[단독] ‘크리덴셜 스터핑’, 5년간 6차례 적발…피해 회원, 최소 1만7000명

섹타나인·에스케이스토아·디지털 대성 등 대상
인터파크, 피해 회원 78만4920명으로 최대
최근 쿠팡 대규모 유출 뒤 G마켓 무단결제시도로 위험성 부각
윤한홍 “정부, 개인정보 유출 2차 피해 방지 서둘러야 할 때”

사진은 종로구 세종대로 정부서울청사에 마련된 개인정보보위원회 모습. 박동욱기자 fufus@

‘크리덴셜 스터핑’이 개인정보보호위원회에서 5년간 6차례 적발된 것으로 확인됐다. 한번 사태가 벌어질 때마다 피해 회원은 최소 1만7000여명이었다. 크리덴셜 스터핑은 이미 확보한 이메일과 아이디, 비밀번호 조합을 무작위 대입해 로그인을 시도하는 방식이다.

쿠팡 등 기업 개인정보 대규모 유출에 이어 G마켓에서 무단 결제 시도가 확인되면서 크리덴셜 스터핑의 위험성이 부각되고 있다. 기업별로 추가 인증 방식이나 IP 대규모 접속 등을 사전에 방지해 차단해야 한다는 의견이 제시된다.

4일 국회 정무위원장인 윤한홍 국민의힘 의원실이 개보위로부터 제출받은 자료에 따르면 크리덴셜 스터핑 적발은 5년 간 6건이 있었다. 인터파크가 이용자 78만4920명으로 가장 많은 회원이 피해를 봤고 과징금 1위는 섹터나인으로 14억7700만원이었다.

가장 최근 신고한 기업은 섹타나인이다. 섹타나인은 2월 12일 크리덴셜 스터핑으로 회원 1만7347명의 아이디와 이름, 생년월일, 성별 등이 피해를 봤다고 신고했다. 해당 문제는 2023년 11월 4일과 2022년 10월 12일 두 차례 벌어졌다. 위반행위는 대량의 로그인 당 비정상 행위 탐지 및 차단 정책 미적용과 유출 신고 및 통지 지연이다. 과징금 14억7700만원과 과태료 720만원 철퇴를 맞았다.

에스케이스토아도 1월 22일 이용자 12만5138명의 이름과 휴대전화번호 생년월일, 주소 등이 피해를 봤다고 신고했다. 해당 문제는 2023년 11월 22일 나타났다. 위반행위는 반복적인 로그인 시도 방지를 위한 침입 탐지 및 차단 정책 미운영과 비밀번호 암호화 미조치로 과징금 14억3200만원에 과태료 300만원 벌금을 물었다.

디지털 대성은 지난해 3월 27일 직원 25명과 회원 9만5171명의 ID와 이름, 휴대전화번호, 이메일이 피해받은 것을 신고했다. 해당 문제는 지난해 1월 18일 벌어졌다. 위반행위는 로그인 페이지에 대한 과도한 접속시도 및 XSS 공격을 탐지하고 차단하지 못한 행위다. 유출 통지 지연도 문제였다. 과징금 6억1300원과 과태료 330만원을 물게 됐다.

한국고용정보원은 지난해 1월 24일 회원 23만6527명의 성명과 주소, 전화번호, 출생연도 등이 피해를 받았다고 신고했다. 해당 문제는 2023년 7월 6일 벌어졌다. 위반행위는 로그인을 대량으로 시도하는 IP에 대해 탐지만 하고 즉시 차단을 하지 않은 것과 주민등록번호 암호화 미조치였다. 과태료는 840만원을 받았다.

인크루트는 2023년 7월 12일 이용자 3만5076명의 이력서가 문제시된 것에 대해 신고했다. 2020년 9월 30일 벌어진 사태였다. 위반행위는 대량 로그인 등 비정상 행위 차단 및 탐지 정책을 운영하지 않았고 휴먼계정 해제 시 2차 인증 역시 미적용했다. 처분 방식은 과징금은 7060만원으로 과태료가 360만원이었다.

인터파크도 이용자 78만4920명의 이메일과 전화번호, 주소, 성별 등이 문제시 돼 2023년 6월 14일 신고했다. 2022년 12월 27일 벌어진 사태로 웹에 대해 대량 로그인 시도 시 IP 차단 정책이 있었으나 앱에는 적용되지 않았다. 과징금 10억2645만원과 과태료 360만원 철퇴를 맞았다.

크리덴셜 스터핑은 ‘G마켓 무단결제’로 인해 논란이 커지고 있다. 최근 쿠팡과 롯데카드, SK텔레콤, KT 등에서 대규모 개인정보 유출사고가 있었기 때문이다. 해당 정보들을 활용해 G마켓에 무단결제를 한 것 아니냐는 의심이 나온다. 금융당국은 지난달 29일 G마켓에서 모바일 상품권 무단 결제 사고가 발생하자 긴급 현장점검에 착수하는 등 향후 대안책 마련에 고심 중이다.

제임스 장(장승환) G마켓 대표는 이날 임직원들에게 메시지를 보내 “해킹과 무관한 사고”라며 “사고 인지 직후 즉시 내부 긴급 점검을 실시한 결과 외부 침입은 전혀 없었다”고 강조했다.

정보보안업계에선 해커들이 한국에서 대규모 정보 공격으로 확보한 대량의 데이터를 통해 크리덴셜 스터핑 시도를 지속하고 있을 수 있다고 우려했다. 전화번호와 주소, 상품 이용 정보 등이 노출되고 있다는 지적이다.

국회 차원에서도 크리덴셜 스터핑을 막을 수 있는 방안을 강구해야 한다는 의견이 나온다. 선진 보안 기술이 필요하다는 목소리다.

윤 의원은 “수많은 계정을 보유한 현대인 특성상 여러 사이트에서 같은 ID와 패스워드를 사용하는 것이 불가피한 현실”이라며 “일부 사이트에서 로그인 정보가 유출되더라도 해당 정보를 악용한 비정상적 접근 시도를 다른 사이트가 탐지하고 차단할 수 있는 보안 설계가 필수적”이라고 말했다.

아울러 “정부도 개인정보 유출로 인한 2차 피해 예방과 재발 방지를 위한 제도개선에 서둘러야 할 때”라고 강조했다.

윤상호 기자 sangho@dt.co.kr