정보보안, IT 기업의 숙명

지난 수 년 동안 미국의 증시 상승을 주도하던 미국 기술주들이 최근 부진을 이어가고 있습니다.

 

중국의 스파이칩 논란부터 페이스북과 구글의 이용자 정보 유출까지 악재가 격겹쳐서 인데요.

 

가장 최근에는 구글이 이용자 정보의 대량 노출 소식이 나왔습니다.

 

구글 플러스 개인정보유출

 

 

 

월스트리트저널(WSJ)은 8일 내부 보고서를 인용해 지난 2015년부터 올해 3월 까지 구글의 소셜네트워크서비스(SNS)인 구글플러스 이용자 수십 만 명의 개인정보가 외부 개발자에 노출되는 사건이 있었으나 이를 공개하지 않았다고 보도했습니다.

 

사용자가 특정 앱(응용프로그램)에 개인정보 이용을 허가할 때 버그가 발생해 접근을 허용하지 않은 개인정보마저 넘어갔으며, 50만명의 이름, 이메일 주소, 생일, 성별과 같은 정보들이 새 유출되었다고 합니다.

 

구글은 유출 사실을 지난 3월 파악했지만 후폭풍을 우려해 6개월간 은폐한 것으로 드러났습니다.

 

순다르 피차이 구글 최고경영자(CEO)도 이 같은 결정을 보고받고 함구한 것으로 전해졌습니다.

 

구글 내부 문건에서는 페이스북이 케임브리지 애널리티카(CA)의 개인정보 도용으로 후폭풍을 겪은 것을 목격하고 이를 우려했다는 내용도 포함돼있습니다.

 

구글은 WSJ 보도 직후 소비자 버전의 구글 플러스를 폐쇄하겠다고 발표했습니다..

 

구글 플러스는 사용자 계정 수가 22억 개에 달하지만, 접속자의 90% 이상은 5초도 머무르지 않아 사실상 소셜네트워크 서비스의 이른바‘유령 마을’이었습니다.

 

정보 유출 사고를 계기로 실패한 구글 플러스 사업을 아예 접겠다는 의도입니다. 소비자용 버전은 내년 8월에 종료되며, 기업용 서비스로만 제공될 예정입니다.

 

 

페이스북 해킹

 

 

페이스북은 월 사용자가 22억 명에 이르는 세계 최대의 소셜네트워크서비스(SNS) 입니다.

 

페이스북은 올해 3월 8700만 명의 정보가 유출돼 미국 대선 당시에 활용됐다는 비판을 및 소송에 직면하고 있었는데요.

 

전 세계 페이스북 사용자들을 또 한번 놀라게한 사건이 발생 했습니다.

 

페이스북의 View As 기능에 있는 취약점을 통해 해커가 5천만 명의 계정 접근 토큰을 탈취해간 것입니다.

 

View As 기능은 사용자가 자신의 프로파일이 다른 사람에게 어떻게 보이는지를 볼 수 있게 해주는 기능입니다.

 

원래는 사용자가 원하는 정보만을 노출시킴으로써 프라이버시를 보호할 수 있도록 하기 위해 만들어진 것입니다.

 

하지만 이 기능에는 세 가지 버그가 있었는데, 공격자들은 이 버그들을 조합함으로써 접근 토큰을 가져갈 수 있었다고 합니다.

 

첫 번째 버그

 

View As 기능이 시작될 때, 인터페이스는 읽기 전용 모드로 나타나는 것이 정상만 다른 사용자들이 생일 축하 메시지를 남길 수 있도록 마련된 텍스트 상자에 텍스트만이 아니라 동영상까지도 업로드가 가능하다는 오류가 존재했다.

 

두 번째 버그

이 텍스트 상자에 동영상을 업로드 하려고 하면, 동영상 업로더가 페이스북 모바일 앱에 대한 권한을 가지고 있는 접근 토큰을 생성한다.

동영상 업로더가 이 시점에서 접근 토큰을 생성한다는 건 큰 오류다.

