해커는 교묘했고, 의외로 카드 추가 발급 시스템은 허술했습니다. 네이트에서 해킹한 개인정보를 이용해 카드 추가 발급 신청까지 마쳤던 사례를 취재하면서 절감한 부분입니다.

이미 기사를 통해 보신 분도 있겠지만 더 자세히 설명하면 상황은 이렇습니다. 지난 19일 직장인 구 모 씨는 외환카드로부터 4통의 문자를 연달아 받습니다. 첫 번째 문자는 "비밀번호 변경 오류" 라는 내용이었고 나머지 3통은 "개인정보가 변경됐습니다" 라는 내용이었습니다. 

이상하게 생각한 구 씨는 즉시 외환카드사에 전화를 걸어 경위를 물어봤고, 얼마 뒤 외환카드 고객센터로부터 돌아온 답변은 "카드가 추가발급 됐다. 본인이 신청하지 않았느냐? "였고 그런 적 없다고 항의하며 취소를 요구하자 "아무래도 개인정보가 도용된 것 같다. 경찰에 신고하면 최대한 협조하겠다"는 답이었습니다.

본격적인 취재를 시작했습니다. 우선 구 씨는 외환카드 사용명세서를 네이트 이메일을 통해 받아보고 있었습니다. 그래서 네이트 메일을 확인하려했는데 이미 누군가 구씨의 비밀번호를 바꿔놓아서 접속을 할 수 없었습니다. 구 씨는 네이트를 그리 자주 이용하지 않았고, 지난 달 26일 네이트 해킹 이후에는 한 번도 이용한 적이 없습니다. 결국 휴대전화 인증을 통해 비밀번호를 다시 변경하고 나서야 네이트에 접속할 수 있었습니다.

구 씨 로그인 기록을 확인해 봤습니다. 구 씨는 접속한 적이 없는데 지난 11일, 17일, 18일 구 씨가 접속하는 IP 주소가 아닌 중국 쪽 IP에서 공격이 들어왔던 흔적이 남아있었습니다.

아무리 그렇다고 하더라도 카드추가 발급이 이렇게 쉬울 수 있는지 의문이었습니다. 과정을 알아보니 해커는 일단 구씨 주민번호로 ARS 고객센터를 통해 시스템에 접근했습니다. 그 다음 과정이 비밀번호 입력이었는데, 외환카드 비밀번호가 네이트 비밀번호와 다르기 때문에 비밀번호 오류가 생겼고 시스템에 따라 상담원이 해커에서 구 씨 개인정보 몇 가지를 본인 확인을 위해 물었습니다.

바로 카드 결제은행, 결제일자, 휴대전화 뒷자리, 이렇게 세 가지 였습니다. 모두  네이트 해킹을 통해 구씨 정보를 확보한 해커라면 답변할 수 있는 내용이었고, 구 씨 이름의 카드는 성공적으로 추가 발급 신청이 됐습니다.

구 씨는 해커들이 대담하게 카드를 받기 위해 주소를 변경하고 휴대전화를 변경하면서 그 사실이 문자로 전달됐고, 즉시 항의 전화를 해 카드가 사용되진 않았지만 만약 카드사에 남긴 휴대전화 번호를 업데이트 하지 않았거나 휴대전화를 꼼꼼히 볼 수 없는 해외 출장 중이었다면 무슨 일이 일어났을지 모르는 상황이었습니다.

더욱이 해커들은 외환카드 뿐 아니라 구 씨가 갖고 있는 나머지 2장의 카드회사에도 역시 똑같은 방식으로 같은 날 ARS를 통한 카드 추가발급을 신청했습니다. 다만 이 두 회사에서는 본인 확인 과정에서 네이트 개인 정보에는 없는 '주민등록증상의 발급일자' 같은 정보를 요구하면서 추가 신청 단계에서 중단이 된 것으로 확인됐습니다.

