보안 인증받은 대구로도 뚫렸다

정산·신규 가맹점 가입 차질에 소상공인 불안
AI 활용 공격 가능성…개인정보 관리 실효성 도마

대구시 공공배달앱 '대구로'까지 해킹 공격에 노출되면서 사이버 보안 위협이 지역 소상공인의 경제활동에도 영향을 미치고 있다. 개인정보 유출에 그치지 않고 정산과 신규 가맹점 가입 등 플랫폼 운영에도 차질이 빚어졌다. 정부의 정보보호 관리체계(ISMS) 인증을 받은 서비스에서도 대규모 정보유출이 발생하면서 보안 관리의 실효성에 관심이 쏠린다.

5일 대구시와 운영사 인성데이타 등에 따르면 대구로는 이번 사고 이후 신규 가맹점 가입을 중단하고 보안 강화 작업을 진행하고 있다. 운영사는 가맹점 가입 시스템을 통한 외부 침입 가능성을 조사하는 한편 직원 계정 초기화와 내부 시스템 접속 경로 다변화 등의 조치를 취하고 있다. 정확한 침입 경로는 아직 확인되지 않았다.

지역 외식업계에서는 유출된 계좌정보가 범죄에 악용될 가능성을 우려하고 있다. 한 외식업계 관계자는 "계좌번호와 예금주 정보가 외부에 노출된 만큼 향후 금융사기 등 2차 피해로 이어질까 걱정된다"고 말했다. 현재까지 금전 피해는 확인되지 않았다.

이번 공격에 인공지능(AI)이 활용됐을 가능성도 제기됐다. 인성데이타는 짧은 시간에 대량의 정보 조회가 이뤄진 기록을 근거로 AI를 활용한 공격 가능성을 언급했다. 사람이 직접 수행하기 어려운 속도로 정보에 접근했다는 것이다. 다만 일반적인 자동화 프로그램을 이용했을 가능성도 있어 정확한 공격 방식은 확인되지 않았다.

플랫폼 업계에서도 사이버 공격에 대한 경계감이 높아지고 있다. 다른 공공배달앱 운영사 관계자는 "우리도 과거 서버 장애를 유발하려는 공격 시도가 있었지만 차단했고 개인정보 탈취 피해는 없었다"며 "최근 금융권과 대기업 등에서도 보안 문제가 잇따르면서 업계에서도 사이버 공격을 예의주시하고 있다"고 말했다.

이처럼 사이버 공격에 대한 우려가 커지는 가운데 정부 보안 인증을 받은 서비스에서도 정보유출이 발생했다는 점이 주목된다. 인성데이타는 ISMS 인증을 유지하고 있는 업체로, 한국인터넷진흥원 인증 현황에 따르면 인증 범위에 대구로 서비스가 포함돼 있다. ISMS는 기업의 정보보호 관리체계가 일정 기준을 충족하는지 심사하는 제도다.

이번 사고로 보안 인증 취득 여부와 별개로 실제 개인정보 보호와 접근통제가 적절하게 이뤄졌는지 점검할 필요성도 제기된다. 특히 과거 입점하거나 폐업한 가맹점의 계좌정보까지 유출되면서 보관 중인 개인정보의 관리 실태에도 관심이 쏠린다. 인성데이타 측은 전자상거래 관련 법령에 따라 과거 가맹점 정보를 보관해 왔다고 설명했다. 다만 법적 근거에 따라 정보를 보관했더라도 해당 정보에 대한 보호 조치가 적절했는지는 별도로 확인해야 할 부분이다.

대구로는 대구시가 지원하지만 플랫폼 소유와 운영, 개인정보 관리는 민간업체인 인성데이타가 담당한다. 대구시는 개인정보 보호와 비밀 유지 등에 관한 협약을 맺고 있으며, 개인정보 처리 책임은 운영사에 있다는 입장이다.

대구시 관계자는 "운영사에 사고 관련 정보를 신속히 공개하도록 요청했다"며 "과거 가맹점의 개인정보가 어떻게 관리돼 왔는지 추가로 확인할 계획"이라고 밝혔다.