"아이디 살게요"…30분만에 남의 계정으로 로그인됐다

[단독]800원에 산 네이버 아이디, 모든 걸 볼 수 있었다

-[800원에 털리는 내 클라우드]①해킹 아이디 구매해 접속하자 일사천리…클라우드 개인영상도 무방비 '섬뜩'

네이버 아이디와 비밀번호를 1개당 800원에 샀다. 아이디 주인의 이름과 전화번호는 덤이다. 브로커에게 구매한 네이버 계정에는 3시간 동안 접속이 가능했다. 아이디 주인의 메일 확인은 물론 댓글, 블로그 '좋아요' 등을 조작할 수 있다.

더 큰 문제는 '클라우드'다. 사용자의 휴대폰에서 자동으로 업로드된 사진과 동영상을 마음껏 보고 다운로드 받을 수 있다. 네이버 주소록에 저장한 지인들의 연락처에도 접근할 수 있다. 네이버 가입자는 4200만명에 달한다.

실제 조모씨(29)는 중국 해킹 조직에서 구입한 네이버 계정에 접속해 클라우드에 올라온 성관계 영상을 다운로드 받아 유통하다 붙잡혔다. 피해자는 영상이 이미 유포된 뒤에야 자신의 아이디가 뚫렸다는 사실을 알았다.

머니투데이 취재진은 네이버 계정 판매 실태를 알기 위해 '텔레그램'을 통해 판매 브로커와 접촉했다. 브로커의 텔레그램 혹은 카카오톡 아이디는 구글 검색을 통해 쉽게 알 수 있었다.

두 명의 브로커에게 "네이버 아이디 구매 가능할까요?"라는 메시지를 보내자 1분 만에 답장이 왔다. 브로커는 △해킹 아이디는 1개에 800~900원 △영구 아이디는 1개에 1만5000원이라고 가격을 제시했다.

해킹 아이디는 3시간만 쓸 수 있어 가격이 쌌고, 장기미사용자 아이디 또는 직접 만든 아이디는 반영구적으로 사용할 수 있어 비쌌다. 해킹 아이디는 판매 후 3시간이 지나면 비밀번호를 바꾸는 듯했다. 그래야 아이디를 돌려가며 판매할 수 있다.

네이버 관계자는 "네이버는 한 번도 해킹된 적이 없다"며 "주로 보안이 허술한 외부 사이트나 가짜사이트, 단말기를 통해 유출된 아이디로 비정상적인 접속 시도가 이뤄진다"고 설명했다. 이어 "보통 비정상적 접속이 이뤄지면 4시간 내에 사용이 중지된다"고 덧붙였다.

‘영구용은 문제가 생기지 않냐’고 질문 하자 "지금까지 문제 생긴적이 없다"는 답장이 왔다. 장기사용을 원하면 영구용을 추천한다는 안내까지 받았다. 해킹용 아이디를 구매하겠다고 하자 바로 계좌번호를 건넸다.

돈을 입금하니 △아이디 △비밀번호 △이름 △전화번호로 구성된 리스트를 보내줬다. 실제 쓸 수 있는 계정인지 확인해보기 위해 한 계정의 아이디와 비밀번호를 넣었더니 바로 로그인이 됐다. 접촉부터 구매까지 걸린 시간은 단 30분, 섬뜩했다.

팔린 네이버 계정이 과거엔 △댓글 조작 △블로그 ‘좋아요’ △홍보성 쪽지 전달 등에 악용됐다면 이제는 '클라우드'도 표적이다. 범죄자는 전화번호는 물론 사진, 동영상까지 들여다본다. 네이버 계정과 연동된 타 사이트에도 접속할 수 있다.

한번 설정해놓으면 자동으로 클라우드에 업로드되는 특성상 사용자가 네이버를 쓰지 않아도, 사진과 동영상 등이 계속 올라간다. 해킹 아이디가 계속 재판매된다고 보면 범죄자에게 한번 걸리면 지속적으로 사생활이 남에게 유출되는 구조다.

조씨는 중국 해킹조직에서 구입한 네이버 계정으로 들어가 A씨의 클라우드에 올라온 사진 등 파일 3620개(용량 8.2GB)를 받았고, 330회나 그 계정에 접속했다. 또 B, C씨의 클라우드에서는 성관계 영상을 내려 받아 유포했다.

자신의 영상이나 사진이 유통되는 것을 알아챈 피해자도 있지만 그렇지 못한 피해자도 있다. 특히 지인의 전화번호도 같이 유출될 수 있기 때문에 영상 등을 볼모로 협박을 당할 수도 있다.

