때'를 해팅해 금품을 요구한 일당이 경찰에 붙잡혔다. 지난 4월 해킹 사건 발표 당시 이용자 수 200만명의 절반인 99만명의 개인정보 341만건이 유출돼 사회적으로 큰 파장이 일었다.

경찰청(사이버수사과)은 1일 중국인 해커를 통해 '여기어때' 전산망에 침입하여 개인정보 341만 건을 유출한 뒤 6억 원을 주지 않으면 유출된 정보를 언론사 등에 알리겠다고 협박한 피의자 일당 총 5명 중 4명(한국인 3, 중국인 1)을 검거했다고 밝혔다.

◆ 숙박앱 ‘여기어때’ 해킹사건의 전말은?

해킹은 지난 3월 6일부터 17일 사이 중국 동포 해거에 의해 이뤄졌다 IT업계에 근무하며 알게 된 A와 B, B와 C는 사회생활을 하며 고향이 비슷하여 친해진 관계, C와 D 및 D와 E는 각각 지인의 소개로 알게 된 관계다.

A와 B는 지난해 11월 '여기어때' 이용자들의 개인정보를 해킹한 뒤 돈을 뜯어내기로 공모하고, B는 C에게 해킹하면 1억 원을 주겠다면서 해킹할 사람을 구해달라고 하자 C가 D에게 이를 다시 전달하였고, D는 중국인 해커 E에게 1000만 원을 주겠다고 하며 해킹을 의뢰했다.

중국인 해커 E는 구두약속을 하고 지난 3월 6일부터 17일까지 '여기어때' 홈페이지를 해킹해여 이용자들의 숙박예약정보ㆍ회원정보ㆍ제휴점 정보를 유출했다.

A와 B는 해킹한 개인정보파일을 빌미로 '여기어때' 측에 가상화폐인 비트코으로 6억 원을 요구했다. 하지만 여기어때 측이 응하지 않자 앱 이용자 4600여명에게 "인증완료, ㅇㅇ님, X은 잘 하셨나요" "모텔에서 즐거우셨습니까?" 등 수치심을 유발하는 문자메시지를 보냈다. SNS에도 개인정보 5000건을 올리며 압박했지만 여기어때는 끝까지 금품 요구에 응하지 않았다고 한다.

경찰은 범행을 계획한 A, C 등 일당 4명을 구속하고 해외에 도피 중인 B씨를 추적 중이다.

경찰 관계자는 "B씨의 조속한 체포와 개인정보 파일 회수 및 보이스 피싱 등 2차 피해를 차단하기 위하여 추가 수사를 계속 진행할 예정"이라며 "관련기관과의 정보공유를 통해 유사사례가 재발되지 않도록 하는 한편, 개인정보를 보관하고 있는 업체에도 취약점 점검 등 개인정보 보호조치를 강화해야 한다"고 말했다.

◆ 흔한 해킹수법에 뚫려…피해자, 집단소송 강화

이번 해킹 사건은 업체 측이 보안에 더 신경을 썼더라면 충분히 막을 수 있었다는 게 경찰의 분석이다.

중국 해커가 이용한 수법은 데이터베이스(DB) 접근 페이지의 보안상 취약점을 이용한 'SQL인젝션(injection)' 등의 기법으로 드러났다. 

이 해킹수법은 가장 흔히 쓰는 수법이기 때문이다. 씨디네트웍스의 '2016년 4분기 웹 공격 분석 보고서'에 따르면 SQL 인젝션이 26%로 두 번재로 많다.

경찰 관계자는 "해커가 사용자 권한 정보를 가로채는 세션 하이재킹(Session Hijacking) 수법을 사용했는데 '여기어때' 홈페이지는 이를 탐지·차단하는 체계가 없었고 SQL인젝션 공격에도 취약한 상태였다"고 말했다

이와 관련 정보가 유출된 피해자들은 집단소송 움직임도 강화하고 있다. 

이미 지난 29일 일부 피해자들이 법률사무소를 통해 1인당 100만원씩의 손해배상을 요구하는 소송을 서울중앙지법에 냈다. 

특히 이번 집단소송이 주목 받는 것은 징벌적 손해배상이 처음 적용되기 때문이다. 

징벌적 손해배상제도는 지난해 7월 25일부터 개인정보보호법과 정보통신망 이용촉진 및 정보보호에 관한 법률, 신용정보의 이용 및 보호에 관한 법률 등이 개정되며 도입됐다.

이상엽 기자  sylee@techholic.co.kr

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>