Home > 전체기사
페이스북 해킹! 5천만 명 사용자의 계정 토큰 도난당해
  |  입력 : 2018-09-29 12:53
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
페이스북의 View As 기능 통해 접근한 해커들, 토큰 훔쳐내
영향을 입은 5천만 명만이 아니라 View As 기능 사용한 4천만 명에도 조치


[보안뉴스 문가용 기자] 페이스북이 현지 시각으로 9월 28일, 대단위 해킹 사고가 발생했다고 발표했다. 이 때문에 약 5천만 명이 피해를 본 것으로 밝혀졌다.

[이미지 = iclickart]


해커들이 공격한 오류는 페이스북의 View As 기능에 있었다. View As 기능은, 페이스북 사용자들이 자신의 페이스북 프로파일이 타인의 눈에 어떻게 보이는지 확인할 수 있게 해주는 것이다. 하지만 여기서 버그를 발견한 해커들은 페이스북의 접근 토큰을 훔쳐내는 데 성공했다. 이 토큰이 있으면 계정을 장악하는 게 가능하다. 접근 토큰은 사용자들의 로그인 상태를 유지하는 데 있어 ‘디지털 열쇠’의 역할을 한다. 이게 있기 때문에 사용자들은 페이스북을 켤 때마다 로그인을 하지 않아도 된다.

페이스북은 이 취약점을 수정하고, 유관기관에 해킹 사실을 보고했다. 문제를 더 파악하는 동안 View As 기능을 잠시 중단시키기도 했다.

수사는 아직까지도 진행 중이다. 페이스북은 “여태까지 분석된 바에 의하면 작년 7월에 변경된 영상 업로딩 기능에서부터 공격이 시작된 것으로 보인다”고 설명했다. 이 변경 때문에 View As 기능에도 영향이 있었다고 한다. “공격자들은 먼저 이 버그를 발견하고, 이 버그를 통해 접근 토큰 하나를 훔친 후, 해당 계정을 중심으로 추가적인 공격을 펼쳐 다른 계정의 토큰들도 훔쳐낸 것으로 보입니다.”

페이스북의 제품 관리 부문 부회장인 가이 로젠(Guy Rosen)은 블로그를 통해 “이것 때문에 사용자들이 비밀번호를 변경할 필요는 없다”고 말했다. 페이스북이 이번 사건을 통해 영향을 받은 5천만 명의 페이스북 계정의 보안 토큰을 리셋시켰기 때문이다. 뿐만 아니라 View As 기능을 통해 프로파일을 열람한 경험이 있는 사용자 4천만 명의 계정에도 같은 조치를 취했다.

그러므로 20억에 달하는 페이스북 사용자들 중 약 9천만 명이 계정 로그인을 새롭게 해야 한다. 페이스북 계정을 가지고 로그인을 하는 모든 웹 서비스와 앱들도 마찬가지다. 새로 로그인을 하면 이번 해킹 사고와 관련된 공지 사항이 나타나는 걸 볼 수 있을 것이다.

로젠은 “앞으로의 조사 과정에서 페이스북이 더 많은 피해 계정을 발견할 경우, 접근 토큰을 곧바로 리셋시킬 것”이라고 약속했다. 혹시나 하는 마음에 로그아웃을 하고자 한다면, 페이스북의 Security and Login 옵션을 통해 로그인 되어 있는 모든 웹 서비스와 장비들을 확인할 수 있다.

아직 이 사건에 대한 수사는 초기 과정에 있다. 그러므로 페이스북은 “아직 이 공격을 실시한 자가 누구인지 파악하지 못하고 있다”고 한다. 하지만 페이스북의 사용자 5천만 명이 해킹을 당했다는 소식은 다른 산업의 전문가들을 놀라게 하고 있는 듯하다. 특히 View As 기능에서의 버그를 진작 발견하지 못한 것을 이해할 수 없다는 반응이다.

