프랑스, 1900만 명 모바일폰 ‘해킹’으로 초토화

[애플경제 이윤순 기자] 29일 일단의 해커들이 “프랑스 내 1,900만 명의 모바일 및 인터넷 고객과 연결된 데이터를 탈취했다”고 주장, 파장을 부르고 있다. 노출된 데이터에는 IBAN 번호, 이메일 주소, 전화번호가 포함될 수 있다는 소식이다.

이에 테크크런치 등 외신들은 빨간색 윤곽선이 있는 파란색 프랑스 디지털 지도를 그려보이며, 그 상황을 자세히 전하고 있다. 이에 따르면 프랑스에서 두 번째로 큰 인터넷 서비스 제공업체(ISP)이자 전화 사업자인 ‘Free’가 주요 타깃이 되었음이 밝혀졌다.

2,000만 명 이상의 고객을 보유한 것으로 추정되는 이 회사는 지난 주말에 프랑스 사이버 보안 기관에 “해커들이 사용자 데이터를 관리하는데 사용된 도구를 표적으로 삼았다”고 해킹 피해 사실을 통보했다. ‘Free’는 그러나 “공격으로 인해 비밀번호, 은행 카드 또는 통신에 영향을 미치지 않았으며 서비스 운영에도 영향이 없다”고 덧붙였다. 그러나 이는 큰 믿음을 주지 못하고 있다.

이름, 이메일, 주소, 생년월일, 휴대전화 번호 등 유출 주장

앞서 지난 21일 지하 해킹 집단의 게시물에는 “‘Free’에 속한 두 개의 데이터베이스가 판매 가능하다”는 안내문이 올라왔다. 게시된 날짜는 10월 17일로 거슬러 올라간다.

해커들은 “게시된 데이터베이스 중 하나에 1,920만 명의 고객과 관련된 정보가 포함되어 있다”고 주장하며, “이번 공격은 ‘Free’사의 모든 모바일폰과 ‘Freebox’ 고객에게 영향을 미친다”고 했다. 사실상 ‘Free’사의 해명을 무색하게 한 것이다.

이들은 또 “프랑스 기반 ISP ‘Free SAS’의 데이터베이스를 판매한다”며 “이번 데이터 침해는 1,920만 명의 고객에게 영향을 미치고 511만 개 이상의 IBAN 번호를 포함한다.”고 함으로써 Free사를 곤경에 빠뜨렸다. 이들 해커는 또한 “판매 중”이라고 주장하는 일부 데이터의 샘플 보관소도 제공했다. 여기에는 일부 개인 데이터들이 공개된 데이터베이스 헤더가 포함되어 있다.

실제로 Free에서 유출된 것으로 알려진 43.6GB JSON 데이터베이스의 스크린샷에는 이름, 이메일 주소, 주소, 생년월일, 휴대전화 번호, Free 고객 정보가 포함되어 있다. 이에 유명한 프랑스 사이버 전도사이자 스스로를 ‘친절한 해커’라고 부르는 해킹 추적 전문가 ‘SaxX’는 해당 목록의 세부 정보를 X에 게시했다. 그러면서 “게시물을 게시하기 하루 전, 해당 게시물을 작성한 사람의 계정이 생성되었다”고 전했다.

SaxX는 다만 “도난된 데이터의 진위가 확인되기 전에는 해커들의 주장을 액면 그대로 받아들일 수 없다”면서 “해커들이 점점 더 AI를 사용해 가짜 유출 데이터를 생성하고 있다”고 경고했다.

이통사들 ‘큰 피해없음’ 주장 불구, “각별한 경계” 촉구

한편 Free는 사고로 인해 데이터가 유출된 가입자 수를 확인하지 않았지만, “이메일을 통해 영향을 받은 가입자에게 알릴 것”이라고 AFP에 밝혔다. 이 회사는 “이번 공격을 종식시키고 정보 시스템 보호를 강화하기 위해 필요한 모든 조치를 즉시 취했다.”고 덧붙였다.

Free는 또 유출된 금융 정보가 고객에게 미치는 위험은 낮다고 애써 축소했다. 즉, “도난된 IBAN 번호만으로는 악의적인 행위자가 고객 계좌에서 돈을 인출하기에 충분하지 않다”는 것이다. 그럼에도 불구하고, “고객들은 침해된 개인 데이터를 사용하는 잠재적 공격에 항상 주의해야 하며, 침해와 관련된 개인이 앞으로 피싱 공격의 표적이 될 수 있다”고 주의를 당부하기도 했다.

한편 프랑스에서 세 번째로 큰 통신 회사인 SFR이 지난 9월 19일에 가입자들에게 보낸 이메일에 따르면 이름, 이메일 주소, 주소, 전화번호와 같은 민감한 개인정보들이 노출된 바 있다. 이는 이번 데이터 침해 사건의 또 다른 희생자들일 수도 있다는 우려다. SFR도 문제를 해결하기 위해 필요한 조치를 취했지만, Free와 마찬가지로 그저 고객에게 자신의 정보를 악용, 사기를 칠 수도 있으니 조심하라는 당부도 곁들였다.