[보안 포커스]사진관에서 발견한 몇 가지 보안 문제
PC 사용이 일상화된 요즘이다. 사진관도 마찬가지다. 예전처럼 촬영 후 사진 나오기를 며칠 기다리던 시대는 가고 디지털 카메라와 ‘뽀샵’으로 불리는 사진 편집 소프트웨어를 이용한 사진 수정 기술이 흔해졌다.
사진 편집 기술도 응용프로그램을 이용하고 세상의 거의 모든 PC가 인터넷 환경과 연결돼 있다 보니 이와 함께 보안 문제도 함께 발생하고 있다.
2011년쯤 사진관을 운영하는 지인이 PC가 이상하다고 해서 잠깐 봐준 적이 있다. 악성코드에 감염되어 촬영한 사진이 모두 사라졌다고 도움을 청해온 것이다. 아마 USB 메모리를 통해 감염된 것으로 보인다. 다행히 악성코드는 치료되어 있었고 사진파일 속성을 숨김으로 바꿔 사용자가 사진 파일을 볼 수 없게 했다. 숨김 속성을 없애서 마법처럼(?) 사진을 복구하고 보답으로 술도 한잔 얻어 마셨다.
이 사건은 금방 잊혀졌지만 사진관에서 다시 보안 문제를 생각한 건 아이를 통해서다. 필자의 가족은 보통의 부모처럼 기념일 사진 촬영을 위해 사진관을 찾았다. 그리고 촬영 후 PC에 저장된 사진을 선택했다.
필자는 사진을 열심히 고르는 아내와 달리 PC 화면을 이리저리 보면서 몇 가지 보안 취약점을 찾아냈다.
1. 2개의 백신 프로그램 사용
첫 번 째 문제는 PC에 백신 프로그램이 2개 설치되어 있었다. 2개의 백신 사용은 프로그램 간 충돌 위험 때문에 권장하지 않는다. 게다가 설치된 백신 프로그램은 무료 백신으로 보였다. 사업장에서 무료 백신 사용은 라이선스 위반이다.
하지만, 이런 사실을 모르고 개인 병원, 사진관, 음식점 등에서는 무료 백신을 사용하는 것을 흔히 볼 수 있다.
2. 공유폴더 사용
3. 외부에 노출된 PC
세 번 째 문제는 PC가 인터넷에 연결되어 있다는 점이다. 사진관 직원은 우리 부부에게 자사 홈페이지에 접속해 회원가입을 요청했다. 우리에게 보여준 PC는 인터넷이 가능했다. 외부와 연결된 PC에서 분명 인터넷 검색도 할 텐데 악성코드가 PC에 감염되면 내부 사진은 그대로 유출될 수 있다.
4. 회원가입을 이유로 주민등록번호 수집
네 번 째는 홈페이지에서 회원가입을 할 때 사진관에서 주민등록번호를 수집한다는 것이다. 요즘은 많은 매장에서 홈페이지로 회원가입을 유도한 후 서비스를 제공하고 있다. 아내가 홈페이지에서 회원가입할 때 업체에서 주민등록번호를 요구해 깜짝 놀랐다. 주민등록번호 수집은 현행법상 금지되어 있다(http://www.law.go.kr/lsInfoP.do?lsiSeq=123210&efYd=20120818#0000).
▲ 현행법 상 홈페이지에서 회원가입 할 때 주민등록번호 수집은 금지되어 있다.
그나마 다행인 것은 PC 운영체제가 윈도 XP가 아닌 윈도 7을 사용하고 있다는 정도가 아닐까 싶다. 그런데 보안업데이트는 꼬박꼬박 하고 있을까?
짧은 시간 동안 사진관 PC를 겉에서 봤지만 이 정도 보안문제가 있는데 내부까지 점검하면 어떤 문제가 있을지 궁금했다. 홈페이지를 방문해 보니 대표전화 번호가 없어 지점 중 한곳에 전화해 주민등록번호 수집의 위법성에 대해 문의했다. 하지만 전화 속 인물은 잘 모른다며 상사에게 얘기해 보겠다는 무성의한 말뿐이었다.
해당 사진관은 전국에 지사가 있지만 규모로 볼 때 내부 시스템과 홈페이지 제작을 외주에 맡겼을 가능이 높다. 내 가족 사진을 다른 사람이 볼 수 있다는 것이 큰 문제가 아닐 수도 있지만 유쾌한 경험은 아니었다. @
- AhnLab차민석 책임 연구원
