초보적 취약점에 무너진 공공 보안
서울시 공공자전거 ‘따릉이’ 서버가 해킹당해 462만 명에 달하는 가입자의 개인정보가 유출된 사건이 세간을 떠들썩하게 만들고 있습니다. 더욱 충격적인 건, 이 대규모 해킹의 배후에 고등학생도 아닌 중학생이 있었다는 사실입니다. 유출된 정보에는 아이디, 생년월일, 휴대전화 번호, 주소, 심지어 몸무게까지 포함되어 있었는데요. 이름과 주민등록번호는 빠져있어 다행이지만, 이 정도 정보만으로도 충분히 심각한 2차 피해가 우려되는 수준입니다. 공공 서비스의 취약한 보안이 초보 해커의 호기심에도 무너질 수 있음을 보여준 사례가 되고 말았습니다.
‘과시욕’에 가려진 수사와 범행 동기
이 사건이 드러난 경위 자체가 아이러니합니다. 경찰은 원래 다른 민간 모빌리티 업체를 겨냥한 디도스 공격 사건을 수사하던 중, 피의자의 전자기기를 분석하던 도중 따릉이 이용자 정보가 담긴 파일을 발견하게 됩니다. 이를 계기로 역추적 수사에 나서면서, 텔레그램 대화 기록 등을 통해 중학생 A군과 B군의 범행을 확인했죠. 두 사람은 SNS를 통해 알게 된 사이로, 실제로 만난 적은 없는 것으로 조사됐습니다. B군이 서버의 인증 절차 취약점을 발견해 A군에게 알렸고, A군이 역할을 분담하며 본격적인 해킹을 주도한 것으로 보입니다.
경찰 조사에서 B군은 ‘자기 과시와 호기심’ 때문에 했다고 진술한 반면, A군은 변호인을 통해 진술을 거부하고 있습니다. 경찰은 A군에 대해 두 차례 구속영장을 신청했지만, 검찰은 소년범이라는 점과 범행에서의 정확한 역할 구분이 필요하다는 이유로 영장을 청구하지 않았습니다. 금전적 이득을 노린 것이 아닌, 단순한 과시욕과 호기심이 462만 명의 민감정보를 위협한 계기가 되었다는 점에서 이번 사건의 특이성이 두드러집니다. 현재까지 유출된 정보가 제3자에게 팔리거나 유포된 정황은 발견되지 않았습니다.
사후 대응까지 ‘깜깜’했던 관리 주체
가장 큰 문제는 사건을 관리해야 할 주체의 대응이었습니다. 서울시설공단은 경찰로부터 연락을 받기 전까지 해킹 사실 자체를 전혀 모르고 있었습니다. 유출 사고가 발생한 지 20일이 지나서야 보안업체로부터 보고를 받았지만, 웹 방화벽을 설치하는 데 그쳤을 뿐, 피해 이용자들에게 공지하거나 신고하는 등의 기본적인 후속 조치는 취하지 않았습니다. 이로 인해 서울시는 시설공단 관계자를 개인정보보호법 위반 혐의로 수사 의뢰한 상태입니다.
보안 전문가들은 이번에 악용된 서버 인증 절차의 취약점이 결코 고급 기술이 아니라고 지적합니다. 가입자 정보 조회 시 인증 절차가 제대로 작동하지 않아, 인증 없이도 데이터에 접근할 수 있는 초보적인 허점이었던 겁니다. 상식적인 수준의 보안 점검만 제대로 이뤄졌어도 막을 수 있었을 사고인 만큼, 공공기관의 보안 관리 태만에 대한 비판이 거세질 수밖에 없는 상황입니다. 경찰과 개인정보보호위원회는 재발 방지 대책을 마련하고 2차 피해를 막기 위해 노력할 계획이라고 밝혔습니다.