‘취지 무색‘ 구멍 뚫린 QR코드...사후관리도 뒷전

▲노래연습장과 클럽, 헌팅포차 등 감염병 전파 위험이 큰 고위험시설 출입에 전자출입명부 시스템이 의무화된 6월 10일 오후 서울의 한 술집을 찾은 시민이 네이버 앱 QR코드를 이용하고 있다. (연합뉴스)

전자출입명부 의무화가 본격적으로 시행된 지 한 달이 지났다. 그러나 유흥업소 업주들이 편법을 동원해 손님 위치 기록을 조작하는 등 허술한 시스템 사후관리가 도마 위에 올랐다.

2일 중앙재난안전대책본부에 따르면 지난 20일 기준 전국 13만2904개 업소(의무 시설 10만5533곳, 자율 실시 2만7371곳)가 전자출입명부(QR코드 인식)를 도입해 운영 중이다. 일일 평균 이용 건수는 약 100만 건이다. 단순 계산하면 업소 한 곳당 하루에 QR코드를 7번 사용한 셈이다.

저조한 이용률과 업주의 편법 등 전자출입명부가 본래 취지를 살리지 못하고 있다는 지적도 적지 않다.

일례로 최근 제주도에서는 의무시설인 유흥주점을 방문한 확진자가 전자출입명부는 물론 수기 작성도 하지 않았다는 사실이 뒤늦게 드러나면서 관리상 허점이 드러나기도 했다.

부천에 사는 한 직장인(29)은 “사실 카드 결제할 때도 가게 이름을 바꿔서 계산하는 경우가 많은데 QR코드도 우회할 방법은 많다”며 “단속을 안하면 대충 장부에 작성해도 되고 타인 휴대폰이나 ID를 빌려서 돌려 찍을 수도 있다”고 전했다.

또 강남에 위치한 한 유흥주점에서는 “QR코드를 찍기 싫으면 수기로 작성해도 된다”며 “(보관하지 않으니) 신원이 노출될 우려는 없다”며 방문한 손님을 안심시키기도 했다.

이에 일각에서는 관계 당국과 지자체의 미미한 단속과 형식적인 점검이 이 같은 행태를 부추기고 있다는 지적하고 있다.

경기도에서 PC방을 운영 중인 한 업주는 “단속 와봤자 한 두 번이고 형식적으로만 하는 거라 소용이 있는지 모르겠다”고 토로했다.

고위험시설에서 의무적으로 사용해야하는 QR코드는 편법이 동원되고 있었다. 업주는 정부가 관리하는 전용 앱(전자출입명부)에 사업자등록증과 상호명, 주소지를 입력한 후 인증하면 전용 아이디를 발급할 수 있다. 해당 아이디로 로그인을 하면 QR코드를 스캔하는 창이 만들어진다.

그러나 A상호를 쓰는 업주가 B상호로 가입된 아이디와 비밀번호로 로그인을 하는 방식으로 조작이 가능한 것으로 확인됐다. 업주는 B상호로 로그인을 해 손님의 QR코드를 스캔, 손님이 실제 A에 있더라도 B 매장에 있는 것으로 기록하는 방식이다.

익명을 요구한 유흥주점 관계자는 “신원 노출을 원하지 않는 손님들이 있으면 친한 타업소로부터 전용 아이디를 빌리거나 받아올 수 있다”며 “고객들은 우리 매장에 들어와도 실질적으로는 다른 업장으로 기록을 남길 수 있다”고 말했다.

이어 그는 “업소들 간 아이디와 패스워드를 공유할 수 있다”며 “이런 사례가 드물긴 하지만 충분히 가능하다”고 덧붙였다.

취약한 보안도 문제다. 노래방을 운영하는 한 업주는 커뮤니티를 통해 ”QR코드 인증을 받을 때 네이버 아이디 본인의 휴대폰이 아니더라도 다른 휴대폰이나 외국인 번호 및 대포폰으로도 인증이 가능하다“며 “QR코드 이미지가 해킹되면 개인 정보가 유출될 수 있는데 이에 금융권에서는 QR코드를 사용하지 않는다”고 주장했다.

임종인 고려대학교 정보보호대학원 교수는 “구체적인 알고리즘을 분석해야하는 사안이지만 QR코드는 조작이 가능할 수 있다는 취약점이 있다”며 “앞서 자가격리 앱도 보안이 허술하다는 경고를 받은 적 있는데 전자출입명부도 짧은 시간 내 만들어진 만큼 충분히 허점이 있을 수 있다”고 분석했다.

앞서 뉴욕타임즈에서는 한국 정부가 개발한 자가격리 앱에서 중대한 보안 결함이 있다고 지적해 논란이 된 바 있다. 이름과 생년월일, 주소, 전화번호 등 정보 해킹이 쉽고 자가격리 준수 여부 데이터도 조작할 수 있다는 점을 짚었다. 해당 매체는 “소트프웨어 안전에 대한 전문지식이 부족했다”는 한국 공무원의 인터뷰를 인용해 보도하기도 했다.

이러한 문제점에도 당국과 지자체는 서로 책임 미루기에 급급한 모습이다.

한 업주는 “보건복지부로 전화하면 구청이나 시청에 문의하라 하고, 그쪽에 전화하면 보건복지부에 말하라 하는 등 책임을 서로 떠넘기고 있다”며 분통을 터트렸다.

한편 보건복지부는 “지자체에서 QR코드 의무설치 대상 술집들을 관리하고 있는데 이런 방식이 어떻게 가능한 지 의문”이라며 “처음 듣는 사항으로 추가 확인해보겠다”며 확대해석을 경계했다.