[PHP 보안 취약점 발견…개인정보 대량 유출 가능성 경고]

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 심각한 보안 취약점이 공개되면서 개인정보 보호에 대한 우려가 커지고 있다.

개인정보보호위원회는 10월 22일 공공기관과 민간기업 등 개인정보처리자를 대상으로 PHP 보안 취약점에 따른 개인정보 유출 예방조치를 신속히 이행할 것을 당부했다.

이번에 문제가 된 취약점은 지난 10월 21일 공개된 'PHP2Shell'이다.

PHP는 홈페이지와 온라인 쇼핑몰, 각종 웹서비스를 개발하고 운영하는 데 널리 사용되는 프로그래밍 언어다.

개인정보위에 따르면 이번 취약점이 악용될 경우 공격자가 별도의 로그인이나 인증 절차 없이도 웹서버에서 임의의 악성 명령을 실행할 수 있다.

특히 웹서버가 침해될 경우 해당 서버와 연결된 데이터베이스에 저장된 개인정보까지 유출될 가능성이 있어 단순한 홈페이지 해킹을 넘어 대규모 개인정보 침해사고로 이어질 수 있다는 우려가 제기되고 있다.

[로그인 없이 서버 공격 가능…DB 관리도구 외부 노출 주의]

이번 취약점에서 특히 주의해야 할 부분은 웹서버와 개인정보 데이터베이스의 연결 구조다.

일반적으로 홈페이지와 온라인 서비스는 회원정보, 연락처, 이용기록 등 다양한 정보를 데이터베이스에 저장하고 관리한다.

공격자가 웹서버의 취약점을 악용해 시스템에 접근할 경우 서버와 연결된 데이터베이스에도 영향을 미칠 가능성이 있다.

개인정보위는 PHP 기반 데이터베이스 관리도구인 'phpMyAdmin' 등이 외부 인터넷에 노출된 경우 위험이 더욱 커질 수 있다고 설명했다.

phpMyAdmin은 웹브라우저를 통해 데이터베이스를 관리할 수 있도록 지원하는 소프트웨어다.

이러한 관리도구가 외부에서 직접 접근할 수 있도록 설정돼 있거나 불필요하게 높은 접근권한이 부여된 경우 공격자가 이를 악용해 대량의 개인정보에 접근할 위험이 있다.

따라서 웹사이트 운영기관은 단순히 프로그램을 업데이트하는 데 그치지 않고 데이터베이스 접근권한과 관리도구의 외부 노출 여부까지 함께 점검해야 한다.

[개인정보위, PHP 최신 보안패치 적용 등 긴급 조치 요청]

개인정보보호위원회는 PHP를 이용하는 웹서비스 운영기관에 신속한 보안점검과 보호조치를 요청했다.

우선 PHP가 설치된 시스템의 버전을 확인하고 최신 보안패치를 적용해야 한다.

사용하지 않는 웹서비스나 불필요한 프로그램은 삭제해 공격에 노출될 수 있는 요소를 줄여야 한다.

또한 phpMyAdmin 등 데이터베이스 관리도구에 외부 인터넷을 통해 직접 접근할 수 없도록 제한하고, 관련 소프트웨어의 버전도 확인해 필요한 업데이트를 진행해야 한다.

불필요한 설정파일을 정리하고 웹서비스 계정에 부여된 개인정보 데이터베이스 접근권한도 최소한으로 제한할 필요가 있다.

특히 개인정보를 처리하는 시스템에서는 업무 수행에 필요한 범위에서만 데이터베이스 접근권한을 허용하는 것이 중요하다.

[개인정보 대량조회·반출 여부 점검…접속기록 관리 강화]

보안 취약점을 악용한 개인정보 유출을 예방하기 위해서는 비정상적인 데이터베이스 접근 여부를 점검하는 것도 중요하다.

개인정보위는 개인정보 데이터베이스에서 대량조회나 대량반출 등 의심스러운 활동이 발생했는지 확인할 것을 요청했다.

평소와 다른 접근 형태나 비정상적인 정보 조회가 발견되면 관련 접속기록을 분석하고 필요한 차단 조치를 시행해야 한다.

이를 위해 이상 행위를 탐지하고 차단하는 관리체계를 강화하는 한편 개인정보처리시스템의 접속기록도 철저하게 관리해야 한다.

특히 최근 공개된 취약점이 악용될 가능성을 고려하면 보안패치 적용 여부와 함께 과거 접속기록에서 침해가 의심되는 정황이 있었는지도 확인할 필요가 있다.

개인정보위는 이러한 점검을 통해 대량 개인정보 유출로 이어질 수 있는 위험요소를 사전에 확인하고 대응할 것을 당부했다.

[외주 개발·호스팅 시스템도 점검…관리 사각지대 주의]

이번 보안점검은 기관이나 기업이 직접 운영하는 웹사이트에만 국한되지 않는다.

외부 업체에 개발과 운영을 맡긴 시스템이나 호스팅 서비스를 이용하는 경우에도 PHP 사용 여부를 확인해야 한다.

개인정보위는 외주 개발·운영 시스템과 수탁업체, 호스팅 환경에서 사용하는 PHP 소프트웨어도 점검 대상에 포함해야 한다고 강조했다.

웹사이트 운영자가 직접 서버를 관리하지 않더라도 해당 시스템에 개인정보가 저장되거나 처리된다면 보안 취약점으로 인한 위험이 발생할 수 있기 때문이다.

따라서 외부 운영업체와 협력해 PHP 버전과 보안패치 적용 여부, 데이터베이스 접근통제 상태 등을 확인하는 것이 중요하다.

개인정보 보호는 단순한 기술적 보안조치를 넘어 서비스를 운영하는 기관과 관련 업체가 함께 관리해야 할 과제라는 점에서 주목된다.

[개인정보위 "홈페이지 침해 넘어 대규모 피해 우려"]

개인정보보호위원회는 이번 보안 취약점이 개인정보 유출사고로 확대되지 않도록 공공기관과 민간기업의 적극적인 대응을 촉구했다.

양청삼 개인정보위 사무처장은 이번 취약점이 홈페이지 침해에 그치지 않고 연결된 데이터베이스에 저장된 다수 이용자의 개인정보 유출로 이어질 수 있다고 우려했다.

이어 보안 업데이트와 의심스러운 접속 점검 등 관리체계를 강화해 국민의 개인정보가 유출되지 않도록 주의해야 한다고 강조했다.

과학기술정보통신부와 한국인터넷진흥원도 해당 취약점에 대한 보안 조치 방안을 안내하고 있다.

이번 보안 취약점 공개는 웹사이트 운영기관의 지속적인 보안 업데이트와 개인정보 접근통제의 중요성을 다시 보여주고 있다.

특히 개인정보를 대량으로 처리하는 기관과 기업은 취약점 악용에 대비해 보안패치 적용과 데이터베이스 접근권한 점검, 접속기록 관리 등을 신속하게 시행할 필요가 있다.