해커들의 이런 공격이 구 씨에게만 그치진 않았을 것으로 추정됐습니다. 그래서 대형 카드사들에게 해커들이 했던 것처럼 ARS 시스템을 통한 카드 추가발급 또는 재발급을 하려다가 비밀번호 오류로 본인 확인을 하면서 실패했던 건수를 요청했습니다. 이미 발급이 됐을 가능성도 있지만 그건 통계로 확인할 수 없으니 거절 건수를 통해 대략이라도 추이를 확인하고 싶었습니다.

카드사들은 며칠 동안 알아보더니 그런 식으로는 전산 통계를 분류하지 않기 때문에 전수 조사를 해야하는데 시간이 걸린다고 했고 마침내 대형사 2곳으로부터만 겨우 답을 받을 수 있었습니다.

A 카드사는 이달 1일부터 20일까지에서만 구 씨 해커 같은 시도로 볼 수 있는 추가발급 또는 재발급 건수가 5백 건이 넘어 평소보다 3배나 증가했다고 답했습니다.(하지만 나중에 금감원이 다시 통계를 요구하자 20건이라고 자료를 보냈는데 왜 이리 차이가 나느냐에 대해선 금감원에는 구 씨 해커처럼 아예 신청단계에서 걸러진 것이 아니라  '신청대기' 상태까지 올라가서 걸러졌던 숫자라고 설명했습니다.) 

대부분의 카드사들은 신규 발급이나 공인인증서가 있어야 하는 인터넷 발급과는 달리 기존 회원들이 ARS 시스템을 통해 기능이 추가된 다른 카드를 추가 발급 받거나 재발급하려고 하면 상대적으로 좀 수월하게 할 수 있도록 하고 있습니다. 해커는 이 점을 기가막히게 알고 공격을 했던 것입니다. 그만큼 카드 추가 발급시스템에 구멍이 있다는 뜻이기도 합니다.

보도 이후 곳곳에서 전화 문의가 왔습니다. 금융감독원을 비롯한 다른 기관들 역시 취재 내용과 기사를 모두 듣고선 "네이트 해킹에 따른 2차 피해 개연성이 높다"며 서둘러 대책 마련에 들어갔습니다. 카드가 해커에게 전달돼 금전적 피해가 생긴 것은 아니지만 카드가 발급돼 발송대기 단계까지 간 것만도 금융시스템상 허점이 있다는 중요한 문제이기 때문입니다.

금감원은 우선 모든 카드사에 대해 ARS 시스템을 통한 카드 발급시 개인정보 요구 수준을 높이고 특히 포털 개인정보로는 알 수 없고 카드사만 알 수 있는 내용을 묻도록 조치했습니다. 카드 발급 시스템 절차를 다시 한 번 점검하라는 지도까지 했습니다. 개인들에게는 유출된 ID와 비밀번호를 변경해 줄 것을 촉구했습니다.

경찰은 해커에 대한 수사에 착수했고 이름을 밝힐 수 없는 다른 기관들도 광범위한 실태파악에 들어갔습니다. 외환카드는 ARS 시스템을 통한 추가발급을 일단 중단했습니다. 네이트는 처음에는 "네이트 해킹이란 직접적인 증거는 없지 않느냐"고 했다가 나중에는 "네이트 해킹으로 볼 수 있는 개연성이 높다는 것을 인정하겠다"고 했습니다. 물론 최종 결과는 수사기관이 해커를 잡아야 한다는 전제를 달기는 했지만 자신들에게도 혹시 점검할 부분이 없는지 살펴보겠다고 밝혔습니다.

이번 취재를 하면서 느낀 점은 해커들은 우리 금융사들의 허점이 어디인지 개인정보를 가지고 어떻게 돈을 벌 수 있는지에 대해 상당한 수준으로 파악을 하고 있다는 것이었습니다. 우리가 미리 "그럴 리 없다"고 단정하면서 안심하고 있는 모든 부분에 대해 개인이고 기업이고 다시 한 번 경각심을 갖고 살펴봐야 한다는 점을 더욱 깨닫게 해 준 취재였습니다. 참고로 저도 그동안 잘 안 바꿨던 비밀번호를 이번 일 이후 열심히 바꿨습니다.