KT 개인정보 유출

예전에 스마트폰 관련된 전화가 오면 우선 어떤 이동통신회사를 쓰는지부터 물어봤습니다. 그런데 언제부터인지 전화오면 KT를 써 주셔서 감사한다는 둥.. 이런 멘트로 시작하더군요. 이상해서 물어보면 전화번호는 기계가 랜덤으로 뽑는 거라는 둥... 뭐 그런 식으로 이야기하고, KT를 쓰는 건 어떻게 알았냐고 하면 대충 얼버무리고 넘어가곤 했죠.

근데 최근 그 도가 지나쳐서 매일 전화가 오고, 심지어 지난 금요일에는 두 번이나 전화가 오더군요. 그래서 두 번째 전화가 끝난 직후에 114에 전화를 했습니다.

우선 한숨을 푹 쉬고, 힘 없는 목소리로 "스팸좀 막아주세요." 했죠. 그리고는 그간 있었던 이상한 점을 이야기하면서 논리적으로 이런 일은 있을 수 없는 것이니까, 어디선가 정보가 샌 게 아니냐는 이야기를 했습니다.

상담원은 예전에 비슷한 내용으로 전화했을 때는 다양한 가능성이 있기 때문에 확실하지 않다고 항상 둘러댔었는데, 이번에는 순순히 인정하고서, 알아본 뒤에 월요일에 통보해 주겠다고 하고는 전화를 끊었습니다. 좀 이상하다고 생각하기는 했습니다만....

어제, 노을사진 찍으러 가는데, 오래간만에 스마트폰 판매 스팸이 안 온 하루라는 게 떠올랐습니다. 이것도 이상했습니다.

어제 찍은 사진 중 하나

근데 오늘 어떤 게시판에서 이에 대한 소식이 올라온 걸 확인했습니다. KT에서 공식적으로 알려지지 않은 IP로 개인정보를 저장하는 서버를 관리하는데, 이 IP로 접속해서 털었다고 합니다. 이 방법은 인터넷 초창기에 프로그래머들이 성인방송을 해킹해 보던 방법으로, 어렵지 않은 방법입니다. 어디던가 유명 서비스도 이런 방법으로 털린 적이 있습니다. (이 서비스는 개인정보를 저장하는 (암호화나 로그인이 필요없는) 서버를 두고, 표면적으로 들어나는 서버에서 이 서버로 접속하게끔 설계했던 건데, 어떤 고등학생이 이 IP를 알아내고는 접속해서 정보를 왕창 빼냈던 사건이었습니다. ㅋ)

이렇게 언론에서 보도했는데, 이게 사실이라면 KT가 개인정보 보호를 위해 한 일이 무엇인지 의문이 듭니다. IP를 알게 됐다 하더라도 접속 ID와 PW를 모른다면 정보를 빼돌릴 수 없었기 때문입니다. (그래서 내부 공모자가 의심되는 것입니다.)

그래서 올레 홈페이지에 접속해서 확인해 봤습니다.

공지가 올라와 있군요.....

유출사실확인을 클릭했더니....

사과문이 올라와 있더군요. 사과문 내용은 아래와 같습니다.


< 사과문 >


머리 숙여 사과 드립니다.
kt를 사랑해 주시는 고객 여러분,


저희 kt는 고객님의 개인정보보호에 최우선으로 노력해왔으나, 
소중한 고객님의 정보가 유출된 점에 대해 머리 숙여 사과 드립니다. 


경찰 수사결과발표를 통해 밝혀진 바와 같이 이번 사고는 그 동안 
국내에서 음성적으로 활동해 온 범죄 조직들이 침해를 시도한 것으로 
확인되었으며 그 과정에서 KT는 일부 고객님의 개인정보가 용의자에 
불법 수집되는 상황을 감지하고, 경찰에 즉시 신고하여 현재 범죄 
조직 전원이 검거되고, 범죄 조직이 불법 수집한 개인정보 또한 
전량 회수되었습니다.


kt는 침해 감지 이후 불법으로 접근한 IP를 즉시 차단하고 보안을 
한층 더 강화하는 한편, 지속적인 감시로 더 이상의 피해가 발생되지 
않도록 조치를 완료하였습니다.


kt는 이번 일을 계기로 내부 보안체계 강화와 전 직원의 보안의식을 
철저히 하여, 향후 이러한 일이 다시는 발생하지 않도록 최선의 노력을 
다하겠습니다. 
항상 kt를 믿고 사랑해 주시는 고객님께 심려를 끼쳐 드리게 되어 
다시 한번 진심으로 사과 드립니다.


- 개인정보침해 확인안내: www.olleh.com 또는
  고객센터(국번없이 1588-0010번)


주식회사 케이티 임직원 일동


유출됐는데 전량 회수됐다는 말은 거짓말일 것입니다. 업자들이 백업해 놓지 않았을까요? 해킹에 참여한 사람이 10 년차 프로그래머라는데, 당연히 백업이 생활화된 사람이었겠죠. 아마 3중 백업이 돼어있을 겁니다. 현장 이외에 두 곳에 보관되고 있겠죠.

아무튼, 이렇게 제 개인정보가 유출된 것이 확인되네요.
오늘 하루는 우울할 것 같습니다.





ps.
KT의 안전불감증은 여기에서도 나타납니다. 개인정보가 유출됐는지 알아보는데도 이름이랑 주민등록번호를 요구하더군요. 주민번호가 만능도 아니고.... 얼마 후면 주민번호 수집이 금지되는데, 이 창은 그때까지만 유지할 건지도 회사 입장에서 별 생각이 없었다고 생각들더군요.

전화번호를 바꾸면 제일 먼저 오는 전화가 스팸전화인 나라 대한민국. 여러 사업주체가 언제쯤 개인정보를 소중히 생각하는 나라가 될까요? 이는 보안 관련 법률 때문인 것으로 알고 있습니다. 회사가 갖춰야 할 보안 시스템이 회사가 할 수 있는 최선을 다하는 것이 아니라 정부에서 정한 최소한의 요건만 갖추면 되기 때문입니다. 우선 이 법부터 고쳐야 할 것입니다.


이외에도 다른 여러 가지 생각이 나지만 적지는 않겠습니다.