미래부 "뽐뿌 196만명 개인정보 유출…'SQL 인젝션' 공격받았다"
2015-10-20 12:00
민·관합동 조사단 분석 결과
[사진=아이클릭아트]
아주경제 최서윤 기자 = 미래창조과학부는 유명 쇼핑 정보 사이트 '뽐뿌(www.ppomppu.co.kr)' 해킹 사고 조사 결과 공격 방법 및 정보탈취에 악용된 보안취약점 등을 확인했다고 20일 밝혔다,
지난달 11월 뽐뿌 사이트에서 196만명의 회원들의 로그인 아이디, 비밀번호, 생년월일, 뽐뿌닉네임 등 개인정보가 유출됐다. 이에 미래부는 민·관 합동조사단을 꾸려 웹 서버 로그(약 10만건)와 개인정보 데이터베이스(DB) 로그(약 2890만건) 등을 분석했다.
그 결과 △해커는 홈페이지 구조 및 취약점을 파악하고 △'SQL 인젝션'에 취약한 웹 페이지 확인한 후 △SQL 인젝션을 통한 개인정보를 빼내는 3단계로 진행한 것으로 드러났다. 'SQL 인젝션'은 DB 서비스인 'SQL(Structured Query Language)'의 쿼리 문자열 사이에 특정 악성 코드를 몰래 넣은 뒤 실행하는 해킹 공격 방법이다.
뽐뿌 홈페이지에는 비정상적인 DB 질의에 대한 검증절차가 없어 SQL 인젝션 공격에 취약한 웹페이지가 존재했으며 개인정보 DB 서버 중 일부 서버에서만 로그를 저장하고 있었다.
뽐뿌 사이트가 해킹된 방식. [사진=미래부]
미래부와 방통위는 침해사고 발생 시 초동대응팀을 가동해 뽐뿌 사이트에서 개인정보 유출여부를 확인하고 해당 피해 사실 및 이용자 조치 방법 등을 이용자에게 통지하도록 했다. 조사단은 추가적인 해킹 피해를 방지하기 위해 뽐뿌 홈페이지에 대한 취약점 점검, 디도스(DDoS) 사이버대피소 적용 등의 긴급 기술지원을 실시했다.
미래부는 "유사피해를 방지하기 위해 커뮤니티 관련업체에 취약점 점검·보안조치를 하도록 요청했다"며 "사이버공격에 신속히 대응하기 위해 방통위·경찰 등 관계기관과 긴밀히 협력해 나갈 것"이라고 밝혔다.