<어느 분이 제보하신 캡처 이미지(똘이멍멍이 빨간펜으로 설명 추가)>

- 개인정보는 없으니 게시합니다 -

[5/26 오전 추가]

혹시나 나이스지키미 화면이 아닐 수 있다는 생각으로 제보하신 분께 물으니 쪽지회신이 왔는데 나이스지키미 화면이 맞고 상담원과 통화하여 내역 확인한 것이다 라고 회신이 옴.....헐.....아닐거라 생각했는데 -_-ㅋ 점점 미궁으로 빠지고 있어...

최초 쪽지로 제보받은 내용은 도저히 이해할 수 없어서 캡처화면을 달라고 하여 받은 이미지다.

(사실 깊게 따지고 들자면 뽀샵으로 일부러 의도적으로 저렇게 만들 수는 있지만 사실이라는 가정하에 설명한다.)

- 국내 사이트와는 무관해 보이는 해외 사이트에서

- 게다가 현재 정상 운영 중이지 않은 사이트에서

- 국내에서는 개인정보보호법이 바뀐 이후 더 이상 주민번호 인증이 유명무실해진 상황에서

&nbsp;&nbsp; (본인인증 또는 금융거래 시에만 절차상의 일부로&nbsp;사용되니 유출되었다 하더라도 직접적인 피해는 없음)

- 본인인증도 아닌 실명인증의 기록이 발생

음...좀 어려운 것 같다.

이래저래 설명해 온 나조차 처음 보는 상황이라..... 추정 들어가 보자...

2. 추정

&nbsp;1) 도용 & 장난

&nbsp;&nbsp;&nbsp; - 2만 개 이상(=자체 PR)의 사이트에 주민번호 기반 실명인증을 제공하던 나이스 실명인증 모듈이 살아 있는 상태에서

&nbsp;&nbsp;&nbsp; -&nbsp;어떤 사이트는 사이트 개편으로 사라지고 어느 사이트 몇 년이 지나도&nbsp;안 보이는 일부 페이지에 남아 동작하고 있으며

&nbsp;&nbsp;&nbsp; - 그 페이지를 알거나 모듈을 알고 있는 사람이 유출된 주민번호로 장난삼아 또는 호기심에 인증신청을 했는데 인증됨

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ex) 퇴사한 사이트 개발자가 사전에 알고 있던 모듈 페이지에서 장난했거나 등

&nbsp;&nbsp;&nbsp; - 앞서 부연 설명에 적었듯이 이것만으로는 해외에서는 당연히 할게 없고 국내에서도 뭘 해볼 수가 없는 상황임(피해 없음)

&nbsp;&nbsp;&nbsp; - 그러나 인증이 성공했다 는 사실 하나만으로 문제소지가 커질 수 있음(이걸 발전시켜 다른 범죄로 이어질 수 있을지 모르기 때문)

&nbsp;2) 파밍

&nbsp;&nbsp;&nbsp; - 제보자 본인은 정상 사이트에서 캡처해 보내주었다고 주장할 수 있으나 (온라인 제보이므로 확인 불가)

&nbsp;&nbsp;&nbsp; - 이 점에 대해서는 경찰청에서 배포하는 <파밍캅>으로 호스트 변조여부를 확인하라고 회신 보냈음

&nbsp;&nbsp;&nbsp; - 파밍이 아닌 경우에 이러한 인증이 발생했다면, 이것은 상당한 이슈로 발전될 가능성이 높아 보임

&nbsp;3) 서버오류(가능성은 0%에 수렴하나 억지로 가정함)

&nbsp;&nbsp;&nbsp;&nbsp;- 사실상 ISMS 체계의 보안인증를 받고 있는 금융권에서 결코 있어서는 안되는 구멍이 있을 수도 있을 수 있다는 가정하에 보면

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; (이 체계가 100% 완벽하다고 볼 수도 없긴 하지만 그래도 2014 카드사태 이후 금융권에서는 거품 물고 민감한&nbsp;감독기준임)

&nbsp;&nbsp;&nbsp; - 서버의 인증&nbsp;시스템이 오류가 났다는 가정을 해보면(상상조차 싫은) .... (똘이멍멍: 그래도 이해하기는 어렵.... -_-ㅋ)

&nbsp;&nbsp;&nbsp; - 24시간 관제를 하고 있는 신평사 시스템이라 자체 오류는 ............... 뭐 가능성 없어 보이고..