조씨에게 징역 3년을 선고한 재판부는 "아직도 피해자 측이 알지 못한 채 유통되고 있는 동영상과 그로 인한 잠재적 피해를 감안하면 조씨의 행위는 범죄사실 숫자로 표현될 수 있는 죄질을 넘어선다"고 판시했다.

아이디 해킹은 네이버 만의 문제는 아니다. CNN에 따르면 구글은 지난 2016~2017년 미 캘리포니아주립대 버클리와 손잡고 인터넷 암시장 홈페이지에서 거래되는 구글 회원들의 개인정보를 추적했다. 약 2만5000여개의 해킹수단을 검토한 결과, 그 기간 동안 총 1300만명으로부터 33억건의 계정정보가 제 3자에 의해 유출됐음을 확인했다. 매주 25만 건의 개인정보를 해커들이 수집했다는 의미이다. 브로커들도 네이버 뿐 아니라 구글, 다음 계정도 판매한다.

네이버 측은 이를 방지하기 위해 최선의 노력을 하고 있다는 입장이다. 네이버 관계자는 "이용자의 평상시 패턴에서 벗어나는 계정에 대해 본인 확인 절차를 진행하는 등 국내 사업자 중 아이디 판매에 대해 가장 적극적으로 수사 의뢰 및 협조를 진행하고 있다"고 말했다.

이어 "여기에 비정상적인 아이디 생성 및 특정 IP에서 대량으로 가입되는 것을 차단하기 위한 정책 등 업계에서 가장 높은 수준의 제한 정책을 유지하고 있다"며 "모든 개인화 서비스에 '2차 비밀번호' 확대 적용도 검토 중"이라고 강조했다.

김영상, 김남이, 이태성 기자

'포털 클릭 한번 잘못했다간…' 사생활 영상까지 다 털린다

-[800원에 털리는 내 클라우드]②해킹 수법과 피해 정도

포털 계정이 뚫리는 건 한순간이다. 고객이 가짜 사이트에서 클릭 한번만 잘못해도 정보가 전부 빠져나간다. 피해는 막대하다. 메일 및 포털 연동 계정은 물론, 클라우드에 공유된 사진, 영상, 주소록 등 민감한 개인정보도 노출되면서 후속 피해는 걷잡을 수 없이 커질 수 있다.

경기도 성남시에 거주 중인 박모씨(31)는 최근 오랜 기간 쓰지 않던 네이버 계정에 접속하려다가 실패했다. 평상시 쓰던 비밀번호가 먹히지 않았다.

안 쓰던 사이 휴대폰 번호도 변경해 인증이 어려워지자 결국 네이버 고객센터에 신분증 복사본을 보낸 뒤에야 계정을 되찾았다.

살펴보니 다른 사람이 자신의 계정을 사용한 흔적이 남아 있었다. 30대 남성이던 그는 어느새 '분당판교위례맘카페'와 '은일맘-은평 일산카페'의 '열심멤버'가 돼있었다. 박씨는 "내가 가입한 적도 없는데 알아서 돼있었다"면서 크게 당황해 비밀번호를 바꿨다고 밝혔다.

박씨는 다행히 네이버 카페 가입에 그쳤지만 네이버 아이디와 비밀번호가 유출된다면 피해는 한번에서 끝나지 않는다. 자체 메일은 물론, 네이버 계정만으로 인증과 접속이 가능한 수많은 사이트에서 아이디 도용이 가능하다.

특히 상당수가 네이버에 주소, 전화번호 등을 기입하고 있는데 이같은 개인정보가 함께 유출됐을 경우 나도 모르는 사이 여러 사이트에 내 명의의 아이디가 생기기도 한다. 불법 도박 사이트 등에 내 이름이 올라갈 수 있고 불법 게임 아이템 거래 등에 사용될 수도 있다.

네이버를 자주 쓰지 않는다고 해도 가입 이후 클라우드에 공유설정을 한 경우 개인정보가 계속 저장된다.

클라우드는 사진·문서, 동영상, 메신저 대화 내역 등 저장용도로 사용되는 경우가 많아 민감할 수 있는데, 아예 이를 노리고 얼굴이 널리 알려진 연예인 및 공인들이 범죄의 표적이 되기도 한다.

국내에서는 배우 주진모가 최근 클라우드 계정이 유출되며 메신저 대화 내역 공개 여부를 두고 협박을 받는 등 피해를 봤다. 미국에서는 지난 2014년 제니퍼 로렌스 등 할리우드 연예인 500여명이 클라우드에 저장된 사진이 유출돼 곤혹을 치렀다.

