사상 최악의 인터넷 보안 위협으로 불리는 '하트블리드(heartbleed) 버그' 피해 사례가 캐나다와 영국에서 처음 확인돼 피해 확산 우려가 커지고 있다.
파이낸셜타임스 등 외신에 따르면 캐나다에서는 국세청 전산망이 뚫려 한국의 주민등록번호와 유사한 사회보장번호 900여개가 유출됐으며, 영국에서는 가입자가 150만명에 달하는 대형 육아사이트가 뚫려 피해범위조차 추산하지 못하고 있다.
캐나다 국세청은 14일 성명을 통해 인터넷 보안 인증 체계 '오픈SSL'의 결함인 하트블리드 버그로 보안 시스템에 허점이 발생한 상태에서 사회보장번호 900여개가 도난당했다고 밝혔다. 국세청은 사회보장번호가 유출된 피해자들에게 등기우편을 발송해 이 사실을 알리는 중이라고 설명했다. 국세청은 "누군가가 하트블리드 취약점을 이용해 전산시스템에서 사회보장번호를 빼갔다"며 다른 종류의 정보 유출 가능성도 살피고 있다고 설명했다.
150만명이 가입한 영국 육아사이트 '멈스넷'(Mumsnet) 설립자 저스틴 로버츠는 영국 BBC방송과 인터뷰에서 사이트 이용자의 정보가 위험에 처했다고 밝혔다. 로버츠는 "지난 11일 하트블리드 버그가 멈스넷 이용자 계정 정보에 접근하는 데 이용됐다는 사실이 드러났다"며 이번 해킹으로 이용자의 게시글, 쪽지, 프로필 등에 타인이 접근할 수 있게 됐다고 설명했다. 정확히 어느 이용자의 계정이 털렸는지는 알 수 없지만 최악의 경우 모든 이용자의 정보가 해킹당했을 것으로 보인다고 로버츠는 덧붙였다.
SSL은 웹사이트를 이용할 때 작동하는 보안기제. 이용자 컴퓨터의 '퍼블릭 키'와 웹사이트 서버 컴퓨터의 '프라이빗 키'가 짝을 맞춰 '암호화' '암호화 해제' 과정을 거쳐 정보를 교환하며 구글 같은 포털사이트, 은행 등 금융기관도 보안기준으로 오픈SSL을 채택하고 있다.
이 보안기제가 작동하는 과정에서 컴퓨터와 서버는 일정한 간격으로 신호를 주고 받아 통신을 점검하는데 하트블리드는 이 신호의 길이를 조작해 컴퓨터가 요청하지 않은 정보까지 읽어내고 그 정보들을 모아 서버에 저장된 개인정보 등을 빼낸다. 심장에서 조금씩 피가 새나가듯 정보를 빼내간다고 해서 하트블리드(심장출혈)라는 말이 붙었다.
이와 관련 일본 경찰청은 지난 10일 오픈SSL의 특정 버전에 심각한 취약성이 발견돼 악용될 경우 외부에서 조작된 패킷(데이터 뭉치)을 송신하는 것만으로도 메모리의 내용이나 비밀번호 등이 유출될 가능성이 있다고 경고했다. 일본 경찰은 이같이 정보를 빼가기 위한 패킷이 존재한다는 것도 확인했으며 이를 이용해 정보를 빼가기 위한 취약 서버 탐색이 진행되고 있을 것으로 추정했다. 보안 위험을 막기 위해 "문제 있는 오픈SSL을 사용하고 있는지 확인해 빨리 업데이트 하고 SSL 증명서를 무효화시킨 뒤 재발행할 것"을 권고했다.
김현우기자 777hyunwoo@hk.co.kr
기사 URL이 복사되었습니다.
댓글0