스카다 제로데이 취약점 팝니다!

몰타 보안업체 리불른, 제로데이 취약점 공개하지 않고 판매하기로

[보안뉴스 호애진] 프랑스 보안업체 뷔펭(Vupen)에 이어 몰타의 한 신생 보안업체인 리불른(ReVuln)도 제로데이 취약점 정보를 해당 개발업체에 보고하지 않고 이를 판매하기로 결정했다.

최근 공개된 비디오에 따르면, 리불른은 스카다 제로데이 취약점 다수를 확보하고 있다고 밝히고, 이들 취약점들은 서버에 영향을 미칠뿐만 아니라 원격으로 이용될 수 있다고 설명했다.

해당 취약점들은 GE(General Electric), 슈나이더 일렉트릭(Schneider Electric), Kaskad, ABB/Rockwell, 이튼(Eaton), 지멘스(Siemens) 및 다른 유명 SCADA/HMI 업체 제품에서 발견된 것으로 알려졌다.

리불른은 보안전문가 루이지 오리엠마(Luigi Auriemma)와 도나토 페랑트(Donato Ferrante)가 설립한 회사로, 특히 루이지 오리엠마는 다양한 소프트웨어에서 수많은 보안취약점을 찾아 공개한 바 있어 업계에선 유명한 인물이다.

루이지 오리엠마는 그 동안 취약점을 발견하면, 해당 업체에 보고하고 이를 버그트랙(Bugtraq) 메일링 리스트를 통해 공개해왔다. 하지만 이제 그는 노력의 대가를 보상받기 위한 길을 찾은 듯 하다.

특히, 그는 지난 몇 년간 스카다 취약점을 찾아 이를 공격할 수 있는 익스플로잇을 만드는 데 집중한 것으로 알려졌다.

이러한 비즈니스 모델을 기반으로 하는 보안업체는 리불른 외에도 몇몇 업체가 있지만, 취약점 정보를 공유하지 않고 판매한다는 데 여론의 비판이 따를 소지가 있다.

리불른은 ‘제로데이 피드(Zero-day feed)’를 개설하고, 이를 구독하는 고객에게 새로 발견된 취약점 정보를 공유한다는 계획이다. 피드에 소개된 취약점은 제3자가 발견해 보고하거나 해당 업체가 공개적으로 혹은 비공개적으로 패치를 하기 전까지는 공개하지 않을 방침이다.

[호애진 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)