스텔스몰 인텔리전스 최상명 CTO, PIS FAIR 2024의 서막을 여는 키노트 세션 발표
개인정보를 보호하기 위한 가장 좋은 방법은 ‘암호화 보관’
회사 VPN 정보가 다크웹에서 거래되고 있는지 확인하고 계정정보 주기적으로 바꿔야

[보안뉴스 김영명 기자] 올해 상반기에도 해킹으로 인한 개인정보 유출 사고가 잇따라 발생했다. 한국사회복지협의회에서 135만명의 개인정보 유출 피해가 발생하는 등 굵직굵직한 사건이 많았다. 1만여명 이상 개인정보 유출 사고만 봐도 올해 1월부터 5월에만 6건에 달하는 등 개인정보 유출의 위험성은 더욱 커지고 있다.


▲스텔스몰 인텔리전스 최상명 CTO가 ‘다크웹 및 텔레그램에서의 개인정보 유출·판매 실태와 피해현황’을 주제로 발표했다[사진=보안뉴스]

‘PIS FAIR 2024(제13회 개인정보호호페어 & CPO 워크숍)’ 첫째 날, 첫 번째 키노트로 문을 연 스텔스몰 인텔리전스 최상명 CTO는 ‘다크웹 및 텔레그램에서의 개인정보 유출·판매 실태와 피해현황’을 주제로 발표했다. 최근 발생한 개인정보 유출 사례와 함께 다크웹에서의 유통 과정 및 피해 현황, 개인정보 유출로 인한 과징금 사례도 짚었다.

최상명 CTO는 “최근 개인정보 유출 사례 중 221만명의 개인정보가 유출된 G사의 사례를 보면 개인정보보호위원회는 75억원의 과징금을 부과했다”며 “지난해 9월에 과징금 규정이 전체 매출액의 3%로 바뀐 이래 처음으로 발생한 사고”라고 말했다.

G사의 개인정보 유출은 블랙수트(BlackSuit) 해킹조직이 탈취한 파일을 자신들이 운영하는 토르 네트워크 내 어니언(.onion) 사이트에 공개했다. G사의 개인정보 파일은 보관할 때 암호화하지 않았기 때문에 회원 이름, 전화번호, 회원번호 등 회원 개인정보와 함께 임직원 개인정보 및 성범죄 경력 등 모든 것이 유출되는 피해를 입었다.

최상명 CTO는 “해킹으로 개인정보가 다크웹에 유출되면 이를 악용해 피싱 문자 등 2차 피해로 이어질 수 있다”며 “록빗 랜섬웨어 그룹도 유출된 개인정보를 피싱에 활용하겠다고 공개적으로 언급하기도 했다”고 말했다. 이어 “유출된 개인정보는 판매와 재판매를 거치며 끊임없이 유통되고 있어 2차, 3차 피해로 이어질 가능성이 크다”고 강조했다. 특히 블랙매터(BlackMatter), RA Group, 록빗(LockBit) 등의 랜섬웨어 그룹은 끊임없이 유출된 파일을 다크웹에 올리며 판매와 재판매를 거치며 수익을 내고 있다.

개인정보보호위원회가 조사한 개인정보 유출 과정은 계정을 획득하고, AD 서버 및 파일 서버에 접속하며, 이를 통해 자료를 유출하는 것이다. 랜섬웨어 그룹 블랙수트는 자신들의 유출 기법을 유출된 파일 안에 ‘xxxx.rar’라는 이름으로 포함하는 실수를 저질렀다. 이 파일을 조사해보니 VPN 서버에 클라이언트가 접속할 때 사용했던 URL, 아이디와 패스워드가 들어있었다.

최상명 CTO는 “개인정보 유출의 가장 큰 원인은 파일의 암호화가 이뤄지지 않은데 있다”며 “해킹으로 파일이 유출되더라도 해당 파일이 암호화돼 있다면 유출 피해를 막을 수 있기 때문에 개인정보를 보호하기 위한 가장 좋은 방법은 ‘암호화 보관’이라고 말할 수 있다”고 강조했다.

다크웹에서 활동하는 랜섬웨어 그룹에 의한 정보유출 피해 발생 추이를 보면 2019년부터 지난달까지 150여개의 랜섬웨어 조직이 400개가 넘는 기업의 개인정보를 유출한 것으로 파악됐다. 해킹그룹에 의한 정보유출 피해 기업 및 기관의 국가별 통계를 보면 미국이 가장 많으며, 한국도 한X, 현X, 삼X, 두X 등 국내의 51개 그룹도 포함돼 있는 것을 확인할 수 있다.

다크웹 랜섬웨어 그룹의 협박 기술의 변천사를 보면 ‘파일 암호화-몸값 요구-파일 탈취-다크웹에 파일 유출-언론사에 제보-경매-디도스 공격-경쟁사에 훔친 파일 전달-사적인 내용(나체사진 등) 유출-살인청부 협박-대용량 파일 배포(mirror, torrent)-텔레그램에서 배포’ 등으로 끊임없이 발전하고 있다.

그렇다면 해커들은 어떻게 피해 기업들의 서버에 침투했을까? 핵심은 VPN(Virtual Private Network, 가상사설망)의 취약점에 있다. 최근 VPN 취약점을 노리는 해커들이 많아지고 있으며, 국내 수많은 기업도 VPN 취약점이 문제가 되는 것으로 확인되기도 했다. 또한 전 세계적으로 다크웹에 유출돼 있는 계정정보는 14억 2,508만건, 그 가운데 한국의 계정정보는 961만 9,701건으로 파악되고 있다.

스텔스몰 인텔리전스 최상명 CTO는 “개인정보를 보호하기 위한 기본적인 실천사항은 우리 회사의 VPN 정보가 다크웹에서 거래되고 있는지 확인하고, 계정정보를 주기적으로 바꾸는 것”이라고 말했다. 이어 최 CTO는 “저장하는 파일은 반드시 비밀번호를 설정하거나 DRM과 같은 암호화 솔루션을 사용하는 것이 개인정보보호의 가장 중요한 핵심”이라며 강연을 마쳤다.

국내 최대의 개인정보보호 축제인 ‘제13회 개인정보보호 페어&CPO 워크숍(PIS FAIR 2024)’은 ‘AI, 신뢰를 넘어 데이터 가치를 열다’라는 주제로 6월 4~5일 양일간 서울 삼성동 코엑스 그랜드볼룸에서 진행된다. 개인정보보호위원회와 PIS FAIR 2024 조직위원회가 주최하고, 한국인터넷진흥원과 한국CISO협의회·더비엔이 주관하는 PIS FAIR 2024는 개인정보보호 분야 유관기관과 관련 업체 78곳이 함께하는 행사로, 올해 공공기관 및 기업의 개인정보보호최고책임자(CPO)를 비롯해 개인정보보호 담당자, 개인정보 처리자 등 3,800여명이 참석한다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>