대량 조회 및 비정상 반출 여부도 확인해야
웹사이트 개발에 널리 쓰이는 PHP의 보안 취약점이 개인정보 유출로 이어질 수 있다는 우려가 커지면서 개인정보 보호 당국이 공공기관과 민간기업에 긴급 대응을 주문했다. 시스템 업데이트는 물론 데이터베이스(DB) 접근권한과 접속기록 관리 등 전반적인 보안 체계를 점검해야 한다는 취지다.
개인정보보호위원회는 최근 공개된 PHP 보안 취약점과 관련해 개인정보처리자들에게 정보 유출을 막기 위한 보호조치를 신속히 이행할 것을 당부했다고 23일 밝혔다.
이번에 알려진 'PHP2Shell' 취약점은 공격자가 별도의 로그인이나 인증 과정을 거치지 않고도 웹서버에서 악성 명령을 실행할 수 있는 것으로 전해졌다. 과학기술정보통신부와 한국인터넷진흥원(KISA)도 관련 취약점에 대한 대응 방안을 안내했다.
PHP는 다양한 웹서비스의 개발과 운영에 활용되는 프로그래밍 언어다. 취약점이 공격에 이용되면 웹사이트나 서버가 침해되는 데 그치지 않고, 해당 시스템과 연결된 DB까지 피해를 입을 수 있다. 이 경우 DB에 보관된 이용자 개인정보가 대규모로 유출될 가능성도 있다.
특히 웹 기반 DB 관리 도구인 phpMyAdmin이 인터넷에 공개돼 있거나 데이터베이스 계정에 불필요하게 넓은 권한이 부여돼 있다면 피해 위험이 더욱 커질 수 있다. 공격자가 침해한 서버를 발판으로 DB에 접근해 다량의 개인정보를 열람하거나 외부로 빼낼 수 있기 때문이다.
개인정보위는 우선 PHP를 사용하는 시스템의 설치 버전과 보안 업데이트 적용 여부를 확인하고, 최신 패치를 적용하도록 안내했다. 사용하지 않는 웹서비스는 제거해 공격에 악용될 수 있는 경로를 줄이는 것도 필요하다.
DB 관리 환경에 대한 통제도 주요 대응 사항으로 제시됐다. phpMyAdmin과 같은 관리 도구는 인터넷에서 직접 접속할 수 없도록 제한하고, 소프트웨어를 최신 상태로 유지해야 한다. 불필요한 설정 파일을 정리하는 한편 웹서비스 계정에 부여된 개인정보 DB 접근권한도 업무 수행에 필요한 수준으로 축소해야 한다.
이미 침해가 발생했을 가능성에 대비한 점검도 요구된다. 개인정보 DB에서 평소와 다른 대량 조회나 외부 반출이 있었는지 살펴보고, 의심스러운 접근을 탐지·차단할 수 있도록 보안 모니터링을 강화해야 한다. 접속기록을 충실히 보관하고 분석해 이상 징후를 조기에 발견하는 관리 체계도 필요하다.
자체적으로 운영하는 웹사이트뿐 아니라 외부 개발업체에 맡긴 시스템도 점검 대상이다. 위탁 운영 환경과 호스팅 서비스에서 PHP 기반 소프트웨어를 사용하고 있는지 확인하고, 관련 시스템에도 필요한 보안 조치가 적용됐는지 살펴봐야 한다.
양청삼 개인정보위 사무처장은 이번 취약점이 홈페이지 침해를 넘어 연결된 데이터베이스의 개인정보 유출로 확대될 수 있다고 강조했다. 보안 업데이트를 서두르는 동시에 의심스러운 접속을 확인하고 관리 체계를 강화해 이용자 정보가 외부로 유출되지 않도록 주의를 기울여야 한다고 당부했다.
이번 안내는 취약한 소프트웨어를 업데이트하는 데 그치지 않고, 웹서버와 DB를 연결하는 접근 경로 및 권한 관리까지 함께 점검해야 한다는 점에서 의미가 있다. 개인정보를 처리하는 기관과 기업은 자체 시스템뿐 아니라 위탁·호스팅 환경까지 확인해 잠재적인 보안 사각지대를 줄일 필요가 있다.
