[중앙일보 김창우] 무더기로 도둑 맞은 개인 정보가 온라인 게임 사이트 차명 계좌를 만드는 데 이용된 것으로 드러났다. 사이버 아이템을 구해 현금을 받고 팔려는 의도로 추정된다. 온라인에서 개인 정보를 소홀하게 다룰 경우 어떤 문제가 생기는지 이번 사건이 잘 보여주고 있다.

◆ 어떻게 도용했나=피해 규모로 추정할 때 한두 개 사이트를 해킹한 수준을 넘어서는 것으로 보인다. 네이버 등 각 포털과 SLR클럽 등 대형 동호회에는 "나도 도용 당했다"는 글이 잇따라 올라오고 있다. 명의를 도용하려면 이름과 주민등록번호가 필요하다. 엔씨소프트 측에서는 "피해자들의 인터넷 이용 과정을 추적한 결과 대부분 한 경품행사 사이트를 이용한 것으로 나타났다"며 이 사이트에서 개인 정보가 샌 것으로 추정했다.

그러나 피해자 중에는 이 사이트 자체를 모르는 경우도 적지 않다. 피해 규모도 눈덩이처럼 불어나고 있다. 엔씨소프트에 신고한 경우만 1000건을 넘어섰지만 아직 확인해 보지 않은 이용자들을 감안할 때 피해 건수는 수만 건을 넘어설 수도 있다. 한 보안전문가는 "이동통신사.카드회사 등에서 흘러나간 대규모 데이터 베이스에서 이름과 주민등록번호가 새나갔을 가능성이 크다"고 말했다. 실제로 이런 정보는 온라인에서 어렵지 않게 얻을 수 있다. 지난해 8월에는 인터넷을 떠도는 6000여 명의 이름과 주민등록번호를 내려받은 10대 5명이 도용 당한 사람들 명의로 사이버 머니를 샀다가 현금을 받고 되파는 수법으로 2600만원을 챙긴 사건이 벌어지기도 했다.

이 같은 개인 정보의 유출은 각종 온라인 사이트 내부자에 의한 경우가 많다. 2004년에는 한 이동통신사에서 가입자 92만 명의 개인 정보를 유출해 마케팅에 활용한 것으로 밝혀져 홍역을 치르기도 했다. 금융기관.포털 등은 "개인 정보를 암호화해 별도의 서버에 보관하는 등의 보안 강화 대책을 마련해 놓고 있기 때문에 이 같은 유출 사건이 벌어지기 어렵다"고 주장했다. 그러나 한 보안 관계자는 "개인 정보 유출의 90% 이상이 내부자가 관여하고 있다는 것이 업계의 상식"이라며 "개인 정보 관리자가 마음만 먹을 경우 개인 정보를 알아낼 방법은 수도 없이 많다"고 말했다.

◆ 서버 해킹 가능성은 작아=개인 정보를 담은 서버 자체가 뚫렸을 경우 문제는 심각하다. 128비트 암호화를 거쳐 현재로서는 해독이 불가능한 것으로 알려진 보안 체계 자체가 무용지물이 되면 금융기관조차도 안전을 장담하지 못하기 때문이다. 모든 온라인 거래를 중지해야 할 정도다. 그러나 이런 가능성은 작다. 이번 사건 역시 포털이나 게임 사이트 보안 서버 자체가 해킹당한 것은 아닌 것으로 알려졌다. 정통부 관계자는 "트로이 목마 등의 해킹 툴이 설치된 몇 개의 특정 사이트를 통해 개인 정보가 새나갔거나 최소한 수만 명 이상의 회원이 있는 사이트에서 회원 정보가 유출됐을 것"이라고 말했다.

김창우 기자 [email protected] ▶김창우 기자의 블로그 http://blog.joins.com/kcwsssk/