4) 사이트 구분 "금융서비스"

&nbsp; - 사이트 분류가 되어 저렇게 텍스트로 표현된다는 것은 사업자등록이 되어 있다는 추정이 가능

&nbsp; - 다만 정말 많은 사이트, 정말 오래된 업체에 대한 (발급된 모듈에 대한) 관리가 부실한 상황에서

&nbsp;&nbsp;- 가정 중 1) 항으로 귀결될 거라는&nbsp;추정이 가능.

&nbsp; - 계약서를 살펴 저 사이트와의 관계나&nbsp;또는 인증이 발생한 모듈 번호로 인증에 사용된 계약자가 누구인지를 파악할 수 있을 것임.

&nbsp;5)&nbsp;더이상 &nbsp;추정 시나리오 불가 .... GG .........

&nbsp;&nbsp;&nbsp; - 10년 간 신평사 인증이나 서비스 이야기와 더불어 개인정보보호 드립질을 하고 있는 나도 처음 보는 상황이니

&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 이건 나이스 쪽에서 자체 확인해야 할 듯합니다. 내부 시스템 기록을 확인하시면 어느 정도 쉽게 알 수 있지 않을까 함........

3. 결론

&nbsp;1) 공식 민원접수 추천

&nbsp;&nbsp; - 제보자에게 나이스 지키미 사이트에 물어보시라고 권했습니다.

&nbsp;&nbsp; - 우려와는 달리 "에피소드"로 원인에 쉽게 다가설 수도 있습니다.

&nbsp;&nbsp; - 자체 점검하는 계기도 될 수도 있을 것임

&nbsp;2) 모듈 점검 요망(NICE,&nbsp;KCB, SCI&nbsp;등)

&nbsp; - 대한민국의 모든 사이트에 공급되어 있다고 해도 무방한 실명인증 모듈에 대한 점검이 필요하며

&nbsp; - 계약이 끝났거나 계약 중임에도 이용이 현저히 떨어진 경우에는 과감히 링크(루트)를 잘라야 위와 같은 문제 소지가 없을 듯함

&nbsp;&nbsp;&nbsp; (하............... 쓰면서도 힘드네... 쉽지 않은 일....)&nbsp;

&nbsp; - 나이스뿐만 아니라 KCB, SCI 등 주민번호 모듈을 제공했던 국내 신용 3사는 자체적으로 점검에 들어가야 할 듯.

&nbsp;&nbsp;&nbsp; ---> 정책 기준이나 작업량을 예상하면 <정말 쉬울 수도 vs 어마어마한 작업>이 될 수도....-_-;

&nbsp;3) 주민번호 도용만으로 돈 안털림 ㅋ

&nbsp;- 법이 바뀌어 인증절차가 까다로워졌기 때문에 예전처럼 주민번호만으로는 재산 탈취나 계정 도용은 어렵습니다. 은행이나&nbsp;게임사 서버와 인증사 자체가 동시에 털리지 않는 이상에는요...

&nbsp;- 주민번호 도용의 가장 큰 목적이 사이트 도용 가입 후 아이템 생산, 도박 또는 성매매 블로그 운영 수수료, 광고 대행 수수료 등 많은데 주민번호 만으로 (서버를 아예 뒤집지 않는 한) 금융 피해를 입히기에는 어려운 상황입니다. 그래서 안심

&nbsp;- 오늘도 "오빠 오빠"하면서 쪽지나 댓글이 많이 옵니다. 환영합니다. 다 삭제 or 자동스팸...ㅎㅎ