.jpg)
.jpg)
인터넷에 연결되어 있으면서 아무런 인증 장치도 없어
몽고DB의 올바른 사용법과 개인정보에 대한 인식 제고 동시에 필요
[보안뉴스 문가용 기자] 멕시코의 의료 환자 2백만 명의 정보가 담겨 있는 몽고DB(MongoDB) 데이터베이스가 인터넷에 공개된 채 관리되고 있는 것이 발견됐다. 이로써 민감한 환자의 정보들이 유출됐을 가능성이 높아졌다.
2018년 8월 3일 보안 전문가 밥 디아첸코(Bob Diachenko)는 한 데이터베이스를 발견했다. 문제의 데이터베이스였다. 안에는 2,373,764명의 멕시코 환자들의 이름, 멕시코 시민들에게 부여되는 고유 번호인 CURP 번호, 보험 상품 번호, 만기 일자. 생년월일, 집 주소, 장애 여부 등의 민감한 정보가 담겨 있었다. 관리자 계정과 이메일에 대한 비밀번호도 있었는데, 이는 해시 및 솔트 처리가 되어 있었다.
이 데이터베이스를 쇼단으로 검색했을 때도 발견이 가능했다. 즉, 쇼단으로 검색만하면 아무런 비밀번호 입력이나 인증 과정 없이도 데이터베이스에 접속해 해당 정보를 열람하는 게 가능했다는 소리다. 전부 멕시코의 미초아칸 주와 관련이 있는 정보였으나, 아직 누가 데이터베이스를 이렇게 전체 공개로 열어두었는지는 파악하기 힘들다.
디아첸코는 해당 데이터베이스나 정보가 호바 헬스(Hova Health)라는 기업이 소유하고 있는 것으로 보고 있다. 호바 헬스는 원격 의료 지원 회사로, 두 가지 부문에서 특화된 모습을 보인다. 하나는 원격 의료이고 다른 하나는 의료 분야를 위한 소프트웨어 개발이다.
디아첸코는 “몽고DB와 관련된 문제는 아무리 넉넉히 잡아도 2013년 3월부터 알려져 왔다”며 “몽고DB 측은 여러 보안 장치들과 가이드라인을 배포해오고 있다”고 설명했다. “그렇게 5년이라는 시간이 흘러왔는데도 아직도 아무렇게나 설정되어 인터넷에 활짝 열린 몽고DB를 찾을 수 있다는 건 정말 놀라운 일이 아닐 수 없습니다. 지금도 쇼단으로 검색해보면 이런 DB가 약 5만 4천개나 있습니다.”
보안 업체 시놉시스(Synopsys)의 수석 컨설턴트인 데이비드 요한슨(David Johansson)은 “앞으로도 이런 사고는 자주 발생할 것”이라고 예상한다. “몇 년 전에 멕시코 유권자 정보가 이런 식으로 유출된 바 있습니다. 그 때 9천 3백 4십만 명의 정보가 새나갔죠. 몽고DB 환경설정을 잘못해서요. 사실 몽고DB는 생산 환경이나 민감한 정보가 많이 유통되는 환경에서는 디폴트 상태 그대로 쓰기 부적합합니다. 이걸 더 알릴 필요가 있습니다.”
어떤 점이 ‘부적합’할 정도로 안전하지 못한 것일까? “데이터베이스 서버가 디폴트 상 모든 네트워크 인터페이스에 노출되어 있습니다. 즉 이 서버를 인터넷에 연결만 시키면 해커가 아무런 노력 없이 직접 침투하는 게 가능하다는 뜻이죠. 또한 디폴트 상으로는 인증 과정도 없습니다. 이런 디폴트 세팅을 전부 바꿔주는 게 올바른 사용법입니다.”
요한슨은 “이 두 가지가 가장 치명적이고 중요한 점”이라고 강조한다. “몽고DB를 설치할 때 반드시 이 두 가지를 기억하고 손보셔야 합니다. 그래야만 귀중한 정보가 남의 손에 넘어가는 일을 막을 수 있습니다.”
보안 업체 뉴데이터 시큐리티(Nudata Security)의 부회장인 라이언 윌크(Ryan Wilk)는 “이번 사건을 통해 의료 정보가 노출됐다는 것을 간과해서는 안 된다”는 의견이다. “의료 정보가 덧붙은 개인식별 정보는 가장 민감한 정보 중 하나입니다. 사이버 범죄자들의 스피어 피싱 공격이나 협박, 아이덴티티 사기 범죄를 보다 효과적으로 만들어줍니다. 그런데 멕시코 의료 기관의 데이터베이스는 비밀번호 설정도 되어 있지 않았습니다. 데이터의 민감성에 대한 인식도 같이 자라나야 할 것입니다.”
한편 문제의 데이터베이스가 어느 정도 기간 동안 노출되어 있었는지, 누가 설정에 책임을 물어야 하는지, 피해 보상은 어떤 식으로 이뤄질 것인지는 아직 결론이 나지 않은 상태다.
3줄 요약
1. 멕시코 환자 2백만 명의 민감한 개인정보 담긴 데이터베이스, 노출된 상태로 발견.
2. 몽고DB는 디폴트 그대로 쓸 경우 안전과 거리 멀어, 사용법 교육 필요.
3. 개인정보의 귀중함에 대한 인식 제고도 병행되어야 함.
