소니가 최근 2차 해킹 공격을 당해 웹사이트 이용자 100만명의 신상정보가 유출됐다. 소니는 지난 4월에도 해킹으로 플레이스테이션 고객 7700만명의 신상이 공개되는 피해를 본 적이 있다.

전문가들은 지난해 위키리크스 사태 때 해커그룹 ‘어나니머스(Anonymous)’가 자금결제서비스를 중단한 카드회사들에 대해 ‘보복’공격을 했던 것과 같은 ‘핵티비즘(Hactivism)’의 일환으로 보고 있다.

AP, CNN 등의 보도에 따르면 해커그룹 ‘룰즈섹(LulzSec)’은 2일 웹사이트를 통해 발표한 보도자료에서 자신들이 소니픽처스 홈페이지를 공격해 이용자 100만명의 신상정보를 빼내는 데 성공했다고 주장했다.

이들은 “우리가 가져간 모든 데이터들은 암호화되지 않은 상태로 사실상 방치돼 있었으며, 따라서 이용자 신상 노출은 시간문제였다”고 주장했다. 또 이번 해킹을 “소니의 수치스러운 보안조치를 폭로하기 위한 기초적인 공격”이라고 밝혀, 해킹 목표가 대기업의 부실한 고객정보 관리실태를 고발하기 위한 것임을 분명히 했다. 이들은 “헤이 소니, 우리가 너네 내부 자료를 가지고 있다는 것을 알고 있겠지? 아니면 아직도 모르고 있었나?”라고 약을 올리기도 했다.

이번 공격으로 노출된 고객정보는 이름, 패스워드, e메일 주소, 전화번호, 집주소, 생년월일 등이다. ‘룰즈섹’은 100만명 중 일부 이용자들의 정보를 웹사이트에 공개했다. AP통신은 이 중 몇 명에게 직접 전화를 걸어 본 결과 공개된 정보가 모두 사실임을 확인했다고 보도했다.

‘룰즈섹’은 성명에서 1차 소니플레이스테이션 공격에 대해선 특별히 언급하지 않았다. 1·2차 해킹 공격이 별도의 해커들에 의해 저질러졌을 수도 있지만 ‘룰즈섹’이 모두 행했을 가능성도 배제할 수는 없는 상황이다.

‘룰즈섹’이 어떤 조직인지에 대해서는 지금까지 알려진 것이 거의 없다. ‘어나니머스’의 분파조직이란 주장도 있다. 이들은 앞서 보수언론 폭스닷컴과 공영방송 PBS 뉴스사이트를 공격했다. 특히 PBS 사이트에는 이미 고인이 된 유명 래퍼 투팍 사커가 뉴질랜드에서 살고 있다는 가짜 뉴스를 마치 진짜인 것처럼 게재했고, 직원들의 e메일 주소와 비밀번호 등도 공개했다. 당시 ‘@LulzSec’ 또는 ‘The Lulz Boat’라고 스스로를 칭한 해커들은 “PBS에서 방영된 위키리크스에 대한 프로그램에 불만을 품고 해킹을 시도했다”고 밝혔다.

소니측은 4월 플레이스테이션 해킹에 이어 또다시 공격을 당하자 상당히 당혹스러워하고 있는 것으로 전해졌다. 소니엔터테인먼트 글로벌커뮤니케이션 부문 부사장 짐 케네디는 2일 성명을 통해 “현재 룰즈섹의 성명에 대해 조사 중”이라고만 밝혔다. 소니픽처스 홈페이지는 신작 영화정보를 주로 서비스하는 사이트로, 소니플레이스테이션과는 직접 연결돼 있지 않다. 이용자 숫자도 소니플레이스테이션에 비해 훨씬 적다. 그러나 전문가들은 이번 공격으로 인해 소니의 고객정보 보호 노력이 매우 미흡하다는 것이 드러난 셈이어서, 상당한 타격을 입게 될 것으로 전망했다.

오애리 선임기자 aeri@ munhwa.com