페이스북 해킹으로 3천만명 개인정보 유출

해커들, 액세스 토큰 탈취…카드번호까지 접근

페이스북이 지난달 발생한 페이스북 해킹 사건으로 해커들이 회원 3천만 명의 개인정보에 접근했다고 밝혔다.

12일(현지시간) CNN 등 외신에 따르면 페이스북을 해킹한 해커들은 회원 3천만 명의 액세스 토큰(계정 접근권)을 탈취한 뒤, 이를 덮어쓰는 방법으로 2천900만 명의 이름, 연락처, 이메일에 접근했다.

나머지 100만 명은 개인정보 유출 없이 액세스 토큰만 도용된 것으로 확인됐다.

페이스북(사진=씨넷)

개인정보가 유출된 회원 중 1천400만 명은 이름과 연락처, 이메일 외에도 성별, 구사하는 언어, 종교, 출생지, 학력 등 민감정보까지 노출됐다고 페이스북은 밝혔다. 또한 회원 스스로 입력한 현재 머무는 도시, 페이스북 이용 기기, 방문한 장소 및 웹사이트, 팔로우 한 페이지나 사람, 최근 검색한 15개 항목 등도 유출된 정보에 포함됐다.

외신에 따르면 해커들이 접근한 개인 정보들을 모두 스크랩핑 했는지 여부는 확실치 않은 상태다.

메신저, 메신저 키즈, 인스타그램, 왓츠앱 등 페이스북 계열 앱과 관련된 광고주, 개발자, 지급결제사, 서드 파티 앱 회사 등의 정보에는 해커들이 접근하지 않다고 페이스북은 밝혔다.

페이스북은 이번 사건 조사에 FBI, 미 연방거래위원회(FTC), 아일랜드 데이터보호위원회(IDPC)등과 공조하고 있다.

페이스북 가이 로젠 부사장은 이날 기자회견에서 "우리는 이번 해킹 사건으로 FBI와 협력하고 있으나, 수사에 영향을 줄 수 있어 이 공격의 배후에는 누가 있는지 추측하는 것은 밝힐 수 없다"고 말했다.

이어 "일부 회원의 경우 해커가 카드번호 마지막 4자리까지 접근했을 가능성이 있다"고 밝혔다.

앞서 지난달 29일 페이스북은 공식적으로 해킹 사건에 대해 발표하면서 해커들이 회원 5천만 명의 액세스 토큰을 탈취했다고 밝혔으나, 이번 조사 결과에선 3천만 명이라고 발표했다.

해킹 수법과 관련해 페이스북은 지난 2017년 7월 경부터 해커들이 '타임라인 미리 보기(View As)'와 관련 있는 세 개의 버그를 혼합해 액세스 토큰을 확보할 수 있었다고 설명했다. 이 방법을 이용해 최초로 회원 40만 명의 액세스 토큰을 탈취했고, 이후 다른 방법을 동원해 친구의 친구를 이용하는 방법으로 3천만명의 액세스 토큰까지 획득했다.

한편 페이스북은 지난달 14일부터 해킹으로 추정되는 이상 징후가 급증해 자체 조사를 시작, 25일 취약점을 발견해 이틀 만에 이를 차단했다.

당시 페이스북은 액세스 토큰이 탈취된 회원을 5천만 명으로 보고, 해킹의 영향을 받았을 가능성이 있는 회원을 포함해 9천만 명의 회원 계정을 강제 로그아웃 한 바 있다.