전체기사 최신뉴스 GAM 라씨로
KYD 디데이
경제 경제일반

[워크넷 해킹] 23만 개인정보 어떻게 털렸나…보안관리 '도마위'

기사입력 : 2023년07월07일 15:21

최종수정 : 2023년07월08일 09:35

워크넷, 중국 해커에 개인정보 23만건 유출
신종 '크리덴셜 스터핑' 수법에 속수무책 당해
범죄 악용될 가능성…금전 등 2차 피해 우려

[세종=뉴스핌] 정성훈 기자 = 고용노동부와 한국고용정보원이 운영하는 채용정보사이트 '워크넷'이 중국 해커들에 의해 뚫린 것으로 알려진 가운데, 허술한 보안관리가 '도마위'에 올랐다. 

또한 수십만명의 개인 정보가 삽시간 내에 털린 것으로 알려지면서, 이들 해커의 공격방식인 '크리덴셜 스터핑(Credential stuffing)'에 대한 관심도 커지고 있는 상황이다. 

◆ 아이디·비번 무작위 대입방식 '크리덴셜 스터핑' 수법은?

7일 고용노동부에 따르면, 고용정보원은 지난 6일 중국 등 해외 인터넷 접속 주소(IP) 28개에서 23만여건의 워크넷 무단 접속을 확인했다고 밝혔다. 이를 통해 23만명의 개인정보 유출이 확인됐다. 

이들이 사용한 해킹수법은 '크리덴셜 스터핑'이라고 하는 로그인 정보 무작위 대입 방식이다. 소위 '다크웹'으로 불리는 인터넷 암시장에서 불법으로 취득한 사용자 정보(아이디·암호)를 다른 계정에 무작위 대입해 타인의 개인정보를 빼내는 수법이다.

즉, 취득한 아이디와 비번을 여러 웹사이트나 앱에 대입해 로그인을 시도하고, 접속될 경우 그 안에 있는 타인의 개인정보 등을 유출시키는 식이다. 이는 대다수 인터넷 사용자가 여러 사이트에서 동일한 아이디와 비번을 쓴다는 점을 악용한 것이다.   

화이트해커로 활동했던 한 보안전문가는 "크리덴셜 스터핑이라고 하는 해킹수법은 과거에서부터 흔하기는 했는데 수면위로 드러난건 그리 오래되지 않았다"면서 "과거에는 공격자들이 개인 정보를 탈취해 개별 사이트에 가서 일일이 대입해 보는 방식인데 최근에는 자동화된 로봇을 만들어 무작위로 막 집어넣고 확인하는 절차를 거치는 형태로 진화하다 보니까 문제가 더 심각해진 것"이라고 설명했다. 

이어 이 보안전문가는 "이번에는 워크넷만 수면위로 드러났지만, 같은 패스워드를 동일하게 쓰는 기업들, 개인들이 많기 때문에 그런 경우에는 어쩔 수 없이 공격을 당할 수 밖에 없는 상황"이라며 "이러한 문제가 추가적으로 발생할 경우 문제가 더욱 심각해질 수 있다"고 우려를 표했다. 

김영중 고용정보원장 역시 "크리덴셜 스터핑이라고 부르는 해킹 방식을 이용하면 1초에도 수천 번, 수만 번씩 자동차 툴을 돌려 로그인을 시도할 수 있어 대응이 쉽지 않다"면서 "고용정보원의 경우 하루 평균 접속자가 100만명을 넘는데, 이 많은 트래픽에서 이상 신호를 발견하고 일일 차단하려면 많은 인력이 필요하다"고 고충을 토로했다. 

김 원장은 그러면서 "그나마 고용정보원의 경우 별도의 보안인력이 배치돼 있어 나름 신속히 대응할 수 있었지만, 그렇지 못한 기업들은 해킹을 당해도 인지 못 하는 '눈 뜨고 코베이는 상황'이 발생할 수 있다"고 설명했다. 

고용정보원이 밝힌 유출 정보는 개인이력 항목에 있는 이름, 성별, 출생년도, 주소, 일반전화, 휴대전화, 이메일, 학력, 경력, 훈련참여이력, 참여프로젝트, 주요활동 및 수상경력, 해외경험, 외국어능력, 보유자격, 증명사진, 운전가능여부, 차량소유여부로 총 18개다.

