[3줄 요약]
1. “IP 변조 도구·자동 수집·내부 구멍 더해져 단독 소행도 가능”
2. “기술은 일반적 수준이나 계획성 지능적... 조력자 있을 수도”
3. “조회 자체가 유출... 클라우드로 해외 유출 위험”
[보안뉴스 강현주 기자] ‘2300개의 IP’로 ‘3367만명’의 계정을 공격해 ‘1억4000만건’ 조회한 역대급 대규모 개인정보 유출 사고, 공격자 단 한명의 소행이라 볼 수 있을까?
12일 보안 분야 전문가들은 “단독 소행도 가능하다”고 분석한다. 기본에 미흡했던 내부를 잘 아는 개발자라면 일반적 수준의 기술만으로도 가능했을 것이라는 지적이다. 다만 계획성과 체계성 면에서 조력자 존재 가능성도 제기된다.
민관합동조사단의 쿠팡 사고 조사 결과 발표에 따르면 공격자가 1명인지 복수인지 특정되지 않았다. 공격에 사용된 수많은 IP와 엄청난 규모의 피해자 등으로 미루어 조직적 범행이 아니냐는 의문도 제기된다. 공격자는 2025년 4월부터 11월까지 7개월간 계획적으로 공격을 가한 것으로 밝혀졌다.
“내부 구멍 아는 개발자라면 일반적 수법으로 누구든 가능”
IP 우회, 자동화 크롤링 등 해커들 사이에서는 특별할 것 없는 기법으로도 대규모 공격에 꼭 여러 공격자가 필요한 것은 아니라는 지적이다.
공격자가 무려 2300개의 IP를 사용한 것에 대해, 복수의 침해 분야 전문가는 공격자가 ‘IP 프록시 풀’(IP Proxy Pool) 등 IP 변조 도구 사용했을 가능성이 높다고 봤다.
IP 프록시 풀은 여러 IP 주소를 모아 집합적으로 관리하는 도구다. 수천, 수만개의 IP를 필요에 따라 계속 교체해서 이상 탐지에 걸리지 않고 차단을 회피하게 해준다. 또 가상 사설망(VPN)이나 익명성을 보장하는 네트워크인 토르(Tor) 등을 이용해 해외 IP로 접속해 IP 노출을 막았을 가능성이 제기된다.
특히 공격자가 쿠팡에 재직했던 개발자였다는 점에서, 서명 키 관리가 허술했던 내부 사정에 대한 지식을 활용해 맞춤형 도구를 개발했다면 단독 범행도 불가능하지 않았을 것이라는 분석이 나온다.
실제로 조사단은 공격자가 자동화된 수집도구(크롤링)를 개발해 3367명의 계정을 약 1억4000건 조회했다고 밝혔다. 인증 기능 오류와 획득한 서명 키등을 이용해 자동화된 프로그램을 개발할 수 있었다.
보안 기업 A사 대표는 “쿠팡 사고의 경우 내부 취약 경로에 대한 지식이 핵심이지, 수많은 IP로의 변조 도구나 자동화 수집도구 같은 공격 기법 자체는 해커들 사이에서는 큰 연구가 필요한 수준의 기술은 아니다”라며, “유저 구분 고유값이 1, 2, 3, 4와 같은 단순 구조였다는 점과 안일한 하드코딩, 안일한 이상행위 모니터링 등 미흡한 체계를 잘 아는 개발자라면 누구든 악의적인 마음을 먹는다면 맞춤형 공격 도구를 개발해 단독으로 공격할 수 있을 것”이라고 말했다.
해킹 기법 특별할 것 없지만 계획성·체계성 지능적
다만 쿠팡 사고는 다양한 도구를 체계적으로 사용했다는 면에서 보안 전문가가 조력했을 가능성도 제기된다. 해킹 기법들을 하나하나 보면 일반적 수준의 기술들이지만, 계획성과 체계성 측면에서는 단독으론 어려울 것이라는 분석이다.
