페북, 연이은 개인정보 유출에 '사면초가' 직면

해킹 사고 직후 보안 업데이트를 단행한 사실을 알리는 페이스북 공지.

페이스북에서 사용자 5000만명의 개인정보 유출이 의심되는 대규모 해킹 사고가 발생했다. 올 초 불거진 데이터 스캔들 사태가 해결되기도 전에 또 다시 개인정보 유출 사고가 터지며 총체적인 관리 부실 문제가 드러났다. 페이스북이 연이은 보안 사고로 창사 이래 최대 위기를 자초했다는 지적이 나온다.

페이스북은 28일(현지시간) 공식 뉴스룸을 통해 지난 25일 5000만개에 달하는 사용자 계정에 대한 해킹 사고가 발생한 사실을 파악했다고 밝혔다. 마크 저커버그 페이스북 CEO(최고경영자)는 이날 긴급 컨퍼런스콜을 통해 "매우 심각한 보안 문제"라며 "회사 차원에서 할 수 있는 보안 조치를 취하고 있다"고 말했다.


이번 해킹 공격은 '뷰 애즈' 기능의 코드를 악용해 이뤄졌다. 뷰 애즈는 자신의 프로필이 다른 사용자에게 어떻게 보이는지 미리 확인하는 기능이다. 해커는 뷰 애즈 코드의 취약점을 파고들어 5000만개에 달하는 사용자 계정의 액세스 토큰을 탈취했다. 액세스 토큰은 페이스북 로그인 상태를 유지하는 디지털 암호와 동일해 사실상 해당 계정이 해킹 당한 것과 같다. 현재 페이스북은 실제 피해 내용과 규모가 어느 정도인지 파악하지 못하고 있다.

페이스북은 해킹 사고를 인지한 직후 관련 정부기관에 알리고, 해당 계정에 대한 액세스 토큰을 재설정했다. 지난해 뷰 애즈 검색을 사용한 계정 4000만개에 대해서도 액세스 토큰을 재설정했다. 뷰 애즈 기능은 일시 중단됐다. 이에 따라 9000만개 이상 사용자 계정에 대해 강제 로그아웃 조치가 이뤄졌다. 해당 계정의 경우 해킹 대상이 됐을 가능성이 높기 때문에 비밀번호를 변경하는 게 좋다.

문제는 지난 몇 년간 페이스북의 액세스 토큰 탈취 사고가 반복적으로 발생했다는 점이다. 보안업체들도 액세스 토큰의 보안 취약점에 대해 여러 차례 우려를 제기한 바 있다. 그런데도 페이스북은 적절한 보안 조치를 취하지 않아 대규모 해킹 사고를 막지 못했다. 액세스 토큰 탈취 사고는 국내에서도 발생한 바 있다. 앞서 부산경찰청은 각종 사회 이슈에 대한 서명운동을 미끼로 페이스북 액세스 토큰 60만개를 탈취한 일당을 불구속 입건했다. 이들은 액세스 토큰으로 '좋아요'와 팔로우 횟수 조작해 부당이득을 챙겼다.

지난 4월 미국 워싱턴 상원 법사위원회와 상무위원회의 합동 청문회에 출석한 마크 저커버그 페이스북 CEO. /AFP=뉴스1.

지난 3월 데이터 스캔들이 불거진 지 불과 6개월 만에 대규모 해킹 사고가 발생한 사실 역시 충격을 안겨준다. 당시 저커버그 CEO는 미국 의회 청문회에 출석해 철저한 보안 대책을 세우겠다고 약속했다. 하지만 이번 사태로 공수표를 날렸다는 비판을 받으며 사용자 신뢰에 심각한 타격을 입었다. 매출과 사용자 성장 정체에 대한 불안감이 팽배한 상황에서 대규모 해킹 사고까지 터지며 창사 이래 최대 위기에 직면했다.

데이터 스캔들은 소셜로그인을 개인정보 유출 도구로 악용할 수 있다는 사실이 확인된 사례다. 영국 캠브리지대 교수인 알렉산드르 코건은 2014년 페이스북 소셜로그인을 연동한 성격 분석 앱 ‘디스 이즈 유어 디지털 라이프’를 통해 가입자 27만명과 이들의 친구 등 수천만명의 개인정보를 수집했다. 코건은 이를 영국 데이터 분석업체 케임브리지 애널리티카(이하 CA)로 넘겼고, CA는 5000만명이 넘는 페이스북 사용자들의 정보 기반으로 분석한 유권자 성향 자료를 2016년 미국 대선 당시 트럼프 캠프에 제공했다는 의혹을 받고 있다.