미래부·방통위 "개인정보 취급자 PC의 제어권까지 탈취"
31일 미래창조과학부와 방송통신위원회가 발표한 ‘민·관 합동조사단’의 조사결과에 따르면 이번 사태에는 특정인이나 기관의 약점을 노린 ‘스피어피싱(작살형 피싱)’ 수법이 사용됐다. 스피어피싱은 해킹 대상을 사전 조사한 뒤 지인을 사칭하는 메일을 보내 악성 코드가 담긴 파일을 열게 하는 사례가 대표적이다.
미래부와 방통위에 따르면 이번 사건으로 인터파크 일반회원의 아이디와 암호화된 비밀번호, 전화번호와 주소 등이 유출된 사례는 1094만여 건에 달한다. 휴면 회원의 아이디와 암호화된 비밀번호 유출도 1152만여 건인 것으로 전해졌다.
앞서 경찰청 사이버안전국과 정부 합동조사팀도 지난 7월 말 수사결과 발표 당시 해커가 인터파크의 특정 직원에 대한 정보를 수집하고 이 직원의 동생을 사칭한 악성 코드 메일을 보내 PC를 감염시켜 회사 내부망에 침입했다고 밝혔다.
이 같은 방식으로 해당 직원의 PC에 뿌리내린 악성코드는 인터파크 사내의 다수 전산 단말기에 확산돼 내부 정보를 빼돌렸다. 미래부와 방통위는 이 해커가 고객 개인정보의 저장고인 데이터베이스(DB) 서버를 관리하는 '개인정보 취급자 PC'의 제어권까지 탈취해 서버 내의 개인정보를 유출했다고 설명했다.
한편 경찰은 지난 달 수사결과 발표 당시 이번 사건을 북한의 소행으로 지목한 바 있다. 당시 경찰청 사이버안전국과 정보합동조사팀은 해킹에 사용된 인터넷 프로토콜(IP) 주소를 비롯해 확인된 사실을 종합한 결과, 북한 정찰총국 소속 해커들의 소행으로 의심된다고 밝혔다.