이 중 이름이나 출생년도, 휴대전화 등 유출된 정부는 보이스 피싱 등 2차 범죄에 이용될 가능성이 높다. 자칫 금전적 피해 등 2차 피해가 우려되는 상황이다. 

김 원장은 "지금 가장 걱정되는 건 2차 피해다. 빠져나간 개인정보가 만약 범죄 집단에게 넘어갈 경우 금융사기나 취업 사기 등에 활용될 가능성이 있다"면서 "이런 피해가 발생하지 않도록 피해자들에게 개별 연락을 취해 놓긴 했는데 추가적인 보완책 마련이 필요해 보인다"고 전했다. 

◆ 유일한 피해 방어 방법은 아이디·비번 주기적 변경

현시점에서 크리덴셜 스터핑 해킹을 사전에 차단할 방법은 사실상 없다. 

피해 기관이나 기업이 해킹 사실을 인지한 후 빠르게 접속을 차단하거나, 사이트 이용자가 아이디와 비번을 주기적으로 변경해 피해 가능성을 줄이는 것이 유일한 방법이다. 

보안전문가는 "하나의 IP에서 여러 계정들이 로그인을 시도한다거나 하는 패턴들은 다 동일하기에 그런 것들을 좀 더 보완할 수 있는 방법론에 발맞춰 가야 한다"면서 "해당 해킹 피해를 막을 수 없다면 피해 사실 인지 후 빠르게 접속을 끊어내는 방법이 추가로 개발돼야 할 것"이라고 설명했다. 

[출처=워크넷 홈페이지 캡처] 2023.07.07 swimming@newspim.com

고용정보원 워크넷 담당자는 피해 사실 확인 즉시 전체 이용자 비밀번호를 초기화해 추가 피해는 없다는 입장이다. 

이 담당자는 "피해 예방을 위해 주기적인 암호변경과 사이트별 다른 암호를 사용할 것을 당부드린다"며 "혹시 모를 피해를 최소화하기 위해 워크넷은 로그인 시 기존 비밀번호(PW)를 새롭게 변경해야만 로그인될 수 있도록 조치를 완료했다"고 밝혔다.  

jsh@newspim.com

CES 2025 참관단 모집

[뉴스핌 베스트 기사]

