골프존 해킹 사건 개인정보 유출: 진실은 무엇인가.

송이네 핫이슈

 

 

안녕하세요, 밤송천송입니다.

오늘의 핫이슈는 최근 발생한 골프존의 해킹사건과 개인정보 유출 사건에 대해 좀 더 자세히 알아보도록 하겠습니다.

지금 바로 시작합니다.

 

골프존

 

국내 최대 스크린 골프 기업인 골프존은 지난 11월 23일 랜섬웨어에 감염되어 웹사이트 및 애플리케이션 등의 서비스가 마비되었습니다. 사고 발생 이후로는 5일 동안 장애가 지속되었고, 27일부터는 서비스가 순차적으로 복구되기 시작했습니다. 그러나 이 사고 초기에는 골프존이 "개인정보 유출은 없다"라고 주장하였습니다. 이에 대해 사이버보안 업계에서는 개인정보 유출 여부를 확실히 알기 위해서는 시스템 복구 후에 어떤 경로로 침입했는지 등에 대한 세부적인 분석이 필요하다는 의견이 제기되었습니다.

그러나 이런 우려가 현실이 되었습니다. 사고 발생 21일 만에 골프존은 공식적으로 개인정보 유출을 인정하였습니다. 골프존의 공식 홈페이지에는 '해킹 사고 관련 개인정보 유출 안내'를 공지하였고, 회원들에게도 동일한 내용을 담은 문자메시지를 발송하였습니다. 공지에 따르면, 11월 23일에 골프존의 서버가 전문 해커로 추정되는 공격자에 의해 랜섬웨어 감염으로 고객의 일부 정보가 유출되었고, 현재까지 파악된 바에 의하면 해커가 골프존이 관리하던 파일을 탈취하였으며, 이 중에는 고객의 이름과 휴대전화 번호가 포함되어 있었습니다.

이로 인해 피해 범위나 규모가 앞으로 확산될 가능성도 배제할 수 없습니다. 실제로, 골프존이 피해 사실을 공개하기 전인 12월 8일경에는 랜섬웨어 그룹 'BLACK SUIT'이 자신들의 데이터 유출 사이트에 골프존의 데이터를 업로드했습니다. 이때 업로드된 압축파일의 용량은 539GB로, 매우 큰 용량이었고, 이로 인해 다운로드 완료까지 상당한 시간이 소요될 것으로 예상되었습니다. 이런 상황을 고려하면, 압축파일에 단순 개인정보뿐만 아니라 다양한 데이터가 포함되어 있을 것으로 추정되며, 전사 데이터가 모두 유출되었을 수도 있다는 우려가 제기되었습니다.

 

 

다크웹

 

 

[다크웹(Dark Web)은 검색엔진에 노출되지 않고 특정 프로그램을 사용해야 접속할 수 있는 웹을 말한다. 일반적인 방법으로는 접속자나 서버를 확인할 수 없는 익명성 때문에 사이버 범죄에 악용된다.

 

웹은 노출도에 따라 서피스웹(Surface Web), 딥웹(Deep Web), 다크웹으로 나뉜다. 서피스웹은 일반적인 웹으로 검색엔진에 의해 색인(Indexing)된 콘텐츠들로 구성된다. 이와 달리 딥웹은 웹크롤러(Web Crawler)에 탐지되지 않는 웹으로 개인 이메일부터 의료기록, 회사 내부망 등 사적인 정보나 넷플릭스 등 유료화 장벽으로 막혀 있는 콘텐츠 등이 해당한다. 다크웹은 딥웹의 범주에 속하며 특수한 웹브라우저를 사용해야만 접근할 수 있다.]

 

또한, 골프존이 개인정보 유출을 언제 알게 되었는지에 대한 부분도 주목해야 할 사항입니다. 개인정보보호법상 개인정보 처리자는 개인정보의 분실, 도난, 유출을 알게 됐을 때는 지체 없이 해당 주체에게 알려야 합니다. 한국인터넷진흥원(KISA)은 개인정보 유출 신고 기한을 72시간 이내로 규정하고 있습니다. 이를 고려하면, 개인정보가 유출된 것은 11월 23일로 추정되므로, 신고 기한은 이미 지났습니다. 이에 대해 개인정보보호위원회는 골프존의 사례는 조사가 진행되어야 하기 때문에, 신고 기한을 넘겼는지 아닌지를 판단할 수는 없다고 의견을 밝혔습니다.

 

 

골프존 투비전 플러스

 

또한, 골프존의 정보보호 투자 부실에 대한 비판도 제기되었습니다. 골프존은 2022년에 정보보호에 20억 5000만 원을 투자했다고 공시하였지만, 이는 매출액의 0.3%, 영업이익의 1.3%에 불과합니다. 아마존 웹 서비스(AWS) 보안체계 고도화, 침해사고 대응 및 복구 훈련, 내부유출방지솔루션(DLP) 라이선스 갱신 등의 주요 투자 항목에도 불구하고, 이런 사태가 발생한 것은 제 기능을 발휘하지 못했다는 지적이 있습니다.

현재 개인정보보호위원회는 골프존에 대한 개인정보 유출 신고를 접수한 상태이며, 15일부터 담당 과를 지정하여 조사에 착수할 예정입니다. 이런 사태가 다시는 발생하지 않도록, 개인정보 보호에 대한 중요성을 다시 한번 인식하고 적절한 대응 방안을 마련해야 할 필요성을 느낍니다.