Home > 전체기사
브라질 최대의 구독 TV 서비스에서 3천만 고객 정보 유출
  |  입력 : 2018-12-04 15:50
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
엘라스틱서치 서버에 온갖 정보 저장해놓고 보호하지 않아
개인정보 28.7GB, API 데이터 429.1GB 노출돼…접속 이력 파악 불가능


[보안뉴스 문가용 기자] 브라질에서 가장 큰 구독 TV 서비스인 스카이 브라질(Sky Brasil)에서 고객 정보가 유출되는 사고가 발생했다. 정보가 저장되어 있는 서버를 보호하지 않아서 엘라스틱서치(ElasticSearch)로 검색했을 때 그대로 노출된다고 한다.

[이미지 = iclickart]


이를 처음 발견한 건 보안 전문가 파비오 카스트로(Fabio Castro)로, 3천 2백만 고객의 정보가 28.7GB에 담겨 있는 것과, 이름, 집 주소, 전화번호, 생년월일, 클라이언트 IP 주소, 지불 방법, 암호화된 비밀번호 등을 드러내는 API 데이터가 429.1GB 노출되어 있는 걸 찾아냈다.

카스트로는 이 사실을 블리핑컴퓨터(Bleeping Computer)에 제보했다. 그러면서 “구독을 신청한 고객의 전체 이름, 이메일 주소, 비밀번호, 구독한 상품 패키지 정보, IP 주소, 개인 주소, 지불 방법 등과 같은 정보를 누구나 쉽게 가져갈 수 있는 상태”라고 설명했다. “뿐만 아니라 고객이 보유하고 있는 장비의 모델명, 일련 번호도 있었습니다. 스카이 브라질이란 플랫폼 전체의 로그 파일도 있었습니다.”

카스트로는 해당 사실을 이미 지난 주에 발견해 스카이 브라질 측에 알렸다. 하지만 스카이 브라질의 서버가 노출된 건 10월 중순부터라고 한다. “그때부터 쇼단을 통해 검색이 가능했던 것으로 보입니다. 지금까지 누가 이 정보에 접근했는지 알 수가 없습니다. 대신 스카이 브라질 측은 해당 서버에 월요일부터 비밀번호를 걸어두기 시작했습니다.”

보안 업체 뉴데이터 시큐리티(NuData Security)의 부회장인 라이언 윌크(Ryan Wilk)는 “해킹 사고가 아닌데도 정보가 유출되는 사건이 올해 유독 잦게 터진다”며 “이 때문에 암시장으로 넘어간 개인식별정보가 꽤나 많을 것으로 예상된다”고 말한다.

“스카이 브라질을 믿고 자신의 정보를 맡긴 고객들은 뒤통수를 맞은 것이나 다름없습니다. 그 전에는 딥루트(Deep Root), data.gov.uk, WWE 등에서도 유사한 사건이 발생했죠. 이런 기회가 얼마나 많은지 고급 해킹 스킬이 필요한 것도 아닙니다. 개인정보를 가지고 벌일 수 있는 ‘후속 범죄’에 더 집중하면 되는 게 요즘 사이버 범죄자들의 여건입니다.”

그러면서 윌크는 “이미 기초적인 컴퓨터 스킬만 가지고도 금융 사기를 칠 수 있는 시대로 넘어왔다”고 설명한다. “뿐만 아니라 신원 관련 사기도 빈번하게 발생하고 있죠. 범죄에 있어 기술력이 크게 요구되지 않기 때문입니다. 왜? 우리가 재료들을 그냥 가져다 바쳐주니까요.”

윌크는 “고객의 개인정보를 맡아 관리하는 업체라면 보안에 대해 진지하게 생각해야 한다”며 “데이터를 보호하는 많은 방법들이 고안되어 있으니 가장 맞는 걸 고르고 적용하는 게 최소한의 책임이자 도리”라고 강조했다.

“결국 정보가 바로 고객이며, 각종 장비와 서비스 뒤에 있는 것도 사람이라는 걸 이해해야 합니다. 그에 대한 이해도가 데이터 보호 노력으로 이어집니다.” 그러면서 윌크는 “데이터가 다른 사람의 손에 넘어갔을 경우 쓸모 없도록 만드는 기술만큼은 반드시 적용하는 것이 좋다”고 권고했다.

한편 이 사건과 별개로 엘라스틱서치를 통해 5천 7백만 명의 미국 시민들의 정보가 노출되는 사건도 벌어진 바 있다. 런던의 어반 메시지(Urban Message)라는 앱에서는 30만 명의 사용자 정보가 유출되기도 했다. 고객들의 정보 유출 피해가 끊임없이 발생하고 있다.

3줄 요약
1. 엘라스틱서치 서버 관리 부실로 브라질 TV 서비스 업체에서 다량의 정보 유출됨.
2. 서버에 비밀번호조차 걸려있지 않았던 것. 이번 주 월요일부터 시정됨.
3. 정보가 곧 고객 그 자체라는 인지 있어야 제대로 된 정보보호 가능.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지IBM 파워비즈 배너 2019년2월8일~2020년2월7일까지/7월25일 수정위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
2020년 경자년에 국내 주요 보안기업들과 보안관련 기관들이 공통적으로 꼽은 7가지 보안위협 가운데 가장 주목되는 분야는?
랜섬웨어
공급망 공격
클라우드
악성메일
IoT
다크웹
AI
기타(댓글로)