계정 갈취에 동원되는 가장 통상적인 수법은 '사칭'이다. 네이버 등 포털 사이트의 홈페이지와 유사한 가짜 사이트를 개설한 후 가짜 사이트 주소와 함께 "네이버 지식인에 답변이 등록됐으니 확인하라" 등의 문자나 이메일을 보내 이용자들이 해당 사이트에 접속하도록 유도한다.

주소도 'naver.net' 등으로 표기해 실제 홈페이지인 naver.com과 비슷해 방심했다가 속는 사례가 많다. 자신이 찾는 포털사이트인줄 알고 비밀번호 등의 개인정보를 기입했다가는 순식간에 해킹 피해자가 된다.

스마트폰 사용자가 가짜 주소 링크를 클릭하게 되면 불법 해킹 프로그램이 설치될 수도 있다. 스마트폰 사용 내역이 해커들에게 공유되면서 개인정보가 유출된다. 가짜 앱 설치를 유도해 개인정보 기입을 유도하기도 한다.

최근 악성코드를 PC방 컴퓨터에 뿌려 네이버에서 20만명의 개인정보를 빼돌리는 사건이 발생하기도 했다. 이들은 악성코드를 통해 PC방 고객이 인터넷 익스플로러(IE)로 포털 사이트에 로그인하면 아이디와 비밀번호를 추출해 외부 서버로 전송하는 수법을 사용했다.

다른 사이트에서 유출된 계정정보로 네이버나 다음 등 다른 포털에 들어가 계정이 도용되는 사례도 빈번하다. 이용자 상당수가 복수의 사이트에 통일된 아이디·비밀번호를 사용하고 있다는 점에 착안한 범죄다. 이외에도 공유기 해킹을 통해 와이파이 사용시 인터넷 사용 내역을 엿봐 계정정보를 캐내는 등 해킹 수단은 다양하다.

이같은 계정 갈취 수단은 별도의 전문적 지식이나 막대한 자금을 필요로 하지 않는다. 누구나 쉽게 시도 가능하고 잡기도 쉽지 않아 관련 범죄가 속출하는 상황이다. 한국인터넷진흥원(KISA)에 따르면 2015년부터 지난해 상반기까지 개인정보 불법 거래 건수는 44만1666건을 기록했다.

정한결, 이강준 기자

'다 털리는' 아이디 피싱, 네이버·다음 "사용자 주의가 가장 중요"

-[800원에 털리는 내 클라우드]③대부분 개인PC서 해킹 발생…전문가 "주기적 비밀번호 변경 필수"

국내 주요 포털사이트의 아이디가 불법 판매되고 있지만 포털 업체들은 이를 근본적으로 차단할 수 있는 방법은 없다는 입장이다. 포털사이트 서버가 해킹된 게 아니라 외부에서 유출된 아이디를 도용하기 때문에 사용자가 조심하는 것이 가장 중요하다는 주장이다.

4일 한국인터넷진흥원(KISA)의 '개인정보 불법유통 게시물 적발 건수'에 따르면 2015년부터 지난해 상반기까지 불법 개인정보 유통 건수는 총 44만1666건이다. 이 가운데 27만건은 해외에서 유통됐다.

포털사이트 업체들은 이를 막을 방법은 '없다'는 입장이다. 아이디 유출은 주로 포털사이트 서버가 아니라 외부 PC 등을 통해 발생하기 때문이다. 결국 계정 보유자가 수시로 비밀번호를 바꿔가며 조심해야 한다는 것이다.

네이버 관계자는 "가장 중요한 것은 도용된 아이디로의 접속을 사전에 차단하도록 이용자가 계정을 스스로 보호하는 것"이라며 "네이버는 '새로운 환경 로그인 알람'이나 '2단계 인증','해외 로그인 차단' 등 비정상적인 로그인을 막을 수 있는 장치들을 마련하고 있다"고 말했다.

다음 관계자 역시 "아이디 불법 유통 대책에 대한 부분은 명확히 말씀드리기 어려운 입장"이라고 답했다.

실제로 국내에서 아이디 도용·유출에 대해 업체의 책임을 묻는 경우는 거의 없다. 개인 과실로 정보가 불법 유통됐을 때에는 물론이고, 해킹으로 유출이 됐다고 해도 기업이 유출을 막기 위한 조치를 다했다면 배상 책임도 지지 않는다.

