개인정보보호위원회는 최근 공개된 PHP 보안 취약점으로 인한 개인정보 유출을 막기 위해 공공기관과 민간기업에 긴급 보호조치를 당부했다.
개인정보위, PHP 보안 취약점 따른 개인정보 유출 예방조치 당부
22일 개인정보위에 따르면 이번에 확인된 'PHP2Shell' 취약점은 공격자가 별도의 인증 절차 없이 웹서버에서 악성 명령을 실행할 수 있는 위험이 있다. 과학기술정보통신부와 한국인터넷진흥원도 이에 대한 조치 방안을 공지한 바 있다.
PHP는 웹서비스 운영에 널리 쓰이는 소프트웨어로, 취약점이 악용되면 웹 서버 침해는 물론 데이터베이스(DB)에 저장된 개인정보가 유출될 가능성이 크다. 특히 PHP 기반 DB 관리도구인 'phpMyAdmin' 등이 외부에 노출될 경우 대규모 개인정보 피해로 이어질 우려가 있다.
이에 개인정보위는 웹 서비스를 운영하는 개인정보처리자에게 신속한 취약점 긴급 조치를 요청했다. 우선 PHP 사용 시스템의 버전을 확인해 최신 보안패치를 적용하고, 불필요한 웹서비스는 삭제해야 한다.
이어 DB 접근통제를 강화해야 한다. phpMyAdmin 등 관리도구의 인터넷 직접 접근을 제한하고 소프트웨어 버전을 업데이트해야 하며, 웹서비스 계정의 개인정보 DB 접근권한을 최소화하는 조치가 필요하다.
또한 대량 유출을 방지하기 위해 개인정보 DB에 대한 비정상적인 조회나 반출 시도를 점검하고, 이상 행위 탐지 및 접속기록 관리 체계를 강화해야 한다. 외주 개발 시스템이나 수탁업체, 호스팅 환경 등 관리 사각지대에 대한 점검도 필수적이다.
양청삼 개인정보위 사무처장은 '이번 취약점은 홈페이지 침해를 넘어 연결된 DB 내 다수 이용자의 개인정보 유출이라는 대규모 피해로 이어질 우려가 있다'며 '보안 업데이트와 의심스러운 접속 점검 등 관리 체계를 강화하여 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다'고 강조했다.
