|
서울경찰청 사이버범죄수사대는 27일 중국 해커에게서 국내 은행과 대부업체, 인터넷 쇼핑몰 등에 가입한 사람들의 개인정보를 사들인 뒤 대출광고 등에 이용한 혐의(정보통신망 이용 촉진 및 정보보호 등에 관한 법률 위반 등)로 대부중개업자 천모(42·중국 도주)씨를 수배했다. 또 불법으로 유출된 개인정보인 줄 알고서도 천씨를 도와 대부업체를 운영한 대부중개업자 신모(42)·이모(34·여)씨를 불구속 입건했다.
경찰에 따르면 해커는 HDSI 2.0프로그램과 SQL 인젝션 공격방식을 이용해 국내 업체의 인터넷망을 유린했다.HDSI 2.0은 SQL 인젝션을 사용하기 위한 기본 틀로, 컴퓨터를 조금만 다룰 줄 알면 누구나 활용할 수 있다.SQL 인젝션은 일부 명령어 등으로 불법 인증을 받거나 정보를 유출하는 공격법이다.
천씨 등은 2006년과 2007년 중국 지사를 통해 해커를 고용한 뒤 1500만원을 주고 국내 개인정보 900여만건을 사들였고, 이를 이용해 지난해 5월부터 올 2월까지 신용불량자들에게 무작위로 전화를 걸어 제3금융권 대출을 알선하고 대출업자와 고객에게 25억여원의 수수료를 챙긴 혐의를 받고 있다.
천씨가 매입한 고객정보 데이터베이스에는 이름과 아이디(ID), 이메일 주소, 비밀번호, 주민등록번호, 전화번호, 주소, 신용정보 등 상세한 개인정보가 담겨 있었다. 천씨 등은 6개 금융기관과 대형 대부업체의 고객정보 485만여건,12개 중소 대부업체 고객정보 26만여건,616개 쇼핑몰 회원정보 65만여건 등 900만여건의 개인정보를 구입했다. 이름 등 단순 개인정보까지 합하면 1000만건이 넘는다. 국내 업체의 개인정보가 중국 해커에게 유출돼 보이스피싱(전화금융사기)이나 납치협박 사기 등에 활용된다는 정황은 포착됐지만 실제 유출 규모가 파악된 것은 이번이 처음이다.
천씨 등은 구입한 개인정보들을 2억여원을 받고 다른 대부업체에 다시 팔았다. 경찰 관계자는 “중국에는 국내 개인정보를 빼내는 조직이 많은 만큼 실제 유출된 건수는 더 많을 것”이라면서 “중국 해커에게 사들인 개인정보는 대부업체에 다시 판매되기 때문에 피해 사례도 늘어날 전망”이라고 말했다.
경찰은 피해 금융기관 진술, 데이터베이스에 기재된 정보수집 기간 등으로 미뤄 국내 인터넷 보안 설비가 취약했던 2005년과 2006년에 해킹이 집중적으로 이뤄진 것으로 추정하고 있다.
한편 경찰은 이달 초 인터넷 포털에서 유출된 700만건의 개인정보는 해킹이 아니라 홈페이지상의 ‘친구찾기’ 기능을 악용해 빼돌려진 것이라고 밝혔다.
김승훈기자 hunnam@seoul.co.kr