주진모 사태 `해킹` 공포…클라우드 보안 방법은?

# 회사원 박 모씨는 평소 클라우드 컴퓨팅을 이용한 파일 동기화 앱인 드롭박스와 에버노트를 활용해 회사 PC와 가정용 PC, 스마트폰에서 업무 파일과 개인 저작물을 관리해 왔다. 어디에서, 어느 장치에서 작업을 하던지 간에 '실시간 동기화'가 가능해 앱 사용을 애용하던 박 씨는 최근 매우 당혹스런 일을 겪었다. 집 PC를 타고 들어온 '랜섬웨어'가 드롭박스를 타고 회사 PC까지 감염시키는 바람에 작업 파일 대부분을 포기해야 했다. 박 씨는 "중학생인 아이가 집에 있는 PC로 무심코 내려받은 프로그램에 랜섬웨어가 숨겨져 있었고, 그 프로그램이 클라우드를 통해 회사 컴퓨터까지 감염시킨 것"이라며 "언제 어디서나 업로드하고 수정할 수 있어 클라우드 서비스를 유료로 애용했는데, 이같은 피해를 당할 줄은 꿈에도 생각하지 못했다"라고 말했다.
# 서울 동대문구에 사는 김 모씨는 배우 주진모 씨의 갤럭시 스마트폰이 해킹되었다는 뉴스를 보고 본인 휴대폰을 점검하다가 깜짝 놀랐다. 스마트폰 설정에서 '계정 및 백업' 메뉴를 클릭했더니 페이스북과 구글 메일, 네이버, 연락처, 원스토어, 텔레그램, 삼성계정 등 10개가 넘는 계정을 사용하고 있었기 때문이다. 김 씨는 "2차 보안강화를 해야 한다고 해서 일일이 로그인을 하고 설정을 변경하는데, 대부분 같은 아이디와 비슷한 비밀번호를 쓰고 있더라"면서 "요즘 정보유출 사건도 많은데, 한 곳만 털리면 10여 개가 몽땅 털릴 수도 있다고 생각하니 아찔했다"고 말했다.

PC에서 하던 업무를 그대로 스마트폰으로 옮겨서 작업하고 별도의 저장 장치 없니 사진과 문서·동영상을 클라우드에 저장했다가 필요할 때 내려받는 시대가 도래했다. 하지만 정작 클라우드 공간이 해커의 표적이 되거나, 보안의식이 허술해 치명적인 개인 정보가 유출되는 사건이 잇따르고 있다. 더욱 심각한 문제는 클라우드 서비스를 본인이 쓰고 있는지 모르는 있다가 당하는 경우도 많다는 점이다. 최근 배우 주진모 씨 등 연예인 10여 명의 스마트폰 문자와 사진이 통째로 유출된 사건이 대표적이다. 경찰은 해커들이 다른 사이트에서 입수한 아이디와 비밀번호로 '클라우드'에 접속해 자료를 통째로 다운로드받은 것으로 보고 수사를 벌이고 있다. 과거에는 이동통신 대리점에서 스마트폰을 교체할 때 소비자 편익을 위해 기존 휴대폰의 자료 전체를 클라우드에 올렸다가 새 폰에 내려받는 경우가 많다. 이 경우 고객들은 이때 만든 아이디나 비밀번호는 물론 본인의 자료를 업로드한 사실조차 잊고 지내는 경우가 많다.
한 휴대폰 대리점주는 "개통할 때는 시간이 없다보니 직원들이 고객 이메일을 입력해 서비스를 개설한 다음 비밀번호는 0000이나 1234 등을 임의로 입력하는 경우가 많다"며 "고객들이 추후에 비밀번호를 변경하거나 백업 데이터를 지워야 하는데, 이에 대한 경각심이 없다보니 휴대폰을 교체한 몇 년 전 데이터가 그대로 방치되는 것 같다"고 말했다. 이번 피해자들도 대부분 이같은 케이스인 것으로 추정된다. 주 씨 등 피해자들이 모두 갤럭시 스마트폰을 사용하고 있어 스마트폰이나 삼성 클라우드 해킹이 아니냐는 의혹이 제기되기도 했지만, 클라우드 서비스 자체의 문제라기 보다는 아이디와 비밀번호 관리 상의 문제일 것이라는 게 전문가들 평가다.
아이폰, 아이패드 사용자들이 주로 쓰는 아이클라우드 등도 철통 보안은 아니다. 아이디와 비번이 유출되면 사실상 '안전지대'는 없는 셈이어서 각별한 주의가 요구된다. 누군가 아이디와 비번만 알아내면 문자, 사진, 동영상 등 스마트폰의 모든 내용을 다운로드 받을 수 있기 때문에 사실상 '복제폰'을 만들 수 있다. 실제로 지난 2014년에는 제니퍼 로런스 등 유명 배우들이 구글·애플 관리자를 사칭한 해커에게 속아 로그인 정보를 넘겨주는 바람에 아이폰 정보를 유출당하기도 했다.
특히 최근 피해 사례로 예로 든 박 씨와 김 씨의 사례는 PC-클라우드-휴대폰이 마치 일심동체처럼 동기화돼서 작동하는 '초연결 사회'의 그림자로 통한다. 개인이 저장하고 처리해야 할 데이터가 급증하면서 많은 사람들이 구글·애플·삼성 등의 클라우드 서비스를 이용한다. 언제 어디서나 자료를 올리고 다운받을 수 있지만, 나 아닌 다른 사람도 아이디와 비밀번호만 알면 내 정보를 통째로 들여다볼 수 있기 때문에 사용자들이 스스로 보안의식을 강화하지 않으면 피해가 일파만파로 확산될 수 있다는 목소리가 나온다.

