'탈탈 털린 카드 정보' 해커 출신 변호사가 말하는 보안 방법

YTN라디오(FM 94.5) [노영희의 출발 새아침]

□ 방송일시 : 2020년 6월 16일 (화요일)
□ 출연자 : 전승재 변호사 (해커 출신)

- 복제된 카드로 부정 결제 어려울 것
- 단말기로 피싱 이메일 열면 서버 해킹 당할 수도
- 정확한 피해량은 1.5테라바이트보다 적어
- 사고 직후 피해 내역 투명하게 공개해야
- 위험성 철저하게 분석할 제도 선진화 필요

* 아래 텍스트는 실제 방송 내용과 차이가 있을 수 있으니 보다 정확한 내용은 방송으로 확인하시기 바랍니다.

◇ 노영희 변호사(이하 노영희): 지난해 하나은행 전산망을 해킹하다가 붙잡힌 A 씨를 수사하던 중, 신용카드 결제정보 등이 담긴 대용량 하드디스크가 발견돼 수사에 나섰습니다. 저의 정보도 그 안에 포함되어있진 않을까 심히 걱정이 되는 부분입니다. 관련 내용에 대해 전문가와 함께 이야기 나눠보겠습니다. 해커 출신 변호사, 전승재 변호사입니다. 안녕하세요?

◆ 전승재 변호사(이하 전승재): 안녕하십니까. 전승재입니다.

◇ 노영희: 우선 개인 소개를 간단하게 해주시죠. 해커 출신 변호사라고 하는 게 무슨 말입니까? 

◆ 전승재: 네, 저는 학부 시절에 해킹 동아리에서 해킹 기술을 공부한 적이 있고요. 

◇ 노영희: 그렇게 불법적인 것을.

◆ 전승재: 기술 자체는 쓰기 나름이니까요.

◇ 노영희: 그렇게 했던 경험을 살려서 지금 변호사 하시면서 그쪽을 전문을 하시는 겁니까?

◆ 전승재: 지금 로스쿨 나와서 전공을 바꾼 이후에 변호사 활동을 하고 있습니다.

◇ 노영희: 그렇군요. 로스쿨이 이런 게 참 좋더라고요. 학부 때 전공 달리, 사회에서의 전공 달리 해서 여러 가지가 융합적으로 한 사람의 변호사를 완성시키더라고요. 어쨌든 해커 출신이시니까 이런 종류의 개인정보유출과 관련된 일에 대해서는 제일 전문가이실 것 같은데요. 여쭤보겠습니다. 우선 방대한 양의 개인의 금융정보가 담긴 하드디스크를 한 해커를 수사하는 과정에서 발견해냈더라, 이게 요점인데요. 여기서 발견한 정보라고 하는 것이 정확히 어떤 것을 이야기하는 겁니까?

◆ 전승재: 카페, 편의점, 음식점 등에 설치된 신용카드 결제단말기 또는 결제정보가 전송되는 서버가 해킹되었다고 합니다. 그 기기를 거쳐 간 결제 정보, 신용카드 번호, 유효기간 등을 해커가 유출했다고 전해지고 있습니다.

◇ 노영희: 그러니까 우리가 카페에서 커피를 마신 다음에 계산할때 카드를 내면 그 카드를 긁잖아요. 긁으면서 거기에 있는 정보를 걔네가 가지고 갔는데, 그게 한 번 쓰고 없어지는 게 아니라 해커가 중간에 가지고 가버려서 우리 것을 모두 알게 되는 거예요?

◆ 전승재: 네, 그렇습니다.

◇ 노영희: 그러면 알고 있는 정보로 내 카드를 자기 마음대로 쓸 수 있습니까?

◆ 전승재: 부정결제까지는 아마 어려울 겁니다. 신용카드사가 복제된 카드를 가지고 결제가 안 되도록 막는 일종의 AI 같은 시스템을 오래 전부터 구축하고 있었거든요.

◇ 노영희: 카드사에 그런 게 있기는 있군요. 그나마 다행이네요.

◆ 전승재: 그렇습니다. 

◇ 노영희: 그런데요. 이게 어떻게 카페, 편의점, 음식점 등에 설치된 신용카드 결제 단말기에 있는 정보를 해커가 가지고 갔다고 하는지 이해가 안 가요.

◆ 전승재: 사실 신용카드 단말기 중에 일부 유형의 기기는 우리가 쓰는 PC와 비슷합니다. 윈도우가 깔려 있고, 네트워크 케이블로 꽂혀 있습니다. 단말기는 보완 정책상 신용카드사 전산망하고만 연결을 하고, 외부 인터넷을 차단하도록 되어 있는데, 문제는 일부 구형 단말기는 외부 인터넷을 열어둬서 이것을 쓰는 가게는 심심할 때 이것으로 웹서핑도 하고 그런단 말입니다. 그래서 단말기에서 피싱 이메일을 열어보거나 인터넷에서 맬웨어가 유입되면 악성코드에 감염되고, 그러면 결제정보가 신용카드사에만 가는 것이 아니라 해커에게도 도청되게 됩니다. 또한 이번 사고의 경우에는 단말기에서 전송되는 결제정보가 모이는 서버를 해킹함으로써 카드정보를 유출할 수도 있었다, 이렇게 전해지고 있습니다.

◇ 노영희: 그러니까 그냥 그 단말기가 외부정보하고 서로 왔다 갔다 하지 않는 상황이라고 하면 이런 문제가 안 발생할 텐데, 사용하는 사람이 외부 인터넷을 열어놓아서 이 단말기 안에 있는 정보가 바깥에서 가져갈 수 있게끔 그렇게 구조가 되어 버렸다는 거네요?

