해킹가능 정보, 이용자는 몰라도 된다?

해킹가능 정보 3가지로 제출, 알고보니 10가지

새정치민주연합 송호창 의원(미래창조과학방송통신위원회, 의왕·과천)은 방송통신위원회(방통위)가 스마트보안관의 해킹위험을 축소 발표해 이용자들의 정보보호를 외면했다고 밝혔다. 방통위는 유출가능한 정보를 축소해 국정감사 자료로 제출했으며, 관련 위험성을 이용자들에게 충분히 알리지 않았다. 이는 개인정보보호 주무부처로서 매우 부적절한 조치이다.

송호창 의원은 지난 4일 해외 연구기관(시티즌랩)의 발표자료를 분석해 방송통신위원회가 운영 중인 스마트보안관의 정보유출 가능성을 제기했다. 스마트보안관은 청소년유해정보 차단을 위한 앱으로 8월 말 기준 38만여 명이 사용 중이다. 방송통신위원회는 해킹가능한 정보들을 축소한 자료를 국정감사에 제출하거나, 늑장대응으로 일관하고 있다.

※ 표 : 첨부파일 참조

방통위, 유출가능한 정보도 모르거나 축소해

방통위가 해킹 가능한 정보로 제출한 자료는 휴대폰 번호, 생년월일, 이름 3종류이다. 그러나 시티즌랩의 조사에 따르면 위 3가지 이외에도 성별, 개인식별번호(PIN), 웹사이트 이용내역, 보호된 데이터, 휴대폰 사용 통계치 등을 추가로 알 수 있었다. 즉, 해커가 스마트폰에 저장된 거의 모든 정보에 접근해 유출할 수 있는 것이다.

※ 그림자료 : 첨부파일 참조

보안문제 지적 이후에도 외부평가 안 받아

방통위는 스마트보안관 사업을 담당하는 한국무선인터넷산업연합회(MOIBA)가 3년이나 보안문제를 알지 못했음에도 불구하고 MOIBA의 자체점검에만 의존했다. MOIBA가 만든 스마트보안관의 보안수준은 최하위 수준이라는 평가이다. MOIBA가 제대로 된 보안전문성을 가지고 있는지 의문인 대목이다.

MOIBA는 정부로부터 10억원을 지원받아 스마트보안관 사업을 추진 중이며 올해는 4명의 인건비를 책정하고 있다. 한편 MOIBA는 2010년에도 한국형 통합앱스토어를 만든다는 취지로 ‘K-Apps’ 사업을 수행했으나 성과없이 끝났고 현재는 사업 자체가 존폐위기에 놓여있다.

방통위는 보안문제를 알게 된 이후에도 시티즌랩의 보고서가 공개되기 전인 45일 동안 한국인터넷진흥원(KISA)이나 다른 보안전문 기관에 평가를 의뢰하지 않았다. 방통위가 인터넷진흥원에 보안성평가를 요청한 것은 시티즌랩의 보고서가 공개된 이후인 9월 22일이다. 6일 현재 인터넷진흥원의 평가결과는 나오지 않았다.

늑장대응 뿐만 아니라 실제로 심각한 보안문제가 해결됐는지도 의문이다.  그동안 MOIBA는 8월 6일과 8월 25일 2회의 업데이트를 통해 취약점을 보완했다고 주장했다. 그러나 시티즌랩은 9월 20일까지 현재 취약점들이 전부 보완됐는지 MOIBA가 별도로 확인해준 바는 없다고 밝혔다. 더구나 시티즌랩은 스마트보안관의 8월 6일 업데이트에서도 인증서 승인 문제가 해결되지 않았다고 지적하기도 했다.

방통위, 이용자들에 ‘쉬쉬’로 일관

스마트보안관 보안문제가 아직 해결됐다고 보기 어려움에도 방통위는 이용자들에게 사용을 계속하게 하고 있다. 시티즌랩은 “독립적이고 철저한 보안감사가 이루어지기 전까지는 스마트보안관의 추후 사용과 홍보를 중단할 것을 권고한다”고 밝혔다. 아직 인터넷진흥원의 보안평가가 나오지 않은 상태에서 방통위는 이용자들에게 위험성을 충분히 알리지 않고 있다.

송호창 의원이 지난 4일 공개했던 스마트보안관 홈페이지의 공지나 9월 22일 발표한 설명자료에는 어떠한 정보가 노출될 수 있는지 전혀 제공하지 않고 있다. 어떤 취약점이 있었는지, 어떤 조치를 취했는지도 구체적으로 나와있지 않다. 부모나 아이들이 판단할 수 있는 정보를 사실상 전혀 제공하지 않은 것이다.

방통위가 제출한 국정감사 자료에 따르면 해킹여부에 대해 ‘해당사항 없음’이라고만 밝혔다. 그러나 어떤 정보가 유출가능성이 있는지 조차 파악하지 못하거나 축소했던 방통위는 해킹 여부에 대한 실제 조사를 진행하지도 않았었다. 이용자들 역시 유출 가능성조차 알지 못하고 있어 해킹을 당하고도 모를 가능성이 많다. 이런 상황에서 방통위는 해킹사례가 없다는 안일한 대응을 하고 있다.

송호창 의원은 “38만명의 우리 아이들이 사용하는 앱의 보안은 아무리 강조해도 지나치지 않는다”라고 밝혔다. 송 의원은 “보안문제가 확실히 검증될 때까지 서비스를 중단해야 한다”면서 “방통위는 최소한 모든 이용자들이 스스로 계속 사용여부를 판단할 수 있도록 정보유출과 원격조정 가능성에 대해 정확히 알려야 한다”고 강조했다.

「이하 생략」
※첨부파일 참조