[지디넷코리아]미 아칸사의 대법원은 보카 라턴(Boca Raton)에 거주하는 만 45세의 스캇 리바인이 액시엄(Acxiom) 서버에 침입해 8.2GB 용량의 데이터를 다운로드받았다며 그를 기소했다.

액시엄은 세계 최대의 소비자 데이터 보관소를 운영하는 업체로 신용카드회사, 보험회사, 그리고 미국 정부 등을 주요 고객으로 확보하고 있다. 미 법무부는 이 사건이 “지금까지 있었던 개인 정보 침해 사건 중 최대 규모”라고 전했다.

21일 발표된 31쪽에 달하는 기소문에 따르면 스나이퍼메일닷컴(Snipermail.com)의 운영자인 리바인은 한 명 이상의 공범자들과 함께 2003년 초반 파일 전송에 사용되던 액시엄 서버에 침입, 암호화된 패스워드가 저장돼 있는 ftpsam.txt 파일을 다운로드했다.

이후 이들은 크래킹 유틸리티를 사용해 ftpsam.txt 파일에 담긴 패스워드 중 40% 정도를 해독했으며 이렇게 알아낸 계정을 이용해 훨씬 더 민감한 개인 정보들을 다운로드했다고 한다.

리바인과 공범자들은 훔쳐낸 데이터를 스나이퍼메일 시스템에 포함시킨 뒤 그 정보를 다시 클라이언트들에게 판매했다. 이 중에는 저명한 제약회사의 제조, 판매, 광고 대행업체도 포함돼 있다.

기소문에는 스나이퍼메일의 메일링 리스트에서 이들이 훔쳐낸 이메일 주소의 비중이 얼마나 되는지 자세히 명시돼 있지 않다. 법무성 측에서도 이에 대해 답변을 주지 않았다.

CNET 뉴스닷컴에서는 지난 21일 리바인에게 이메일도 보내고 전화도 해봤지만 연락이 되지 않았다. 그리고 지금은 스나이퍼메일닷컴 사이트의 접속이 끊어진 상태지만 아카이브닷오알지(Archive.org)에서 2003년도 초반에 저장해둔 스나이퍼메일닷컴의 웹페이지를 보면 자사의 ‘옵트-인(opt-in)’ 메일 목록를 선전하면서 “스나이퍼메일닷컴 구독자들은 광고문을 받아보기 원한다”라고 강조하는 문구를 확인할 수 있다.

‘옵트-인 방식도 안전한 건 아니다’
과거에도 안티스팸 옹호자들은 옵트-인 목록을 대상으로 운영하고 있다는 스나이퍼메일닷컴의 주장이 사실이 아니라고 공격한 바 있다. 스나이퍼메일닷컴의 도메인명은 스팸하우스 프로젝트에서 수집한 스팸 운영 등록부에 등재돼 있으며 스나이퍼메일닷컴에서 보낸 스팸 메일이 유즈넷에 63차례나 올라가 있다.

액시엄에서는 정확히 얼마나 많은 미국인들이 피해를 입었느냐는 질문에 답변하지 않았다. 이 회사는 2003년 이후 “시스템 침입이나 보안상의 취약점에 대한 스캐닝과 암호화 시스템을 계속 개선했으며 사내 및 외부에서의 감독 기능도 향상시켜왔다”라고 주장하며 “보안 환경을 계속 향상시키기 위해 고객사들과 외부 전문가들의 협조를 받고 있다… 이번 시스템 침입으로 인해 개인이 피해를 입었다는 증거는 전무하다”라는 내용의 성명을 발표했다.

리바인은 그간 컴퓨터 범죄로 144회나 기소를 당했다. 이 수치는 파일 전송 한번마다 각각 다른 범죄로 계산한 것이다. 리바인의 죄목은 공모 죄와 타인의 컴퓨터에 불법으로 액세스한 죄, 패스워드를 불법으로 사용하는 등 액세스 방법에 대한 사기, 돈 세탁, 증거 인멸 시도와 HDD 삭제 등으로 법 집행을 방해한 죄 등이다.

그러나 이번 사건이 있기 이전에도 액시엄의 FTP 서버과 관련된 보안상의 취약점을 이용한 범죄가 발생한 적이 있다. 지난해 오하이오에 거주하는 대니얼 바스라는 한 남자가 액시엄 FTP 사이트에 불법 침입해 유죄판결을 받았다. 법무성에 따르면 바스를 수사하던 FBI, SS(Secret Service) 등 연방경찰들이 리바인도 추적해냈다. @