애플, “iCloud나 Find My iPhone에는 오류 없어”

시스템 전체를 해킹한 것이 아니라 타깃형 공격 이루어진 듯

현재까지는 브루트포스 형식의 공격이 가장 유력

[보안뉴스 문가용] 애플은 9월 2일 오후, 주말에 일어났던 여배우 사진 유출 사건에 대해 ‘아이클라우드’나 ‘내 아이폰 찾기’ 기능 자체의 취약점을 악용하거나 해킹이 일어난 게 아니라는 조사 결과를 발표했다. 공격자들이 배우들의 계정에 어떻게 침입해 사진을 빼돌린 것인지 다시 처음 의문점으로 돌아가게 되었다.

▲ 브루트포스, 해커들이 주로 활용하는 ‘인디언식 기우제’

지난 주말 4Chan이라는 채팅 사이트에 여배우들의 나체 사진이 올라오기 시작했다. 이 사진들이 아이클라우드 계정에서부터 나온 것이라는 사실이 밝혀지자 아이클라우드와 내 아이폰 찾기 기능에 치명적인 오류가 있는 것이 아니냐는 소리가 나오기 시작했다. 때마침 애플이 내 아이폰 찾기 기능 내에 브루트포스 공격을 가능하게 하는 구멍을 수정하면서 이 가설에 더욱 힘이 실렸다.

애플은 오늘 발표를 통해 다음과 같은 입장을 알려왔다.

“유출 사건을 처음 접했을 때 저희는 엄청난 분노를 느끼고 곧바로 애플의 엔지니어들을 가동시켜 원인을 파악하고자 나섰습니다. 저희에게 고객의 프라이버시와 안전은 최고의 가치입니다."

"40시간이 넘는 조사 결과 저희는 몇몇 특정 고객들을 노린 ‘타깃형 공격’이 가해졌음을 발견했습니다. 아이클라우드나 내 아이폰 찾기와 같이 애플이 만든 시스템 자체가 무너진 건 아니었던 것입니다. 현재 저희는 법 시행 기관과 함께 범죄자들을 추적하는 데에 힘쓰고 있습니다.” 애플은 현재 사용자들에게 강력하고 복잡한 암호를 만들고 옵션 중에 있는 다중 인증 방식을 활용하라고 촉구하고 있다.

익명이 보안 전문가는 애플 계정에 잘못된 로그인 정보를 여러 차례 입력했을 경우 로그인 시도 자체가 막히는지 여부를 실험을 통해 확인해봤다며 “정확히 10번 잘못 입력하니까 아예 잠기더군요”라고 설명했다. 다만 이것이 이번 패치로 새롭게 바뀐 것인지 예전부터 이런 방식이었는지는 확인이 어렵다고도 했다. 결국 브루트포스 방식은 최소한 공격대상의 이메일 주소는 확보하고 있어야만 가능한 것이다.

다중 인증 옵션을 사용하는 사람이 그다지 많지 않고 암호를 신경 써서 설정하는 사람 역시 그리 많지 않다고 했을 때 이번 사건은 언젠가 일어날 일이었다는 게 전문가들의 대체적인 의견이다. “아이클라우드 측에서 다중 인증을 필수로 만들었다면 이런 사건은 일어나지 않았을 것입니다.” EiQ 네트웍스의 CEO인 비제이 바사니(Vijay Basani)의 설명이다. “다중 인증에는 사용자가 지정한 암호와 핸드폰으로 전송되는 숫자 코드가 필요합니다. 그런데 이 숫자 코드는 매번 바뀌기 때문에 해커 입장에서도 참 까다로운 요소가 됩니다.”

나이트라이온시큐리티(Night Lion Security)의 CEO인 비니 트로이아(Vinny Troia)는 이번에 유출된 파일들을 검토하다가 드롭박스에서 나온 파일들도 발견했다며 “여러 서비스에 같은 암호를 사용하는 일반 사용자들의 고질적인 문제점도 이 사건의 중요한 시사점”이라고 짚어낸다. “드롭박스 파일들도 포함된 것을 보면 특정 배우들을 아예 처음부터 노리고 시도한 공격이라고밖에 해석할 수가 없습니다. 그게 아니라면 한 계정을 뚫어내는 데 성공한 해커가 그냥 신이 나서 혹은 기분에 취해 드롭박스에서도 로그인을 시도했다는 가능성밖에 남지 않습니다.”

리버만 소프트웨어(Lieberman Software)의 CEO인 필 리버만(Phil Lieberman)은 이번 공격은 두 단계로 이루어졌다고 주장한다. “첫 번째 공격은 대상 배우들의 이메일 주소를 탈취하는 것을 목표로 하고 있었습니다. 그리고 그 이메일 주소를 가지고 아이클라우드에 두 번째 공격을 감행한 것이죠. 이때 암호를 무한정 넣어볼 수 있게 해주는 아이클라우드의 보안 오류를 악용한 것으로 보입니다.” 결국 브루트포스 형식의 공격이 일어난 것이라고 전제하고 있는 주장이다.

또한 리버만은 애플에는 분명히 IP 주소에 대한 로그가 남아있을 것이라고 주장했다. “애플 계정에 대한 수도 없이 많은, 수상한 로그인 시도가 일어나고 있었는데도 공격자의 정체를 밝히지 못하고 있다는 건 그 공격자가 운이 굉장히 좋거나 애플이 자기 할 일을 제대로 하고 있지 않다는 뜻이 됩니다.” 파이어레이어스(Firelayers)의 보안 엔지니어인 보리스 고린(Boris Gorin)의 말이다.

최근 FBI는 NBC 뉴스를 통해 이번 사건을 조사 중에 있음을 밝힌 바 있다.

ⓒDARKReading

[국제부 문가용 기자(globoan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)