.jpg)
가디언지, 5백만 건 이메일 유출됐다 주장...딜로이트는 “극히 소수다” 주장
관리자 계정에 2중 인증 장치 없어...유출 사실 알아내는 데에도 수개월 걸려
[보안뉴스 문가용 기자] 거대 회계 법인이자 사이버 보안 컨설턴시인 딜로이트(Deloitte)는 작년 10월과 11월 사이에 이메일 유출 사건을 겪었다. 당시 미국의 대기업들과 정부 기관들의 이메일이라는 것이 보도되긴 했으나, 정확히 몇 건인지는 밝혀지지 않았었다. 이 사실을 딜로이트가 파악한 건 올해 3월의 일로, 사건으로부터 4~5개월이 지난 시점이었다.
당시에는 2중 인증 시스템이 갖춰지지 않은 것을 노리고 누군가 네트워크로 침투해 정보를 유출시킨 것이라는 것이 지적되기도 했다. 공격자들은 인증 시스템을 뚫고 계정을 하나 탈취해 높은 권한을 취득하고, 이를 통해 애저에 호스팅된 딜로이트의 전체 이메일 시스템에 마음대로 접근할 수 있었다는 것 역시 수사를 통해 드러났다.
그렇게 한 번 침투한 공격자들은 수개월 동안 네트워크에 숨어서 머물며 여러 정보에 접했을 것이라고 보인다. 영국의 일간지인 가디언지는 “공격자들이 이 기간 동안 5백만 건의 이메일과, 사용자 이름, 비밀번호, 건강 정보, 딜로이트 고객사들의 굉장히 민감한 정보에 접근했을 가능성이 있다”고 보도했다. 하지만 딜로이트는 “5백만은 턱도 없는 숫자”라며 반박했다.
또한 딜로이트는 “공격자들이 이메일 플랫폼으로부터 데이터에 접근했다”며 “수사를 통해 정확히 어떤 정보에 공격자들이 접근했으며 어떤 정보가 유출 가능성을 가지고 있는지 알아냈다”고 주장하기도 했다.
“매우 적은 수의 고객들만 해당 사건으로 영향을 받았습니다. 고객사의 평소 사업에 어떠한 방해거리나 장애가 생긴 것도 아니고, 딜로이트 역시 평상시처럼 회사 운영을 계속해서 할 수 있었습니다.” 딜로이트는 해당 사건을 파악하자마자 정부 기관과 고객사에 연락을 취했다고도 설명했다. 그러나 가디언지나 딜로이트 측 모두 ‘애초에 공격자가 어떻게 관리자 권한 계정을 훔쳐 냈는가’에 대해서는 정확히 설명하지 못하고 있다.
그에 반해 보안 업계 내에서는 ‘보나마나다’라는 목소리들이 비판적으로 나오고 있다. “결국 보안 컨설턴시라는 딜로이트조차 말과 다르게 살아왔다는 것이 드러난 겁니다.” 보안 업체 발빅스(Balbix)의 CEO인 고라브 방가(Gaurav Banga)의 설명이다. “여태까지 드러난 상황을 보면 공격 자체가 매우 심도 있거나 고급화된 건 아닌 것으로 보입니다. 관리자 계정에조차 2중 인증 장치가 없었다는 것, 이메일이 암호화되지 않고 네트워크 내에 저장되어 있었다는 것, 이 두 가지만 해도 요즘의 해커들에겐 매우 쉬운 표적이 됩니다.”
보안 업체 비트글래스(Bitglass)의 CEO 리치 캠파냐(Rich Campagna) 역시 “딜로이트가 사건을 자각하는 데에만 반년 가까운 세월이 걸린 것만 봐도 평소 보안 상태를 알 수 있다”며 “크리덴셜과 관련된 보안 사고는 보안 위생을 평소부터 실천해오지 않는 기업이라면 원래 수개월이 지난 후에야 알아차린다”고 설명한다.
“관리자급 ID가 도용당할 경우, 비정상 행위를 규정하고 탐지해낸다는 게 많이 어려워집니다. 관리자니까 평소처럼 점검하는가보다, 하고 생각할 수 있는 것들이죠. 게다가 딜로이트는 덩치가 큰 회사입니다. 관리자 계정들도 많이 있을 것이고요. 그 계정들을 다 추적하고 모니터링한다는 게 쉬운 일은 아니겠죠.”
외부에 노출되는 계정과 서비스는 반드시 2중 인증 체제로 보호해야 한다는 것이 이번 딜로이트 사태의 교훈이라고 보안 업체 엔드게임(Endgame)의 위협 분석 책임자인 마크 더프레스네(Mark Dufresne)는 말한다. “멀웨어도 하나 검출되지 않았어요. 접근하는 데에 그 어떤 익스플로잇이나 멀웨어조차 필요하지 않았다는 겁니다. 사이버 위생이 취약하다는 것만 노려도 해커들은 딜로이트 같은 큰 기업을 공격할 수 있다는 건 무시무시한 일입니다.”