2018년 7월 대법원은 2011년 네이트와 싸이월드 이용자 약 3500만명의 개인정보가 유출된 사건에서 SK커뮤니케이션즈가 이를 배상할 책임이 없다는 결론을 내렸다. 중국 해커의 서버 침입으로 인해 네이트와 싸이월드 회원의 아이디, 비밀번호, 주민등록번호, 성명, 생년월일, 이메일 주소, 전화번호, 주소 등이 유출된 사건이었다.

당시 법원은 SK커뮤니케이션즈가 정보유출을 실시간으로 감시하는 등 개인정보 유출 방지를 위한 보호조치 의무를 위반하지 않았다며 개인정보 유출 피해자들의 배상 청구를 기각했다.

같은해 12월엔 870만명의 개인정보를 해킹당한 KT에도 정보 유출의 책임을 물을 수 없다고 판결했다. 해킹과 그에 대한 방어는 창과 방패의 싸움과 비슷해 원천차단이 불가하고 해킹 자체가 '신기술'이었기 때문에 KT는 최선의 보호조치를 했다는 취지였다.

2014년 카드사 개인정보 대량유출 사건에서는 법원이 회사 배상책임을 일부 인정하는 판결을 내렸다. 이는 파견 직원이 고객정보를 빼돌려 대출중개업자에게 팔았던 사건이다.

서을고법은 최근 롯데카드가 개인정보 유출을 막기 위한 조치를 취하지 않은 잘못이 일부 인정된다며 피해자들에게 7만원을 배상하라고 결정했다.

업체가 막기도 쉽지 않고 개인이 업체를 상대로 배상을 받기도 어려운만큼 전문가들은 자신의 계정을 스스로 관리하는 것이 가장 중요하다고 조언한다.

강홍렬 정보통신정책연구원 선임연구원은 "외부 피싱을 통해 아이디가 도용되는 것은 근절하기 어렵다"며 "결국 개인이 주기적으로 비밀번호를 변경하면서 관리하는 수밖에 없다"고 말했다.

이강준, 임찬영 기자

'데이터 시대' 총아 클라우드, 개인정보 유출 '화약고'됐다

-[800원에 털리는 내 클라우드]④클라우드가 뭐길래

'클라우드 컴퓨팅(클라우드)' 서비스가 해킹될 경우 큰 피해를 야기할 수 있지만 활용도는 빠르게 확대되고 있다. 별도의 프로그램 설치 없이 언제 어디서나 접근이 가능하고 빠르게 데이터를 활용할 수 있다는 장점 때문이다. 스마트폰 등 데이터 기기가 해킹 당할 경우 연쇄적인 데이터 유출이 가능하다는 점에서 주의가 필요하다.

클라우드가 대중화 된 것은 2006년 아마존이 아마존웹서비스(AWS)를 설립하면서부터다. AWS는 기업 등 IT 관계자를 대상으로 클라우드 '인프라'를 제공했다.

이때부터 클라우드 산업은 급속도로 발전하기 시작했다. MS, 구글 등 후발 주자들도 하나 둘 클라우드 산업에 본격적으로 뛰어들기 시작하며 '클라우드 시대'가 도래했다.

시장조사업체 가트너가 발표한 자료에 따르면 세계 공공 클라우드 시장은 2017년 1453억 달러에서 해마다 증가해 2022년에는 2783억 달러까지 성장할 전망이다.

클라우드는 개인형 클라우드 부문에서도 빠르게 성장했다. 시간과 장소에 구애 받지 않고 인터넷에 접속할 수만 있으면 데이터의 저장과 활용이 가능하기 때문이다.

개인들은 백업 기능, 저장 공간 확보, 편의성 등 이유로 스마트폰 사진·영상·자료 등을 클라우드에 올려 정보 저장의 창고로 활용하고 있다.

문제는 개인정보가 클라우드에 일괄 보관되면서 개인정보 유출 위험이 더 커졌다는 것이다. 기업이 제공하는 클라우드 서비스 자체의 보안이 강력하다고 하더라도 개별 기기가 해킹 당할 경우 클라우드 내 모든 정보가 유출될 위험이 있다.

이러한 문제는 올해 초 배우 주진모 등 연예인 10여명의 스마트폰이 해킹돼 협박을 받는다는 사실이 알려지며 수면 위로 올라왔다. 해커들이 휴대폰과 연동된 클라우드 서비스를 노렸을 가능성에 무게가 실렸기 때문이다.

