'아이핀 사고' 유출 주민등록번호 이용한 듯(상보)

"게임사이트를 타깃으로 한 집단이 아이핀을 부정 발급받은 것으로 보인다. 게임별로 거래사이트를 통해 현금화할 수 있기 때문에 부정발급 받은 아이핀으로 신규 회원 가입을 한 것으로 보인다.(장한 행자부 개인정보보호정책과장)"


행정자치부는 지난달 28일부터 2일 사이 지역정보개발원에서 관리하고 있는 공공아이핀시스템에서 아이핀 75만 건이 부정 발급됐다고 5일 밝혔다.

행자부는 이날 긴급 브리핑을 열고 지난달 28일 밤12시30분부터 지난 2일 오전 9시까지 지역정보 개발원에서관리하고 있는 공공아이핀 시스템에서 아이핀이 부정 발급되는 사고가 있었다고 밝혔다.

장 과장은 "공격이 대담하고 대규모인데다 짧은 시간 내에 75만 건을 발급 받았다"며 "(부정 발급된 아이핀으로)게임사이트 기존 계정 회원정보를 찾으려 했었고 회원 계정도 상당수 신규로 만들어냈기 때문에 혼자서 하기에는 힘든 작업이다"고 밝혔다.

현재까지 경찰 수사 결과 이번 부정발급에 2000여 개의 국내IP가 동원됐고, 중국어 버전의 SW(소프트웨어)가 사용됐다. 부정으로 발급 받은 아이핀으로는 엔씨소프트, 엑스엘게임즈, 블리자드 엔터테인먼트 3개 게임사에 접근을 시도한 것으로 밝혀졌다.


장 정책과장은 "전문가들은 공격의 성격을 봤을 때 해외에서 시도했을 것이라고 예상하고 있다"며 "해외가 진원지라면 여러 경유지를 거쳐서 침투했을 것"이라고 말했다.

행자부는 이번 아이핀 사고가 공공아이핀 시스템의 취약점을 노린 것으로 파악하고 있다. 통상 아이핀 발급 절차는 △1단계: 사용자 정보 입력 △2단계: 공인인증서 같은 본인확인 △3단계: 아이핀 발급으로 이뤄지는데 1,2 단계를 건너뛰고 3단계로 침투해 절차를 건너뛰고 75만 건을 발급한 것이다.

시스템 취약점은 '파라미터 위변조' 관련 보안 시스템인 것으로 드러났다. 오윤택 한국지역정보개발원 책임은 취약점으로 밝혀진 '파라미터 위변조' 관련 보안은 기초가 아니냐는 질문에 "(아이핀발급시스템이) 2007년도에 개발돼 그동안 (이번 사고에 문제가 된) 취약점을 발견 못한 부분이 있다"고 답했다.

오 책임은 "아이핀을 발급 받는 1, 2단계 과정을 넘어가려면 정확한 값을 시스템에 넣어 앞 단계를 정상적으로 수행했다는 것을 알려야 한다"며 "공격자(해커)들이 이른바 '파라미터 위변조 방식'으로 위조된 값을 넣어 단계를 넘어가 부정 발급 받은 것"이라고 설명했다.

이와 관련해 장 과장은 "매년 2번씩 취약점을 점검하면서 파라미터 관련 취약점도 잡아내고 있지만, (공격자가)프로그램 상 가장 약한 부분을 연구한 것 같다"며 "통상적인 점검으로 잡기 어렵다"고 덧붙였다.

아이핀이 부정한 방법으로 발급되는 과정에서 현존하는 실제 주민등록번호가 사용됐을 가능성도 제기됐다. 오 책임은 이미 유출된 주민번호를 악용해 아이핀 부정 발급에 활용했을 가능성도 있다고 설명했다.

그는 "공격자(해커)가 본인 확인을 위한 1, 2 단계를 넘어 3단계로 침투하는데 임의로 만든 인증서 값이 사용됐다"며 "(전 단계를 정상적으로 통과했다는 증거인)인증서를 사용하기까지 과정에서 유출된 실존 주민번호를 사용했을 가능성이 있다"고 말했다.

이어 장 정책과장은 "지역정보개발원의 아이핀 발급시스템에 악성코드가 침투했는지 1차 점검했지만 아직 그런 사례는 없다"며 "부정 발급받은 아이핀 내역을 게임사에 모두 전달했고, 각 사는 해커들이 해당 아이핀으로 무엇을 했고, 어떤 계정에 접근했는지를 각 다 조사했다"고 말했다.