[국제부 문가용 기자(globoan@boannews.com)]
관리자 계정에 2중 인증 장치 없어...유출 사실 알아내는 데에도 수개월 걸려
[이미지 = iclickart]
당시에는 2중 인증 시스템이 갖춰지지 않은 것을 노리고 누군가 네트워크로 침투해 정보를 유출시킨 것이라는 것이 지적되기도 했다. 공격자들은 인증 시스템을 뚫고 계정을 하나 탈취해 높은 권한을 취득하고, 이를 통해 애저에 호스팅된 딜로이트의 전체 이메일 시스템에 마음대로 접근할 수 있었다는 것 역시 수사를 통해 드러났다.
그렇게 한 번 침투한 공격자들은 수개월 동안 네트워크에 숨어서 머물며 여러 정보에 접했을 것이라고 보인다. 영국의 일간지인 가디언지는 “공격자들이 이 기간 동안 5백만 건의 이메일과, 사용자 이름, 비밀번호, 건강 정보, 딜로이트 고객사들의 굉장히 민감한 정보에 접근했을 가능성이 있다”고 보도했다. 하지만 딜로이트는 “5백만은 턱도 없는 숫자”라며 반박했다.
또한 딜로이트는 “공격자들이 이메일 플랫폼으로부터 데이터에 접근했다”며 “수사를 통해 정확히 어떤 정보에 공격자들이 접근했으며 어떤 정보가 유출 가능성을 가지고 있는지 알아냈다”고 주장하기도 했다.
“매우 적은 수의 고객들만 해당 사건으로 영향을 받았습니다. 고객사의 평소 사업에 어떠한 방해거리나 장애가 생긴 것도 아니고, 딜로이트 역시 평상시처럼 회사 운영을 계속해서 할 수 있었습니다.” 딜로이트는 해당 사건을 파악하자마자 정부 기관과 고객사에 연락을 취했다고도 설명했다. 그러나 가디언지나 딜로이트 측 모두 ‘애초에 공격자가 어떻게 관리자 권한 계정을 훔쳐 냈는가’에 대해서는 정확히 설명하지 못하고 있다.
그에 반해 보안 업계 내에서는 ‘보나마나다’라는 목소리들이 비판적으로 나오고 있다. “결국 보안 컨설턴시라는 딜로이트조차 말과 다르게 살아왔다는 것이 드러난 겁니다.” 보안 업체 발빅스(Balbix)의 CEO인 고라브 방가(Gaurav Banga)의 설명이다. “여태까지 드러난 상황을 보면 공격 자체가 매우 심도 있거나 고급화된 건 아닌 것으로 보입니다. 관리자 계정에조차 2중 인증 장치가 없었다는 것, 이메일이 암호화되지 않고 네트워크 내에 저장되어 있었다는 것, 이 두 가지만 해도 요즘의 해커들에겐 매우 쉬운 표적이 됩니다.”
보안 업체 비트글래스(Bitglass)의 CEO 리치 캠파냐(Rich Campagna) 역시 “딜로이트가 사건을 자각하는 데에만 반년 가까운 세월이 걸린 것만 봐도 평소 보안 상태를 알 수 있다”며 “크리덴셜과 관련된 보안 사고는 보안 위생을 평소부터 실천해오지 않는 기업이라면 원래 수개월이 지난 후에야 알아차린다”고 설명한다.
“관리자급 ID가 도용당할 경우, 비정상 행위를 규정하고 탐지해낸다는 게 많이 어려워집니다. 관리자니까 평소처럼 점검하는가보다, 하고 생각할 수 있는 것들이죠. 게다가 딜로이트는 덩치가 큰 회사입니다. 관리자 계정들도 많이 있을 것이고요. 그 계정들을 다 추적하고 모니터링한다는 게 쉬운 일은 아니겠죠.”
외부에 노출되는 계정과 서비스는 반드시 2중 인증 체제로 보호해야 한다는 것이 이번 딜로이트 사태의 교훈이라고 보안 업체 엔드게임(Endgame)의 위협 분석 책임자인 마크 더프레스네(Mark Dufresne)는 말한다. “멀웨어도 하나 검출되지 않았어요. 접근하는 데에 그 어떤 익스플로잇이나 멀웨어조차 필요하지 않았다는 겁니다. 사이버 위생이 취약하다는 것만 노려도 해커들은 딜로이트 같은 큰 기업을 공격할 수 있다는 건 무시무시한 일입니다.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-16] .jpg)
.jpg)
