T-모바일 해킹 당했다...직원 개인정보 공개돼

SQL 인젝션 취약점 이용한 공격... 허술한 보안관리 드러나

해커, 미국의 애국법 지지 회사 및 단체 추가 해킹 예고

[보안뉴스 호애진] 독일의 무선 서비스 제공 회사로, 유럽과 북미에서 이동통신 서비스를 제공하고 있는 T-모바일(T- Mobile) 미국 웹사이트가 해킹당했다.

해커비스트 집단인 ‘TeaMp0isoN’은 T-모바일 웹사이트를 해킹해 직원들의 개인정보를 탈취, 이를 파스테빈(Pastebin) 사이트에 공개했다. 공개된 개인정보는 이름과 이메일 주소, 전화번호 및 패스워드다.

‘TeaMp0isoN’은 t-mobile.com과 newsroom.t-mobile.com에서 SQL 인젝션 취약점을 발견하고, 이를 이용해 공격을 감행한 것으로 알려졌다.

이들은 미국 소프트미디어(Softmedia)와의 인터뷰를 통해 “우리가 T-모바일을 해킹한 이유는 이 회사가 미국의 애국법(Patriot Act)을 지지하고 있기 때문”이라면서 “어느 모바일 회사이건 이 법을 지지한다면 해킹을 하겠다”고 경고했다.

미국의 애국법은 국가안보를 위해서 통화 감청뿐만 아니라 금융거래 등과 같은 개인 정보에 접근할 수 있도록 했기 때문에 인권 침해 우려가 있다는 비판이 지속적으로 제기돼 왔다.

아울러 이 회사가 부패한 기업이며 보안 관리를 매우 소홀히 하고 있다고 주장했다. 실제로 이번 해킹을 통해 관리자가 직원들의 비밀번호를 일괄적으로 관리한 사실이 드러나기도 했다.

문제는 T-모바일과 같은 큰 규모의 기업이 기본적인 해킹 수법의 하나인 SQL 인젝션 공격에 당했다는 것이다. SQL 인젝션은 웹사이트에서 정상적인 인증과정을 거치지 않고 우회해서 홈페이지를 변경하거나 DB에 무단접근하는 공격 수법이다.

한편, T-모바일은 해킹 당한 사실을 인정하고 다만 이번 사고로 인해 고객에게 미치는 영향은 없을 것이라고 전했다.

[호애진 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)