네이트 정보유출 소식. 허와 실

네이트 정보 유출로 많은 분들이 혼란을 겪고 있습니다. 그런데 이러한 이슈를 이용하여 이득을 챙기려는 신문사가 있습니다. 왜곡된 정보로 인해 불안감을 조성시켜 자신의 회사 구독률을 높이기 위한 수법이라고 볼 수 있는데, 이슈화된 문제가 발생하면 흔히 발생하는 문제다 보니 이제는 무감각 해진 것 같습니다. 

유출 피해자 수는 3천 500만명

네이트 측에서 밝힌 피해상황으로는 대략 3천 500만건이라 표현한 것은 맞습니다. 하지만, 전문적으로 보안을 다루는 보안뉴스 측에서는 "3천 500만명 중 일부" 라고 표현하고 있고(http://www.boannews.com/media/view.asp?page=1&idx=27124&search=&find=&kind=1), 실제 피해는 3천 500만건에 훨씬 밑 돌거나 이상이 될 수 있으며, 네이트 측에서도 3천 500만명은 대략 추산이라고만 표현했을 뿐 확신할 수 없음(http://www.boannews.com/media/view.asp?page=1&idx=27127&search=&find=&kind=1) 을 분명히 밝히고 있습니다. 실제로 차이가 굉장히 많이 날수 있기 때문에 3천 500만건이라 단정지을 수는 없습니다. 

불안감에 휩쌓인 많은 네티즌분들께서는 도용을 당하였는지 확인할 방법이 없는지 자체적으로 궁리를 하여 일부에서는 나름 합리적인 이유를 들어 도용확인이 가능하다고 주장하고 있습니다. 불안감에 어딘가에 의존하는 것이 사람이지만 분명히 알아두셔야 할 것은 실제로 검증되지 않은 방법의 민간요법(?) 치료방법을 이용하시면 문제가 발생할 수 있습니다.

네이트 로그인 기록을 통해 도용 확인가능
 

이번 크래킹은 일일히 크래커가 네이트 아이디를 접속하여 정보를 유출하는 방식이 아닌 네이트 서버 자체로 인한 유출이기 때문에, 로그인 기록상으로 수상한 아이피가 절대로 찍히지 않습니다. 이 부분은 네이트측에서 인정을 하고, 허위소문임을 분명히 밝혔습니다. (http://www.mt.co.kr/view/mtview.php?type=1&no=2011072815312664153&outlink=1)
이 글을 포스팅하는 시각 현재 아직까지는 해킹 확인 방법이 없습니다.  조만간 확인할 수 있도록 한다고 하니 기다려야 하겠죠.

 

아직까지 우리나라 보안수준이 이 정도 인 것인가. 생각해볼 필요가 있습니다. 무조껀 기업만 탓하는 우리나라의 네티즌들은 정말로 본질을 모르는 것이 아닐까요?

네이트 회사의 일방적인 책임
 

무작정 네이트 회사의 보안탓으로 돌리기에는 보안적인 관점에서 오류가 있습니다. 과거 농협과 같이 피해사실에 대해 숨기고 있다 추후에 밝혀진 사건인 경우와 네이트 회사에서 자체적으로 피해사실을 통보한 사건은 분명 다른 관점에서 보아야 합니다. 

정보유출을 제대로 확인하지 못하고 보호하지 못한 것은 엄연히 네이트 측 회사잘못이지만, 어두운 면만을 보고 무작정 네이트를 욕하는 상황을 만들기 보다는 해킹사실에 대해서 빠르게 공개하여 대처한 부분에 대해서는 칭찬을 해줄 부분입니다. 이것이 피해입고 난 후에 회사에서 대처해야 할 올바른 행동이기 때문입니다. 

네이트에서 지나치게 허술하게 한 것도 아니고, 보안수칙을 준수하며 사이트를 운영하였기 때문에, 이 문제는 중국의 크래킹 행위를 방치한 국가 책임도 있는 것입니다. 중국에서 끊임없이 신종 악성코드가 나오고 있는데 반해 국가차원에서의 대처는 미비하였지요. 

나의 정보다 보니 유출에 대해서 걱정하는 것은 당연한 일일 것입니다. 하지만, 나의 모든 정보가 유출되었다고 생각하기에는 무리가 있습니다. 

나의 개인정보가 모두 유출되어 도용될 것이다

네이트측에 따르면 주민등록번호와 비밀번호는 암호화 처리를 하였다고 밝혔습니다. 어쩌면 유출된 정보중에서 가장 민감한 부분일 수 있는데, 이 부분을 암호화 처리를 한 것입니다. 암호화가 100% 안전하다고 확신할 수 없습니다. 모든 암호화에는 무작위 대입법(Brute Force)이라는 취약점이 존재하는 것이 사실이고, 암호화의 구성이 모두 분석되어 복호화가 가능할 수도 있습니다. 

하지만, OTP 와 같이 정말로 회사의 기밀이 유출되지 않는 이상 암호화의 구성을 알기 힘든 암호화 방식도 엄연히 존재하고, 암호화 기법중에서 아직 해법이 밝혀지지 않은 방식도 굉장히 많습니다. (물론 비공식적으로는 밝혀졌을 수도 있지만..)

따라서 정보가 유출되었다고 해서 암호화된 정보까지 무턱대고 무조껀 위험하다라고 생각하셔서는 안됩니다. 암호화 이유 중 하나가 바로 정보가 유출되더라도 방어하기 위한 목적입니다. 

개인정보가 모두 유출되었다는 불안감을 조성하는 멘트에 더이상 휘둘리지 않으셨으면 합니다.  

우선 유출된 정보를 통해서 악용할 가능성이 있는 부분을 차단하는 것이 중요하다 생각합니다. 전화번호는 스팸과 보이스피싱, 이메일은 스팸과 도용, 주소는 도용과 신상파악 등 여러가지 상황을 예측해볼 수 있습니다. 

포털사이트 마다 계정정보를 변경해주시는 것도 좋은 방법이고, OTP 를 설정하시고 주변 지인들에게 악용 가능성을 알려 메신저 피싱이나 도용피해에 대해 대처할 것을 알려주시는 것도 필요합니다.