[단독]13년 전 옥션 해킹 수법 그대로…경찰, ‘월패드 해킹’ 타깃 보안업체 3곳 특정

초급 해킹 ‘웹셸’ 방식으로 뚫려
1채당 40억 고급 아파트도 피해

국내 아파트 단지 월패드가 해킹돼 유출된 것으로 추정되는 아파트 거실 영상 캡쳐본. 온라인커뮤니티 갈무리

아파트 내 가정을 비추는 카메라 등이 장착된 스마트 기기 월패드가 초급 해킹 단계인 ‘웹셸’(Web Shell) 방식으로 뚫린 것으로 확인됐다. 13년 전 인터넷 상거래 업체 옥션에서 1000만명의 고객 정보를 해킹한 것과 동일한 수법이다. 경찰은 아파트 704세대의 월패드가 해킹당한 것으로 보고 관리 책임이 있는 업체 3곳을 조사 중이다.

5일 전용기 더불어민주당 의원실이 한국인터넷진흥원(KISA)에서 제출받은 자료에 따르면 경찰청 사이버테러수사대와 KISA는 월패드 해킹 피해 아파트 3곳을 현장조사한 결과 서울 강남구 아파트 1곳과 종로구 도시형 생활주택 1곳에서 웹셸 사용 흔적을 포착했다. 이들 아파트와 주택은 1채당 매매 실거래가격이 40억원이 넘는 고급 주거시설이다.

웹셸이란 해커가 원격으로 웹서버에 악성 프로그램을 심어 관리자 권한을 획득한 뒤 개인정보 등을 탈취하는 방식이다. 2008년 옥션 고객 1000만여명의 개인정보가 유출된 사건, 2011년 현대캐피탈 고객 150만여명의 개인정보가 유출된 사건 등에도 웹셸 방식이 활용됐다. 보안업계는 웹셸 방식을 가장 기초적인 수준의 해킹 방식으로 평가하는데, 이번에도 같은 수법으로 아파트 보안망이 뚫린 것이다.

경찰은 KISA의 초동 조사 결과를 토대로 월패드 보안이 뚫린 보안관리 업체 3곳을 대상으로 사실관계를 확인 중이다. 지금까지 피해를 입은 것으로 추정되는 아파트는 총 704세대로, 보안관리 업체 A사가 538세대, B사가 73세대, C사가 56세대를 관리 중이다. 보안관리 업체가 정확히 식별되지 않은 곳은 37세대이다.

경찰은 한 해커가 이렇게 불법 촬영한 영상을 비트코인을 받고 판매한 의혹을 수사 중이다. 1가구당 하루 분량의 영상에 0.1비트코인(약 800만원) 수준에서 거래가 시도된 것으로 알려졌다. 경찰과 KISA의 현장조사 결과 강남구 소재 아파트 한 세대의 월패드는 지난 8월17일부터, 종로구 소재 도시형 생활주택 한 세대의 월패드는 11월10일부터 해킹이 시작됐다.

월패드 해킹 피해 사례를 지역별로 보면 경기 지역이 219세대로 가장 많았다. 이어 서울 106세대, 경상(경남·경북) 78세대, 충청(충남·충북) 58세대, 전라(전남·전북) 57세대 등의 순으로 추산된다.

김형중 고려대 정보보호대학원 교수는 “이번 해킹은 아파트가 사무시설보다 정보보안이 약하다는 점을 이용한 것”이라며 “해킹 공격을 줄이려면 아파트 시설 내 정보보안 담당자를 지정해 주기적으로 보안을 점검하도록 해야 한다”고 말했다.