초보수준 해킹에 털린 ‘여기어때’...이용자 떠날까

박철현 기자
입력 2017.03.27 10:01
숙박 O2O 어플리케이션 '여기어때'를 서비스하는 위드이노베이션이 해킹 사건으로 이용자들의 맹비난을 받고 있다.

위드이노베이션이 'SQL 인젝션(injection)'이라는 초보적인 수준의 해킹 공격에 당했다는 점과 기술 스타트업이 정작 개인정보보호 등 정보보안에는 소홀했다는 점에서 여기어때 숙박앱을 사용한 이용자들의 불안감은 더욱 커지고 있다. 특히 해킹 사건의 접수가 여기어때를 이용한 고객이 며칠 뒤 031로 시작하는 문자메시지로 '○○○님, □□장에서 △는 잘 하셨나요?'라는 내용이 발단이 된 터라 은밀한 사생활 노출에 대한 부담감은 이용자들의 대거 이탈로 이어지는 것 아니냐는 전망도 나온다.

3월 24일 위드이노베이션은 여기어때 해킹 사실을 공식적으로 알리고, 사용자의 이름 및 전화번호는 물론 숙소 이용 내역 등이 유출됐다고 자사 홈페이지를 통해 밝혔다. 현재까지 4000여명 이용자의 모텔 이용 정보가 털린 것으로 분석되지만 여기어때 회원수가 400만 가까이 되는 만큼 피해규모는 더욱 클 것으로 전문가들은 예측하고 있다.

숙박 O2O 어플리케이션 ‘여기어때’가 해킹 사건으로 운영업체인 여기어때가 이용자들의 맹비난을 받고 있다. / 여기어때 제공
◆ 여기어때, 월이용자 많고 보안 수준 높다 자랑하더니...역으로 공격 당하나

여기어때의 이번 해킹 피해 사건은 회사 성장에 적지않은 악영향을 미칠 전망이다. 오프라인 시장으로 공격적 행보를 이어가기 위해 대대적인 투자 유치에 열을 올리고 있는 상황에서, 이번 해킹 사건을 빌미로 투자가 결렬되는 것 아닌지 우려감도 커진다.

여기어때는 그동안 대규모 마케팅을 펼치며 이용자를 대거 확보하고 보안까지 뛰어나다고 자랑해왔다. 숙박앱 시장에서 야놀자의 후발주자였던 만큼 업계 선두탈환을 위해 여기어때는 대대적인 이벤트를 펼쳐왔다.

여기어때는 대규모 마케팅을 펼치며 이용자를 확보하고 보안까지 뛰어나다고 자랑했지만, 이번 해킹으로 망신살이 뻗치고 있다. / 여기어때 제공
그 결과 월사용자(MAU) 200만명을 단기간에 확보하는 등 급성장해왔다. 또 여기어때는 '업계 최초 e프라이버시 인증마크 획득'을 공식 자료로 배포하며, 경쟁사보다 보안관리도 뛰어나다는 점을 강조하기도 했다.

하지만 보안에 큰 헛점이 드러나면서 여기어때에 대한 이용자들의 신뢰와 브랜드 가치 역시 떨어질 것으로 분석된다. 여기어때 이용자들의 사생활이 쉽게 모두 노출됐다는 점에서 이용자들의 비난과 이탈을 피하기는 어려울 것으로 예상된다.

◆ 초보적인 해킹에 당한 '여기어때'...이용자 이탈로 이어질까?

여기어때 해킹은 초보 수준의 해킹에 당한 것으로 알려졌다. 보안 업계 및 위드이노베이션의 주장을 종합하면 이번 해킹은 SQL 인젝션 공격으로 파악되고 있다.

SQL은 데이터베이스(DB)에 접근할 수 있는 프로그래밍 언어를 말한다. SQL 인젝션은 웹 사이트의 DB 취약점을 악용해 개발자가 예상하지 못했던 명령을 삽입하면 DB가 비정상적인 동작을 하도록 유도하는 수법이다.

업계에 따르면 SQL 인젝션은 비교적 초보적인 해킹 수법이다. 개발자가 보안에 주의를 기울이거나 웹 애플리케이션 방화벽(WAF)만 설치했다면 막을 수 있는 공격이라는 게 보안 업계의 분석이다.

여기어때 해킹은 초보 수준의 해킹에 당한 것으로 알려지며 비난의 목소리가 커진다. 특히 해킹은 SQL 인젝션 공격으로 파악됐다. / 스마트 서울 경찰 제공
특히 초보적 해킹으로 쉽게 서비스가 뚫린 만큼 이용자들의 불안감은 증폭되고 있다.
현재 앱 분석 업체 와이즈앱에 따르면 '여기어때' 해킹이 공식화된 24일까지 이용자 데이터 수치는 지난주와 비슷한 수준으로 분석됐다. 숙박앱 특성상 주말 사용자가 급격히 증가하는 만큼 해킹 발표 이후 주말 이용자 현황 데이터에 관심이 쏠리는 이유다.

◆ 여기어때, 해킹으로 앱 리뷰 최하점...내부 직원 점수 올리기 나선 듯

해킹 소식이 빠르게 전해지면서 여기어때 앱 평가 점수도 현저히 떨어지고 있다. 이용자들이 앱 리뷰 점수를 낮게 주고 있기 때문이다. 오픈마켓 구글플레이 앱 리뷰를 확인해보니, 25일 앱 업데이트 이후 150개 정도의 리뷰가 달렸고, 90개 리뷰가 해킹의 영향으로 1점을 받았다.

앱 리뷰 점수가 낮아지면서 위드이노베이션은 불똥이 떨어졌다. 낮은 점수로 불이익을 받을까, 어떻게든 이용자 앱 리뷰 점수를 높이려고 안간힘을 쓰고 있다. 내부직원을 활용해 별점 5점을 주는 것으로 보이는 정황도 생겼다. 리뷰의 내용없이 별 5점을 주는 이용자가 해킹 사건 이후 증가한 상황이며, 일부 리뷰를 남긴 이용자 중에는 내부 직원도 포함된 것으로 확인됐다.

구글플레이 ‘여기어때’ 리뷰 화면. 해킹 사건이후 리뷰 내용이 없이 최고 점수를 주는 이용자가 증가하고 있다. / 구글플레이 캡처
해킹 사건 공지 역시 온라인 페이지와 다르게 모바일 앱에서는 찾기 힘들다. 온라인에서는 큰 배너를 걸고 있지만 여기어때 앱에서는 공지사항 버튼을 직접 찾아 눌러야만 볼 수 있다. 숙박앱 특성상 모바일 사용자가 제일 많은 상황에서, 앱 사용자 이탈을 최대한 막기 위한 꼼수라는 지적이다.

O2O 업계 한 관계자는 "이번 해킹으로 위드이노베이션은 영업정지 또는 서비스 중단이라는 처벌을 받을 가능성도 있다"며 "초보 수준의 보안시스템으로 서비스하면서 중국발 사드 해킹으로 물타기 하려했던 대응은 향후 경찰 조사에서 처벌 수위를 키울 수 있는 요인이 될 수 있다"고 말했다. 이어 그는 "숙박앱 특성상 대부분 이용자가 모바일로 예약 하는데 모바일에는 공지 사항을 직접 찾아 눌러야만 해킹 사건을 볼수 있게 해 꼼수를 부리고 있다"고 꼬집었다.

T조선 뉴스레터 를 받아보세요! - 구독신청하기
매일 IT조선 뉴스를 받아보세요 닫기