현대차그룹·제주항공 등 잇단 사이버 공격에 소비자 우려 확산...우리 개인정보는 안전한가

현대차그룹 등 주요 기업에 사이버 공격이 잇따르면서 고객 정보 유출에 대한 우려가 증폭되고 있다. 

사이버 공격이 한 번이라도 발생하면 해당 기업뿐만 아니라 거래처, 소비자 등 피해 대상이 전방위적으로 확산될 수 있는 만큼, 사이버 보안을 대폭 강화해야 한다는 지적이다.

보안 전문가들은 국내 기업들이 사이버 보안에 대한 투자를 늘려야 하며 CEO의 의지가 중요하다고 입을 모은다. 해외 사례처럼 징벌적 제재를 가하는 정부 정책, 소비자 집단소송 등을 찾아보기 힘든 국내에선 기업 자체적으로 보안을 강화할 유인이 떨어지는 게 현실이다.

과학기술정보통신부(과기부) 관계자는 22일 기자와 통화에서 "기업을 대상으로 한 보안 정책이 또 하나의 규제가 될 수 있다. 최대한 회사 스스로 보안을 강화할 수 있도록 유도하고 있다"고 설명했다.

최근 주요 기업들의 해킹 소식 잇따라...2차 피해 우려 확산

한 보안 관련 전문가는 "사이버 공격을 당했다고 해서 회사 및 고객 관련 데이터가 다 오픈돼 돌아다니는 건 아니지만, 대부분의 소비자 피해 사례는 고객이 보안 규칙을 제대로 지키지 못해서가 아니라 기업과 관계된 것들이 해킹돼 고객 정보가 유출된다는 점에서 기업이 보안 관리에 좀 더 신경쓸 필요가 있다"고 말했다.

해당 전문가에 따르면, 최근 서버가 해킹을 당하거나 회사 직원의 파일이 감염돼 회사 안에 있는 데이터를 자유자재로 보면서 법인한테 송출하는 경우 등을 어렵지 않게 찾아볼 수 있다.

보안업계에 따르면 해커조직 '도플페이머'는 이달 초 현대차와 기아, 현대글로비스 등 현대차그룹과 관련된 데이터를 다크웹에 올렸다. 업로드된 파일은 약 9GB 분량이다. 현대차그룹과 관련된 각종 문서와 이메일 백업, 전화번호 등이 포함됐다. 도플페이머는 "기업이 정보 유출 사실을 감추며 끝까지 돈을 내지 않았기에 모든 정보를 공유한다"고 밝혔다.

실제 기아 미국법인에서 사이버 장애가 발생한 것과 러시아에서 고객정보 유출과 관련된 조사가 진행되고 있는 점 등은 현대차그룹이 해커조직의 표적이 되고 있는 게 아니냐는 우려가 나오는 이유다.

지난 2월 기아 미국법인은 IT서버와 결제 시스템이 마비되는 등 서비스 장애를 겪었다. 이에 대해 블리핑컴퓨터 등 외신은 해커조직이 내부 시스템에 랜섬웨어를 감염시킨 후 '몸값'을 요구했다고 보도했다. 그러나 기아 법인은 랜섬웨어 공격을 받지 않았다는 입장이다. 

앞서 러시아 당국은 지난 1월 현대차 러시아 고객 130만명의 개인정보가 다크웹 상에서 거래되는 것을 포착, 조사에 착수했다. 러시아 당국은 현대차 사이트 서버의 취약성이 전문 해커의 먹잇감이 된 것으로 보고 있다.  

현대차그룹은 정보 유출 등이 확인된 바가 없다는 입장이다.

익명을 요구한 보안 전문가는 "고객 데이터 유출은 서버의 보안 관리를 제대로 안한 경우가 대부분이다. 서버 안에는 각종 서비스를 하기 위한 프로그램들이 있는데 주기적으로 보안패치를 실시해야 한다"고 말했다. 

