다크웹에서 확인된 한국인 개인정보가 300만건이 넘는 것으로 드러났다. 단일 기업에서 수십만 건의 개인정보가 유출된 것은 물론 지방자치단체를 비롯해 범죄피해자지원센터 등이 보유하고 있는 정보도 무차별적으로 떠다니고 있는 것으로 나타났다. 다크웹을 통한 개인정보 유통이 만연, 크리덴셜스터핑과 보이스피싱 등 2차 피해가 우려된다. 크리덴셜스터핑은 다크웹 등에서 얻은 사용자 정보로 포털, 쇼핑몰 등에 자동화 툴을 활용해서 로그인을 시도해 계정을 탈취하는 공격을 말한다.

위협정보 분석 기업 S2W랩은 최근 1년 동안 다크웹 4000만 페이지를 분석한 결과 국내 개인정보가 300만건 이상 유출된 것을 확인했다. 이미지메이킹강사, 병원코디네이터 등 취업전문교육그룹 회원 84만5000건, 자격증 시험 관련 교육 홈페이지에서 36만8000건의 이메일 계정과 비밀번호가 모두 노출됐다.

유출된 개인정보는 영역을 가리지 않았다. 국내 A자동차협동조합(713건), B간호학회(2만9692건), C범죄피해자지원센터(837건), D건강복지센터(1652), E상담개발원(2692), F노인복지관(4만6136) 등에서 수백 건에서 많게는 수십만 건까지 유출됐다. 서상덕 에스투더블유랩 대표는 17일 “다크웹에서 확인된 국내 사용자 개인정보는 파악된 규모만 300만건 이상으로 실제 유출 규모는 더 클 것”이라면서 “교육 관련 서비스 기업과 협회, 기관 등이 표적이었다”고 말했다.

▲다크웹 페이지 사례

다크웹은 토르 등 특수한 웹브라우저를 사용해 접근하는 웹이다. 익명성 보장뿐만 아니라 IP주소 추적이 불가능해 해킹으로 얻은 개인정보, 살인 청부, 경쟁사 영업비밀 등 불법 정보가 거래된다. 특히 개인정보 유출 사고의 경우 실제 온라인에서 사고가 알려지기 전에 다크웹에서 거래, 위협을 예고하기도 한다.

다크웹에서 유통되는 개인정보는 구글, 네이버 등 포털에서 검색 가능한 형태와 다르다. 다크웹에서는 일부 특정 장터에서 개인정보를 거래하거나 해커가 유포한다. 엑셀, 텍스트, 이미지 파일 형태로 정리돼 거래가 이뤄진다. 유통된 개인정보는 기업은 물론 개인에게 2차 피해를 준다. 실제 국내에서 발생한 홈플러스 개인 포인트 절취 사건은 이미 수집한 개인정보를 포털, 쇼핑몰 등에 무작위로 대입해서 로그인을 시도하는 크리덴셜스터핑 공격으로 밝혀졌다. 공격자는 이들 개인정보를 다크웹 등에서 수집한 것으로 알려졌다.

보이스피싱도 마찬가지다. 이미 보유한 개인정보를 바탕으로 범죄를 저지른다. 최근 보이스피싱 범죄자는 단순 전화번호를 확보해 무작위 공격을 하는 것을 넘어 개인 인적 사항 등을 확보, 상대를 더 교묘하게 속인다. 아이 납치 보이스 피싱 등이 이런 종류다.

신승원 KAIST 교수는 “다크웹에 있는 정보를 삭제할 수 없지만 유출 사실을 빨리 파악할 경우 피해 규모 최소화, 사고 대응 등에 나설 수 있다”면서 “해외에서 이미 실시하고 있는 것처럼 다크웹에 대한 모니터링 등을 강화하는 것이 필요하다”고 조언했다.