 

세 번째 버그

이렇게 ‘잘못’ 생성된 접근 토큰은, 그 자체로도 문제를 포함하고 있었다.
View As 기능을 활성화시킨 당사자의 토큰이 아니라, 그 사용자가 프로파일을 열람해본 또 다른 사용자의 토큰이 생성되는 것이었다.

해커들은 페이지의 HTML 코드를 통해 토큰을 가져갈 수 있었고, 이를 통해 목표로 삼았던 계정에 접근할 수 있었습니다.

공격자는 해당 사용자의 친구 계정을 먼저 공격하고, 거기서부터 다른 계정을 장악할 수 있었습니다.

 

페이스북의 엔지니어링 부사장인 페드로 카나후아티(Pedro Canahuati)는 “공격자가 이러한 행위를 반복함으로써 많은 토큰을 탈취할 수 있었다”고 설명했습니다.

 

페이스북은 이 문제들을 전부 패치했다고 발표했습니다.

 

또한 공격자들이 페이스북의 API들을 요청해 프로파일 정보에 접근하려는 시도를 한 흔적을 발견했다고 덧붙이기도 했습니다.

 

사용자의 이름, 성별, 사는 곳 등의 민감한 정보를 노린 것인데, 페이스북은 해커들이 그러한 정보에 접근 성공한 것으로 보이는 증거가 아직 나오지 않았다고 밝혔습니다.

 

또한 아직까지 사용자들의 비밀 대화 내용이나 신용카드 정보에 접근했음을 시사하는 흔적이 발견되지 않았다고 부연으로 설명했습니다.

 

특별히 한 나라나 지역만을 집중적으로 공격한 것으로 보이지는 않았다는 페이스북의 발표는 해킹 피해자는 전 세계에 걸쳐 있는 것으로 판단할수 있습니다.

 

문제는 해당문제는 패치됐으나 페이스북은 집단 소송 앞두고 있어서, 주가도 3% 떨어 졌습니다.

 

애플 및 아마존에 대한 중국의 '스파이 칩'을 둘러싼 논란도 진행 중

 

 

지난 4일 블룸버그비즈니스위크는 중국에서 조립된 애플과 아마존웹서비스(AWS)의 데이터센터 서버에 중국 정부의 감시용으로 추정되는 마이크로 칩이 발견됐다고 소식통을 인용하여 보도한 바 있습니다.

 

서버 하드웨어 업체인 슈퍼마이크로의 중국 협력업체가 슈퍼마이크로가 주문한 마더보드에 작은 칩을 심었으며, 이 제품이 30여 기관과 기업에 판매됐다는 것이 주요 내용입니다.

 

보도에 따르면, 애플은 데이터센터의 네트워크 트래픽과 펌웨어 문제를 확인하면서 이런 칩이 부착된 것을 발견했고. 이후 슈퍼마이크로부터의 하드웨어 추가 주문을 취소했으며(서버용 기기 3만대 규모), 조용히 칩이 심어진 것으로 의심되는 기존 시스템 7,000대를 데이터센터에서 제거했다고 합니다.

 

애플과 아마존은 해당 보도를 즉각 부인하고 중국 정부 역시 사이버 보안을 수호하는 입장이라면서 반박했습니다.

 

하지만 주식시장에서는 미국이 중국의 기술 기업을 제재하는 명분으로 활용할 수 있다는 우려도 제기돼 레노보와 ZTE 등 중국 기술 업종의 주가도 약세 입니다.

 

단지 카더라 기사에서 통신회사의 서버까지 확대되는것을 보면 완전히 루머는 아닌듯 싶습니다.

 

어쨌거나 중국이 미국의 첨단기술을 빼내간다고 분쟁거리로 삼은게 어제 오늘의 일은 아닙니다.

정보보안은 IT 기업의 숙명이라고 할 수 있습니다.

 

사람들은 자신의 개인 정보가 노출되는것을 극도로 꺼리기 때문입니다.

 

개인정보 유출과 해킹사건들의 대응을 보면 기업들 발상의 전환이 필요할거 같습니다.

 

아예 서비스를 제한하거나 아니면 뚤린곳을 막는 방법들의 조치는 또 다른 허점이 생길뿐입니다.