보안 뚫린 알리, 판매자 계좌 탈취...보안 인증도 없었다

[앵커]
이른바 C커머스의 선두주자인 알리익스프레스에서 보안 취약점을 이용해 판매자들의 정산금 계좌를 바꾸는 침해사고가 발생했습니다.

100개가 넘는 판매자 계정이 해킹됐습니다.

박기완 기자가 보도합니다.

[기자]
알리익스프레스의 한국 판매자 포털이 해킹된 건 지난해 10월입니다.

해커는 비밀번호를 복구할 때 쓰는 일회용 비밀번호, OTP 프로세스의 취약점을 파고들었습니다.

타인의 이메일 주소만으로도 OTP 인증을 통과해 비밀번호를 재설정할 수 있었던 겁니다.

이 수법에 당한 판매자 비즈니스 계정은 모두 107개에 달합니다.

이 가운데 83개 계정은 해커가 정산금을 가로채기 위해 자신의 계좌를 새로 등록하기도 했습니다.

알리 측은 일단 계좌 변경 기능을 일시 차단하는 등 대응에 나섰습니다.

중국의 대표적인 전자상거래업체, 알리의 보안 관리는 허술하기 짝이 없었습니다.

알리익스프레스 코리아는 한국 정부의 정보보호 관리체계, ISMS 인증도 받지 않았습니다.

일정 규모 이상이면 인증을 취득할 의무가 부과되지만, 그동안 얼마를 버는지 제무재표도 공개하지 않아 부과 대상인지도 알 수 없습니다.

정부는 뒤늦게 알리 측에 ISMS 인증 의무 대상 여부를 파악해 안내하겠다는 방침입니다.

YTN 박기완입니다.

영상편집 : 이영훈