.jpg)
스프린트의 서드파티 에이전시에서 청구서 저장된 스토리지 잘못 설정해
클라우드 활용하려면 안전하고 꼼꼼한 보안 장치와 정책부터 마련해야
[보안뉴스 문가용 기자] 거대 통신사인 AT&T, 버라이즌, 티모바일 고객들에게 발송되는 요금 청구서 수십만 통이 인터넷을 통해 고스란히 공개되는 사건이 벌어졌다. 또 다른 대형 통신사인 스프린트의 파트너사 직원이 범한 실수 때문에 벌어진 일이라고 한다.
외신들의 보도에 의하면 문제의 서드파티 업체는 AWS에 마련되어 있던 클라우드 스토리지 버킷을 잘못 설정했다고 한다. 해당 버킷에는 261300 건의 문서들이 저장되어 있었는데, 대부분이 스프린트 고객들에게 발송되는 요금 청구서였다. 그것도 AT&T, 버라이즌, 티모바일 등 경쟁사로부터 이동한 고객들에게 나가는 청구서였다.
요금 청구서는 그 자체로 수많은 정보를 저장하고 있는 문건이다. 이름, 주소, 전화번호, 전화기 이용 내역, 과거 전화비, 문자나 통화 내역 등 각종 사이버 공격과 사기 공격에 필요한 정보들이기도 하다. 심지어 은행 거래 내역서의 복사본이나 통신사 고객의 온라인 사용자 이름, 비밀번호, 계정 PIN이 고스란히 저장된 웹 페이지의 스크린샷이 같이 첨부된 경우도 있었다. 이번에 노출된 청구서 중 가장 오래된 건 2015년에 만들어진 것이었고, 해당 버킷이 인터넷에 노출된 기간은 아직 불분명하다.
이를 제일 먼저 발견한 건 보안 업체 피두스 인포메이션 시큐리티(Fidus Information Security)로, 처음 버킷의 주인을 확실히 알 수가 없어 AWS 측에 해당 사실을 알렸다. AWS는 데이터베이스를 차단했고, 더 이상 인터넷에 연결될 수 없도록 조치를 취했다.
조사를 통해 해당 스토리지의 주인은 디어도프 커뮤니케이션즈(Deardorff Communications)라는 업체라는 사실이 밝혀졌다. 스프린트의 마케팅 에이전시 역할을 하는 회사였다. 디어도프 측에서도 사건을 인지하고, “내부 조사를 진행해 책임 소재를 결정하고, 관련 정책과 상벌 절차를 검토해 적용하겠다”고 발표했다. 또한 현재로서는 문제가 해결된 상태라고도 밝혔다.
이처럼 민감한 정보가 노출되는 클라우드 설정 오류 사건은 너무나 빈번하게 일어난다. 보안 업체 컴포트 AG(comforte AG)의 데이터 보호 책임자 조나단 드보(Jonathan Deveaux)는 “악의적인 사람에 의해 벌어지는 사건은 거의 없고, 대부분 단순 실수 때문에 벌어지는 일”이라고 설명한다. “대단히 기본적인 보안 옵션을 깜빡 잊는 경우가 대다수입니다.”
하지만 그 실수의 근간에는 잘못된 인식과 문화가 있다고 드보는 지적한다. “가장 먼저는 클라우드에 데이터를 넣어뒀으니 모든 보안 책임은 클라우드에 있다고 여기는 것이 잘못됐습니다. 아직 클라우드에서의 보안 책임은 업체와 고객사가 같이 져야 합니다. 또한 보안보다 편리함을 우선시하는 것도 문제입니다. 그러니 클라우드로 간편하게 업무 처리하고 난 뒤에 보안을 생각하지 못하는 겁니다.”
보안 업체 리스크레콘(RiskRecon)의 CEO 켈리 화이트(Kelly White)는 “현대 기업들의 공급망 구조 때문에 클라우드 보안 문제가 더 심각해지고 있다”고 분석한다. “클라우드 데이터베이스를 올바르게 활용하려면 정확하고 안전한 운영 표준을 마련해야 하고, 꼼꼼한 설정 관리 절차와 지속적인 모니터링 체계도 필요합니다. 사건 대응 방안도 갖춰야 하고요.”
그러면서 화이트는 “클라우드를 직접 사용하지 않기로 결정한 기업들이라고 하더라도 이런 점을 인지하고 있어야 한다”고 말한다. “왜냐하면 서드파티 업체들 중 클라우드를 활용하는 곳이 분명히 있을 것이기 때문입니다. 그들의 클라우드 사용 현황도 알아두고, 필요하다면 점검도 할 수 있어야 합니다. 이제는 서드파티 업체의 보안 점검에 클라우드라는 항목도 포함되어야 합니다.”
3줄 요약
1. 대형 통신사 스프린트의 서드파티가 DB 설정 잘못함.
2. 이에 통신사 바꾼 고객들의 요츰 청구서들이 다량으로 노출됨.
3. 청구서에 저장되어 있던 각종 개인정보가 노출됨.
