쿠팡 정보유출 '첩첩산중'…비회원 피해까지 눈덩이 불어날까

[Weekly Threat] 알리 셀러계정 해킹…정산금 '행방 묘연'

보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주>

[디지털데일리 김보민기자] 쿠팡에서 발생한 대규모 개인정보 유출 사태가 첩첩산중을 이어가고 있다. 개인정보보호위원회는 3000만명 이상 개인정보가 유출된 것에 비회원 피해까지 더하면 규모가 더 늘어날 수 있다고 예고했다. 현재 관련 조사는 진행 중에 있다.

알리익스프레스코리아 판매자(셀러) 계정이 해킹됐다는 소식도 뒤늦게 전해졌다. 조사 결과 해커는 알리익스프레스 비즈니스 계정 취약점을 악용해 비밀번호를 재설정하고 정산금을 가로챈 것으로 나타났다. 피해 규모는 86억원 수준으로 전해진다.

이러한 분위기 속, 한국을 비롯해 전 세계를 괴롭혔던 랜섬웨어 조직 '블랙바스타(Black Basta)'가 꼬리를 밟혔다는 소식도 나왔다. 조직 수장과 주요 운영자 신원이 특정되면서 이들 범죄 사업이 사실상 해체됐다는 해석도 나온다. 다만 사이버 범죄자들이 활동을 중단하더라도 리브랜딩 후 다시 등장하는 사례가 늘고 있어 안심하기 이르다는 의견도 제기된다.

◆ 쿠팡 정보 유출, 비회원 피해 확인 중...조사 권한도 강화

송경희 개인정보위 위원장은 21일 서울 중구 프레스센터에서 쿠팡 사태에 대해 "확실한 것은 3000만명 이상 개인정보가 유출됐다는 점"이라며 "비회원 정보도 포함된 것으로 보고 있고, 이를 추가하면 (피해) 규모가 늘어날 수 있다"고 말했다.

앞서 쿠팡은 자체 조사를 통해 피해 규모가 3000여건에 불과하다고 주장했지만, 개인정보위를 비롯한 조사단은 3370만건 정보가 유출 피해를 입었다고 반박하고 있다. 개인정보위는 배송지를 지정하는 과정에서 본인이 아닌 다른 사람에게 물품을 보내는 경우 비회원 유출 가능성이 있을 수 있다고 보고 있다.

송 위원장은 쿠팡 사태가 한미 간 통상 이슈로 번질 수 있다는 우려에 대해서 "고려 대상이 아니다"라는 입장도 밝혔다. 이어 "해외 사업자든 국내 사업자든 똑같이 개인정보보호법 위반 여부를 법에 근거해 조사할 것"이라며 "이를 기반으로 처분을 내리는 것이 원칙이고, 통상 변수는 고려하고 있지 않다"고 선을 그었다.

◆ 비밀번호 바꿔 정산금 털기...알리 판매자 울린 교묘한 수법

조국혁신당 이해민 의원이 한국인터넷진흥원(KISA)으로부터 받은 침해사고 신고서에 따르면, 알리익스프레스코리아는 지난해 10월 판매자가 이용하는 '비즈니스 온라인 포털'에 해커가 무단 접근했을 가능성을 인지하고 내부 조사를 실시했다.

해커는 비즈니스 계정 비밀번호를 복구할 때 사용하는 일회용비밀번호(OTP) 취약점을 이용한 것으로 나타났다. 이를 통해 107개 비즈니스 계정 비밀번호를 재설정하고 83개 계정 정산금 계좌를 자신의 계좌로 신규 등록했다. 이 과정에서 갈취한 정산금은 600만달러(약 86억원)였다.

취약점을 악용한 사이버 범죄 수법은 더욱 고도화되는 추세다. 보안업계에서는 알리익스프레스가 판매자가 정산금 미지급 사실을 알리기 전에 피해를 예방하지 못한 것을 주목하고 있다. 고도화된 공격에 대응할 만한 보안 체계를 재정비해야 한다는 취지다.

◆ "사실상 해체" 꼬리 밟힌 랜섬웨어 조직 '블랙바스타'

우크라이나와 독일 사법당국은 러시아 연계 랜섬웨어 조직 블랙바스타(Black Basta)에 근무한 혐의를 받는 우크라이나인 2명을 확인했다. 블랙바스타 수장으로 알려진 35세 러시아 국적 올레그 예브게니예비치 네페도프는 유럽연합(EU) 수배자 명단과 인터폴 적색수배자 명단에 올랐다.

우크라이나 사이버 경찰은 이들이 보안 시스템에 대한 기술적 해킹을 전문으로 하며 랜섬웨어 공격을 준비하는 데 관여했다고 밝혔다. 수사 당국에 따르면 이들은 특수 소프트웨어를 이용해 정보 시스템에서 비밀번호를 추출하는 이른바 ‘해시 크래커’로 활동했고, 자격증명을 확보한 뒤 기업 네트워크에 침입해 랜섬웨어를 배포하고 암호화된 정보를 복구하는 대가로 금전을 갈취했다.

블랙바스타는 이르면 2022년 초부터 활동한 랜섬웨어 조직으로 컴퓨터 시스템 감염, 데이터 탈취, 시스템 암호화에 특화된 공격을 벌여왔다. 한국도 공격 대상이었고 지난해에는 내부 채팅 기록이 온라인에 유출돼 운영 방식과 구성원이 드러나기도 했다. 활동이 잠잠했던 데다 이번 사태로 조직이 사실상 해체됐다는 분석도 나오지만, 업계에서는 구성원들이 다른 랜섬웨어 조직으로 이동하거나 이름을 바꿔 재등장할 가능성을 경계하고 있다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -