전송구간 암호화 안 돼..경실련은 웹사이트 로그인 일시 중단 공지 시민단체와 정치권, 스스로 정보보호 의식 강화 필요
[이데일리 김현아 기자] 우리나라의 대표적인 진보성향의 시민단체인 경제정의실천연합과 진보네트워크센터의 인터넷 홈페이지 보안 관리가 허술한 것으로 드러났다. 이들 단체들은 ‘주민번호 없는 인터넷사용’을 주장하는 등 인터넷 보안과 정보보호에 나름의 목소리를 내고 있는 단체다.
시민단체여서 재정이 열악하다는 점을 고려해도, 문제 제기 이후 시스템 개선 절차 등도 명확하게 공지하지 않았다는 비판이 나온다.
정보화사회실천연합(대표 손영준 http://cafe.daum.net/pcis, 이하 정실련)은 2일 경실련에 이어 진보넷의 홈페이지도 회원들이 웹사이트에서 로그인을 할 때 ‘아이디’와 ‘비밀번호’가 아무런 보호조치 없이 전송처리되고 있어 ‘스니핑(네트워크 주변을 지나다니는 패킷을 엿보면서 아이디와 비밀번호를 알아내는 행위)’을 통해 해당 정보가 탈취됐을 때 해커들에 노출될 수 있다고 밝혔다.
정실련은 패킷 분석 도구인 와이어샤크(Wireshark)를 사용해 모니터링했다. 그결과 전송구간에서 비밀번호가 전혀 암호화(보안서버구축, SSL)되지 않은 것으로 확인됐다.
전송구간 암호화는 개인정보보호법이 시행된 3년 전부터 시행 중인 ‘개인정보의 보호조치”사항 중 기술적 조치에 속하는 것이다.
▲진보넷 사이트 모니터링 결과(출처: 정실련)
손영준 대표는 “진보넷 개인정보보호책임자에게 연락했지만, 엔지니어에게 연락하겠다는 말만 들었다”면서 “앞서 경실련 홈페이지도 같은 증상이 발생해 1년 전부터 이야기했지만, 최근 아무런 설명없이 ‘웹피이지 로그인을 일시중단합니다’라는 공지 한 줄만 띄운 상황”이라고 말했다.
그는 “경실련은 웹페이지 로그인 중단은 알렸지만, 실제 버튼은 막지 않아 실제 이용자는 접속이 되지 않아도 모르고 입력할 경우 데이터는 왔다 갔다 할 수 있는 상태”라면서 “개인정보보호 강화를 외치는 시민단체들이 스스로 보안 의식을 갖도록 이런 사실을 공개하게 됐다”고 부연했다.
한편 정치권이나 일부 시민단체의 보안 의식 문제는 이번 외에도 지적된 바 있다.
온라인상의 개인정보보호 문제를 다루는 국회 미래창조과학방송통신위원회 소속 관계자와 일부 위원실 등은 방송통신위원회 출입기자단에 휴대폰 번호 등을 요구하면서 본인 동의를 받지 않은 상황에서 제출을 요구하는 등 물의를 빚었다가, 결국 제공에 동의하는 기자들에 한해 제공됐다. 국내 개인정보보호법이나 정보통신망법에 따르면 본인 동의 없이 개인정보를 제공하거나 제공받을 수 없게 돼 있다.
