오픈시스템 개인정보유출, 실시간 감시가 답

회사 밖에서도 내부 데이터베이스(DB) 서버에 접근해 정보를 조회할 수 있는 '오픈시스템'이 보급되면서 개인정보유출 사례도 늘어나고 있다. 기존 보안관제로는 이를 막는 일이 어렵기 때문에 거래에 기반한 실시간 감시의 중요성이 부각되고 있다.

16일 유니버셜리얼타임(대표 박용우)은 오픈시스템 구축에 따른 보안문제를 해결하기 위해 기존 보안관제 시스템만으로는 해결하기 어려운 부정 사용을 방지하기 위해서는 거래 기록에 대한 실시간 감시가 중요하다고 밝혔다.

지난 2008년 이후 국내 개인정보 유출은 1억 건에 달한다. 2008년 옥션에서 1천081만 명, 하나로텔레콤에서 600만 명, GS칼텍스에서 1천100만 명의 개인정보가 유출됐다. 2011년에는 현대캐피탈이 175만 명, SK커뮤니케이션즈가 3천500만 명, 넥슨이 1천320만 명의 가입자 정보를 도둑맞았다. 지난해에는 KT에서 5개월 간 870만 건의 고객정보가 유출되는 문제가 발생했다.

유니버셜리얼타임 관계자는 기업이 엄격히 관리해야 할 주요 자산인 고객정보가 외부로 유출되는 것은 기업의 신뢰도에 큰 타격을 미칠 뿐만 아니라 유출된 개인의 신상정보가 범죄에 이용돼 2차, 3차 피해를 양성해 그 심각성이 크다고 밝혔다.

과거에는 특수기술을 가진 시스템 유지보수 직원들이 내부 DB에 직접 접근해 개인정보를 유출하는 사례가 많았다. 그러나 재작년부터 시행된 개인정보보호법에 따라 본인 동의 없이는 개인정보를 수집, 활용하거나 제 3자에게 제공할 수 없게 됐다.

그러나 최근에는 금융권을 중심으로 오픈시스템을 구축이 활성화 되면서 개인정보 유출 위험성이 커지고 있는 상황이다. 많은 기업과 공공기관들이 기존에 메인프레임 시스템을 통해 핵심업무를 처리해왔던 것과 달리 시스템 구축비용을 아끼기 위해 오픈시스템을 도입을 검토하고 있다. 문제는 이 과정에서 업무 처리용 애플리케이션이 너무 많은 권한을 갖게 됐다는 점이다.

앞서 KT 고객정보유출 사건의 경우에도 영업 대리점에서 사용되는 고객정보조회시스템과 유사한 프로그램을 만들어 개인정보를 5개월에 걸쳐 조금씩 유출시켰다. 이 경우 사용자 PC를 악성코드에 감염시켜 조종하는 방법과는 달리 기존 보안관제시스템에서는 제대로 탐지하기 어렵다고 이 회사는 설명했다.

더구나 정보가 유출된 고객정보조회시스템이라는 애플리케이션은 ID와 비밀번호만 입력하면 손쉽게 내부 DB를 조회할 수 있다는 점도 문제로 지적됐다.

유니버셜리얼타임에 따르면 지방의 한 영업점의 경우 서로 다른 세 개 보험회사의 업무를 모두 수행하면서 개인정보를 조회하고 있다. 각각의 조회 시스템에 서로 다른 PC로 관리하고 있지만 매크로를 돌리는 등의 방법으로 영업점 직원이 개인정보를 부정유출 하는 사례도 있다.

이에 따라 유니버셜리얼타임측은 보안침해 패턴의 변화에 대비한 새로운 관점의 보안책이 필요하다고 강조했다.

고객정보의 유출 패턴이 해킹이나 악성코드 형태가 아닌 정상적인 서비스를 가장한 '비정상 대량 조회' 패턴으로 발생하고 있기 때문이다.