KT 개인정보 해킹사건 2탄! 2년전과 뭐가 같을까?(유출 정보 확인)

 https://checkinfo.olleh.com/w/default.asp 에 접속하시면 개인정보 유출 확인이 가능합니다. 저는 유출된 개인정보는 총 11개이네요. 거의 대부분의 정보가 나열되어 있습니다. 몇가지는 변경을 해야 할것 같네요. 지난번 카드사처럼 유출된 정보의 문제가 있는 카드번호, 계좌번호 같은 경우는 재발급 받으시는게 좋을것 같습니다. 유심의 경우 재발급 받아도 9,900원이 청구 될것 같으니 Olleh의 뒷처리가 어떨지 지켜봐야겠네요.

 KT 개인정보 유출 사건이 벌어졌습니다. 3개 카드사에서 개인정보 유출 사건이 일어난지 2달 만에 또 다른 정보가 유출되었습니다. 1,200만명의 개인정보에는 이름, 연락처, 계좌번호, 집주소, 직업 정보가 포함되어 있다고 합니다. 제가 처음 접한 기사는 아래의 이데일리 기사입니다.

'개인정보 또 유출'..KT 1200만명 털렸다 - 이데일리

 현재 사과 공지를 올리고 있습니다. 이런 사과 공지를 올릴게 아니라 이런 일이 일어나는 원인을 파악하고 해결하려는 노력이 먼저 나와야 한다고 생각합니다.

파로스 프로그램이란?

'KT도 털렸다 ... 1200만 개인정보 유출 - 마이크로소프트웨어(오늘의 뉴스)

 이번 해킹은 '파로스'라는 해킹 프로그램을 통해서 해킹이 되었는데 클라이언트(사용자)와 서버 사이에 위치하여 HTTP와 HTTPS, 쿠키, 폼필드 등을 중간에 가로채 변조하는 기능을 가진 프로그램이라고 합니다. 이 프로그램을 이용하여 아이디와 비밀번호가 아닌 Olleh 회원 가입시에 부여되는 9자리 고유 번호를 이용하여 해킹하였다고 합니다.

해킹한 정보는 어디에 사용했을까?

 'KT해킹' 개인정보이용 1만여명 SKT, LGU+로 이동 시켜 - 위클리오늘

 이 해킹한 정보를 이용하여 SKT와 LGU+로 번호이동을 시켰다고 합니다. 번호이동을 시킬 때마다 해커는 5,000원을 전달 받았다는 내용이 포함되어 있습니다. 개인정보가 이름, 연락처, 계좌번호, 집주소 등이기 때문에 번호이동할때 사용할 수 있는 정보인 것이죠. 피싱에 사용될태니깐요.

 이제 이해가 되실겁니다. 랜덤 전화라고 전화오는 전화들이 이야기하다보면 내 개인정보인 이름, 연락처를 알고 있다는 사실을.. 의심하지 않으시면 안되는 내용들입니다.

정리하면?

 간단하게 정리해보겠습니다.

 - 약 1년간 성공율이 높을 땐 일 20~30만건의 개인정보 탈취

 - '파로스' 프로그램을 이용한 해킹 시도

 - 서버가 아닌 클라이언트(사용자 PC)에서 해킹 시도. (서버에서 확인이 불가능하며. 웹상의 취약점을 이용한 공격)

 - 해킹한 정보는 번호이동을 위한 스팸(TM) 전화에 사용

위와 같이 정리해보았습니다. 마지막 '해킹한 정보는 번호이동을 위한 스팸전화에 사용'을 주의깊게 봐주시기 바랍니다.

어디에서 봤다는 생각을 해본적 없으신가요? 저 내용만 강조한 이유는 간단합니다. 해킹을 하도록 한 이유가 스팸 전화에 사용하기 위해서입니다. 고객 유치를 위한 목적의 스팸전화인것이죠. 데자뷰를 느낀것이니 2년전인 2012년 7월의 내용을 짧게 살펴보겠습니다.

2년전에는 무슨일이?

제가 2년 전쯤에 아래와 같은 글을 작성한적이 있습니다.

2012. 07. 30 'kt 고객 정보 유출 어떻게 봐야할까?'

2012년 7월 30일 해킹되었던 이유가 무엇인지를 정리해보겠습니다.

 - kt 800만 개인정보 유출 5 개월

 - 내부 정보망을 이용한 해킹으로 파악

 - 텔레마케팅 업체에서 불법 스팸(TM)전화에 사용

3가지로 필요한 내용만 정리해보았습니다. 2번째 문구 보이시나요?

 2012년에 확인된 해킹이유는 '텔레마케팅 업체에서 불법 스팸(TM) 전화에 사용'

 2014년에 확인된 해킹 이유는 '텔레마케팅을 이용한 번호이동을 노려 불법 스팸(TM) 전화에 사용'

 그렇습니다. 우리는 같은 이유로 2번의 해킹 피해를 보았습니다. 해킹 수법은 다릅니다. 전 이걸 중요하게 생각하지 않습니다. 누군가는 이익을 취했기 때문에 이렇게 적어보는것입니다. 해킹 수법은 제가 보안 전문가가 아니기에 언급할 수 없다고 생각됩니다. 그건 하단에 더 경악할 수 있는 글을 공유하겠습니다.

불법 TM 근절한다더니?

 불법 TM 근절은 결론부터 말씀 드리자면 실패한 정책입니다. 근 2년간 불법 TM 전화 한통이라도 안받으신 분 있으실까요? 폰을 사용하지 않는 사용자라면 모르겠으나 없다면 댓글 달아주시기 바랍니다.

