쿠팡 유출은 스팸, 이 유출은 생사였다

들어가며

구독자님, SKT 2,695만 건, 쿠팡 3,370만 건, 티빙, CU 택배까지. 올해 들어 개인정보 유출 통보가 끊이질 않고 있어요. 유출 후에는 스팸 전화가 오고, 피싱 문자가 오고, 잘 풀리면 거기서 끝나요.

그런데 얼마전 공개된 유출 사고 하나는, 그 ‘끝’이 완전히 달라요. 유엔 세계식량계획(WFP)의 가자지구 등록 앱이 해킹당해, 식량 배급을 받는 60만 가구의 이름, 신분증 번호, 전화번호, 그리고 거주 위치가 유출됐어요. 이 사람들이 사는 곳은 전쟁터예요. 유출된 주소가 표적이 될 수 있는 곳이에요.

결론부터 말씀드리면, 이건 단순한 보안 실패가 아니에요. “밥을 받으려면 이름을 대라”는 구조 자체가 만든 참사예요.

60만 가구의 위치가 해커에게 갔다

5월 14일, WFP의 자체등록 앱(SRA)이 해킹당했어요. 이 앱은 가자지구 주민들이 식량과 현금 지원을 받기 위해 직접 등록하는 시스템이에요. 신원을 인증하고 수혜 자격을 확인하는 과정에서 상당한 양의 개인정보가 수집돼요. 유출된 정보는 이름, 신분증 번호, 휴대전화 번호, 그리고 등록 시점에 기록된 동네 단위 거주 위치예요.

60만 가구라는 숫자가 어느 정도인지 감이 안 올 수 있어요. 가자지구 전체 인구의 약 77%에 해당해요. WFP는 매달 약 160만 명에게 밀가루, 고열량 비스킷, 영양 보충제, 현금을 배급하고 있어요. 실업률 80%, 인구 대부분이 원조 없이는 끼니를 해결할 수 없는 상황이에요. WFP는 세계 최대 인도주의 기구예요. 매년 1억 명 이상에게 식량을 제공하고 있고, 가자는 그중에서도 가장 긴급한 현장 중 하나예요.

이 사고에는 더 불편한 디테일이 있어요.

한 독립 보안 전문가가 WFP 팔레스타인 팀에 시스템 취약점을 경고한 날짜가 5월 12일이에요. 해킹이 발생하기 이틀 전이에요. 그런데 WFP가 수혜자들에게 유출 사실을 알린 건 5월 31일, 해킹으로부터 17일이 지난 뒤였어요. 내부고발자에 따르면, WFP는 그 사이에 위험 평가도 하지 않았고, 가자 주민들의 보안 위험을 완화하려는 노력도 보이지 않았다고 해요.

WFP는 텔레그램을 통해 “식량, 현금, 영양 보충 등 모든 프로그램은 정상적으로 계속된다”고 안내했어요. 등록 정보를 삭제하거나 재등록할 필요가 없다고도 했어요. 하지만 유출된 위치 데이터가 어디로 갔는지, 누가 접근했는지에 대해서는 아직 확인된 바가 없어요. 공격자의 신원도 밝혀지지 않았어요. 등록 플랫폼은 보안 강화를 위해 일시 중단된 상태이지만, 가자 주민들에게 “당신의 주소가 안전한지”에 대한 답은 아직 없는 셈이에요.