[국제부 문가용 기자(globoan@boannews.com)]
몽고DB의 올바른 사용법과 개인정보에 대한 인식 제고 동시에 필요
[보안뉴스 문가용 기자] 멕시코의 의료 환자 2백만 명의 정보가 담겨 있는 몽고DB(MongoDB) 데이터베이스가 인터넷에 공개된 채 관리되고 있는 것이 발견됐다. 이로써 민감한 환자의 정보들이 유출됐을 가능성이 높아졌다.
[이미지 = iclickart]
2018년 8월 3일 보안 전문가 밥 디아첸코(Bob Diachenko)는 한 데이터베이스를 발견했다. 문제의 데이터베이스였다. 안에는 2,373,764명의 멕시코 환자들의 이름, 멕시코 시민들에게 부여되는 고유 번호인 CURP 번호, 보험 상품 번호, 만기 일자. 생년월일, 집 주소, 장애 여부 등의 민감한 정보가 담겨 있었다. 관리자 계정과 이메일에 대한 비밀번호도 있었는데, 이는 해시 및 솔트 처리가 되어 있었다.
이 데이터베이스를 쇼단으로 검색했을 때도 발견이 가능했다. 즉, 쇼단으로 검색만하면 아무런 비밀번호 입력이나 인증 과정 없이도 데이터베이스에 접속해 해당 정보를 열람하는 게 가능했다는 소리다. 전부 멕시코의 미초아칸 주와 관련이 있는 정보였으나, 아직 누가 데이터베이스를 이렇게 전체 공개로 열어두었는지는 파악하기 힘들다.
디아첸코는 해당 데이터베이스나 정보가 호바 헬스(Hova Health)라는 기업이 소유하고 있는 것으로 보고 있다. 호바 헬스는 원격 의료 지원 회사로, 두 가지 부문에서 특화된 모습을 보인다. 하나는 원격 의료이고 다른 하나는 의료 분야를 위한 소프트웨어 개발이다.
디아첸코는 “몽고DB와 관련된 문제는 아무리 넉넉히 잡아도 2013년 3월부터 알려져 왔다”며 “몽고DB 측은 여러 보안 장치들과 가이드라인을 배포해오고 있다”고 설명했다. “그렇게 5년이라는 시간이 흘러왔는데도 아직도 아무렇게나 설정되어 인터넷에 활짝 열린 몽고DB를 찾을 수 있다는 건 정말 놀라운 일이 아닐 수 없습니다. 지금도 쇼단으로 검색해보면 이런 DB가 약 5만 4천개나 있습니다.”
보안 업체 시놉시스(Synopsys)의 수석 컨설턴트인 데이비드 요한슨(David Johansson)은 “앞으로도 이런 사고는 자주 발생할 것”이라고 예상한다. “몇 년 전에 멕시코 유권자 정보가 이런 식으로 유출된 바 있습니다. 그 때 9천 3백 4십만 명의 정보가 새나갔죠. 몽고DB 환경설정을 잘못해서요. 사실 몽고DB는 생산 환경이나 민감한 정보가 많이 유통되는 환경에서는 디폴트 상태 그대로 쓰기 부적합합니다. 이걸 더 알릴 필요가 있습니다.”
어떤 점이 ‘부적합’할 정도로 안전하지 못한 것일까? “데이터베이스 서버가 디폴트 상 모든 네트워크 인터페이스에 노출되어 있습니다. 즉 이 서버를 인터넷에 연결만 시키면 해커가 아무런 노력 없이 직접 침투하는 게 가능하다는 뜻이죠. 또한 디폴트 상으로는 인증 과정도 없습니다. 이런 디폴트 세팅을 전부 바꿔주는 게 올바른 사용법입니다.”
요한슨은 “이 두 가지가 가장 치명적이고 중요한 점”이라고 강조한다. “몽고DB를 설치할 때 반드시 이 두 가지를 기억하고 손보셔야 합니다. 그래야만 귀중한 정보가 남의 손에 넘어가는 일을 막을 수 있습니다.”
보안 업체 뉴데이터 시큐리티(Nudata Security)의 부회장인 라이언 윌크(Ryan Wilk)는 “이번 사건을 통해 의료 정보가 노출됐다는 것을 간과해서는 안 된다”는 의견이다. “의료 정보가 덧붙은 개인식별 정보는 가장 민감한 정보 중 하나입니다. 사이버 범죄자들의 스피어 피싱 공격이나 협박, 아이덴티티 사기 범죄를 보다 효과적으로 만들어줍니다. 그런데 멕시코 의료 기관의 데이터베이스는 비밀번호 설정도 되어 있지 않았습니다. 데이터의 민감성에 대한 인식도 같이 자라나야 할 것입니다.”
한편 문제의 데이터베이스가 어느 정도 기간 동안 노출되어 있었는지, 누가 설정에 책임을 물어야 하는지, 피해 보상은 어떤 식으로 이뤄질 것인지는 아직 결론이 나지 않은 상태다.
3줄 요약
1. 멕시코 환자 2백만 명의 민감한 개인정보 담긴 데이터베이스, 노출된 상태로 발견.
2. 몽고DB는 디폴트 그대로 쓸 경우 안전과 거리 멀어, 사용법 교육 필요.
3. 개인정보의 귀중함에 대한 인식 제고도 병행되어야 함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
