카톡 '오픈채팅' 보안 구멍 뚫렸다

1. 취재착수 ① 단독취재(O), ② 단독기획( ), ③ 보도자료 심층기획( ), ④ 제보( ), ⑤ 기타( ) 2. 보도제작경위 - 내용을 구체적으로 기술해 주십시오. -2023년 3월 8일, 1000명 이상이 이용하는 코인투자 정보 공유 오픈채팅방에서 개인정보가 유출된 것으로 의심된다는 다수의 반응을 접했습니다. 카카오를 대상으로 한 해킹 정황을 포착하고 최초 취재를 시작했습니다. -해당 사건은 여타 개인정보 유출 건과 차별화된 점이 다수 존재한다는 사실을 파악했습니다. 해커들은 유출된 피해자의 전화번호로 통화를 시도해 피해자 실명 언급, 이용하는 오픈채팅방의 명칭, 익명성을 보장하기 위해 사용하는 닉네임을 언급하며 범죄(스미싱)를 시도했습니다. 오픈채팅방에서 이용자의 대화 내역까지 분석해 악용하는 것을 고려할 때 치명적인 피해가 발생할 수 있다는 점에 주목했습니다. -취재 과정에서 한 웹사이트(셀클럽)에서 해킹범의 광고 게시글을 발견했습니다. ‘특정 오픈채팅방’의 이용자를 대상으로 개인정보를 추출해 준다는 게시글의 내용을 확인하고, 게재된 업체의 텔레그램 계정으로 접근해 실제 해킹 가능 여부를 질의했습니다. -해커는 실제 추출 여부를 확인할 수 있는 ‘테스트’를 무료로 진행할 수 있다고 제안했습니다. 기자가 속한 특정 오픈채팅방을 지목하자 해커는 기자의 실명과 전화번호, 유저아이디 번호와 함께 해당 오픈채팅방 이용자 다수의 개인정보 리스트를 전달해 왔습니다. 기자는 물론 다른 이용자의 개인정보들 역시 실명과 전화번호 등이 실제 피해자와 동일하다는 점을 확인, 실제 카카오가 보유한 개인정보 해킹이 가능하다는 것을 검증했습니다. -보안전문가의 자문을 얻어, 카카오톡의 메신저에 적용된 기술 ‘로코프로토콜(LOCO protocol)’에 이미 보안 취약점이 존재했다는 점을 파악, 이미 올해 1월 이와 유사한 해킹 사건이 발생했다는 사실을 인지했습니다. -즉시 카카오 측에 해당 해커의 광고 게시글과 개인정보 유출 피해가 발생한 오픈채팅방의 위치, 대화내역을 전달하고 추가 피해 방지를 위한 대책 수립을 요청했습니다. 카카오 측은 3월 9일 17시 경 전자신문의 취재를 통해 최초 해킹사실을 인지했으며, 약 70시간의 내부 조사 끝에 12일 “해당 어뷰징 행위를 인지해 해당 채팅방 및 어뷰저에 대한 조치를 진행했다”고 공식 입장을 밝혔습니다. -이를 반영해 3월 12일 단독 기사가 <전자신문> 1면 톱기사로 보도됐으며, 취재 과정과 의의를 상세히 담은 기자수첩을 함께 지면에 담았습니다. 이어 후속기사 보도에서 실제 해킹을 입증하는 증거자료와 기술적 분석을 담아 정부당국 및 보안업체들의 조사를 지원했습니다. [단독]카톡 '오픈채팅' 보안 구멍 뚫렸다 (3월 12일자, 지면 13일자) [ET톡]누군가 내 카톡을 들여다본다 (3월 12일자, 지면 13일자) [단독]카톡 오픈채팅 해킹...1명당 단가 7000원·2시간 만에 '뚝딱'(3월 14일자, 지면 15일자) 3. 취재 및 보도과정의 특이사항 여부 ① 기사에 등장하는 익명취재원의 상당성여하 – 보도 이후 해킹피해 확산 가능성을 예방하기 위해 해킹업체의 이름과 텔레그램 계정을 익명 처리해 보도했습니다. ② 제보자와의 특별한 이해관계 여하 – 제보자와 특별한 개인적 인연은 없습니다. ③ 직접취재(바이라인), 현장취재(데이트라인)여하 – 직접 취재했으며, 3월 12일까지 카카오 측의 해킹 조사에 협조하고 이후 공식 반론을 받아 최초 기사에 반영했습니다. ④ 기타 특이사항 여하 -없음 4. 타 매체 선행보도 여부 및 타 매체의 반향 -타 매체 선행보도 없었음. -타 매체 반향 <3월 13일> [연합뉴스] 카톡 오픈채팅 정보유출 논란…"참여자 '유저 아이디' 유출" [뉴시스]'오픈카톡방' 개인정보 '건당 3만원'?