예스24, 전자책 143만권 데이터 '복호화 키' 유출 사실 뒤늦게 알려져.... "우린 콘텐츠 유출 없었다" 부인

알라딘을 해킹해 72만 권의 전자책 데이터를 탈취한 10대 해커가 경찰에 붙잡힌 가운데, 인터넷서점 예스24의 전자책 데이터가 탈취된 사실이 뒤늦게 알려졌다. 해커가 예스24에서 무단 취득한 전자책 데이터는 알라딘의 약 2배에 해당하는 143만여 권으로 확인됐다.

21일 경찰청 사이버수사국은 지난 5월 인터넷서점 알라딘의 정보통신망에서 무단 취득한 전자책 72만 권 중 5000여권을 유포하며, 피해 업체를 대상으로 가상화폐를 요구한 피의자 A(16)군과, 이에 가담한 공범 B(29) 및 C(25)를 검거했다고 밝혔다.

경찰에 따르면 A군은 지난 5월 피해 업체 정보통신망의 취약점을 이용해 인터넷서점 알라딘의 전자책 72만여 권의 DRM(디지털 콘텐츠 암호화 기술)을 해제할 수 있는 복호화 키를 무단 취득했으며, 이 중 전자책 5000권의 DRM을 해제해 유포한 것으로 확인됐다. 또한 같은 방식으로 인터넷서점 예스24 전자책 143만여 권의 복호화 키를 취득했던 것으로 확인됐다.

반면 예스24의 전자책 데이터 복호화 키 유출은, 알라딘의 피해 규모에 두 배에 달하는 것으로 알려졌다. 또한 정보보호 공시 종합 포털에 따르면 예스24는 지난해 전체 정보기술부문 투자액의 약 5.1%에 해당하는 9억원 상당의 예산을 정보보호부문 투자했음에도 복호화 키 유출을 막지 못한 것으로 나타났다. 심지어 예스24는 한국인터넷진흥원이 주관하는 ISMS-P(정보보호 및 개인정보보호관리체계) 인증을 취득하기도 했다.

반면 예스24는 지난해 11월 143만여 권의 복호화 키가 유출됐음에도, 이 같은 사실을 홈페이지 등을 통해 알리지 않은 것으로 알려졌다. 비록 정보통신망법상 해킹 사고 피해 사실을 고지 해야 할 의무는 없으나, 피해 당사자인 출판계에도 해당 사실을 알리지 않았다면 도의적 문제가 제기될 가능성이 높을 것으로 전망된다. 앞서 예스24는 알라딘 전자책 유출 사건 직후 대한출판문화협회에서 개최한 ‘전자책 유통 플랫폼 보안상황 점검을 위한 설명회’에 참석해 보안 실태 현황을 설명했던 것으로 알려졌다.

한편 예스24 관계자는 해킹 피해 사실이 알려지기 전 <뉴스워커>와의 통화에서 “경찰 발표에서 언급된 143만권의 전자책 데이터는 예스24의 컨텐츠가 아니며, 당사의 컨텐츠 유출 사실은 없다”라며 해킹 피해 사실을 부인하기도 했다.