은행, 정부기관, 로펌 등에서 공유하는 범죄자 목록 유출
데이터베이스의 허술한 설정 오류 때문에 빚어진 사건

[보안뉴스 문가용] 은행, 정부, 변호사사무소, 첩보 기관 등에서 테러, 범죄, 부패 등에 연루된 인물들을 식별하고자 사용하고 있는 데이터베이스가 온라인으로 유출되었다고 포춘지가 보도했다. 최초로 이 사실을 발견한 인물은 현재 맥키퍼(MacKeeper)라는 소프트웨어 회사에서 근무하고 있는 보안담당관이자, 지난 12월과 4월, 수천만에 이르는 미국과 멕시코의 유권자 정보가 온라인에 유출되고 있는 사실을 발견하고 보도한 바 있는 크리스 비커리(Chris Vickery)다.



포춘지에 따르면 크리스 비커리는 최근 캐나다의 미디어 그룹인 톰슨 로이터의 TRI 0.97% World-Check라는 데이터베이스가 유출되었다는 것을 발견했다. 그 안에는 위험인물 및 조직에 대한 2백 2십만 건의 기록들이 담겨 있었다. 2014년 중반까지 업데이트가 된 데이터베이스였다고 크리스 비커리는 레딧(Reddit)의 포스팅을 통해 밝히기도 했다.

크리스 비커리는 해커인가?
크리스 비커리가 계속해서 유출된 정보를 발견해 내는데, 이 사람도 불법적인 해킹행위를 하는 건 아닐까 하는 의심들도 당연히 소곤소곤 들리기 시작한다. 크리스 자신은 “전혀 그렇지 않다”고 주장한다. “누구나 접근이 가능하도록 어디서부턴가 유출된 자료를 발견한 것 뿐입니다.”

비커리가 포춘지에 직접 보낸 이메일에 따르면 “카우치DB(CouchDB)라는 오픈소스 아파치 데이터베이스의 인스턴스”와 관련이 있다. “접근허용이 public으로 설정되어 있었기 때문에 세계 그 어느 곳의 누구라도 해당 인스턴스에 접근이 가능했습니다. URL을 가지고 있는 사람이라면 이번에 공개된 2백만 건의 기록들을 쉽게 열람할 수 있습니다.”

포춘은 해당 데이터베이스를 관리하는 업체인 스마트KYC(SmartKYC)와 톰슨 로이터에 인터뷰를 요청했으나 아직 소득이 없다고 밝혔다. 스마트KYC로부터의 회신은 기다리고 있는 상태이며 톰슨 로이터는 거절했다. 다만 톰슨 로이터는 “이 사실을 인지하게 해준 크리스 비커리에게 감사한다”고 전했다.

또한 레지스터(The Register)에 따르면 해당 데이터에 대한 보안장치가 전무한 것으로 알려졌다. “사용자 이름, 암호와 같은 간단한 보안 장치가 없어 사실상 대중들이 다 보라고 공개된 것과 마찬가지인 자료”라고 표현했을 정도.

톰슨 로이터의 데이터베이스, 누가 사용하나?
해외 보안 매체인 SC매거진에 따르면 “전 세계 탑 50에 드는 금융기관들 중 49개소, 전 세계 탑 10에 드는 로펌 중 9개소, 수백 곳의 정부 기관들에서 구독하고 있다”고 한다. 활용처는 당연히 ‘빠른 배경조사’다.

톰슨 로이터의 데이터베이스 자체가 이번에 처음 세상에 알려진 건 아니다. 이미 “무고한 사람을 테러리즘과 관련지어 놓고 있다”는 비판이 여럿 존재할 정도로 논란이 많은 자료이기도 하다.

이번에 해당 자료의 유출 사실을 공개한 비커리는 SC 매거진과의 인터뷰를 통해 “자료의 민감성 때문에 이 사실을 공개하는 데에 많이 망설였다”고 했다. “이런 류의 데이터를 대중들에게 공개하면 파장이 클 수 있습니다. 정말로 아무런 범죄 사실이 없는 무고한 개인이 하루아침에 테러리스트로 몰릴 수도 있기 때문이죠. 오명 혹은 누명을 벗는 게 불가능할지도 모릅니다.”

보안업체인 디지털 가디언(Digital Guardian)의 류크 브라운(Luke Brown) 부회장은 “이런 민감한 데이터가 만들어져야 한다는 상황 자체도 그렇지만, 엉뚱한 피해자가 발생할까봐 걱정해야 하는 현실이 더 서글프다”며 그 이유에 대해 “결국 피해에 대한 모든 값을 피해자가 지불해야 하는 불공정한 사회 시스템이 새삼 드러났기 때문”이라고 설명했다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>