4일 오후 웹 취약점 악용한 신원 미상 해커 공격으로 내부 시스템 침해
이름·연락처·비밀번호 외 연계정보(CI)까지 유출돼 추가 피해 우려 고조

[보안뉴스 조재호 기자] CU편의점 택배 서비스를 운영하는 BGF네트웍스가 외부 해킹 공격을 받아 CI를 포함한 고객 개인정보가 무더기로 유출되는 사고가 발생했다. 최근 국내 주요 B2C 플랫폼을 겨냥한 해킹이 잇따르는 가운데, 전 국민이 애용하는 생활 밀착형 택배망마저 뚫렸다.


▲ BGF네트웍스의 CU POST 서비스 [출처: CU POST 공식 홈페이지]

BGF네트웍스는 CU POST 공식 홈페이지를 통해 지난 4일 15시 30분경 신원 미상의 공격자가 자사 내부 시스템에 침입해 고객 개인정보를 탈취한 정황을 인지했다고 5일 공지했다.

공격자는 BGF네트웍스가 운영하는 시스템에 노출된 웹 취약점을 악용해 전산망에 접근한 것으로 파악됐다. 탈취된 정보는 △이름 △휴대폰번호 △이메일주소 △주소 △성별 △ID 등 기본정보를 비롯해 (단방향 암호화 처리된) 비밀번호, 연계정보(CI)가 포함됐다.


BGF네트웍스 측은 사고 인지 직후 공격 인터넷프로토콜(IP)을 차단하고 긴급 보안 조치를 시행했으며, 개인정보보호위원회(PIPC)와 한국인터넷진흥원(KISA) 등 관계기관에 신고를 마쳤다고 밝혔다. 아울러 침해사고 대응팀을 즉각 가동해 24시간 실시간 모니터링을 전개 중이라고 덧붙였다.

보안 전문가들은 이번 개인정보 유출에 대해 지난 티빙(TVING) 유출처럼 탈취 항목에 암호화된 비밀번호와 연계정보(CI)가 포함된 점을 지적했다. 비밀번호가 단방향으로 암호화 처리되었다고는 하나, 개인을 식별할 수 있는 온라인식별정보인 CI가 유출된 경우 다른 사이트의 로그인 정보와 결합해 공격하는 ‘크리덴셜 스터핑’(Credential Stuffing) 공격에 손쉽게 활용할 수 있기 때문이다.

편리함을 앞세운 B2C 서비스의 웹 인프라 관리 부실이 자칫 타 플랫폼까지 위협하는 연쇄적인 효과를 불러올 수 있다는 우려의 목소리가 나온다.

회사 측은 “비밀번호는 암호화돼 안전하지만, 타 사이트와 동일한 비밀번호를 사용하는 경우 안전을 위해 비밀번호를 변경해 주시길 권장한다”며 “출처가 불분명한 전화나 문자메시지, URL 링크 클릭에 각별히 주의해 주시고 당사를 사칭해 금융 정보 등을 요구하는 행위에 속지 않도록 유의해주시기 바란다”고 전했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>