News

우리의 개인정보가 유출되는 이유

2017-11-09.

사례들을 통해 알아보자.

 

1. 설정 오류를 예방하려는 ‘아마존 웹 서비스’

Amazon Updates AWS Dashboard to Warn Admins When They’re Exposing S3 Buckets

최근 ‘아마존 웹 서비스(AWS)’의 정보 유출 사고들이 큰 문제가 되어 ‘아마존’에서 새로운 예방 조치를 소개했다.

지난 여름만 해도,

약 2억 명의 미국 유권자, 300만 명의 프로레슬링 단체 ‘WWE’ 회원, 1,400만 명의 미국 통신사 ‘버라이즌’ 고객의 개인정보가 AWS를 통해 유출되었다.

이 사고들이 벌어진 이유는 AWS ‘심플 스토리지 서비스(S3)’ 계정 스토리지 버킷을 ‘전용’이 아닌 ‘공용’으로 설정했기 때문이다. 정보 유출을 방지하려면 버킷을 꼭 ‘전용’으로 설정해야 한다. 간단히 말하자면 관리자의 무책임 때문에 터진 일들이다.

설정 오류를 예방하기 위해 앞으로는 AWS S3 버킷을 ‘공용’으로 설치할 경우 대시보드에 경고 메시지가 바로 뜬다. 사용자가 접근 제어 설정을 고려하도록 만들기 위해서다.

아주 바람직한 업데이트다. 보안에 대한 최종 책임은 사용자에게 있더라도, 기업의 노력도 필요하다.

이번주 AWS S3 보안 업데이트를 통해서 버킷에 추가되는 새로운 데이터를 자동으로 암호화하는 기능도 추가되었다. 이것도 역시 아주 좋은 일이다.

앞으로는 유출 사고가 좀 줄어들길 바란다.

 

2. 4년 전 정보 유출 사고가 어떻게 벌어졌는지 아직도 모른다는 ‘야후’

Four years later, Yahoo still doesn’t know how 3 billion accounts were hacked

2013년 8월에 미국 웹 서비스 기업 ‘야후’가 해킹을 당했다는 사실이 작년 가을에 공개되어 큰 이슈가 되었다. 최근까지 10억 개의 계정이 털린 것으로 알려져 있었지만, 지난달에 약 30억 개의 전체 계정이 다 털린 것으로 확인되었다.

러시아 정부가 후원한 해커들이 야후의 네트워크에 접근해 야후 고객의 이름, 이메일 주소, 생년월일, 해시값(MD5)으로 저장된 비밀번호 등 개인정보를 유출한 사건이다.

8일에 열린 미국 의회의 청문회에 당시 야후의 CEO였던 머리사 메이어가 참석했다. 아직도 해킹이 어떻게, 어떤 수법으로 가능했는지 모른다고 한다.

어쩜 아직도 모를 수가 있지?

해킹이 왜 무서운지를 알려 주는 사례다. 해커가 사용한 해킹 수법은 피해자 입장에서 알아내기 정말 어려울 수 있다.

 

3. 정치계가 해킹을 (싫어하고) 좋아하는 이유

위 ‘야후’ 사건만 보더라도, 해킹이 어떻게 진행되었는지 알아내기는 쉽지 않다. 특히 확실한 정보가 드물기 때문이다.

그래서 위 그림이 생각났다. TED 토크로 유명한 보안 전문가 미코 히포넨(Mikko Hyppönen)의 키노트 강연에 참석한 독일 일러스트레이터가 그림으로 표현한 강의 내용이다.

‘전 세계 정부들이 사이버 공격을 하는 이유가 뭘까? 효과적이고, 비용 대비 효율적이고, 부인할 수 있기 때문이다.’

간결하게 정리했다. 단순히 기분 나쁘게 만들고 대단해 보이려고 사이버 공격을 하는 것이 아니다. 기존 물리적 공격보다 효과적이고, 비용 대비 효율적이고, 부인하기 쉽기 때문에 자꾸 해킹 사건이 일어나는 것이다. 정부뿐만 아니라 일반 범죄자들도 인터넷으로 넘어오는 이유이기도 하다.

정보보안 업계에서는 보기 힘든, 깔끔하게 정리된 설명이다. 참 반갑다.