인터넷 실명인증 '한번'으로 아이디 '수만 개' 가능
가짜 아이디로 접속해 판매량 조작…일반인도 누구나 OK
노컷뉴스  [ 2008-07-03 16:33:04 ]

CBS사회부 강현석 기자

인터넷 사이트의 실명인증과정을 건너뛰게 하는 프로그램을 개발해 수만 개의 가짜 아이디를 개설한 보안회사 직원이 경찰에 붙잡혔다.

일반인들도 이 직원이 사용한 수법과 유사한 방식으로 가짜 아이디를 만들 수 있는 것으로 드러나 충격을 주고 있다.

인터넷 쇼핑몰에서 청바지를 팔아온 보안회사 직원 박 모(30)씨.

박 씨는 자신이 이용하는 S쇼핑몰에 보안 취약점이 있다는 사실을 알고는 이를 상품 판매에 이용하기로 결심했다.

상품 거래가 많은 판매자는 사이트 상단에 노출돼 판매량 증가로 이어지기 때문에 가짜 아이디를 생성해 허위 거래기록을 만든 것.

이를 위해 박 씨는 S쇼핑몰의 실명인증과정을 무사 통과하게 하는 프로그램을 개발했다.

대부분의 인터넷 쇼핑몰은 회원 가입 시 실명인증 단계를 거치도록 설정하고 있다.

이는 S쇼핑몰도 마찬가지.

하지만 S쇼핑몰은 실명인증 단계에서 실명인증을 해주는 신용평가사가 보내주는 결과물을 사용자의 PC까지 노출시키는 보안 취약점을 갖고 있었다.

박 씨가 이용한 것은 바로 이 같은 취약점. 먼저 박 씨는 실제 존재하는 주민번호와 이름으로 회원 가입을 한 뒤 자신의 PC까지 전송되는 소스 값을 따로 저장했다.

이어서 박 씨는 정상적인 소스 값에서 이름과 주민번호만 계속해서 바꿔주는 프로그램을 개발했다.

애초에 실명인증을 통과한 소스 값이기 때문에 박 씨가 가짜 이름과 주민번호를 쳐도 S쇼핑몰 서버는 실명인증을 통과한 것으로 간주하고 다음 단계를 진행시켰다.

이 같은 수법으로 박 씨는 수만 개에 달하는 가짜 아이디를 생성할 수 있었고 이를 청바지 판매량 조작에 이용한 것이다.

서울 양천경찰서는 이렇게 가짜 아이디를 개설해 판매량을 조작한 혐의로 박 씨에 대해 구속영장을 신청할 예정이다.

더욱 놀라운 사실은 박 씨가 사용한 방식은 컴퓨터를 잘 모르는 일반인이라도 얼마든지 사용이 가능하다는 점이다.

박 씨가 개발한 프로그램은 이름과 주민번호, 생성할 아이디를 자동으로 바꿔주는 역할에 불과하기 때문이다.

즉 일반인들도 박 씨가 저장한 소스 값에 일일이 수작업을 통해 가짜 주민번호와 이름만 쳐 넣으면 얼마든지 허위 아이디를 개설할 수 있는 셈이다.

단지 박 씨는 자동 프로그램으로 짧은 시간 안에 더 많은 가짜 아이디를 만들 수 있었을 뿐, 결과적으로 일반인이나 박 씨나 가짜 아이디를 개설 할 수 있다는 점은 동일하다.

이와 관련해 양천경찰서 관계자는 "3일 아침 자체적으로 확인한 결과 관공서나 언론사 사이트 등에서도 같은 문제점을 발견할 수 있었다"고 밝혔다.

특히 S쇼핑몰 등은 허술한 보안시스템을 구축했다 피해를 입은 셈이어서 S쇼핑몰의 책임론도 불거질 전망이다.

즉, 사용자의 클라이언트 PC에 나타나선 안 되는 내용이 그대로 노출됐으며 그마저도 암호화되지 않은 평문으로 노출됐기 때문이다.

현행 '정보통신망이용촉진및정보보호등에관한법률' 에서는 개인정보 유출을 막기 위해 사이트 운영자가 기술적 조치를 취하도록 하고 있으며 이를 어길 경우, 1천만 원 이하의 과태료를 물도록 규정하고 있다.

양천경찰서 관계자는 이에 대해 "일단 S사이트 등은 피해를 입은 피해자이기 때문에 법 위반과 관련해서는 추후에 수사할 계획"이라고 밝혔다.

wicked@cbs.co.kr