NYT "한국 코로나 자가격리 앱, 개인정보 유출 위험"

쉽게 추측 가능한 ID번호 배정…불안정한 암호화 방식 사용
해커가 앱 사용자 개인정보 접근은 물론 데이터 조작도 가능
외국인 개발자 지적사항 NYT가 정부에 전달… "최근에 수정"

한국이 코로나를 막는데 디지털 기술을 효율적으로 이용해 세계적인 호평을 받았으나 그 한 축인 자가격리 앱에 사용자의 개인정보가 해커에게 유출될 수 있는 심각한 결함이 있었다고 뉴욕타임스(NYT)가 보도했다.

21일(현지시각) NYT는 서울발 기사에서 한 소프트웨어 엔지니어를 인용해 한국의 자가격리 앱에 중대한 보안 결함이 있어, 해커들이 앱 사용자의 이름과 실시간 위치, 자가격리와 관련한 세부정보를 검색할 수 있을 뿐 아니라 사용자가 자가격리 규정을 위반하는 것처럼 데이터를 마음대로 조작할 수도 있었다고 전했다.

자가격리 앱은 정부가 지난 4월 해외에서 들어온 사람에 대해 2주 자가격리를 요구하면서 이들이 요구사항을 잘 지키고 있는지 확인하기 위해 만들어 배포한 앱이다. 지난달 기준으로 16만2000명이 다운로드 받았다. 자가격리 위반사실이 확인되면 위치가 추적되는 손목밴드를 착용하거나 벌금을 물어야 했다.

보도에 따르면 서울에 사는 엔지니어인 프레데릭 렉텐슈타인은 지난 5월 외국 방문 후 서울 집으로 돌아와 2주간 자가격리를 하면서 이 앱을 깔게 됐다.

그는 자가격리 앱을 살펴본 결과 소프트웨어 개발자가 쉽게 추측할 수 있는 ID 번호를 사용자에게 배정하는 바람에 사용자 개인정보와 실시간 위치, 의학적 증상 등을 해커가 빼낼 수 있다는 문제점을 발견했다.

불안정한 암호화 방식을 사용해 해커가 쉽게 암호를 찾아내 각종 데이터를 해독할 수 있었다고도 렉텐슈타인은 설명했다.

NYT는 지난달 렉텐슈타인과 함께 자가격리 앱을 관리하는 정부 관계자들과 만나 문제점을 지적했다.

한국 공무원들은 처음에는 보안 문제를 경시하면서 2주 격리가 끝나면 사용자 개인정보를 모두 지운다고 설명했다. 이에 격리기간이 끝난 렉텐슈타인이 그 자리에서 자신의 휴대전화 앱을 통해 정부 서버로부터 자신의 데이터를 빼낼 수 있다는 점을 보여줬다.

그러자 정부 당국자는 "생명을 구하기 위해 앱을 최대한 빨리 배포하는 데 중점을 뒀다"며 "당시 업무가 너무 많았다"고 해명했다. 지난주 배포된 최신 버전에서는 이러한 결함이 수정됐다.

이 앱을 총괄하는 행안부 정찬현 재난정보통신과 사무관은 "앱 배포를 늦출 수 있는 시간이 오래 걸리는 보안 점검을 할 여유가 없었다"고 말했다. 이 앱을 개발한 위니텍의 홍성복 전무는 "이렇게 많은 사람들이 쓸 거라곤 생각하지 못했다"며 "시간이 지나 정부 요청에 의해 기능을 추가하면서, 업무량이 증가하고 보안 결함을 발견할 수 있는 시간이 줄었다"고 해명했다.

- Copyright ⓒ 조선비즈 & Chosun.com -