데이팅 앱 ‘위피’ 로고. 사진=엔라이즈 갈무리

데이팅 앱 ‘위피’에서 본인인증 허점을 노린 로그인 시도로 이용자 736명의 프로필 정보가 유출됐다. 공격자는 휴대전화번호 1만6803개로 로그인을 시도한 것으로 전해졌다.

◆ 전화번호만 바꿔 닷새간 1만6803번

앞선 1일 개인정보보호위원회에 따르면 공격은 2023년 3월23일부터 27일까지 이어졌다. 유출된 정보는 △닉네임 △성별 △프로필 사진 △생년월일 △성격 △학력 △직업 △키 △혈액형 등이다.

개인정보위는 운영사 엔라이즈가 앱의 본인인증 취약점을 제대로 점검·조치하지 않았고, 동일 인터넷주소(IP)에서 과도한 접속이 발생해도 차단하지 않았다고 판단해 개인정보 보호법상 안전성 확보조치 의무 위반으로 과징금 1억1844만원과 과태료 360만원을 부과했다.

이번 유출 규모는 736명이지만 정보의 결은 일반적인 아이디·연락처 유출과 다르다. 얼굴이 담긴 프로필 사진에 나이와 신체 조건, 학력과 직업, 성격 정보가 한 계정 안에서 묶여 있었다.

◆ ‘안전’ 보강했지만 한번 샌 프로필은 돌아오지 않는다

엔라이즈는 “문제가 된 본인인증 시스템을 사고 직후 폐기하고 PASS 인증 방식으로 전환했다”고 밝혔다. 비정상적인 접근을 탐지·차단하는 보안 정책도 보완해 재발 방지 조치를 마쳤다는 입장이다.

현재 위피 공식 홈페이지에는 PASS 신분증 검증과 셀카 인증, 24시간 실시간 모니터링, 인공지능(AI) 기반 이상 행동 감지 시스템이 안전장치로 안내 돼 있다.

앱 정보에는 위치·마이크·사진과 동영상·연락처·카메라 등이 선택 접근 권한으로 표시돼 있다.

인증 수단을 바꿨다고 이미 유출된 정보가 회수되는 것은 아니다. 사진이나 직업처럼 쉽게 바꾸기 어려운 정보는 다른 정보와 결합될 때 개인을 다시 알아보는 단서가 될 수 있다.

◆ 전화번호와 사진이 다른 앱까지 이어 붙인다

올해 국제 보안 학술대회인 NDSS 심포지엄에 발표된 연구도 전화번호와 프로필 사진의 결합 위험을 짚었다.

연구진은 한국에서 많이 쓰이는 메시징 앱과 틴더를 분석해 연락처 검색, 소셜 로그인, 주변 사용자 검색 기능이 서로 다른 플랫폼의 개인정보를 연결하는 열쇠로 악용될 수 있음을 실험으로 보였다.

연구진은 전화번호로 이름과 프로필 사진을 찾거나, 프로필 사진을 단서로 틴더 이용자의 대략적인 위치를 추론하는 공격 가능성을 제시했다.

특정 앱 한 곳의 문제가 아니라 여러 앱에서 반복해 쓰는 정보가 연결될 때 위험이 커질 수 있다는 뜻이다.

전화번호와 프로필 사진처럼 여러 서비스에 반복해서 쓰는 정보는 유출 건수가 적어도 다른 계정과 연결될 위험을 키운다. 데이팅 앱처럼 프로필이 구체적일수록 ‘몇 명이 유출됐는가’만으로 피해 가능성을 가늠하기 어려운 이유다.

◆ 탈퇴 버튼만 누르지 말고 보유기간 봐야

한편 가입 전에는 개인정보 처리방침에서 필수·선택 수집 항목과 이용 목적, 보유기간, 제3자 제공 여부를 먼저 확인하는 편이 좋다.

앱이 작동하는 데 꼭 필요한 정보인지, 선택 항목을 거부해도 기본 서비스를 쓸 수 있는지도 살펴야 한다.

개인정보 보호법에 따라 정보주체는 자신의 개인정보에 대해 열람·정정·삭제·처리정지를 요구할 수 있다. 다만 다른 법령이 보관을 의무화한 정보처럼 삭제 요구가 제한되는 경우도 있다.

앱을 지우는 것과 회원 탈퇴, 회사가 보관한 정보의 삭제는 같은 절차가 아닐 수 있어 처리방침의 권리 행사 방법 등을 확인해야 한다.

유출 통지를 받았거나 사업자의 조치가 충분하지 않다고 판단되면 개인정보침해신고센터 118에 상담할 수 있다.

손해배상이나 분쟁 조정이 필요하면 개인정보분쟁조정위원회를 이용할 수 있다.

이동준 기자 [e-mail]