[국제부 문가용 기자(globoan@boannews.com)]
클라우드 활용하려면 안전하고 꼼꼼한 보안 장치와 정책부터 마련해야
[보안뉴스 문가용 기자] 거대 통신사인 AT&T, 버라이즌, 티모바일 고객들에게 발송되는 요금 청구서 수십만 통이 인터넷을 통해 고스란히 공개되는 사건이 벌어졌다. 또 다른 대형 통신사인 스프린트의 파트너사 직원이 범한 실수 때문에 벌어진 일이라고 한다.
[이미지 = iclickart]
외신들의 보도에 의하면 문제의 서드파티 업체는 AWS에 마련되어 있던 클라우드 스토리지 버킷을 잘못 설정했다고 한다. 해당 버킷에는 261300 건의 문서들이 저장되어 있었는데, 대부분이 스프린트 고객들에게 발송되는 요금 청구서였다. 그것도 AT&T, 버라이즌, 티모바일 등 경쟁사로부터 이동한 고객들에게 나가는 청구서였다.
요금 청구서는 그 자체로 수많은 정보를 저장하고 있는 문건이다. 이름, 주소, 전화번호, 전화기 이용 내역, 과거 전화비, 문자나 통화 내역 등 각종 사이버 공격과 사기 공격에 필요한 정보들이기도 하다. 심지어 은행 거래 내역서의 복사본이나 통신사 고객의 온라인 사용자 이름, 비밀번호, 계정 PIN이 고스란히 저장된 웹 페이지의 스크린샷이 같이 첨부된 경우도 있었다. 이번에 노출된 청구서 중 가장 오래된 건 2015년에 만들어진 것이었고, 해당 버킷이 인터넷에 노출된 기간은 아직 불분명하다.
이를 제일 먼저 발견한 건 보안 업체 피두스 인포메이션 시큐리티(Fidus Information Security)로, 처음 버킷의 주인을 확실히 알 수가 없어 AWS 측에 해당 사실을 알렸다. AWS는 데이터베이스를 차단했고, 더 이상 인터넷에 연결될 수 없도록 조치를 취했다.
조사를 통해 해당 스토리지의 주인은 디어도프 커뮤니케이션즈(Deardorff Communications)라는 업체라는 사실이 밝혀졌다. 스프린트의 마케팅 에이전시 역할을 하는 회사였다. 디어도프 측에서도 사건을 인지하고, “내부 조사를 진행해 책임 소재를 결정하고, 관련 정책과 상벌 절차를 검토해 적용하겠다”고 발표했다. 또한 현재로서는 문제가 해결된 상태라고도 밝혔다.
이처럼 민감한 정보가 노출되는 클라우드 설정 오류 사건은 너무나 빈번하게 일어난다. 보안 업체 컴포트 AG(comforte AG)의 데이터 보호 책임자 조나단 드보(Jonathan Deveaux)는 “악의적인 사람에 의해 벌어지는 사건은 거의 없고, 대부분 단순 실수 때문에 벌어지는 일”이라고 설명한다. “대단히 기본적인 보안 옵션을 깜빡 잊는 경우가 대다수입니다.”
하지만 그 실수의 근간에는 잘못된 인식과 문화가 있다고 드보는 지적한다. “가장 먼저는 클라우드에 데이터를 넣어뒀으니 모든 보안 책임은 클라우드에 있다고 여기는 것이 잘못됐습니다. 아직 클라우드에서의 보안 책임은 업체와 고객사가 같이 져야 합니다. 또한 보안보다 편리함을 우선시하는 것도 문제입니다. 그러니 클라우드로 간편하게 업무 처리하고 난 뒤에 보안을 생각하지 못하는 겁니다.”
보안 업체 리스크레콘(RiskRecon)의 CEO 켈리 화이트(Kelly White)는 “현대 기업들의 공급망 구조 때문에 클라우드 보안 문제가 더 심각해지고 있다”고 분석한다. “클라우드 데이터베이스를 올바르게 활용하려면 정확하고 안전한 운영 표준을 마련해야 하고, 꼼꼼한 설정 관리 절차와 지속적인 모니터링 체계도 필요합니다. 사건 대응 방안도 갖춰야 하고요.”
그러면서 화이트는 “클라우드를 직접 사용하지 않기로 결정한 기업들이라고 하더라도 이런 점을 인지하고 있어야 한다”고 말한다. “왜냐하면 서드파티 업체들 중 클라우드를 활용하는 곳이 분명히 있을 것이기 때문입니다. 그들의 클라우드 사용 현황도 알아두고, 필요하다면 점검도 할 수 있어야 합니다. 이제는 서드파티 업체의 보안 점검에 클라우드라는 항목도 포함되어야 합니다.”
3줄 요약
1. 대형 통신사 스프린트의 서드파티가 DB 설정 잘못함.
2. 이에 통신사 바꾼 고객들의 요츰 청구서들이 다량으로 노출됨.
3. 청구서에 저장되어 있던 각종 개인정보가 노출됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
