한국인의 개인정보는 이제 더 이상 ‘개인정보’가 아니라 ‘공공의 정보’라는 말이 있을 정도다. 대형 쇼핑몰 개인정보 유출 사건을 필두로 금융사, 통신사는 물론이고 각종 크고 작은 사이트에서 유출된 정보들이 지하세계에서 판매되고 있다는 것은 이제 초등학생들도 알고 있는 씁쓸한 현실이다. 2011년 9월 30일 시행된 개인정보보호법이 이 문제를 얼마나 해결해 줄 수 있을지 우리는 기대반, 의심반 하고 있다.

이런 가운데 데일리시큐는 지난 6월 말경, 중국 모 폐쇄형 해커 커뮤니티 사이트에서 충격적인 정보를 입수하게 됐다. 바로 한국 사이트 40여 곳에서 유출된 것으로 추정되는 2천3백만 건이 넘는 개인정보들이 커뮤니티 내부에서 자유롭게 유통되고 있는 현장을 목격하게 됐다. 

판매목적이 아니라 커뮤니티 내부에 접속 가능한 자라면 누구나 다운로드 해 갈 수 있는 상황이었다. 7월 초 다시 확인 결과 해당 사이트는 폐쇄된 상태다. 한편 이렇게 악성해커들이 정보를 올리는 이유는 중국 해커 커뮤니티의 경우 일반적으로 커뮤니티 내에서 레벨을 올려야 다른 해커의 정보를 다운로드 할 수 있기 때문이다. 레벨을 올리기 위해서는 자신 또한 정보를 공유해야 해서 이렇게 정보를 누구나 다운로드 할 수 있도록 공개한 것으로 추정된다.  

통상, 유출 당시 개인정보는 블랙마켓에서 그 가치에 근거해 가격이 정해지고 판매자와 구매자의 협의에 의해 거래가 이루어 진다. 추정컨대 이번에 확인 된 한국 개인정보의 경우 이미 몇 차례 금전적인 거래가 이루어 졌을 가능성이 높다. 블랙마켓에서 활용되는 개인정보의 특성 상 항상 최신의 정보가 필요하기 때문에 이와같이 공개했을 것으로 추측된다.

그리고 중국의 이러한 비공개 커뮤니티는 해커, 해킹에 관심이 있는 사용자, 개인정보 판매상, 구매자 등 다양하다. 하지만 누구나 가입할 수는 없으며 내부 멤버와의 친분에 의한 초대코드를 받거나 기부 형태로 돈을 지불해 계정을 발급 받을 수 있다.

데일리시큐는 확인작업을 위해 4G에 달하는 정보를 다운받아 실제 한국 사이트에서 유출된 개인정보인지 확인작업을 시작했다.

▲입수한 압축파일을 풀면 한국 40개 사이트 별로 개인정보가 포함된 파일을 확인할 수 있음(일부 URL 가림)

ZIP파일 용량은 4G에 달했으며 압축을 풀자 국내 40개 사이트 URL 별로 개인정보가 담긴 파일이 확인됐다. 엑셀로 정리된 파일도 있었고 메모장 형식으로 개인정보가 저장된 파일도 보였다.

40개 사이트는 국내 유명 교육관련 사이트, 부동산, 유명 패션기업, 쇼핑몰, 유명 제과업체, HR관련 사이트, 쥬얼리 업체, 유명 리조트, 유명 인터넷 서점, P2P사이트 이외 중소형 사이트 등으로 확인됐다. 일부는 폐쇄된 사이트도 있었다. 

사이트 별로 몇 건의 정보가 있는지 확인결과 많게는 400만 건이 넘었고 적게는 10여 만 건 수준이었다. 이를 총 합한 결과 2천3백만 건이 넘는 것으로 조사됐다.

유출된 개인정보는 각 사이트 별로 차이는 있지만 아이디와 패스워드, 이름, 전화번호, 휴대폰번호, 이메일 주소, 집주소, 주민등록번호 등이 포함돼 있었다. 일부 사이트는 접속계정만 유출된 것도 있었다. 하지만 계정이 정확할 경우 개인정보 추출은 시간문제다. 또 이들 개인정보를 활용해 다양한 사이버 공격 및 사기로 인한 피해가 발생할 수 있어 심각한 상황이다.

한편 파일이 저장된 날짜를 보면 2010년이 주를 이루었고 2009년과 2011년도 몇 건 있었다. 추정컨대 해킹에 의한 개인정보 유출이 있었다면 대략 2009년~2011년 사이에 발생했을 것으로 추정된다.

한편 중국에서 판매용 개인정보의 가치는 시간과 그 정확성이 생명이다. 아이디와 패스워드를 비롯해 금전적인 가치가 있는 개인 정보는 판매자와 구매자, 수요와 공급에 따라 결정된다. 여러 차례 활용된 개인 정보의 경우 해커 커뮤니티에서 명성 유지나 친분 목적으로 공유 되기도 한다.

또 특정 사이트를 지목해 해당 사이트의 개인정보 획득을 목적으로 현상금을 걸고 해커들을 모집하는 사례도 목격할 수 있다.

특히 한국인 이름, 주민등록번호는 중국 포털사이트 바이두 등에서 검색만으로도 획득할 수 있으며 아이디, 패스워드가 포함된 개인정보는 과거 수만위안(우리 돈 수백만원~수천만원)에도 거래가 되었지만 최근에는 유명한 사이트의 새로운 DB가 아닌 이상 수천위안(수십만원)정도에 거래되거나 혹은 무료로 해커 커뮤니티 내부에서 공개되고 있는 상황이다.

데일리시큐는 이번에 입수한 정보에 대해 사이트 별로 담당자와 연락을 취한 후 DB의 진위여부를 확인하고 건별로 기사화할 예정이다.