지난 4년간 유출된 개인정보 회수해 봤더니..

바이두 및 구글 검색 활용했더니...1400만개 개인정보 노출
게임사이트 자동사냥 계정 및 포털 광고성 댓글에 주로 악용      
잇따른 개인정보 유출, 이젠 적극적인 회수·차단 노력 필요
본지와 신라高 해킹보안동아리 학생들, 회수 프로젝트 첫발

[보안뉴스 권 준] 카드 3사를 시작으로 KT 등 통신 3사, 크고 작은 기업·단체에서 개인정보가 유출되면서 개인정보는 이제 공공정보가 됐다는 자조 섞인 말들이 나온다. 더구나 정부에서 절대 없을 거라 장담했던 카드 3사의 2차 유출도 현실화된 마당이다. 

▲ 중국 최대 포털사이트 ‘바이두’에서 한국인의 주민번호 등 개인정보를 손쉽게 찾을 수 있다.

그렇기에 이젠 조금 다른 차원의 접근이 필요하다는 지적도 있다. 개인정보 유출을 100% 막는 데는 한계가 있는 만큼 여기에만 집중해선 안 된다는 것. 오히려 지금까지 유출돼 유통되고 있는 개인정보를 범죄자들이 활용하지 못하도록 회수하는 프로젝트가 필요하다는 발상의 전환이다.

이에 본지는 신라고등학교 해킹보안동아리(동아리장 염세현, 조성한, 이상목, 김상윤, 김경률, 최준용)와 함께 개인정보 회수 프로젝트를 시작했다. 이와 관련 동아리장을 맡고 있는 염세현 군은 “동아리 친구들과 지난 4년간 국내에서 발생한 보안사고에 대해 이야기를 나누다 사고를 통해 유출된 정보들을 최대한 회수하고, 더 이상 확산되지 못하도록 차단해보면 어떨까라는 결론을 내렸다”고 말했다.

이렇게 해서 동아리 학생들은 개인정보 회수작업을 진행하고, 본지는 법률자문과 함께 결과물을 토대로 정책방향을 제시하는 공동 프로젝트가 출발하게 된 것이다.  

약 3주간의 개인정보 회수작업은 중국 최대 검색 서비스인 바이두와 국내외에서 많이 쓰이는 구글을 이용해 진행됐다. 이를 통해 중복을 포함해 약 1,400만개에 이르는 개인정보가 드러났다. 국내 성인수가 약 3,000만명에 이른다고 하면 2명 중 1명꼴에 해당되는 충격적인 결과다.

▲ 회수된 개인정보 샘플 10만개에 대한 성별·연령·지역별 통계자료

그 다음으로 회수된 개인정보 가운데 약 10만개를 무작위로 뽑는 샘플링 작업을 진행했다. 10만개에 대해서는 중복된 개인정보를 제거하는 등 유효한 개인정보를 선별해 통계작업을 거쳤다. 그 결과 남녀 비율, 지역별·연령대 비율 등 의미 있는 통계들이 추출됐다.

회수된 개인정보 10만개를 토대로 분석한 결과 남자가 약 48.3%, 여자가 51.7% 비율을 나타냈다. 연령대로는 그 이전부터 1940년대까지의 출생자, 즉 74세 이상 비율은 4.2%에 불과한 반면, 1950년대 생은 17.8%, 1960년대 생 27.0%, 1970년대  생 21.6%, 1980년대 생 24.2% 등으로 조사됐다. 

마지막 지역별로는 서울이 9.8%, 부산이 11.7%였으며, 경상남북도가 가장 많은 36.4%로 집계됐다. 
 

이번 조사는 여기에 그치지 않았다. 유출된 개인정보가 주로 어떻게 이용되는지 확인할 필요가 있었기 때문이다.

신라고 해킹보안동아리와 본지 확인결과, 유출된 국내 개인정보는 브로커를 이용해 주로 판매되고 있었다. 본지 취재진이 4명의 브로커와 대화를 나눠본 바로는 1건당 적으면 30원에서 비싸게는 100원에 팔리고 있는 것으로 나타났다. 또한, 소량 구입인지 대량 구입인지에 따라서도 상당한 가격 차이가 나는 것을 확인할 수 있었다.

이렇게 판매된 개인정보는 주로 국내 게임사이트에서의 자동사냥 프로그램인 매크로 계정에 이용되는 것으로 조사됐다. 매크로 계정은 게임사이트에서 비싼 아이템을 획득하거나 레벨을 향상시키기 위해 자동으로 게임을 진행하도록 하는 계정을 의미한다.

국내 포털사이트에서 광고성 댓글이나 게시물을 올리는 데도 유출·판매된 개인정보가 활용되는 것으로 나타났다. 

이번 프로젝트를 주도한 염세현 군은 “검색만으로도 개인정보가 줄줄이 나오는 상황”이라며, “이미 유출된 개인정보의 회수방법에 대한 정부, 기업, 개인 모두의 고민과 노력이 필요한 때”라고 밝혔다. “우리 동아리에서 할 수 있는 역할은 여기까지”라는 말도 덧붙였다.   

이에 본지는 이번 개인정보 회수 프로젝트가 알찬 결실을 맺을 수 있도록 경찰청 사이버안전국, 한국인터넷진흥원 등 유관기관과 함께 다양한 방법을 모색할 예정이다. 그리고 이 과정을 순차적으로 기사화할 방침이다.      

출처: 보안뉴스