그들은 왜 코레일 비밀번호를 노렸을까? [탈탈털털]

4개의 숫자로 된 비밀번호를 설정해야 한다고 가정해보죠. 어떤 숫자가 떠오르시나요. 저는 휴대폰 번호 뒷자리, 생일 혹은 자주 쓰는 4개의 숫자 몇 개가 언뜻 생각이 납니다. 그런데 이 비밀번호들, 여기저기에 돌려쓰고 있진 않으신가요.

오늘 '탈탈털털'에서 이야기해 볼 사안은 4개의 숫자로 된 비밀번호입니다.

■ 코레일 사이트 속 '4자리 비밀번호', 타깃됐다

지난해 말, 한국철도공사의 승차권 예매 홈페이지 '레츠코레일'은 해외 IP에 의해 해킹 공격을 받은 것으로 추정됩니다.

범죄 조직이 표적으로 삼은 건 '현장 발권' 비밀번호입니다.

한국철도공사의 승차권 예매 홈페이지 '레츠코레일'에 처음 가입할 때는 비밀번호 두 가지를 설정합니다. 하나는 레츠코레일 사이트 홈페이지의 비밀번호로 영문자와 숫자, 특수문자가 결합 된 9자리입니다. 웹사이트 로그인 할 때 사용됩니다.

또 다른 하나는 '현장 발권' 비밀번호입니다. 자동발매기와 역 창구에서 사용되는데, 4개의 숫자로만 구성됩니다.

지난해 11월 이 현장 발권 비밀번호에 대한 무차별 대입 공격 정황이 확인됐습니다. 당시 레츠코레일 홈페이지에서 현장 발권 비밀번호를 바꾸려면, 기존 비밀번호를 입력해야만 바꿀 수 있었습니다.

범죄 조직은 이를 노렸습니다. 미리 입수한 개인 정보로 로그인한 뒤, 현장 발권 비밀번호 창에 아무 숫자나 무차별적으로 대입하는 방식으로 회원들의 기존 비밀번호 4자리를 알아낸 것으로 추정됩니다.

사실상 코레일 웹사이트가 승차권 예매 창구가 아니라 특정인의 4자리 비밀번호를 확인하는 '창구'가 된 셈입니다.
이렇게 범죄조직의 표적이 된 것으로 의심되는 코레일 회원 수는 784명에 달합니다.

■ 혹시 비밀번호 돌려쓰시나요?

범죄 조직이 이 '현장 발권 비밀번호'를 노린 이유는 무엇일까요.

4개의 숫자로 된 비밀번호는 코레일 외에도 일부 은행 계좌, 카드 비밀번호 등으로 다양하게 활용되고 있습니다. 우리나라에서 가장 널리 쓰이는 본인 인증 수단 중 하나가 바로 이 네 자리 비밀번호입니다.

이 네 자리 비밀번호를 설정하란 요청을 받을 때가 많은데 이때마다 매번 다른 비밀번호를 쓰는 경우는 드뭅니다. 기억하기 쉽게 한 개의 비밀번호를 여러 곳에 돌려쓰는 경우가 더 많습니다. 가령 코레일 현장 발권 비밀번호로 '1111'을 설정한 사람은 은행 계좌 비밀번호처럼 숫자 4개로 구성된 비밀번호를 요구하는 다른 곳에도 '1111'을 쓰곤 합니다.

보안 전문가들은 범죄 조직이 사람들의 이 같은 성향을 노려, 코레일을 통해 비밀번호를 입수한 뒤 다른 사이트 등에 활용해보고자 한 것으로 추정하고 있습니다.

보안 업체 로그프레소 장상근 소장은 "기본적으로 네 자리 비밀번호를 많은 곳에서 사용하고 있고, 그걸 이용해서 다른 곳에 대입해 볼 수 있지 않았나 싶다."라고 추정했습니다.

보안 업체 스텔스모어 최상명 이사도 "특히 금융 서비스들의 경우 숫자로 된 4자리나 6자리 비밀번호를 많이 사용한다."라며 "6자리라고 하더라도 기존 4자리에다 숫자 0을 추가하기 때문에 4자리 숫자를 알면 다양한 형태로 활용할 수 있지 않나 싶다."라고 설명했습니다.

그러면서 최 이사는 "범죄자 입장에서는 4자리 숫자를 알게 되면 피해자의 다양한 다른 서비스들에 접속해서 악의적인 행위를 추가로 할 수 있어서 노린 것 아닌가 생각이 든다."라고 추정했습니다.

■ 코레일 고객에게 문자 메시지로 고지…본인 인증 절차 추가"

코레일은 <KBS>에 "지난해 11월 말 경찰에서 정보통신기반보호법 위반 사건을 수사하던 중 승차권 예매 홈페이지 '레츠코레일'에서 취약점을 발견했다."라며 "이를 개선하기 위해 한국철도공사에 업무 협의를 요청했고, 코레일은 취약점을 인지한 후 대상자에게 즉시 문자를 발송해 안내하는 등 긴급조치를 시행했다"고 밝혔습니다.

또, 코레일은 "무차별 대입공격을 받은 것으로 의심되는 고객들을 대상으로 현장 발권 비밀번호를 일괄적으로 초기화했다."라며 "홈페이지 비밀번호를 변경할 때 본인인증 절차를 추가하고, 현장 발권 비밀번호 변경 할 때 기존 비밀번호를 먼저 입력하는 절차도 생략했다"고 설명했습니다.

이외에도 코레일은 지난 4월 개인정보 페이지에서 보이던 휴대폰 정보를 삭제하는 등 추가 조치도 시행했다고 덧붙였습니다.

온라인이나 휴대전화, PC 등에서 해킹이나 개인정보 탈취 피해를 입은 분들의 제보를 기다립니다. 연락처 [e-mail]