어린이 전자 학습 제품 업계의 거물 VTech에게 최근 한 시기는 순탄치 않았습니다. 홍콩에 본사를 둔 이 회사는 직접 경쟁 관계에 있던 LeapFrog를 7,200만 달러에 인수하겠다는 계획을 발표하며 시장 점유율을 크게 확장하고, 어린이 전자 학습 제품 분야의 선도적 개발·공급 업체로 도약하려 했습니다. 하지만 안타깝게도 그 주는 계획대로 흘러가지 않았습니다.
VTech는 2015년 대규모 해킹 사건 이후 이용약관을 개정했는데, 책임 소재를 부모와 보호자에게 떠넘기는 조항을 아무런 망설임 없이 추가했습니다.
무엇이 바뀌었을까요? 무엇이 확보되었을까요? 그리고 우리는 무엇을 해야 할까요?
VTech에 무슨 일이 있었나?
VTech는 지난 11월 해킹을 당했고, 공격자는 400만 개 이상의 성인 계정과 600만 개 이상의 아동 계정 데이터를 탈취했습니다. 이번 해킹으로 각 계정의 이름, 이메일 주소, 비밀번호, 비밀 질문과 답변, IP 주소, 우편 주소, 다운로드 기록 등 개인 정보가 고스란히 노출되었습니다. 나아가 VTech의 앱 스토어 데이터베이스인 Learning Lodge 역시 침해당했습니다.
여기서 더 나아가 채팅 로그, 개인 음성 파일, 사진까지 유출되었으며, 그 상당수는 기기를 직접 사용하는 아이들의 것이었습니다.
허술하기 짝이 없던 보안 취약점
이번 해킹은 Vice 잡지의 기술 전문 매체 Motherboard에서 활동하는 로렌조 비키에라이(Lorenzo Bicchierai)가 처음 폭로했습니다. 첫 기사가 게재된 직후, 해킹을 수행했다고 주장하는 인물이 비키에라이에게 연락해 진위 확인용으로 민감한 사진들을 제공했습니다.
비키에라이는 정보보안 전문가 트로이 헌트(Troy Hunt)에게 유출 데이터 분석을 의뢰해 진위 여부를 확인했습니다. 유출이 사실로 확인된 후 헌트는 데이터를 더 깊이 파헤쳐 VTech에 영향을 미치는 취약점의 세부 내용을 공개했습니다. 그리고 그 결과는 충격 그 자체였습니다.
객체 참조(object reference) 결함으로 사용자가 URL을 하나씩 바꿔가며 다른 사람의 계정에 손쉽게 접근할 수 있었고, 호스트 시스템 전체가 SQL 인젝션 공격에 극도로 취약했습니다. 게다가:
"SSL이 어디에도 없습니다… 모든 통신이 암호화되지 않은 연결로 이루어지며, 비밀번호, 부모 정보, 아이들의 민감한 정보가 전송될 때도 예외가 아닙니다."
비밀번호 역시 솔팅(salting) 없이 단순 MD5 해시로만 "암호화"되어 있어, 고급 해싱 알고리즘은 커녕 약간의 컴퓨팅 기술만 있는 사람이라면 누구나 짧은 시간 안에 해독할 수 있는 수준이었습니다.
여기에 더해 비밀 질문과 답변은 별도의 보안 조치 없이 평문으로 저장되어 있었습니다. 헌트는 "가장 좋아하는 색은 무엇인가요?", "어디서 태어났나요?"처럼 누구나 쉽게 알아낼 수 있는 허술한 보안 질문들도 문제 삼았습니다.
아동 계정의 구조적 문제
부모가 성인 계정을 생성하면 아동 계정을 만들 수 있습니다. 각 아동 계정은 성인 계정과 직접 연결되며, 아이들은 자신의 아바타, 생년월일, 성별을 추가할 수 있습니다.
이 데이터는 "parent_id"를 사용해 두 계정을 연결하는 자기 참조 테이블에 저장됩니다.