 지금 사건과는 무관하지만 알아두셨으면 좋을것 같은 기사라서 링크 걸어봅니다. 이건 2014년 1월에 있었단 카드사 해킹과 관련이 있습니다. 아래 제목만 보면 이번달 부터 오는 TM 전화는 합법화라고 볼 수 있겠습니다.

'3월부터 TM 전면허용 '고용불안 부각에 급선회' - 연합뉴스

Olleh 공지 중에도 "불법TM 고객안심센터 운영 안내"라는 글이 보입니다.

TM 근절하기 위해서 통신사와 정부가 한 것

 Olleh의 해킹 사건이 일어나고 1년 후 발표한 정책으로 불법 TM을 근절하기 위해서 만든 정책입니다. 포상금을 준다는 제도로써 포상금을 받기위해 신고제를 운영하였습니다. 이 관련된 내용을 제가 1년전에 작성해두었으니 자세히 알고 싶으신 분은 참고하세요.

 2013. 06. 04 'KT 텔레마케팅 사건 이후 1년만에 포상금 계획? 정말 근절할 수 있나?'

위의 내용 중 신고 방법을 정리하면 아래와 같습니다.

 - 신고하기 위해서는 입증할 자료를 필요로 한다.(통신사, 전화번호, 주소, 개인정보를 확인하려고 했다면 그에 대한 증거자료)

 - 개통이 완료되었을 경우 신고

 - 불법 TM을 하고 있는 대리점을 목격할 경우

 2번의 경우가 이번에 신고가 가능했으리라고 생각됩니다. 하지만 대부분이 이 제도를 모를 것이라고 생각되며, 전화 통화시 내 개인정보를 알고 있다는 것에 대해서 의심하지 않았으리라고 생각됩니다. 더군다나 싸다고 이야기할태니 더욱 의심하지 않으셨을 수 있겠네요. 쨌든 결론은 TM 때문에 개인정보가 해킹당하였으나 아무도 몰랐다는것이죠.

그래서 제 결론은?

 KT TM부터 차단하시기 바랍니다. 아니 휴대폰 대리점 정책을 다시 하시기 바랍니다. 전 지난번부터 그렇게 해야한다고 생각하고 이 글을 다시 쓸 줄은 몰랐습니다. 합법적으로 하는 TM을 막자는게 아닙니다. 이런 방식으로 영업 이익을 취득하려고 하는 불법적인 TM을 줄여야 한다고 생각하는 것입니다.

 2년전과 같은일로 또 다시 이슈가 되는 KT를 보고 있자니 이들도 잘하자고 한짓인데 이러니 소비자는 실망할 수 밖에 없습니다. 아참 이번 사건의 가장 충격적인 결말을 보여드리겠습니다. 내정보가 그대로 노출되는.. 현재는 Olleh 홈페이지가 점검중입니다.

KT 개인정보 얼만큼 뚫렸나 전격 분석 ! ( 데이터 포함 ) 해킹

  [출처] KT 개인정보 얼만큼 뚫렸나 전격 분석 ! ( 데이터 포함 ) 해킹 |작성자 바사아자

 위의 글을 참고하시면 내 개인정보가 어떻게 관리되고 있었나를 볼 수 있습니다. 해킹이든 저런식으로 개인정보 취득이든 우선 이 해킹이 시도되었던 근원부터 파악하는 KT가 되었으면 합니다. 제발. 2년 전에 불법 TM 근절하겠다고 또 이런사건이 터지지 않도록 하겠다고 했던 그 때 그 모습. 시도도 하지 않았을태니 지금이라도 좀 막아주셨으면 합니다. 제발..

 저 내용을 확인하고 수정하는것인지는 모르겠으나 개선작업을 진행한다고 합니다. 23시 이후에 또 확인해보면 알 수 있으리라고 생각됩니다.

마지막으로...

 자업자득이라는 말을 남기고 싶습니다. 자신들의 영업 이익을 증대하기 위해서 TM을 사용하고 있었을태니 불법 TM은 근절 할 수 없었겠죠. 그 불법 TM을 근절하지 못하였기에 이번 사건은 또 일어나게 된것이라고 생각합니다. 개인정보 해킹이 되어도 이제 대부분의 사람들은 분노해하지 않고, 공공재인데 또 털렸어? 라는 말을 하기 시작했습니다. 웃고 넘길일일지 모르겠으나 그 정보를 가지고 있는 곳은 해킹되고, 그 정보를 이용하여 불리한 이득을 취한 곳은 분명 문제가 있다고 생각됩니다.

 그런데 혹시 SKT와 U+에서 번호이동하면 싸게 폰을 사라고 하는 전화가 얼마나 될가요? 저같은 경우에는10에 9은 kt에서 폰 교체하라고 전화오는데... 얼마나 오시나요? 1은 거의 금융에서 전화가 온다고 보시면 될것 같아요. skt나 U+에서 폰 교체하라고 전화가 많이 오지 않습니다. 약간 의심은 갑니다.....

 결국 KT도 2012년에는 자사의 텔레마케팅을 이용하여 자사의 이득이 생겼으나 이번에는 타사의 이득이 생겼습니다. 결국 자업자득이라고 볼 수 밖에 없습니다.

 근절할려면 새로운 방법을 또 찾아해매겠죠. 찾아해매지 말고 그냥 불법 TM 근절하기 위한 방법으로 모든 대리점을 자신들이 직접 관리하고, 대리점을 줄여서 최소한의 소비자들이 피해를 보지 않도록 해야한다고 생각됩니다.

 더 나아가 통신사가 직접 휴대폰을 판매하지 않는 방안도 스스로 만들어야 한다고 봅니다. 누가 해주길 원하지 말고 스스로 근절 할 수 있도록 해야 이번과 같은 사건은 또 일어나지 않을것이라고 생각됩니다.