"징벌적 과징금 논의 필요" 1초 131회 해커 로그인 허용한 티머니

[녹색경제신문=박한솔 기자] 해커는 서두르지 않았다. 9647개 IP를 동원해 한 달 넘게 1226만 차례 로그인을 시도했지만 문은 열려 있었다. 접속은 한때 1초당 131회까지 치솟았다.

개인정보보호위원회는 29일 ‘개인정보위, 개인정보 유출 티머니에 과징금 5억3400만원 부과’ 보도자료를 통해, 티머니가 이러한 비정상적인 공격 흐름을 인지하고도 침입 탐지·차단 등 기본적인 안전조치를 취하지 않은 점이 5만1691명의 개인정보 유출로 이어졌다고 밝혔다.

보안·개인정보 보호 분야 전문가들 사이에서는 이번 과징금 규모가 사고의 성격과 피해 규모에 비춰 충분한 수준인지에 대한 문제 제기가 나오고 있다. 공격이 한 달 넘게 반복됐고 개인정보 유출에 더해 실제 금전 피해까지 발생한 점을 감안하면, 과징금이 상대적으로 낮게 책정됐다는 지적이다.

개인정보보호위원회 조사에 따르면, 공격 기간 동안 티머니 서비스에는 국내·외 다수의 IP에서 대규모 로그인 시도가 집중됐으며, 공격 기간의 일평균 로그인 시도 건수는 평시 대비 68배에 달했다.

특히 동일 계정에 대해 반복적으로 로그인을 시도하는 양상이 나타났고, 로그인 시도 횟수와 실패율이 급격히 증가하는 크리덴셜 스터핑(Credential Stuffing) 공격의 전형적인 특징이 확인됐다.

이 같은 공격 흐름에도 불구하고, 티머니는 해당 기간 특정 IP 차단, 로그인 시도 횟수 제한, 추가 인증 적용 등 침입 탐지·차단 조치를 시행하지 않았다고 개인정보위는 지적했다.

그 결과 공격자는 반복적인 로그인 시도를 이어갈 수 있었고, 개인정보 유출은 일부 계정의 금전 피해로까지 확대됐다. 실제로 로그인에 성공한 계정 가운데 4131명으로부터 잔여 T마일리지 약 1400만 원이 탈취된 것으로 확인됐다.

개인정보보호위원회는 이번 사안에 대해 과징금 5억3400만원을 부과하는 한편, 재발 방지를 위한 시정명령과 함께 사업자 누리집을 통한 공표 명령도 병행했다. 개인정보위는 제재 사유로 ‘반복적 공격 등 이상행위 대응 소홀’을 명시했다.

홍준호 성신여대 융합보안공학과 교수는 29일 〈녹색경제신문〉과 서면 질의에서 “과징금 산정에 적용되는 현행 상한과 기준이 대규모 개인정보 유출이나 중대한 2차 피해 가능성을 충분히 반영하지 못하고 있다”고 말했다.

이어 “현행 제도는 위반 행위의 사회적 파급력이나 피해의 질적 심각성보다는 매출액 중심의 정량적 기준에 의존하고 있어, 개인정보 침해 위험이 구조적으로 큰 기업에 대한 억지력이 충분하지 않다는 지적이 지속돼 왔다”고 덧붙였다.

반면 박민호 단국대 SW융합대학 사이버보안학과 겸임교수는 같은 날 본지와 통화에서 “사고라는 것은 평소에는 잘 관리해왔더라도 일시적인 실수나 악의적인 공격으로 발생할 수 있다”고 말했다.

다만 그는 “과징금을 징벌적으로 부과할 경우 징계에 대한 부담으로 예방 활동이 더 철저해질 수 있다는 점은 고려할 필요가 있다”고 강조했다.

기자는 티머니 측에 공격 인지 시점과 접속 차단·추가 인증 등 기술적 대응 여부, 판단 주체와 판단 과정, 마일리지 탈취로까지 피해가 확대된 경위 등을 질의하기 위해 수차례 연락을 시도했으나, 끝내 답변을 받지 못했다.