이어 "기본적으로 패치 업데이트를 제대로 안했을 경우 '시큐리티 홀'이 발생한다. 보안업계에선 회사에 이런 '홀'이 있으니 막아야 한다고 권고를 하는데도 대응을 안하니까 해커들도 이를 알고 있는 것"이라며 "업데이트를 안하면 해커들은 과거에 발견된 홀이 있는 지를 찾아보고 있으면 침투하는 식"이라고 덧붙였다.

항공업계, 해외 수탁사 해킹당해 고객정보 유출 확산...고객 불만 커져

최근 항공업계에서도 해킹으로 인한 고객정보 유출이 발생했다. 제주항공과 에어서울, 플라이강원 등에 예약 시스템 서비스를 제공하는 해외 수탁사(SITA)가 사이버 공격을 받은 여파다. SITA를 이용하진 않지만 같은 이유로 영향을 받은 아시아나 항공도 우수회원 정보가 유출됐고 관련 내용을 홈페이지 메인에 공지했다.

제주항공, 에어서울 등은 지난달 암호화된 카드번호와 이름이 유출됐다고 밝혔지만 유출 범위가 더욱 늘어났다. 최근 여권번호와 생년월일, 성별, 국적, 휴대폰번호 등이 광범위하게 유출된 점을 확인하고 홈페이지와 메일을 통해 고객 안내에 나섰다. 

해당 항공사들은 여권 위조 등 부정사용 가능성이 없는 점을 관련 기관을 통해 확인했고, 카드번호는 카드사의 '이상 금융거래 시스템(FDS)'을 통해 부정 결제를 예방하고 관리될 수 있도록 조치를 완료했다고 언급했다.

하지만 이번 사고로 유출된 개인정보를 이용한 2차 피해를 배제할 수 없다. 항공사들은 "이번 사고로 보이스피싱, 스미싱 등 2차 피해 우려가 있다"며 "개인정보 악용으로 의심되는 전화를 받거나 문자를 수신할 경우 수신 거부, 문자메시지 삭제 및 전화번호 차단과 함께 전달된 링크를 열거나 접속하지 않도록 주의해달라"고 당부했다.

이에 2차 피해를 우려하는 소비자들의 불만이 커지고 있다. 온라인 커뮤니티 등에선 '뒤늦게 안내 메일이 와서 당황스럽다. 내 정보가 다 퍼져나간 느낌이다', '유독 이달들어 스팸전화가 급증한 게 이것 때문인 거 같다', '회사가 개인정보를 무시하는 경향이 있다' 등의 의견이 확인된다.

특히 항공사들의 대처가 미흡하다는 지적이 주를 이룬다. 메일함 확인을 잘 하지 않을 뿐더러 메일을 본 소비자들도 스팸메일로 오인하게 되는 경우가 많은데 문자 발송 등의 적극적인 조치가 없었다는 것이다.  

지난 21일 제주항공으로부터 메일을 받은 한 소비자는 "관련 내용을 홈페이지 메인도 아닌 공지란에 올리고 메일만 보내면 끝인가. 회사 측의 잘못이 아니라고 하더라도 사후 대처가 미흡하다"며 불만을 토로했다.

다만 과기부에 따르면 해당 항공사들의 조치는 법에 저촉되는 측면은 없다. 법에 따른 최소한의 조치를 취했다는 것이다. 

과기부 관계자는 "국내 항공사가 해킹을 당하면 관련 기관에 신고를 하고 IP차단 등의 조치가 취해지지만 이번 건은 해외 수탁사가 해킹을 당한 것으로 신고 의무는 없다"며 "이번에 유출 사고가 난 항공사들은 개인정보법에 따라 사용자 고지 의무를 다했다"고 말했다. 

취재 내용을 종합하면, 한국은 해외와 비교해 보안의식이 약하다는 지적이 지속적으로 나온다. 관련 예산 배정이 늘 후순위로 밀리는 이유다. 심지어 보안 관련 비용을 책정하지 않은 곳도 수두룩하다. 

반면 해커조직의 사이버 공격은 갈수록 치밀하고 정교해지고 있다. 보이스피싱이 기승을 부려 이미 피로도가 상당 수준에 오른 국민들은 기업들의 소극적인 대처에 답답함을 토로하지만 피해를 증명하거나 걱정을 해소할 뾰족한 방법이 없는 상태다.