즉, 유출된 추가 데이터 덕분에 모든 아동을 부모와 간단히 매칭할 수 있었고, 주소를 포함한 방대한 개인 정보가 함께 드러나게 된 것입니다.
이용약관 변경: 책임 전가
웹사이트, 게임, 서비스 등에서 긴 사용자 동의서와 개인정보 처리방침, 이용약관 변경 안내를 너무 자주 접하다 보니 우리 모두 그 언어에 무뎌져 버렸습니다. 클릭만 하고 넘긴 이용약관이 얼마나 많은지 세어볼 수도 없고, 어느 시점에 영혼까지 팔아버린 건 아닌지 궁금해질 지경입니다.
대규모 데이터 유출에 대한 표준적인 대응이라면 모든 보안 취약점에 대한 철저한 조사가 선행되어야 하고, 아동 관련 민감 데이터를 보호하려는 정보보안 전문가들의 노력을 환영하는 자세를 보여야 마땅합니다.
하지만 VTech는 달랐습니다.
대신 이 회사는 눈살을 찌푸리게 하는 문구로 이용약관을 개정했습니다. '책임의 제한(Limitation of Liability)'이라는 제목의 섹션에는 이런 조항이 담겨 있습니다.
"귀하는 사이트 이용 중 송수신하는 모든 정보가 안전하지 않을 수 있으며, 무단 당사자에 의해 가로채이거나 이후 획득될 수 있음을 인정하고 동의합니다."
죄송하지만, 이게 무슨 말입니까? 사용자가 다시 해킹을 당해도 화내거나 회사에 책임을 묻지 않겠다고 동의하라는 뜻인가요? 2016년에 민감한 정보를 적극적으로 수집하는 상황에서, 네트워크 연결 기기를 판매하는 어떤 회사도 책임을 사용자에게 전가할 수 있다니 도무지 이해할 수 없는 대목입니다.
그래도 면책될 수 있을까?
절대 불가능합니다. 이용약관 논란이 불기 전부터 이미 영국 정보위원회(ICO)는 물론 미국 여러 주 관할 기관들이 이번 데이터 유출 사건을 조사 중이었습니다. 유출 직후에는 홍콩 개인정보보호전담심의관 스티븐 웡(Stephen Wong)이 VTech가 기본적인 보안 원칙을 준수했는지 평가하기 위한 "컴플라이언스 점검"에 착수했다고 밝힌 바 있습니다.
실제로 영국 정보위원회는 새 이용약관이 현행 영국법에 위배된다고 확인하며 다음과 같이 못박았습니다.
"법률상 개인 데이터를 처리하는 조직이 해당 데이터의 보안을 책임진다는 것은 명확합니다."
우리는 무엇을 해야 할까?
솔직히 말해, VTech가 보안 체계를 실질적으로 전면 개편했다는 것이 입증되기 전까지는 웹사이트를 포함한 이 회사의 제품을 사용하지 않는 것이 좋습니다.
앞으로 네트워크 연결형 어린이 장난감을 구매하기 전에는 "[제품명/회사명]+보안" 또는 "[제품명/회사명]+해킹, 데이터 유출" 같은 키워드로 빠르게 검색해보는 것이 현명합니다. 이런 검색 조합만으로도 아이에게 넘겨주려는 제품의 보안 상태를 손쉽게 파악할 수 있습니다.
보안 침해는 언제든 일어날 수 있습니다. 우리는 방대하게 디지털화된 세상에 살며 수많은 사이트에 민감한 정보를 공유하고 있으니까요. 하지만 그렇다고 스스로 위험에 뛰어들 필요는 없습니다. 최소한의 개인정보 프라이버시 존중을 요구할 권리가 우리에게 있습니다. 하물며 그것이 우리 아이들의 데이터라면 더욱 그렇습니다.
VTech 유출 사건의 피해자이신가요? 아니면 네트워크·정보보안 시대의 장난감 제조업체에게 공감하시나요? 아래에 의견을 남겨주세요!