…카카오 "강경대응할 것“ [중앙일보]'은밀한 대화' 카카오 오픈채팅 뚫렸다…아이디·실명·전번 나돌아 [한겨레] 카톡 오픈채팅도 ‘탈탈’…보안 허점으로 모은 ‘개인정보’ 팔았다 [국민일보] ‘익명성 믿었는데’…카톡 오픈채팅 개인정보 유출 정황 [한국일보] 카톡 오픈채팅 개인정보 유출 논란…카카오 "구조상 불가능, 법적 조치“ [머니투데이]당국, 카톡 오픈채팅 유출 경위 파악 중…카카오 "구조상 불가" [시사저널] 카톡 오픈채팅 '유저 아이디' 유출…카카오 "법적대응 예정“ [MBC] 카카오, '오픈채팅방서 개인정보 추출해준다' 광고에 "어뷰징‥강경 대응" [KBS] 카카오 오픈채팅 보안 취약점 발견…“대화내용 등 확인은 불가능” 포함 20여개 이상 매체 후속보도 <3월 14일> [연합뉴스] 개인정보위, 카카오톡 오픈채팅방 정보유출 조사 착수 [뉴스1] 정부, 카카오 오픈채팅방 정보 유출 조사 [한국경제] 익명 오픈채팅방도 다 털려?…카카오는 이미 알고 있었다 [선한결의 IT포커스] [세계일보] ‘카카오톡 오픈채팅’ 참여자 실명·연락처 유출 논란…사측 “강경대응할 것” [YTN] 개인정보위, 카카오톡 오픈 채팅방 정보유출 조사 착수 [KBS] 개인정보위, ‘카카오 오픈채팅방 정보유출’ 조사 착수 [MBC] 개인정보위 '오픈채팅 톡방 이용자 정보 유출 논란' 조사 착수 포함 25여개 이상 매체 후속보도 <3월 16일> [연합뉴스] 카카오, '오픈채팅 정보유출' 의혹 업체 경찰에 고발 [KBS] 카카오, ‘오픈채팅 정보유출’ 의혹 업체 경찰에 고발 [뉴스1] 카톡 오픈채팅 쓸까 말까…정보유출 논란에 ‘새 먹거리’ 빨간불 [한겨레] 카톡 오픈채팅 ‘이용자 식별번호’ 털렸는데…개인정보 아니야? <3월 22일> [국민일보]“스팸문자 하루 30통”… 오픈채팅방 털렸나 5. 사회에 끼친 영향 -카카오톡의 ‘오픈채팅’은 현재 월간 이용자수가 900만~1000만명에 달하며, 카카오톡 메신저 전체 송수신 대화 데이터에서 오픈채팅의 비중이 40%를 넘어섰습니다. 카카오 측의 보안 취약점이 방치됐을 경우 전 국민 20%의 개인정보가 탈취됐을 가능성을 배제할 수 없습니다. 실제로 카카오 측은 자체 모니터링 시스템을 통해서 해킹 징후를 포착하지 못했고, 해킹 수법을 파악하는 데만 70여시간 이상을 소요했습니다. 이와 같은 보안 불감증에 경종을 울리고 추가 피해자 확산을 방지하는데 기여해 언론의 순기능을 입증했습니다. -이번 사건은 이용자의 실명과 전화번호만 탈취된 것이 아니라, 이를 역추적해 이용자의 익명 대화내역을 특정할 수 있다는 측면에서 여타 개인정보 유출의 피해 파급력이 매우 큰 사례입니다. ‘N번방’ 사건이 트위터 상의 개인정보 유출에서 시작해 가해자들의 협박과 성착취로 이어졌다는 점을 고려하면 유사 사건 발생에 대한 우려가 깊었습니다. 지금도 카카오 오픈채팅에서는 고액의 ‘알바비’를 제공한다며 미성년자를 약취 유인해 성범죄를 자행하려는 범죄자들이 활동 중인데, 이들에게 개인정보 유출 도구를 쥐여 준다면 수십건의 N번방 사건으로 이어질 수 있습니다. -보도 이후 개인정보보호위원회는 이를 개인정보 유출 사건으로 보고, 카카오의 개인정보보호법 위반 여부에 대해 조사에 나섰습니다. 과학기술정보통신부, 한국인터넷진흥원(KISA) 역시 외부 전문가를 포함한 취약점 조사단을 꾸려 조사에 나섰습니다. 비공식적으로는 국내 주요 보안기업들이 이번 해킹 사례를 재연하기 위해 자체 TF를 꾸려 연구에 나섰습니다. 국내 보안기술의 수준이 한 단계 더 성장할 수 있는 계기가 될 것으로 기대하고 있습니다. 6. 자체평가 및 소속사확인여부 취재과정에서 전자신문은 뉴스윤리강령을 준수하기 위해 노력했으며, 반론권을 충분히 보장하기 위해 수 차례 카카오 측 입장을 확인했고 이를 보도에 포함했습니다. 7. 기타 고려사항 -없음