[글로벌 해킹 비상②]고객 정보로 678억 요구…日GMO, 13억 현상금 맞불

[서울=뉴시스] 신효령 기자 = 불과 19초 만에 약 55만엔(466만원)의 손실이 났다. 일본 아베마타임스는 지난 27일 한 투자자의 외환 계좌에서 자신이 모르는 사이에 16차례 거래가 이뤄진 피해 사례를 전했다. 피해자는 다음 날 아침 계좌를 확인하고서야 손실을 발견했다. 거래는 평소 매매하지 않던 오전 3시께 실행됐다. 주로 달러·엔을 거래하던 계좌에는 호주달러·뉴질랜드달러 등 낯선 통화 조합의 거래가 남았다.

공격받은 곳은 금융회사의 거래 시스템이 아니었다. 일본 IT 대기업 GMO인터넷그룹 산하 GMO인터넷이 제공하는 원격 컴퓨터 서비스 '오나마에닷컴 데스크톱 클라우드(お名前.com デスクトップクラウド)'였다. 일부 고객은 이곳에서 외환 자동매매 프로그램을 돌렸다. 집 컴퓨터를 꺼도 거래가 이어지는 서비스였지만, 원격 컴퓨터가 해킹당하면서 고객 계좌까지 위험해졌다.

GMO는 지난 19일 고객 문의를 받고 조사에 들어갔다. 20일 일부 고객의 서버 환경에서 악성 프로그램을 확인했고, 21일 오전 4시부터 전체 상품 서버를 순차적으로 중단했다. 영향을 받았을 가능성이 있는 서버는 2만6739개다. 회사는 서버에 저장된 외환 등 거래 계좌의 로그인 정보가 제3자에게 넘어가 부정하게 사용됐을 가능성이 있다고 밝혔다.

이번 사고는 여러 서비스가 연결된 구조에서 발생했다. 고객은 금융회사에 계좌를 열고, 별도 프로그램에 매매를 맡긴 뒤, 다른 업체의 원격 컴퓨터에서 프로그램을 실행했다. 거래를 뒷받침하던 서비스 한 곳이 뚫리면서 고객의 금융 자산까지 피해에 노출됐다.

해킹범은 고객의 자산과 정보를 협상 카드로 삼았다. GMO는 21일 약 80억엔(678억원)을 요구하는 협박 메일을 받았다. 고객정보 공개와 이용자 컴퓨터에 대한 랜섬웨어 공격 위협도 이어졌다. 랜섬웨어는 컴퓨터 파일을 암호화해 쓰지 못하게 한 뒤 돈을 요구하는 악성 프로그램이다.

27일 오전 GMO는 고객들에게 긴급 행동을 요청했다. 정오 전에 필요한 파일을 백업하고 인터넷 연결을 끊은 뒤 컴퓨터 전원을 내리라는 안내였다. 회사 서버에서 시작된 사고로 이용자가 집과 사무실의 컴퓨터까지 꺼야 하는 상황이 벌어졌다.

공격 예고가 모두 실제 피해로 이어졌다고 확인된 것은 아니다. 회사는 이용자 단말기를 분석한 결과 랜섬웨어 등 악성 프로그램이 발견되지 않았다고 밝혔다. 모든 이용자 컴퓨터의 안전을 확인한 것은 아니라고도 덧붙였다.

해킹범으로 추정되는 측은 이용자 1명의 개인정보라고 주장하는 자료를 공개했다. 요구에 응하지 않으면 매일 정오에 정보를 추가로 공개하겠다고 위협했다. 회사는 공개 자료의 진위를 확인하는 한편, 해당 정보를 열람하거나 퍼뜨리지 말라고 요청했다.

GMO는 "범인의 요구에는 영원히 응하지 않을 것"이라고 강조했다. 돈을 줘도 탈취된 정보가 삭제되거나 악용되지 않는다는 보장이 없고, 범죄조직에 자금을 대 추가 공격을 부추길 수 있다는 이유에서다.

대신 범인 검거에 도움이 될 정보에 총 100만달러(13억3410만원)의 현상금을 걸었다. 회사가 제시한 엔화 환산액은 약 1억5000만엔(12억7000만원)이다. 제보 건별이 아닌 전체 지급 상한이다.

범인 신원과 소재, 범행 서버·계정, 자금 흐름 등을 입증할 제보를 받는다. 현재 이용자에게는 위로금 5000엔(4만2400원)을 일괄 지급하고 부정거래 손실도 보상한다.

개인정보가 공개된 고객에게는 특별 위로금을 별도로 지급한다. 기본정보는 1만엔(8만4800원), 계좌 ID·비밀번호는 1만5000엔(12만7200원), 민감정보는 2만5000엔(21만2000원)이다. 여러 유형이 공개되면 합산하며, 공개 1회당 상한은 300만엔(2544만원)이다.

소니 계열 인터넷 서비스에서도 대규모 정보 유출이 발생했다. 소니네트워크커뮤니케이션즈는 27일 '소넷(So-net)'과 '플라라 S코스(plala〈Sコース〉)' 회원정보 258만5481건이 유출됐다고 밝혔다. 이름과 전화번호, 이메일 주소, 생년월일 등이 포함됐다.

회사는 지난 23일 무단 접근을 확인해 서버와 통신을 차단하고, 이튿날 피해 규모를 파악했다. 유출 정보에는 올해 3월 이후 탈퇴한 소넷 회원 27만2215건과 플라라 S코스 회원 2만1130건도 포함됐다. 서비스를 해지한 고객의 정보까지 업체에 남아 있다가 유출된 것이다.

일부 이메일 서비스의 주소와 비밀번호도 유출돼 회사는 비밀번호를 초기화하고 재설정을 요청했다. 은행 계좌정보 16건과 비밀번호 재설정용 통지서 정보 7건도 유출됐다. 2차 피해는 확인되지 않았다면서도 유출 정보를 악용한 이메일·문자·전화에 주의를 당부했다.

두 사건에서 AI가 사용됐거나 같은 조직이 범행했다는 근거는 확인되지 않았다.

하지만 일본 정부는 해커가 AI로 시스템의 약점을 광범위하게 탐색할 가능성을 경계했다. 산케이신문에 따르면 아카자와 료세이(赤沢亮正) 경제산업상은 지난 23일 경제산업성 산하 정보처리추진기구(IPA)에 보안 전문가인 '화이트 해커'를 모아 11월 중 대책팀을 꾸리겠다고 밝혔다. 방어 측도 AI로 기업 시스템의 약점을 먼저 찾아 대응해야 한다는 취지다.

현지 전문가들은 이용자 개인의 주의만으로는 막기 어려운 피해라고 지적했다. 비밀번호를 달리 쓰고 2단계 인증을 해도 서비스 업체의 서버가 뚫리면 고객이 할 수 있는 조치에는 한계가 있다는 것이다.

피해 기업의 부담도 복구에 그치지 않는다. 증권사 SMBC닛코증권은 GMO의 일률적인 위로금만 약 1억3000만엔(11억원)에 이를 것으로 추산했다. 대체 서비스 무상 제공과 부정거래 손실 보상까지 더하면 부담은 더 커질 수 있다. 고객 자산을 지키는 보안과 사고 뒤 손실을 책임질 보상 체계가 함께 시험대에 올랐다.


◎공감언론 뉴시스 [email protected]