◆ 전승재: 네, 그렇게 추정되고 있습니다.

◇ 노영희: 단말기에서 우리가 잘 아는 피싱 이메일이라고 하는 것. 이런 것을 열어보게 되거나 맬웨어, 이런 것이 들어가게 되면 악성코드 감염이 일어나면서 결과적으로 내 정보가 빠져나가는군요?

◆ 전승재: 네, 맞습니다.

◇ 노영희: 그런데 솔직히 말해서 해킹 동아리가 있었다고 했잖아요, 학교 다니실 때? 그분들이 지금 해커로 활동하고 있는 분 혹시 알고 계세요? 

◆ 전승재: 대부분 보완 분야에서 활동을 하고 계시죠. 지키는 쪽으로 기술을 쓰고 계십니다.

◇ 노영희: 마음을 조금만 잘못 먹으면 안 좋은 쪽으로 빠질 수 있는 것 아니겠습니까?

◆ 전승재: 인생에 그렇게 리스크를 거실 분들은 아닐 겁니다.

◇ 노영희: 제가 궁금한 것은 왜 이런 것을 하냐는 거예요, 해커라는 분들은. 자신의 능력을 남들에게 자랑하고 싶어서? 아니면 무엇을 위해서 이런 것을 하나요?

◆ 전승재: 아마 이 사건의 범인 같은 경우에는 전에도 하나은행을 소위 해킹해서 금전적 이득을 취하려고 범행을 시도했던 사람입니다. 

◇ 노영희: 진짜 돈을 가지고 가려고?

◆ 전승재: 정말 범죄자인 셈이죠.

◇ 노영희: 그런데 그렇게 가지고 가게 되면 알지 않나요?

◆ 전승재: 지금 이분이 잡혀서 아마 감옥에 있을 겁니다. 추가 수사를 하다가 이번 데이터가 추가로 발견된 것으로 전해지고 있습니다.

◇ 노영희: 뻔히 잡힐 것을 알면서도 이렇게 한다는 것 아니에요? 모른다는 거예요?

◆ 전승재: 범죄자들이야 잡힐 거라고 생각을 안 할 수도 있고요. 나름대로 조직적으로 대비를 했을 수도 있겠죠.

◇ 노영희: 어쨌든 구체적인 피해 규모는 알려지지 않았습니다만, 피해가 어느 정도나 될까요?

◆ 전승재: 지난 주말에는 1.5테라바이트 용량의 데이터가 유출되었다고 나온 기사도 있었습니다. 다만 1.5테라는 해커에게서 압수한 하드디스크의 총 용량이고, 실제 유출된 데이터는 이것보다 작다고 합니다. 정확한 용량은 공식 발표되지 않았는데, 61기가라고 보도되기도 했습니다.

◇ 노영희: 그러면 결과적으로는 61기가의 정보가 어떤 내용으로, 무엇을 유출했나, 이런 것은 안 나온 거예요?

◆ 전승재: 신용카드 번호 정도가 유출되었다고 보도가 되어 있고요. 사실 이게 신용카드 부정결제 문제와 연결될 수 있습니다. 다행히도 우리나라는 IC카드 결제정보가 암호화되기 때문에 도청이 되더라도 복제카드를 만들기가 매우 어렵습니다. 그리고 우리나라 IC카드 단말기 보급률이 98%에 이르러서 복제 위험도 매우 낮습니다. 물론 그래도 부정결제 시도가 있는지는 잘 지켜봐야 합니다. 부정결제로 확인되면 카드사에서 전액 배상도 해주고요. 

◇ 노영희: 지난번 토스 같은 것을 말하는 건가요?

◆ 전승재: 네, 그렇습니다.

◇ 노영희: 끝으로 개인정보 유출을 막기 위해서 우리가 어떤 대비를 해야 할까요?

◆ 전승재: 교통사고율이 0%로 결코 떨어지지 않듯이 아무리 보안을 철저히 해도 유출사고 자체는 터지기 마련입니다. 그래서 사회 전체적인 사고 처리 역량을 키우는 것이 중요한데, 개인정보의 스펙트럼이 매우 넓기 때문에 리스크에 비례한 대응이 필요합니다. 이메일 주소처럼 유출되면 스팸 메일이 와서 성가신 정도의 개인정보가 있고, 인증정보처럼 유출되면 재산피해로 이어지는 개인정보가 있습니다. 사고 직후 피해 내역을 투명하게 공개하고, 위험성의 정도는 철저하게 분석할 수 있도록 제도를 선진화시켜야 합니다.

◇ 노영희: 제도 선진화는 우리가 할 수 있는 게 아니니까 나랏님들한테 여쭤봐야겠네요.

◆ 전승재: 우리가 할 수 있는 일도 하나 있습니다. 일단 카드 비밀번호를 각종 멤버십 비밀번호와 다르게 쓰는 게 좋습니다. 숫자 네 자리 비밀번호요.

◇ 노영희: 그렇게 하면 쓸 수가 없습니다. 다 잊어 버려요.

◆ 전승재: 정말 중요한 비밀번호는 레벨을 차등을 해서 돈이랑 직결되는 비밀번호는 다 다르게 쓰고, 돈이랑 상관없는 비밀번호는 적당히 돌려 쓰시고, 그게 좋습니다.

◇ 노영희: 오늘 말씀 여기까지 듣겠습니다. 고맙습니다.

◆ 전승재: 고맙습니다.

◇ 노영희: 지금까지 해커 출신 전승재 변호사였습니다.