[한인협 = 조희선 기자] 부가 주민번호 대체수단으로 권장한 아이핀(i-pin) 시스템이 외부공격에 의해 취약점이 밝혀졌다. 공격자는 취약점을 악용해 75만건의 아이핀을 부정발급하고 이를 게임사이트 가입 등에 사용했다. "아이핀 설계 당시 예상하지 못했던 단점으로 그런 일(주민번호 유출)이 생길 가능성이 전혀 없다고 확언하기 어렵다. (아이핀의 기술적) 안전성을 검토할 필요가 있다."
지난달 26일 최성준 방송통신위원회 위원장의 우려가 현실화될 위기에 놓였다.
행정자치부 공공아이핀 홈페이지 캡처이번 조사는 최근 아이핀 발급량이 단기간에 급격히 증가한 것에 대한 경위를 파악하기 위해 이뤄졌다.
행자부에 따르면 이번 공격은 아이핀 시스템을 공격해 공공아이핀을 대거 발급한 것으로 주민번호를 도용해 정식으로 발급받은 아이핀을 거래한 것은 아닌 것으로 파악됐다.
공격 주체는 본격적인 대량 발급에 앞서 소규모 시험발급도 한 것으로 확인됐다.
행자부가 이상징후를 파악한 것은 지난 2일 오전이다.
주말 이틀 동안 발급인원이 급증한 것을 수상하게 여긴 관리기관(지역정보개발원)이 원인을 조사한 결과 프로그램의 취약점을 공격한 해커가 아이핀을 대량으로 부정 발급한 것으로 드러났다.
아이핀 발급은 주민번호를 입력하고 본인인증 절차를 거쳐 이뤄지는 데 공격주체는 공공아이핀 프로그램 중 본인인증 단계의 취약점을 파고들어 발급을 받은 것으로 추정된다.
행자부는 2일 75만 건이 부정 발급된 사실을 파악하고도 약 사흘이 지난 5일에야 공개했다.
행자부의 한 관계자는 "부정 발급된 75만 건을 즉시 삭제하고, 게임사이트에서 쓰인 12만 건에 대해서는 회원탈퇴 또는 사용중지 조치했기 때문에 피해는 거의 없을 것"이라면서 "지금까지 보고된 피해는 없다"고 강조했다.
이번 사고는 공공아이핀 정상발급 절차를 우회(프로그램 취약점 이용)하여 아이핀을 대량으로 부정발급한 것으로 확인됐다. 또한, 부정발급 받은 아이핀 중 12만건이 3개 게임사이트의 신규 회원가입, 기존 이용자 계정 수정·변경 등에 이용한 것으로 파악됐다.
행자부는 이번 사고로 인한 2차 피해를 최소화하기 위하여 민간아이핀기관과 관련 게임사에 사용내역을 전달, 긴급 사용자 보호조치를 취하도록 했다. 관련 게임사에서는 부정발급된 아이핀으로 신규회원 가입을 한 경우에는 회원 탈퇴 조치를 했으며, 사용자 정보를 수정·변경한 경우에는 임시 사용중지 조치를 했다.
현재 행자부는 긴급 대책회의를 열고 한국인터넷진흥원, KISA등과 아이핀시스템 전면 재구축 방안 등을 검토하기로 했다.
|
||||||
조희선 기자 hscho@korea-press.com
<저작권자 © 한국인터넷언론인협동조합, 무단 전재 및 재배포 금지>
타워크레인 안전 관리 ‘AI 인공지능’ 시대 도래하나?