주진모와 해커가 나눈 대화 내용을 보면 이들은 클라우드 서버 자체를 해킹하지 않고 주진모의 클라우드 접속 계정 아이디와 비밀번호를 알아내 범행을 저질렀다. 계정 정보 하나만 알아도 모든 정보를 파악할 수 있는 클라우드의 취약점을 공략한 것이다.

애플, 삼성 등 기업도 이런 위험성을 인지하고 이중 보안 체계를 운영하고 있다. 다만 애플 외 기업들은 대부분 '선택적' 이중 보안 체계를 제공한다. 주진모 사건의 경우도 삼성 클라우드 내부적으로는 이중 보안 시스템이 갖춰져 있지만 이용자의 선택에 맡겨 개인정보 유출의 위험에 놓인 셈이다.

김승주 고려대학교 정보보호대학원 교수는 "이용자 개개인이 개인정보 유출을 막기 위해 계정 정보를 잘 관리하는 게 무엇보다 중요하다"며 "기업에서 제공하는 이중 보안 체계를 적극적으로 활용해 정보 유출을 방지하는 노력도 필요하다"고 밝혔다.

임찬영, 정경훈 기자

포털 아이디 유통 기승인데…처벌은 솜방망이

-[800원에 털리는 내 클라우드]⑤해킹 아이디 유통, 처벌은 어떻게

개인정보를 빼내거나 유출할 경우 당연히 법적으로 처벌을 받을 것으로 예상한다. 그러나 현행법은 그리 간단하지 않다. 네이버 계정을 해킹한 사람은 처벌해도 이를 단순히 구매한 사람까지는 처벌하지 못하는 것으로 나타났다.

개인정보 유출로 인한 실질적인 피해가 발생했을 때에만 그 책임을 물을 수 있는데, 이에 대한 개선이 필요하다는 지적이다.

정보통신망법은 정당한 접근권 없이 정보통신망에 침입하면 5년 이하 징역 또는 5000만원 이하 벌금에 처하도록 규정한다. 통신망에서 보관되는 타인 비밀을 침해, 도용, 누설하는 것 또한 금지된다.

개인정보를 해킹한 사람은 이 법에 의거해 처벌을 받을 수 있다. 다만 단순히 계정을 구매한 경우라면 상황이 다르다. 계정을 샀으나 사용하지 않았다면 타인의 비밀을 침해했는지 여부를 다퉈봐야 한다.

경찰 관계자는 "구매한 아이디가 해킹당한 사실을 몰랐을 경우 구매자를 처벌할 수 없다"며 "해킹당한 사실을 알았더라도 구매한 행위만으로 구매자를 처벌하긴 힘들다"고 설명했다. 이어 "아이디가 재물이 아니고, 현행법상 이를 처벌하는 규정도 없기 때문"이라 덧붙였다.

강신업 변호사는 "해킹당한 아이디를 산 사람을 정보통신망법으로 처벌할 수 있지만 아이디와 비밀번호가 개인정보라는 것을 입증해야 한다"고 말했다.

그는 "이제까지 판례에서 아이디와 비밀번호는 사실상 개인정보로 인정되지 않은 경우가 많다"며 "법의 사각지대라고 생각되는데, 시행령 등을 만들어 아이디와 비밀번호를 확실한 개인정보로 볼 수 있어야 한다"고 했다.

이소현 변호사도 "디지털 기술이 삶에 밀접해진 만큼 허락 없이 아이디를 거래하는 행위도 규제하도록 법령 정비가 필요해 보인다"고 밝혔다.

아이디를 구매해 유출한 정보가 성적 수치심을 유발할 수 있는 사진이나 영상일 경우 성폭력 범죄의 처벌 등에 관한 특례법 위반(카메라등이용촬영)으로 처벌받을 수 있다. 성폭력처벌법은 촬영·복제물을 촬영대상자 의사에 반해 배포하는 자를 5년 이하 징역, 3000만원 이하 벌금에 처하도록 돼 있다. 영리를 목적으로 유포한다면 7년 이하 징역에 처해진다.

다만 유포자가 이 영상을 '포르노로 알았다'고 주장하면 정보통신망법이 적용될 가능성이 있다. 성범죄의 경우 개인정보 공개 등의 처분이 추가되지만 정보통신망법 위반은 다르다. 정보통신망법 역시 음란물 유포를 금지하고 있어 이 경우 상대적으로 적은 처벌을 받을 수 있다.

김숙희 변호사는 "성폭력처벌법이 아닌 정보통신망법이 적용될 경우 범인 신상공개, 아동·청소년 기관 취업제한 등을 적용할 수 없는 문제가 생긴다"고 설명했다.

정경훈, 정한결 기자