정부24 해킹…어린이포털 취약 페이지 통해 공격, 메모리 덤프파일 유출

정부의 대표 온라인 민원서비스인 정부24가 지난 8월 외부 공격을 받아 서버 메모리 정보와 일부 개인정보가 유출된 것으로 나타났다. 사고 발생 이후 한 달 이상 지났지만 정확한 개인정보 유출 규모와 전체 침해 범위는 아직 조사 중이다.

29일 국회 행정안전위원회 정춘생 의원이 행정안전부에서 제출받은 자료와 관련 보도를 종합하면, 공격은 지난 8월 17일 오후 5시29분께 정부24 내 '어린이포털'의 취약한 페이지를 통해 발생했다.

이 과정에서 정부24 서버에 있던 메모리 덤프파일 11개 등 일부 자료가 외부로 유출된 것으로 확인됐다. 메모리 덤프파일은 시스템이 특정 시점에 메모리에서 처리하고 있던 데이터를 저장한 파일이다. 서비스 구조와 실행 중이던 프로그램에 따라 계정정보나 개인정보 등이 포함될 가능성이 있다.

행안부 초기 추정 주민번호 36개·계정정보 55개

행안부가 사고 다음 날인 8월 18일 개인정보보호위원회에 제출한 개인정보 유출 신고서에서는 현재까지 확인된 유출 추정 정보로 주민등록번호 36개, 전화번호 3개, 정부24 아이디·비밀번호 55개가 기재된 것으로 전해졌다.

다만 이 수치는 초기 조사 단계에서 확인된 추정치다. 실제 개인정보가 몇 명에게 해당하는지, 추가 정보가 함께 유출됐는지 등 최종 피해 규모는 아직 확정되지 않았다.

따라서 현재 공개된 내용만으로 정부24 전체 회원이나 이용자의 개인정보가 광범위하게 유출됐다고 판단하기는 어렵다. 향후 메모리 덤프파일에 포함된 데이터 분석과 공격자의 접근 범위 확인 결과가 나와야 피해 규모를 보다 정확하게 판단할 수 있을 것으로 보인다.

이번 사고에서 기술적으로 확인할 필요가 있는 부분은 공격자가 취약한 웹페이지를 통해 어느 수준까지 시스템에 접근했는지다.

메모리 덤프파일을 외부로 반출하려면 해당 파일을 생성하거나 접근할 수 있는 권한이 필요할 수 있다. 공격자가 단순히 특정 파일에 접근한 것인지, 서버에서 명령을 실행할 수 있는 권한까지 확보했는지는 현재 공개된 자료만으로 확인되지 않는다.

이에 따라 향후 조사에서는 공격에 사용된 취약점의 구체적인 유형과 공격자가 확보한 서버 권한, 추가 서버 접근 여부 등이 핵심 확인 대상이 될 것으로 보인다.

특히 웹셸 설치나 신규 계정 생성 등 시스템에 다시 접근하기 위한 흔적이 있었는지, 정부24 내부 다른 시스템으로 접근을 확대했는지도 확인할 필요가 있다. 다만 현재까지 공개된 자료에서는 이러한 추가 침해 여부가 확인됐다는 내용은 나오지 않았다.

2024년 정부24 개인정보 유출과는 다른 유형

이번 사고는 2024년 정부24에서 발생했던 민원서류 오발급 사고와 발생 원인이 다르다.

지난해 정부24에서는 성적·졸업증명서와 법인용 납세증명서를 발급하는 과정에서 신청인이 아닌 다른 사람의 서류가 발급되는 오류가 발생했다. 당시 행안부는 성적·졸업 관련 증명서 646건과 법인용 납세증명서 587건이 잘못 발급됐다고 밝힌 바 있다. 원인은 프로그램 개발 과정에서 발생한 오류로 조사됐다.

반면 이번 사고는 외부 공격자가 정부24 어린이포털의 취약점을 이용해 시스템에 접근하고 데이터를 외부로 반출한 정황이 확인됐다는 점에서 사이버 침해사고 성격이 뚜렷하다.

정부24는 각종 민원 신청과 증명서 발급, 생활·행정 서비스를 제공하는 정부 대표 전자정부 플랫폼이다. 이에 따라 사고의 정확한 원인과 피해 범위를 확인하는 것과 함께 동일한 취약점이 다른 서비스에 존재하는지 점검하는 작업도 필요하다.

현재 단계에서 중요한 것은 유출 가능성이 있는 개인정보를 확정하고 해당 이용자에게 필요한 조치를 안내하는 한편, 공격자가 실제 어느 범위까지 접근했는지를 확인하는 것이다.

사고 원인과 최종 개인정보 유출 규모, 공격에 이용된 취약점과 침해 범위 등은 행안부와 관계기관의 추가 조사 결과를 지켜봐야 한다.