이용준 극동대학교 해킹보안학과 교수는 “쿠팡 공격자는 공격 IP를 분산 은닉하고, 인증 기능 취약점을 공격하고, 스스로 개발한 크롤링을 사용했으며, 개인정보 클라우드 전송 기능 설계 등 다양한 기법으로 7개월간 1억4000만건의 접속을 분산하며 체계적인 공격을 가했다”며 “해킹 도구나 방식 자체는 일반적 수준이지만, 내부 보안 장치들을 우회하기 위해 체계적으로 계획했다는 점에서 지능적이라 할 수 있기에 보안 전문가나 다른 개발자가 공모했을 가능성도 배제할 수 없다”고 말했다.
조회가 곧 유출... “정보 해외 전송 위험 고려해야”
쿠팡 측은 지난해 12월 자체 조사 결과를 발표하면서 유출된 개인 정보가 3000건이라고 밝히며 논란이 된 바 있다. “유출자가 3300만명의 정보를 빼갔으나 그중 3000건만 저장했다”는 논리였다.
하지만 민간합동조사단은 “3367만명의 개인정보가 유출됐다”며 쿠팡의 주장을 부정했다.
이와 관련 한국CPO협의회장을 맡고 있는 염흥열 순천향대학교 명예교수는 “쿠팡 공격자가 개인정보에 1억4000건이나 조회한 것으로 조사됐는데 조회를 한 것 자체가 유출”이라며 “쿠팡은 유출된 개인정보를 저장을 안했다는 구분을 하는데, 우리나라 개인정보보호법상 근거가 없는 주장”이라고 말했다.
염 교수는 “공격자가 클라우드 전송기능을 썼다면 수집된 정보들이 해외 클라우드 서버로 전송됐을 가능성을 배제할 수 없다”며 “실제로 전송됐는지 여부는 확인되지 않았지만 전송됐다면 2차 피해가 우려되는 부분인만큼 전송 가능성을 염두에 두고 피해대책을 세워야 한다”고 강조했다.
[강현주 기자(jjoo@boannews.com)]
1. “IP 변조 도구·자동 수집·내부 구멍 더해져 단독 소행도 가능”
2. “기술은 일반적 수준이나 계획성 지능적... 조력자 있을 수도”
3. “조회 자체가 유출... 클라우드로 해외 유출 위험”
[보안뉴스 강현주 기자] ‘2300개의 IP’로 ‘3367만명’의 계정을 공격해 ‘1억4000만건’ 조회한 역대급 대규모 개인정보 유출 사고, 공격자 단 한명의 소행이라 볼 수 있을까?
12일 보안 분야 전문가들은 “단독 소행도 가능하다”고 분석한다. 기본에 미흡했던 내부를 잘 아는 개발자라면 일반적 수준의 기술만으로도 가능했을 것이라는 지적이다. 다만 계획성과 체계성 면에서 조력자 존재 가능성도 제기된다.
민관합동조사단의 쿠팡 사고 조사 결과 발표에 따르면 공격자가 1명인지 복수인지 특정되지 않았다. 공격에 사용된 수많은 IP와 엄청난 규모의 피해자 등으로 미루어 조직적 범행이 아니냐는 의문도 제기된다. 공격자는 2025년 4월부터 11월까지 7개월간 계획적으로 공격을 가한 것으로 밝혀졌다.
[출처: 연합]
“내부 구멍 아는 개발자라면 일반적 수법으로 누구든 가능”
IP 우회, 자동화 크롤링 등 해커들 사이에서는 특별할 것 없는 기법으로도 대규모 공격에 꼭 여러 공격자가 필요한 것은 아니라는 지적이다.
공격자가 무려 2300개의 IP를 사용한 것에 대해, 복수의 침해 분야 전문가는 공격자가 ‘IP 프록시 풀’(IP Proxy Pool) 등 IP 변조 도구 사용했을 가능성이 높다고 봤다.
