개인정보보호법은 개인의 자유와 권리를 보호하고, 나아가 개인의 존엄과 가치를 구현함을 목적으로 하는 법이다. 

개인정보보호법에 정의된 개인정보란 살아 있는 개인에 관한 정보로, 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 뜻한다. 

이 글에서는 대표적인 개인정보인 '전화번호'를 수집하는 PUP(Potentially Unwanted Program) 프로그램에 대해 소개한다.

중고나라는 OOO의 카페로 회원수 1900만명을 보유한 카페이며, 회원들이 사용하지 않는 중고물품을 등록하여 판매하는 사이트이다.

[그림 1] OOO 중고나라 전화번호 추출 프로그램

[그림 1]에서는 “OOO 중고나라 전화번호 추출 프로그램” 파일명을 가진 PUP 프로그램을 확인할 수 있다. 

[그림 2] 중고나라 통합 운영정책 내용 일부

[그림 2]의 내용은 “중고나라 통합 운영정책(2021.10.20 개정)” 중 일부 내용이다. 상품 판매를 위한 게시글 작성 시 연락처 정보 노출 동의를 하지 않은 경우 판매자 정보를 직접 입력해야 한다.

[그림 3] 상품 판매글 예시

[그림 3]은 중고나라에 작성된 판매글의 예시이다. 판매자의 정보 및 안심번호 또는 전화번호가 노출되어 있는 것을 볼 수 있다. 구매자는 ‘연락처 보기’를 누르면 판매자의 연락처를 확인할 수 있다.

[그림 4] 홈페이지 접속 기능

[그림 4]는 전화번호를 수집하는 PUP 프로그램에서 홈페이지의 게시글을 읽어오는 부분이다. 

모바일 접속 주소를 이용하여 접속하며, 그림과 같이 UserAgent 값을 확인할 수 있다. 또한 해당 프로그램은 윈도우 10, x64 환경에서 크롬으로 접속하는 값을 사용한다.

받아오는 페이지의 result.saleInfo.phoneNo 값이 “010-“로 시작할 때 해당값과 id를 저장하며, 해당 값이 없을 때는 result.article.contentHtml 부분을 읽어온다. 

정규식을 사용하여 전화번호에 사용하는 숫자와 문자값을 검색한 후, 아이디와 함께 저장하는 방식이다.

[그림 5] 전화번호 검색 기능

카페의 게시글 중에는 전화번호를 본문에 그대로 노출하거나 문자형태로 작성한 경우도 있었으며, 숫자와 문자를 혼합한 형태(예시: 0 1 공 일 2 삼 4 5 육 7 팔)도 존재했다. 

앞서 확인한 PUP 프로그램의 기능으로 미루어 볼 때, 이를 포함한 모든 형태의 전화번호가 수집 가능할 것으로 보인다. 

따라서 이와 같은 글을 작성할 시에는 전화번호가 직접적으로 노출되지 않도록 주의해야 한다.

위와 같은 PUP 프로그램으로 개인정보를 무단으로 수집할 경우 처벌받을 수 있다. 또한 사용자도 인터넷에서 개인정보를 작성해야 하는 경우 주요 정보가 노출되지 않도록 주의하는 것이 필요하다.

출처 안랩 보안이슈