여기어때 해킹(정보유출)이 두려운 이유, 왜? 어떻게? 진행되었나

여기어때 해킹(정보유출)이 두려운 이유 - 왜? 어떻게? 진행되었나

요즘 모바일 숙박어플 많이 사용하고있으시죠?

저도 손쉽게 숙소를 정할 수 있어서 출장 때 자주 사용하는데요.

최근 신동엽이 광고하던 여기어때라는 앱의 해킹으로인해,

4000여명의 이용자 개인정보가 유출돼 파문이 일어나고 있습니다.

여기 어때 측은 공식적인 사과문을 게재했는데요.

본인의 정보가 유출 여부에 대해서는 확인이 되지 않고 있습니다.

 - 여기어때의 사과문 전문

현재 해당 사건에 대해서는 미래창조과학부와 경찰, 방송통신위원회, 한국인터넷진흥원(KISA) 등이 조사 중입니다만, 일각에서는 초보적인 수준의 해킹에 뚤렸다는 비판이 많이 일고 있습니다.

여기어때 해킹에 사용된 방식은?

24일 보안업계에 따르면 여기어때 해킹에 사용된 방식은 'SQL인젝션'으로 파악되었다고합니다. SQL인젝션은 해커가 주소창이나 아이디·비밀번호 입력창에 명령어를 입력하고 웹사이트에 침투, 서버에서 정보를 탈취하는 초보적 수준의 해킹방식입니다. 

여기어때 서버에 침입한 해커는 SQL인젝션 방식을 통해 내부 직원의 아이디와 비밀번호를 탈취하고 나아가 문자메시지 인증과정까지 해킹해 내부 운영 서버에 침투했다고 합니다.

이미 보안시장에선 SQL인젝션에 대한 피해 사례가 늘어나면서 관련 패치와 업데이트 등을 이미 수차례 배포한 바 있기 때문에 회원수만 400만명에 달하는 여기어때가 기본적인 보안패치마저 하지 않았다는 비판을 모면하기 어렵다는 것이 보안업계의 대체적 시각이라고 합니다. 

- 출처 : http://blog.naver.com/swhyeon/220966446657

이용자의 개인정보로 무엇을 했나?

- 실제 여기어때 이용자가 해킹 업체로부터 받은 메세지

4000명의 고객정보를 통해 여기어때 이용자들에게 상기와 같은 문자메세지를 전했다고합니다. 문자는 대부분 “○월○일 ××(숙박업소명)서 즐거우셨나요”라는 수치심을 유발하는 내용인데요. 당연히 ‘여기 어때’ 이용 경험자들은 2차 피해를 걱정하게 됩니다.

한 피해자는 모 포털 카페 게시판에 자신이 받은 문자 메시지 캡처 사진을 올리고 “실명과 실제 이용했던 숙소의 날짜와 이름이 정확하게 일치합니다. 해당 번호로 전화해보니 ‘여기 어때’와 관련이 없는 휴대폰 배터리 충전기 대여 업체라고 하네요”라며 황당하다는 반응을 보였다고 합니다. 

별도로 해커들은 여기어때에 수억원대의 비트코인을 요구하였다고합니다.

- 해킹의 주체는 여기어때에 비트코인 지급을 두고 협박하였다고 한다.

여기어때의 해킹 주체는 중국이며, 사드 보복 가능성 있나?

최근 중국 해커칩단인 훙커 연맹의 커뮤니티에서 어떤 회원이 애국교류게시판을 통해 한국 웹사이트를 집단 공격할 해커를 모집한다는 글을 올렸습니다. 실제로 앞서 말씀드린 'SQL 인젝션 공격'은 과거 훙커연맹이 한국 웹사이트를 공격한 방식과 동일합니다.

하지만, 비트코인을 요구했다라는 점을 볼때 정부는 비록 IP는 중국이지만 '사드 보복 가능성은 크지 않다'라고 보고 있습니다. 다만 이러한 예단은 금물이기에 정확한 원인 파악이 필요할 것 같습니다.

결국 불안은 이용자들이 떠안게 되었다 - 2차 피해 우려

숙박 모바일 어플에 대한 우려로 인해 니즈가 줄어들 가능성은 차치하고서라도, 현재 4000명의 개인정보를 통해 2차 피해가 있을까 우려되는 상황이라고 합니다. 

현재 아래와 같이 많은 숙박 예약 어플이 있습니다.

여기어때를 비롯해, 야놀자, 호텔스닷컴, 체크인나우 등 정말 많은 어플등이 등장하고 있는데요, 이용자들은 어플 사용 및 개인정보 노출에 조금 더 숙고해야할 것 같습니다.

한편, 보안관제업체 한 관계자는 "KISA와 방통위도 수사 중인 내용을 업체가 지레짐작해 중국 해커의 소행이라고 말하는 것 자체가 실수를 덮기 위한 행위로 보인다"면서 "초보적인 해킹에 당한 만큼, 인터파크 사태처럼 여기어때 측에 수십억원에 달하는 과징금을 부과받을 수도 있을 것"이라고 전했습니다.

이것으로 여기어때 해킹(정보유출)이 두려운 이유, 왜? 어떻게? 진행되었나의 포스팅을 마칩니다.

감사합니다.