CU편의점 택배 서비스를 운영하는 BGF네트웍스가 해킹으로 인한 고객 개인정보 유출 사고가 발생했다고 공식 발표했다. 경찰청 국가수사본부가 내사에 착수했으며, 개인정보보호위원회와 한국인터넷진흥원(KISA)도 조사 중이다.
BGF네트웍스는 지난 4일 오후 3시 30분경 신원 미상의 해커가 시스템에 비인가 방식으로 접근해 온라인 회원 고객의 개인정보가 유출된 정황을 확인했다고 5일 홈페이지 공지를 통해 밝혔다. 침입 경위는 웹 애플리케이션 취약점을 악용한 외부 공격으로 파악됐다. BGF네트웍스는 "고객님의 소중한 정보를 안전하게 보호하지 못한 점에 대해 무거운 책임을 통감하며, 머리 숙여 깊이 사과드린다"고 밝혔다.
유출된 개인정보는 온라인 회원 고객 정보에 한정된다. 아이디, 비밀번호(단방향 암호화 처리), 이름, 생년월일, 성별, CI(연계정보), 주소, 이메일, 핸드폰번호가 유출 항목에 포함됐다. 택배 발송 과정에서 입력한 수하인 등 제3자 정보는 포함되지 않았다고 회사 측은 설명했다. 정확한 피해 규모는 현재 조사 중으로 공개되지 않은 상태다.
특히 CI(연계정보) 유출이 주목된다. CI는 온라인 본인확인 과정에서 생성되는 고유 식별정보로, 여러 서비스에서 동일인을 식별하는 데 활용된다. 보안 전문가들은 비밀번호와 CI가 함께 유출된 만큼 타 서비스 계정 탈취(크리덴셜 스터핑) 등 2차 피해 우려가 크다고 지적한다.
경찰청 국가수사본부 내사 착수…"피혐의자 신속 검거 방침"
경찰청에 따르면 국가수사본부 사이버테러대응과는 지난 6일 이 사건에 대해 입건 전 조사(내사)에 착수했다. 경찰청 국가수사본부는 "사건의 전반적인 사실관계를 종합적으로 규명하고 신속하게 피혐의자를 검거하기 위해 지난 6일 입건 전 조사에 착수했다"고 밝혔다. 경찰은 정보 유출 과정과 피해 범위를 규명하고, 피혐의자 특정 및 추적에 필요한 절차를 신속히 진행할 방침이다.
BGF네트웍스는 사고 인지 직후 개인정보보호위원회와 KISA에 침해 사실을 신고했으며, 현재 두 기관을 통해 유출 규모와 경위에 대한 정식 조사를 받고 있다. 회사는 외부 보안 전문기관과도 협력해 정밀 포렌식 및 추가 피해 여부를 확인 중이라고 밝혔다. 구체적인 사고 경위와 유출 범위 등 추가 조사 결과는 다음 주 중 발표될 예정이다.
또 사고 인지 직후 공격 IP 접속을 차단하고 침해사고 대응팀을 즉각 가동해 24시간 실시간 모니터링을 진행 중이다. 보안 정책 전반에 대한 재정비도 병행하고 있다는 입장이다.
회사는 이용자들에게 유출된 연락처 정보를 악용한 스팸 문자, 보이스피싱, 스미싱 등에 주의하고 출처가 불분명한 URL 링크는 클릭하지 말 것을 당부했다. 동일한 비밀번호를 다른 서비스에서 사용 중인 경우 즉시 변경을 권고했다.
피해 관련 상담은 전화, 이메일로 접수 가능하다. 개인정보침해 신고는 개인정보침해 신고센터, 손해배상 관련 분쟁 조정은 개인정보 분쟁조정위원회를 통해 신청할 수 있다.
한편 최근 국내 주요 플랫폼에서 개인정보 유출 사고가 잇따르고 있다. 앞서 티빙에서도 지난 2일 외부 비인가 접근에 의한 개인정보 유출 정황이 확인돼 3일 개인정보보호위원회에 신고가 접수된 바 있다. 생활 밀착형 서비스까지 보안 피해가 확산되면서 B2C 플랫폼에 대한 선제적 보안 투자의 필요성이 커지고 있다.
