이스트소프트 알패스, 개인정보 유출로 과징금 1억 1200만원 부과

한동안 잠잠했던 개인정보 유출사고로 과징금을 받은 사례가 또 생겼습니다. 이번에는 보안백신 및 압축유틸리티로 유명한 알시리즈의 개발사 이스트소프트에서 일어난 사고입니다. 보안 소프트웨어를 개발하는 업체에서 개인정보를 유출하였다는 사실은 충격으로 다가오고 있습니다. 

• 이스트소프트는 방통위로부터 과징금 1억 1,200만원 / 과태료 1,000만원 / 위반행위의 중지 및 재발방지대책 수립 시정명령 / 시정명령 처분사실 공표 등 행정처분을 받았습니다.

이번 개인정보 유출사고는 실질적으로 사용자의 아이디 및 패스워드까지 유출되어 범죄에 악용된 것으로 보아 파장이 클 것으로 보이고 있습니다. 

방통위는 이스트소프트로부터 지난해 9월에 발생한 개인정보 유출사고 현장조사를 실시간 결과를 확인하고 보고 했습니다. 조사에서는 개인정보 유출규모 및 해킹의 수단 등을 확인하는 방법으로 조사가 진행되었으며 확인 된 내용은 아래와 같습니다. 

• 이스트소프트의 알툴바 서비스에 접속하면 이용자들이 저장한 알패스 정보를 열람할 수 있음을 파악

• 이를 통해 개인 정보 유출을 계획 (이용 사이트 URL 주소, 아이디, 패스워드 등)

• 해커는 유사한 자체 해킹프로그램을 배포해 계정정보를 획득한 뒤 알패스 서비스에 로그인해 사전대입 공격을 하여 아이디 및 패스워드를 획득

※ 사전 대입 공격 (Dictionary Attack)

공격자가 사전에 확보한 아이디 및 패스워드를 정보 또는 일반적으로 사용되는 정보파일을 가지고 프로그램을 통해 임의로 대입하여 결과물을 얻는 방식의 공격 방식

이를 통해 유출된 정보의 규모는 아래와 같습니다.

- 사용자가 이용하는 웹사이트 URL 정보, 아이디, 비밀번호가 포함된 정보 2,546만 1,263건

- 피해인원 수 16만 6179명 (1인당 150여건의 정보 유출)

계정정보가 유출되었기 때문에, 이를 통해서 포털사이트나 이메일에 접속하여 주민등록증 및 신용카드, 사진, 기타 개인정보를 쉽게 확보하여 휴대전화 개통 및 해킹 서버를 따로 임대 후 암호화폐 거래소에서 부정 접속하여 유출된 고객들이 보유한 암호화폐를 전량 무단 출금한 것으로 나타났습니다. 

알패스와 같이 고객의 모든 정보를 저장해주는 해킹으로 정형 데이터가 유출시에 치명적인 2차, 3차 피해를 연쇄적으로 입을 수 있습니다. 해당 서비스는 어떠한 방법으로도 보안이 가장 강력하게 유지되어야 합니다. 

이번, 이스트소프트 해킹 사건 발생시 방통위가 적발한 내용은 아래와 같습니다.

1. 적절한 규모의 침입차단 및 탐지시스템을 설치하고 개인정보처리시스템에 접속한 IP 등을 재분석해 불법적인 개인정보 유출 시도를 탐지하지 않은 점

2. 개인정보가 열람권한이 없는 자에게 공개되거나 외부로 유출되지 않도록 필요한 보안대책 및 개선조치를 취하지 않은 점

위의 사항과 같이 대체적으로 정보통신망법에서 규정하는 개인정보 보호조치 규정을 위반한 것으로 나타났습니다.

탐지시스템 및 관제 시스템의 부재도 치명적이지만 무엇보다 가장 중요한 개인정보 보호의 최후의 수단인 개인정보암호화 조치가 안되어있다는 점이 큰 충격으로 다가오고 있습니다. 정형데이터를 안전하게 암호화하고 복호화를 할 수 있는 암호 키를 안전하게 물리적으로 분리 저장하는 것은 개인정보 보호조치의 기본이라고 할 수 있습니다.

이를 가능하게 하는 장비는 HSM(하드웨어 암호화 모듈)로써, 개인정보 암호화에 있어서 필수 불가결한 보안 솔루션입니다. 

HSM은 서버의 데이터를 안전하게 상용 알고리즘으로 암호화 시키고 암호 키를 안전하게 생성하고 보관하고 관리하며, 서버의 암호화 부담을 경감하여 서버의 가용자원을 늘려줍니다. 

HSM은 물리적으로 분리가 되어 있어 암호키가 별도로 저장되어 있는 방식이 좋습니다. 그 이유는, 정형데이터가 보관된 서버가 해킹을 통해서 정보유출을 당해도 안전하게 보관이 가능하기 때문입니다. 

이를 통해서 서버가 해킹을 당하여도 암호 키가 탈취당하지 않아 유출된 데이터는 복호화할 수 없기 때문에 해커의 입장에서 사용할 수 없는 데이터 일뿐만 아니라, 유출된 데이터를 실질적으로 사용이 불가능하게 됩니다. 

강력한 암호화 성능도 중요하지만 암호 키를 안전하게 보관할 수 있는 안정성도 매우 중요합니다. 그렇기 때문에 HSM은 매우 중요한 장비라고 할 수 있습니다.

아이마켓코리아에서 공급하는 탈레스 HSM은 세계 GPHSM 시장의 70% 이상을 점유하는 우수한 보안 장비로써 프랑스에 본사를 둔 탈레스 그룹 산하의 사이버보안 전문업체입니다. 국방 보안쪽으로 시작하였기 때문에 우수하고 신뢰성 있는 암호화 성능을 자랑합니다. 

FIPS 140-2 Level 2, Level 3의 인증과 CC EAL+ 인증을 받았으므로 안정성은 입증이 되었습니다. 또한 PCI DSS3 인증시에도 탈레스 HSM을 도입하여 인증 받는 경우가 많습니다.

자세한 정보는 하단의 링크를 통해서 제품에 대한 정보를 알 수 있습니다. (Thales nShield HSM 제품군)

Thales 내장형 HSM - nShield SOLO : http://itblog.imarketkorea.com/227?category=58399

Thales 네트워크 연결형 HSM - nShield Connect : http://itblog.imarketkorea.com/85?category=58399

고성능, 높은 안정성을 자랑하는 하드웨어 암호화 모듈, 탈레스 HSM에 대한 도입 문의 및 견적은 아래의 아이마켓코리아 담당자에게 연락주시면 친절하게 상담해드립니다.

(주) 아이마켓코리아
윤 용 비
대리 │ IT 솔루션 영업팀

TEL : 02-3708-8365
E-mail : security.yun@imarketkorea.com
서울특별시 강남구 삼성동 삼성로512 삼성동빌딩 16층 우)135-090