7월 말, 온라인 데이팅 사이트 Ashley Madison의 소유주인 Avid Life Media(ALM)는 대규모 데이터 유출 사고를 당했으며, 이로 인해 수백만 명의 Ashley Madison 사용자의 개인정보와 신원이 노출되었을 가능성이 있다고 확인했습니다.
한 달 뒤, 임팩트 팀(Impact Team)으로 알려진 해커들이 자신들의 소행이라고 주장하며 약 3,200만 명의 고객에 대한 이름, 주소, 전화번호 및 신용카드 거래 내역을 공개하면서 회사의 우려는 물론 사용자들의 우려도 현실로 드러났습니다. 이 정보는 특수한 Tor 브라우저와 Onion 라우터를 사용해야만 접속할 수 있는 인터넷의 반익명 영역인 ‘다크 웹’을 통해 공개되었습니다. 당연히 해당 데이터에 접근하는 방법도 알려졌고, 뒤이어 배우자의 정보가 포함된 것을 발견한 사람들의 이야기가 타블로이드 매체에 쏟아졌습니다. 이후 보도에서는 이번 유출이 내부자의 소행이라는 의혹과 더불어, 실제로 많은 사람이 이 사이트를 어떻게 또는 왜 이용하는지에 대한 보다 심층적인 사회적 고찰도 다뤄졌습니다.
어두운 이면
하지만 사이버 보안 관점에서 보면, 애슐리 매디슨 사건은 지금까지 드러난 사이버 공격의 새롭고 더 어두운 국면을 가장 단적으로 보여주는 사례입니다. 단순히 혼란과 망신을 초래하거나 약간의 자기 홍보를 노리는 데 그치지 않고, 사이버 범죄자들은 점점 더 몸값을 요구하기 위해 해킹을 벌이고 있습니다. 7월 초에는 영화 스트리밍 서비스 Plex가 해킹당했으며, 공격자는 해당 서비스에서 돈을 갈취하려 했습니다. 그보다 한 달 전에는 중국은행과 동아은행이 모두 DDoS 공격의 피해를 입었으며, 해커들은 거액의 비트코인을 지불하지 않으면 공격을 확대하겠다고 이들 기관을 협박했습니다.
임팩트 팀은 이번 공격이 애슐리 매디슨을 운영하는 회사를 상대로 한 일종의 도덕적 성전이었다고 주장했습니다. 해커들에 따르면 ALM은 사용자가 19달러를 한 번만 지불하면 사이트 이용 기록과 개인 식별 정보를 삭제할 수 있는 완전 삭제 서비스를 통해 2014년에 170만 달러의 매출을 올렸습니다. 그러나 임팩트 팀은 실제로는 그렇지 않으며 사용자의 결제 정보가 여전히 열람 가능한 상태로 남아 있다고 주장합니다.
32억 달러짜리 질문?
하지만 해킹의 더 유력한 이유는 탈취된 정보가 지닌 극도의 민감성과 그 정보가 창출할 수 있는 막대한 금전적 가치에 있습니다. 데이터가 다크웹에 유출된 3,200만 명이 이를 삭제하기 위해 각자 100달러를 지불할 의향이 있다고 상상해 보세요. 계산해 보면(직접 계산하기 번거롭다면, 협박으로 얻을 수 있는 수익은 무려 32억 달러에 달할 수 있습니다) 애슐리 매디슨 해킹과 같은 정보 유출 사고가 얼마나 강력한 위력을 지니는지 분명히 알 수 있습니다.
그렇다면 이것이 기업에 시사하는 바는 무엇일까요? 간단히 말해, 사이버 보안을 신속히 강화해야 한다는 것입니다. Ashley Madison과 그 서비스에 대해 어떤 견해를 갖고 있든, 이번 해킹 사건은 기업이 유료 고객의 데이터를 보호하는 과정에서 직면하는 광범위한 과제를 보여주는 사례이며, 향후 매출에도 영향을 미칠 것으로 예상됩니다.
많은 기업이 빠르게 진화하는 보안 위협에 대응할 수 있을 만큼 신속하게 정책과 보호 체계를 바꾸지 못하고 있습니다. 아직 공격 대상이 되지 않았다면 운이 좋았던 것입니다. 조직이 지금 행동에 나서지 않는다면 해커들은 계속해서 시스템을 침해하고 데이터를 훔칠 새로운 방법을 찾아낼 것입니다.
해커보다 한발 앞서기
안타깝게도 해커의 공격을 완벽하게 막아 주는 만능 해결책은 없습니다. 하지만 조직은 먼저 무엇을 보호하려는지, 해커가 무엇을 노리고 침해하려는지부터 살펴봐야 합니다. 최근에는 이러한 공격이 여러 경로를 통해 동시에 이루어지는 경우가 늘고 있습니다. 예를 들어 DDoS 공격이 진행되는 동안 보안 및 IT 팀의 주의를 분산시킨 뒤, 해커가 다른 곳에서 애플리케이션을 정교하게 공격해 데이터에 접근하는 방식입니다. 이러한 공격은 주로 애플리케이션을 겨냥하며, 해커는 애플리케이션의 로직이나 이를 사용하는 사람을 악용할 수 있습니다.
애슐리 매디슨을 둘러싼 도덕적 논쟁은 차치하고, 해커들이 갈수록 기업의 허점을 파고들어 우위를 점하고 있으며 그 과정에서 개인의 자유나 익명성을 보장받을 권리를 침해하고 있다는 점에 주목해야 합니다. 이러한 공격이 매주, 심지어 매일 반복되는 일이 되지 않도록 보안 업계와 모든 분야의 기업이 협력해 해커보다 한발 앞서 나가야 합니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.