.jpg)
웹 기반 샌드박스 분석 플랫폼 사이트, 다수의 개인정보 유출 정황 포착
공개된 웹 상에서의 개인정보 유출 사고, 지속적으로 발생
[보안뉴스 원병철 기자] 사용자가 ‘악성파일’인지 확인하기 위해 사용하는 ‘웹 기반 샌드박스 분석 플랫폼’에서 다수의 개인정보가 유출된 정황이 포착됐다. 특히, 글로벌 사이트임에도 불구하고 유출된 자료에는 한국인 자료가 다수 포함된 것으로 알려졌다.
순천향대 SCH사이버보안연구센터(센터장 염흥열 교수)는 웹 기반 샌드박스 분석 플랫폼 사이트 A(이하 ‘A 플랫폼’)에서 민감한 개인정보가 포함된 파일이 다수 유출된 정황이 포착됐다고 밝혔다. A 플랫폼은 사용자가 업로드한 파일에 대한 악성유무의 분석결과를 알려준다. 분석결과는 Public으로 공개되어 플랫폼을 이용하는 사람들이 모두 열람할 수 있으며, 샘플을 다운로드 할 수도 있다.
예를 들면, 기업의 인사과에서 일하는 B씨는 사내 보안교육을 통해 의심스런 이메일의 첨부파일을 잘못 열 경우 악석코드에 감염될 수 있다는 것을 알고 난 후, 이력서를 받으면 무조건 A 플랫폼에 업로드해 악성 여부를 검사한다. 그런데 A 플랫폼은 이 업로드한 파일을 다른 사용자에게 ‘샘플’이라며 다운로드 받을 수 있게 한 것이다. 물론 이 샘플은 악성파일일 수도 있지만, 실제 이력서일 수도 있다. 이번에 발견된 개인정보 파일이 바로 이러한 경우다.
이번에 발견한 민감정보가 포함된 문서는 이력서, 견적서, 공무원증, 등록금 영수증, 청구서, 판결문, 공문 등 다양했다. 유출된 문서 일부에는 이름, 주민등록번호, 휴대폰 번호, 학력 등 개인을 식별할 수 있는 정보들이 포함되어 있었다. 이러한 문서들이 업로드된 날짜는 2018년부터 최근까지도 꾸준히 업로드됐으며, 굉장히 오랫동안 방치돼 왔던 것으로 드러났다.
유출된 정보들은 도용 및 피싱 공격과 같이 악용되어 2차 피해를 유발할 수 있으며, 이미 2차 피해가 발생했을 가능성이 농후하다. 과거 발생했던 바이러스토탈(VirusTotal)에서의 정보 유출 사고와 유사한 과정으로 유출됐으나, 바이러스토탈의 경우 유료 회원에게만 샘플 다운로드 권한이 있지만, A 플랫폼은 회원가입만 한다면 모든 분석결과를 열람하고 샘플을 다운로드할 수 있다.
개인정보가 유출되는 과정은 다음과 같다.
① 사용자는 파일의 악성 여부를 판단하기 위해, A 플랫폼과 같은 서비스를 이용하여 개인정보가 포함된 파일을 업로드한다.
② 분석 서버에서 분석한 결과와 샘플에 대한 정보를 반환해준다.
③ 회원가입만 한다면 업로드된 샘플을 다운로드하고 분석결과를 열람할 수 있다.
SCH사이버보안연구센터에 따르면, 현재까지 발견한 개인정보가 포함된 분석결과들은 A 플랫폼 측에 삭제요청을 해 삭제가 된 상태다. SCH사이버보안연구센터 차현석 연구생은 “악성코드 샘플 공유 사이트에서 개인정보가 유출된 사고는 이번이 처음이 아니”라며, “플랫폼의 정책에 따라 다르겠지만, 대부분의 웹 기반 악성코드 분석 플랫폼의 경우 업로드한 파일이 모든 사람들에게 공개된다는 점을 명백히 인지해야 하며, 분석 목적이 아니더라도 개인정보가 포함된 파일을 외부에 업로드할 땐 주의를 기울여야 한다”고 조언했다. 또한, 그는 “분석 플랫폼을 운영하는 입장에선, 업로드된 파일에 민감한 정보가 포함되어 있는지, 이를 검증하는 로직이 필요하다”고 강조했다.