특히 스마트폰을 사용할 때에는 페북·텔레그램 등 개별 앱에서 일일이 계정과 비밀번호를 만들고 스마트폰에 저장하고, 그때그때 필요에 따라 동의를 누르다보니 대부분의 사람들이 몇 개의 계정이 연결되어 있는지 모르고 아이디와 비밀번호도 제대로 관리하지 않는다는 게 문제다. 김 모씨는 "예를 들어 계정 메뉴에서 텔레그램 계정을 삭제해도 스마트폰에 텔레그램 앱이 남아있으면 계정은 계속 유지되고 있다"며 "필요없는 앱은 삭제하고, 수시로 휴대폰을 초기화해서 쓰고, 꼭 써야 하는 앱은 주기적으로 들어가서 비밀번호를 바꿔야겠다는 생각이 들었다"고 말했다.
이번 사건에서는 개별 사용자의 클라우드 계정만 해킹됐지만, 클라우드 서버가 해킹되면 걷잡을 수 없는 피해가 발생할 수도 있다고 전문가들은 우려한다. 한국인터넷진흥원(KISA) 관계자는 "아이디·패스워드를 수시로 바꾸고, 사이트마다 가급적이면 다른 패스워드를 이용하라는 상식을 지키는 것이 중요하다"면서 "요즘에는 주요 사이트에서 모두 이중인증 장치를 제공한다. 내 기기가 아닌데 접근하는 기기를 제한하거나, 아이디·패스워드 외 다른 인증방식을 추가하는 등 방법을 대안으로 안내하고 있다"고 말했다.
실제로 삼성 측은 지난 9일 삼성 클라우드 계정을 보호하기 위해 소비자들에게 '2차 인증'을 강화할 것을 권고했다. 접속할 때마다 휴대전화 문자메시지로 1회용 인증번호를 받고 입력해야 로그인이 되는 방식이다. 네이버도 실제 아이디와 다른 '로그인 전용 아이디' 서비스를 제공한다. 아이디와 비밀번호가 유출되어도, 사용자가 설정한 로그인 전용 아이디를 모르면 접속할 수 없기 때문에 안전하다.
[신찬옥 기자 / 홍성용 기자]