개인 실물사진에 신분증·여권까지 노출…사각지대 놓인 개발 서버
전체 맥락을 이해하기 위해서는 본문 보기를 권장합니다.
1만여건의 개인정보를 그대로 노출한 고객확인(KYC) 서버가 발견됐다.
신분증·여권 등 신원을 확인할 수 있는 공인 증명서는 물론 얼굴을 드러낸 실물 사진까지 포함됐다.
8일 에이아이스페라의 크리미널IP에 따르면, KYC 인증을 거친 유저의 개인정보와 신분증 등을 그대로 노출한 KYC 서버가 발견됐다.
이처럼 개발자의 안일한 자세로 신분증을 포함한 개인정보 1만여건이 그대로 노출되는 등 사태 심각성이 매우 크다는 지적이다.
이 글자크기로 변경됩니다.
(예시) 가장 빠른 뉴스가 있고 다양한 정보, 쌍방향 소통이 숨쉬는 다음뉴스를 만나보세요. 다음뉴스는 국내외 주요이슈와 실시간 속보, 문화생활 및 다양한 분야의 뉴스를 입체적으로 전달하고 있습니다.
1만여건의 개인정보를 그대로 노출한 고객확인(KYC) 서버가 발견됐다. 신분증·여권 등 신원을 확인할 수 있는 공인 증명서는 물론 얼굴을 드러낸 실물 사진까지 포함됐다. 개발자가 편의를 위해 별로도 만든 서버로 추정되는데 개발자의 개인정보 보호 의식 제고와 함께 컴플라이언스 사각지대에 놓인 개발 서버에 대한 관리가 필요하다는 목소리가 나온다.
8일 에이아이스페라의 크리미널IP에 따르면, KYC 인증을 거친 유저의 개인정보와 신분증 등을 그대로 노출한 KYC 서버가 발견됐다. 크리미널IP는 약 42억개 IP주소와 수십억개 도메인 등 사이버 자산 정보를 실시간 수집하는 사이버 위협 인텔리전스(CTI) 검색엔진이다.
KYC는 최근 금융권은 물론 가상화폐거래소에서 필수적으로 요구하는 인증이다. 고객이 본인의 신원 인증을 위해 신분증·여권 등을 금융권에 제출하는 식으로 이뤄진다. 어떤 곳은 유저가 본인 신분증을 들고 찍은 사진을 요구하기도 한다. 금융기관이 고객 신원의 정확한 확인과 불법적인 활동 방지, 거래 투명성 제고 등을 위해 사용하는 일종의 본인확인 절차다. 특히 자금 세탁 방지(AML)와 테러 자금 조달 방지(CTF) 규정을 준수하기 위한 목적이다.
이번에 발견한 KYC 서버는 아무런 접근 제어 없이 모든 정보를 열람할 수 있는 상태다. KYC 신청 목록에선 유저 이름과 이메일, 국적, 생년월일 등을 확인할 수 있다. '디테일스(Details)'를 클릭하면 유저 사진과 신분증(여권) 등도 볼 수 있다. 8일 오전 기준 유저 데이터 1만2878건이 저장돼 있으며, 대한민국 유저 수도 684명에 이른다.
에이아이스페라는 개발자가 편의를 위해 컴플라이언스 규정을 어긴 사례로 추정하고 있다. 실제 가동 중인 라이브 서버는 컴플라이언스 정책에 따른 강력한 관리로 개발 환경이 불편하다. 이 때문에 보통 개발자가 컴플라이언스 자체를 매우 싫어하는 경우가 많다는 설명이다. 실제 개발자가 집에서도 접근할 수 있는 별도 클라우드 서버를 만들어, 실제 데이터를 저장하는 경우가 왕왕 발생한다. 이번 사례 역시 편한 개발 환경에 1만건 이상 실제 데이터를 가져와 사용한 것으로 보인다.
이처럼 개발자의 안일한 자세로 신분증을 포함한 개인정보 1만여건이 그대로 노출되는 등 사태 심각성이 매우 크다는 지적이다. 개발자가 개발환경 맹점을 이용해 데이터를 손쉽게 옮겨오다가 개인정보 유출 사고가 발생하면 유저 개인의 피해와 함께 기업의 신뢰도 추락으로 이어질 수 있는 문제다. 기업 보안담당자가 놓칠 수 있는 개발서버 관리에 관심을 기울여야 한다는 목소리가 높다.
강병탁 에이아이스페라 대표는 “공격표면엔 기업 보안담당자가 모두 관리할 수 없는 심각한 보안 문제들이 실시간으로 발생한다”며 “개발자 개인의 일탈로 기업에 전체적인 치명타를 주는 것을 예방하기 위해 기업은 공격표면을 주기적으로 체크해야 한다”고 말했다.
조재학 기자 2jh@etnews.com
Copyright © 전자신문. 무단전재 및 재배포 금지.
- 차세대 패키징 선점 위해 日·美 소부장 뭉쳤다
- 한국 이동통신속도 세계 6위…인프라 지속투자 유인책 필요
- 정보보호제품 신속확인제, 반년째 심의 0건 '개점휴업'
- 삼성SDS도 뛰어든다...탄소중립 위한 '액침냉각' 주목
- 먹방 다음날 급사한 유명 유튜버…필리핀 “먹방 금지 검토”
- “TSMC, 다음주 2㎚ 시험생산…내년 양산”
- '천리안' 39년만에 서비스 종료…4대 PC통신 역사속으로
- 현대모비스, 현대차 이어 임단협 잠정 합의
- 김일성군사대 총장까지…北 군사교육 대표단, 러시아 방문한 까닭은?
- [기획 인터뷰] 강명수 표준협회장 “DX, ESG 글로벌 경쟁력 끌어올리는 마중물 역할”