[원병철 기자(boanone@boannews.com)]
공개된 웹 상에서의 개인정보 유출 사고, 지속적으로 발생
[보안뉴스 원병철 기자] 사용자가 ‘악성파일’인지 확인하기 위해 사용하는 ‘웹 기반 샌드박스 분석 플랫폼’에서 다수의 개인정보가 유출된 정황이 포착됐다. 특히, 글로벌 사이트임에도 불구하고 유출된 자료에는 한국인 자료가 다수 포함된 것으로 알려졌다.
▲유출된 한국인 개인정보들. 경찰 공무원증과 군경력확인서에는 이름과 소속, 연락처와 이메일은 물론 생년월일과 주민등록번호까지 포함됐다[자료=순천향대 SCH사이버보안연구센터]
순천향대 SCH사이버보안연구센터(센터장 염흥열 교수)는 웹 기반 샌드박스 분석 플랫폼 사이트 A(이하 ‘A 플랫폼’)에서 민감한 개인정보가 포함된 파일이 다수 유출된 정황이 포착됐다고 밝혔다. A 플랫폼은 사용자가 업로드한 파일에 대한 악성유무의 분석결과를 알려준다. 분석결과는 Public으로 공개되어 플랫폼을 이용하는 사람들이 모두 열람할 수 있으며, 샘플을 다운로드 할 수도 있다.
예를 들면, 기업의 인사과에서 일하는 B씨는 사내 보안교육을 통해 의심스런 이메일의 첨부파일을 잘못 열 경우 악석코드에 감염될 수 있다는 것을 알고 난 후, 이력서를 받으면 무조건 A 플랫폼에 업로드해 악성 여부를 검사한다. 그런데 A 플랫폼은 이 업로드한 파일을 다른 사용자에게 ‘샘플’이라며 다운로드 받을 수 있게 한 것이다. 물론 이 샘플은 악성파일일 수도 있지만, 실제 이력서일 수도 있다. 이번에 발견된 개인정보 파일이 바로 이러한 경우다.
이번에 발견한 민감정보가 포함된 문서는 이력서, 견적서, 공무원증, 등록금 영수증, 청구서, 판결문, 공문 등 다양했다. 유출된 문서 일부에는 이름, 주민등록번호, 휴대폰 번호, 학력 등 개인을 식별할 수 있는 정보들이 포함되어 있었다. 이러한 문서들이 업로드된 날짜는 2018년부터 최근까지도 꾸준히 업로드됐으며, 굉장히 오랫동안 방치돼 왔던 것으로 드러났다.
유출된 정보들은 도용 및 피싱 공격과 같이 악용되어 2차 피해를 유발할 수 있으며, 이미 2차 피해가 발생했을 가능성이 농후하다. 과거 발생했던 바이러스토탈(VirusTotal)에서의 정보 유출 사고와 유사한 과정으로 유출됐으나, 바이러스토탈의 경우 유료 회원에게만 샘플 다운로드 권한이 있지만, A 플랫폼은 회원가입만 한다면 모든 분석결과를 열람하고 샘플을 다운로드할 수 있다.
개인정보가 유출되는 과정은 다음과 같다.
① 사용자는 파일의 악성 여부를 판단하기 위해, A 플랫폼과 같은 서비스를 이용하여 개인정보가 포함된 파일을 업로드한다.
② 분석 서버에서 분석한 결과와 샘플에 대한 정보를 반환해준다.
③ 회원가입만 한다면 업로드된 샘플을 다운로드하고 분석결과를 열람할 수 있다.
SCH사이버보안연구센터에 따르면, 현재까지 발견한 개인정보가 포함된 분석결과들은 A 플랫폼 측에 삭제요청을 해 삭제가 된 상태다. SCH사이버보안연구센터 차현석 연구생은 “악성코드 샘플 공유 사이트에서 개인정보가 유출된 사고는 이번이 처음이 아니”라며, “플랫폼의 정책에 따라 다르겠지만, 대부분의 웹 기반 악성코드 분석 플랫폼의 경우 업로드한 파일이 모든 사람들에게 공개된다는 점을 명백히 인지해야 하며, 분석 목적이 아니더라도 개인정보가 포함된 파일을 외부에 업로드할 땐 주의를 기울여야 한다”고 조언했다. 또한, 그는 “분석 플랫폼을 운영하는 입장에선, 업로드된 파일에 민감한 정보가 포함되어 있는지, 이를 검증하는 로직이 필요하다”고 강조했다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