IP 프록시 풀은 여러 IP 주소를 모아 집합적으로 관리하는 도구다. 수천, 수만개의 IP를 필요에 따라 계속 교체해서 이상 탐지에 걸리지 않고 차단을 회피하게 해준다. 또 가상 사설망(VPN)이나 익명성을 보장하는 네트워크인 토르(Tor) 등을 이용해 해외 IP로 접속해 IP 노출을 막았을 가능성이 제기된다.
특히 공격자가 쿠팡에 재직했던 개발자였다는 점에서, 서명 키 관리가 허술했던 내부 사정에 대한 지식을 활용해 맞춤형 도구를 개발했다면 단독 범행도 불가능하지 않았을 것이라는 분석이 나온다.
실제로 조사단은 공격자가 자동화된 수집도구(크롤링)를 개발해 3367명의 계정을 약 1억4000건 조회했다고 밝혔다. 인증 기능 오류와 획득한 서명 키등을 이용해 자동화된 프로그램을 개발할 수 있었다.
보안 기업 A사 대표는 “쿠팡 사고의 경우 내부 취약 경로에 대한 지식이 핵심이지, 수많은 IP로의 변조 도구나 자동화 수집도구 같은 공격 기법 자체는 해커들 사이에서는 큰 연구가 필요한 수준의 기술은 아니다”라며, “유저 구분 고유값이 1, 2, 3, 4와 같은 단순 구조였다는 점과 안일한 하드코딩, 안일한 이상행위 모니터링 등 미흡한 체계를 잘 아는 개발자라면 누구든 악의적인 마음을 먹는다면 맞춤형 공격 도구를 개발해 단독으로 공격할 수 있을 것”이라고 말했다.
해킹 기법 특별할 것 없지만 계획성·체계성 지능적
다만 쿠팡 사고는 다양한 도구를 체계적으로 사용했다는 면에서 보안 전문가가 조력했을 가능성도 제기된다. 해킹 기법들을 하나하나 보면 일반적 수준의 기술들이지만, 계획성과 체계성 측면에서는 단독으론 어려울 것이라는 분석이다.
이용준 극동대학교 해킹보안학과 교수는 “쿠팡 공격자는 공격 IP를 분산 은닉하고, 인증 기능 취약점을 공격하고, 스스로 개발한 크롤링을 사용했으며, 개인정보 클라우드 전송 기능 설계 등 다양한 기법으로 7개월간 1억4000만건의 접속을 분산하며 체계적인 공격을 가했다”며 “해킹 도구나 방식 자체는 일반적 수준이지만, 내부 보안 장치들을 우회하기 위해 체계적으로 계획했다는 점에서 지능적이라 할 수 있기에 보안 전문가나 다른 개발자가 공모했을 가능성도 배제할 수 없다”고 말했다.
조회가 곧 유출... “정보 해외 전송 위험 고려해야”
쿠팡 측은 지난해 12월 자체 조사 결과를 발표하면서 유출된 개인 정보가 3000건이라고 밝히며 논란이 된 바 있다. “유출자가 3300만명의 정보를 빼갔으나 그중 3000건만 저장했다”는 논리였다.
하지만 민간합동조사단은 “3367만명의 개인정보가 유출됐다”며 쿠팡의 주장을 부정했다.
이와 관련 한국CPO협의회장을 맡고 있는 염흥열 순천향대학교 명예교수는 “쿠팡 공격자가 개인정보에 1억4000건이나 조회한 것으로 조사됐는데 조회를 한 것 자체가 유출”이라며 “쿠팡은 유출된 개인정보를 저장을 안했다는 구분을 하는데, 우리나라 개인정보보호법상 근거가 없는 주장”이라고 말했다.
염 교수는 “공격자가 클라우드 전송기능을 썼다면 수집된 정보들이 해외 클라우드 서버로 전송됐을 가능성을 배제할 수 없다”며 “실제로 전송됐는지 여부는 확인되지 않았지만 전송됐다면 2차 피해가 우려되는 부분인만큼 전송 가능성을 염두에 두고 피해대책을 세워야 한다”고 강조했다.
[강현주 기자(jjoo@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
강현주기자 기사보기
.gif)
.jpg)
.jpg)
.png)
