[뉴스토마토 전연주 기자] 개인정보보호위원회(개보위)가 최근 공개된 PHP 보안 취약점 'PHP2Shell'과 관련해 공공기관과 민간기업에 개인정보 유출 예방조치를 당부했습니다. 별도의 인증 없이 웹서버에서 악성 명령을 실행할 수 있는 취약점으로, 서버와 연결된 데이터베이스(DB)까지 침해될 경우 대량의 개인정보 유출로 이어질 수 있다는 우려에서입니다.
개보위는 22일 공공기관과 민간기업 등 개인정보처리자에게 최근 공개된 PHP2Shell 취약점에 대한 보호조치를 신속히 이행할 것을 당부했습니다. PHP는 웹서비스 개발·운영에 널리 사용되는 소프트웨어로, 이번 취약점이 악용될 경우 웹서버 침해가 연계된 DB의 개인정보 유출로 번질 수 있습니다.
특히 PHP 기반 DB 관리도구인 'phpMyAdmin'이 인터넷에 노출돼 있거나 DB 접근권한이 과도하게 부여된 경우 위험이 커질 수 있는데요. 공격자가 이를 악용해 DB에 저장된 개인정보에 대량으로 접근할 가능성이 있기 때문입니다.
앞서 이날 정부도 PHP2Shell의 위험성을 고려해 대응 수위를 높였습니다. 과학기술정보통신부는 이날 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향하고, 한국인터넷진흥원(KISA)과 함께 기업·기관에 관련 내용을 긴급 전파했습니다. PHP를 이용하는 홈페이지 운영 기관에는 최신 보안 업데이트를 적용할 것을 권고했습니다.
개보위는 보안패치 적용과 함께 DB 접근통제를 강화해야 한다고 강조했습니다. phpMyAdmin 등 DB 관리도구의 인터넷 직접 접근을 제한하고, 웹서비스 계정에 부여된 개인정보 DB 접근권한은 필요한 범위로 최소화하도록 했습니다.
이미 침해가 발생했을 가능성에도 대비해야 하는데요. 개인정보 DB에서 대량 조회·반출 등 비정상적인 접근이 있었는지 확인하고 이상 행위 탐지·차단과 접속기록 관리를 강화해야 합니다. 외주 개발·운영 시스템이나 수탁업체, 호스팅 환경에서 사용 중인 PHP도 점검 대상입니다.
양청삼 개보위 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해야 한다"고 말했습니다.
송경희 개보위원장도 이날 자신의 페이스북을 통해 "개인정보위도 관계기관과 긴밀히 협력하며 이번 취약점으로 인한 개인정보 유출 피해가 발생하지 않도록 관련 동향을 면밀히 살피고, 필요한 예방조치를 적극 안내하겠다"고 강조했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지