보안 업체 콤패리테크(Comparitech)의 프라이버시 고문인 폴 비쇼프(Paul Bischoff)는 “페이스북처럼 인기가 높은 서비스도 없는데, 페이스북 내부 보안 전문가들은 물론이고 외부의 수많은 화이트 해커들이 이 문제를 한 번도 발견한 적 없다는 게 놀라울 뿐”이라고 말했다. 그러면서 “이 문제가 얼마나 오래된 것인지, 해커들은 어느 시점에 이 버그를 발견한 것인지가 궁금하다”고 덧붙였다.

3줄 요약
1. 페이스북 해킹 당해 5천만 명 사용자가 피해 입다.
2. 해커들은 View As 기능에서 오류 발견해 계정 접근 토큰을 훔쳐냈다.
3. 아직 수사는 초기 단계. 공격 배후에 대해서는 아직 알려지지 않음.

[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
IBM 파워비즈 배너 2019년2월8일~2020년2월7일까지모니터랩 파워비즈 5월 31일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
신기술이 무서운 속도로 등장하고 있습니다. 가장 시급히 보안 장치/정책/규정규정/표준이 도입되어야 하는 분야는 무엇이라고 생각하십니까?
클라우드와 컨테이너
SDN(소프트웨어 정의 네트워크)
인공지능과 자동화
블록체인
소셜 미디어
기타(댓글로)
      

코오롱베니트
CCTV

인콘
통합관제 / 소방방재

현대틸스
팬틸트 / 카메라

코맥스
홈시큐리티 / CCTV

시큐인포
CCTV / NVR

한화테크윈
CCTV 카메라 / 영상감시

티제이원
PTZ 카메라

대명코퍼레이션
DVR / IP카메라

동양유니텍
IR PTZ 카메라

하이크비전 코리아
CCTV / IP / NVR

한국하니웰
CCTV / DVR

원우이엔지
줌카메라

포소드
CCTV / 통합관제

다후아 코리아
CCTV / DVR

씨앤비텍
통합보안솔루션

지케이테코
출입통제 / 얼굴인식

아이디스
DVR / IP / VMS

보쉬시큐리티시스템즈
CCTV / 영상보안

이화트론
DVR / IP / CCTV

경인씨엔에스
CCTV / 자동복구장치

테크스피어
손혈관 / 차량하부 검색기

트루엔
IP 카메라

슈프리마
출입통제 / 얼굴인식

에스카
CCTV / 영상개선

두현
DVR / CCTV / IP

테크어헤드
얼굴인식 소프트웨어

옵티언스
IR 투광기

엔토스정보통신
DVR / NVR / CCTV

구네보코리아
보안게이트

비전정보통신
IP카메라 / VMS / 폴

디케이솔루션
메트릭스 / 망전송시스템

씨오피코리아
CCTV 영상 전송장비

KPN
안티버그 카메라

세종텔레콤
스마트케어 서비스

진명아이앤씨
CCTV / 카메라

티에스아이솔루션
출입 통제 솔루션

아이엔아이
울타리 침입 감지 시스템

에프에스네트웍스
스피드 돔 카메라

엔클라우드
VMS / 스위치

케이제이테크
지문 / 얼굴 출입 통제기

사라다
지능형 객체 인식 시스템

알에프코리아
무선 브릿지 / AP

신우테크
팬틸드 / 하우징

일산정밀
CCTV / 부품 / 윈도우

엘림광통신
광전송링크

이노뎁
VMS

새눈
CCTV 상태관리 솔루션

창우
폴대

케이티앤씨
CCTV / 모듈 / 도어락

유시스
CCTV 장애관리 POE

지에스티엔지니어링
게이트 / 스피드게이트

인터코엑스
영상 관련 커넥터

두레옵트로닉스
카메라 렌즈

씨큐리티에비던스
카메라

유진시스템코리아
팬틸트 / 하우징

대산시큐리티
CCTV 폴 / 함체 / 랙

더케이
투광기 / 차량번호인식

글로넥스
카드리더 / 데드볼트

포커스에이치앤에스
지능형 / 카메라

휴컴스
PTZ 카메라 / 줌카메라

카티스
출입통제 / 외곽경비

세환엠에스
시큐리티 게이트

대원전광
렌즈

유니온커뮤니티
생체인식 / 출입통제

화인박스
콘트롤박스 / 배전향