게이밍 하드웨어 업체인 레이저에서 얼마 전 10만명의 고객 개인정보 유출 사건이 발생했는데, 이번엔 엔비디아에서 고객의 일부 개인 정보가 유출됐다. 엔비디아 측은 문제를 확인해 그 다음날 바로 해결했다.

최근 RTX 3천 시리즈를 출시하며 전 세계에서 폭발적 인기를 얻고 있는 엔비디아는 해당 제품을 자사의 공식 홈페이지를 통해 판매하고 있다. 그래서 구매를 위해 많은 사람들이 엔비디아 홈페이지에 가입을 한 상황.

그런데, 지난 25일부터 이 홈페이지의 주문 확인 페이지에서 로그인과 비밀번호 입력 등에 활용되는 자동 완성 기능을 쓸때, 사용자가 넣었던 이메일이 아닌 다른 사람의 이메일도 함께 노출이 된다는 사실이 여러 유저들의 제보를 통해 알려졌다.

이번 유출로 인해 실제로 다른 사람으로부터 메일을 받은 가입자도 있는 것으로 확인됐다. 소프트웨어 개발자인 필 베이필드는 어떤 사람으로부터 메일을 받았는데, “당신이 가진 3080 제품을 내가 살 수 있겠느냐”는 내용이었다고 한다. 하지만 베이필드는 홈페이지에 가입해 구매를 시도, 3080이 아닌 3090 제품을 구매한 상황이었다. 

출처 - 베이필드 SNS

그는 장난 메일인 줄 알고 단순하게 “나는 3080을 갖고있지 않다”고 회신을 했는데, 다시 회신된 메일에서 상대방은 “제품을 사지 않았나? 엔비디아의 주문 상태 확인을 위한 이메일 입력란에 당신의 이메일이 자동으로 채워졌기에 보낸 것이다. 아무래도 당신의 이메일이 유출된 것 같다.”고 한 것. 이때 베이필드는 자신의 이메일이 유출된 것을 깨달았다고 한다.

그나마 다행인 것은 유출된 정보는 거의 대부분 이메일 뿐인 것으로 보인다는 것이다. 자동완성에서 비밀번호는 입력되지 않았다고 한다. 하지만 일부 사용자는 그 페이지에서 이메일은 물론 누군가의 신용카드 정보가 부분적으로 표시되었다는 증언을 남기기도 했는데, 해당 글을 남긴 사람은 그 내용을 현재는 삭제한 상태다.

이런 현상이 발생하자, 엔비디아 측은 주문 상태 확인 페이지를 차단하고 문제 해결에 나섰고, 다음 날인 26일에 문제를 해결해 다시 페이지를 열었다. 엔비디아 측은 “이메일 주소가 표시되는 것 외에 고객 주문 정보나 주소 또는 결제 세부 정보와 같은 개인 정보는 노출되지 않았다. 고객에게 사과드린다”고 밝혔다.

이번 일이 발생한 원인을 엔비디아 측은 공개하지 않았지만, 업계에서는 지난 2015년 스팀 클라이언트의 데이터베이스에서 캐싱된 데이터가 다른 사용자들에게 무작위로 보여졌던 스팀 정보 노출 사건과 비슷한 것으로 보고 있다. 

박상범 기자  ytterbia@gamevu.co.kr

<저작권자 © 게임뷰, 무단 전재 및 재배포 금지>