하이브 산하 팬 플랫폼 기업 위버스컴퍼니에서 보안 취약점으로 인해 42만여 건의 넘는 이용자의 개인정보가 유출되는 사고가 발생했다.
양주일 위버스컴퍼니 대표이사는 6일 공지를 통해 “최근 위버스컴퍼니는 서비스 보안 취약점에 대한 외부 제보를 접수하여 즉시 점검을 진행했고, 그 결과 일부 고객님의 개인정보가 유출된 사실을 확인했다”며 “위버스를 믿고 아껴주신 팬 여러분께 이번 일로 큰 심려와 걱정을 끼쳐드린 점, 진심으로 사과드린다”고 밝혔다.
위버스 측이 발표한 사고경위에 따르면 지난 3일 한국인터넷진흥원으로부터 보안 취약점 관련 제보를 전달받은 뒤 긴급 자체 점검을 실시했으며, 확인된 유출 규모는 계정 ID 단위 기준 총 42만2584건이다.
개인정보에 해당하는 유출 항목은 위버스 이용자가 가입할 때 내부적으로 사용자 식별을 위해 생성되는 내부 식별정보다. 이와 함께 구매 타입(결제 수단), 구매 PG명, 통화 형태, 구매 금액, 취소 금액, 구매 일시, 구매 상태, 환불 일시 등의 일반정보도 외부에 노출된 것으로 파악됐다.
위버스는 “추가 조치의 일환으로 결제 정보 처리 API에 대해서는 접근제어를 강화하고 내부 식별자 정보를 제거하여 외부로 정보가 노출되지 않도록 보완을 강화했다”며 “지난 4일에는 KISA에 해당 점검 결과와 대응 현황을 포함한 침해사고 신고를 진행했다”고 덧붙였다.
개인정보가 유출된 이용자에게는 관계 법령에 따라 개별적으로 유출 사실을 안내했음을 알린 위버스는 “유출된 내부식별정보가 이름이나 연락처처럼 개인을 직접 식별할 수 있는 정보가 아니라 회사 내부 시스템에서만 사용하는 식별값”이라며 “또 해당 정보만으로는 결제 위조나 부정 이체 등이 발생하기 어렵다”고 강조했다.
위버스 측은 재발 방지를 위한 추가 보안 강화에도 나선다. 외부에 노출된 API를 전수 조사해 접근제어를 강화하고 노출되는 정보를 최소화할 예정이며, 배포 프로세스에 대한 통제와 보안 모니터링 민감도 역시 강화할 전망이다. 비정상적인 방식으로 개인정보에 접근한 외부 행위자에게 관련 정보의 회수를 요청했으며, 이번 사고와 관련해 법적 책임도 물을 방침이다.
양 대표는 “위버스를 믿고 아껴주신 팬 여러분께 이번 일로 큰 심려와 걱정을 끼쳐드린 점 진심으로 사과드린다”며 “이번 일에 대한 책임을 무겁게 받아들이고 고객 여러분의 걱정과 우려가 해소되도록 책임 있는 조치를 취하겠다”고 밝혔다.
[금빛나 MK스포츠 기자]