사진
사격 여제 김예지, '진짜 킬러'로 변신 [서울 = 뉴스핌] 오광수 문화전문기자 = 파리올림픽 사격 은메달리스트 김예지가 글로벌 대형 프로젝트 영화 '아시아'의 스핀오프 드라마 '크러쉬'에 킬러로 캐스팅 됐다. 김예지는 미국과 아시아 7개국 이상 다국적 스타들이 총출동하여 인종 혐오와 차별에 대한 다양한 인간군상의 얽히고설킨 이야기의 영화 '아시아'(이정섭 감독)의 스핀오프 숏폼 시리즈 '크러쉬'에 출연한다. 2024 파리올림픽 은메달리스트 김예지와 인도의 글로벌 스타 아누쉬카 센이 '아시아' 스핀오프 숏폼 시리즈의 킬러로 동반 캐스팅 됐다. [서울 = 뉴스핌] 오광수 문화전문기자 = 영화 '아시아'의 스핀오프 드라마 '크러쉬'에서 킬러로 출연하는 김예지(사진 완쪽).  [사진 = 플랫폼 플필 제공]  2024.09.19 oks34@newspim.com 김예지 소속사 배우 캐스팅 플랫폼 플필 류민국 대표는 "김예지는 아시아랩의 글로벌 대형 프로젝트 영화 '아시아'의 스핀오프 작품에서 세계적인 배우들과 함께 매력적인 킬러 역할의 배우로서 첫 선을 보이는 것에 대해 떨리면서 기쁨을 전했다며, 곧 공개되면 전 세계 팬들에게 큰 선물이 될 것"이라고 말했다. 아누쉬카 센 역시 인도에서 아역 출신의 인도 최고의 스타 배우로서 인스타그램 4,000만 팔로워를 갖고 있는 막강한 메가 인플루언서이기도 하다. 인도 아마존 프라임 시청률 1위 드라마 시리즈 주연으로 현재 인도와 해외에서도 엄청난 인기를 누리고 있다. 또한 한국에 기반한 아시아랩 글로벌 매니지먼트 소속으로 2024년 한국관광 홍보대사로서 한국과 인도 양국의 문화와 예술, 엔터테인먼트를 연결하는 주역이며, 특히 인도의 한류 붐을 일으킨 가장 큰 공헌자이기도 하다. 아시아랩(Asia Lab)의 CEO이자 연출자인 이정섭 감독은 "아누쉬카 센과 김예지의 '아시아' 스핀오프 숏폼 시리즈의 킬러 동반 캐스팅은 글로벌 숏폼 시리즈의 혁신과 새로운 장을 여는 계기가 될 것"이라며 전했고, 이미 공개된 영화 '아시아' 티저 트레일러는 여러 플랫폼에 3,000만 이상의 조회수를 기록하며 강렬한 영상과 스토리로 전 세계 관객들에게 큰 기대를 모으고 있다. oks34@newspim.com 2024-09-19 14:10
사진
연준, 향후 금리 인하 속도 의견 '분분' [뉴욕=뉴스핌] 김민정 특파원 = 미 연방준비제도(Fed)가 0.50%포인트(%P) 금리를 내리는 '빅컷'을 단행한 후 연준의 향후 행보와 관련해 월가의 의견이 분분하다. 금리가 낮아질 것이라는 데는 이견이 없지만, 금리가 내리는 속도와 최종 금리에 의견은 차이를 보이고 있다. 19일(현지시간) 골드만삭스는 연준이 11월부터 매 회의에서 0.25%P씩 금리를 낮춰 내년 중순 기준금리가 3.25~3.50%로 낮아질 것으로 기대했다. 전날 '빅컷'을 정확히 예측한 JP모간 체이스 앤 코는 11월 50%P 인하를 예상하면서도 이 같은 정책 결정이 미국 고용시장 상태에 달렸다고 강조했다. 뱅크오브아메리카(BofA) 글로벌 리서치는 연준이 4분기 0.75%P의 금리 인하에 나설 것으로 전망하고 내년 1.25%P를 추가로 내릴 것으로 예상했다. BofA는 보고서에서 "우리는 연준이 더 깊은 금리 인하에 나설 것으로 생각한다"며 "큰 폭의 금리 인하 이후 연준이 매파적으로 놀라움을 줄 것으로 생각하지 않는다"고 판단했다. 제롬 파월 미 연방준비제도(Fed) 의장.[사진=로이터 뉴스핌] 2024.09.20 mj72284@newspim.com 반면 바클레이스는 연준이 11월과 12월 0.25%P씩 인하한 후 2025년에도 같은 속도로 금리를 내려 연말 기준금리가 3.50~3.75%로 낮아질 것으로 내다봤다. 시티그룹은 연준이 11월 0.50%P, 12월 0.25%P 금리 인하를 단행한 후 내년에도 0.25%P씩의 금리 인하를 지속해 연말 금리가 3.00~3.25%에 도달할 것으로 전망했다. 전날 연준은 기준금리를 0.50%P 인하한 4.75~5.00%로 정했다. 이로써 연준은 지난 2020년 3월 이후 4년 반 만에 처음으로 금리 인하에 나섰다. 연준은 경기 침체에 대한 공포가 아닌 연착륙에 대한 자신감으로 이례적인 '빅컷'을 단행할 수 있었다고 강조했다. 인플레이션이 목표치인 2%로 향한다는 더 큰 자신감을 얻은 상황에서 중립 수준보다 훨씬 높은 기준금리를 낮춰 현재의 강력한 고용시장을 지키겠다는 게 제롬 파월 연준 의장의 설명이다. 웰스파고의 마이클 슈머처 전략가는 "2024년 완화 사이클은 역사적인 수준의 시장 불확실성과 함께 시작됐다"며 연준이 미국 경제가 경착륙할 경우 앞으로 1년간 3.50%P, 연착륙의 경우 1.50%P의 금리 인하에 나설 것으로 전망했다. 현재 금리선물 시장은 11월 7일 연방공개시장위원회(FOMC) 정례회의에서 25bp의 금리 인하가 이뤄질 확률을 57.5%, 50bp 인하 가능성을 42.5%로 각각 반영 중이다. 시장 참가자들은 이후 12월 18일 회의에서도 추가로 금리 인하가 이뤄질 것으로 보고 있으며 연말까지 추가로 총 0.75%P의 금리 인하 가능성이 가장 유력한 시나리오로 나타나고 있다.   mj72284@newspim.com 2024-09-20 01:59
안다쇼핑
Top으로 이동