.jpg)
한 두어 시간 검색으로 찾아낸 구글 클라우드 버킷이 2천여 개
이 중 6%가 설정 잘못되어 있어...각종 민감 정보와 개인정보가 노출돼
[보안뉴스 문가용 기자] 구글 클라우드(Google Cloud)의 버킷들 중 6%가 설정 오류로 인터넷에 열려진 채 운영되는 것이 발견됐다. 보안 업체 콤패리테크(Comparitech)에 의하면 2064개의 구글 클라우드 버킷들 중 131개가 공개된 상태였다고 하며 누구나 접속해 정보를 다운로드 받고 업로드할 수 있었다고 한다. 약 6000개의 여권 사본과 인도 아이들의 출생증명서, 러시아 웹 개발자의 크리덴셜 및 채팅 로그와 같은 개인정보가 가득 담겨 있었다.
콤패리테크의 연구원인 폴 비쇼프(Paul Bischoff)는 자사 블로그를 통해 “기밀 파일, 데이터베이스, 소스코드, 크리덴셜 등이 담겨 있는 버킷들이었다”고 밝혔다. 문제는 구글 클라우드의 경우 ‘이름을 짓는 규칙’이 따로 정해져 있어 버킷을 찾아내는 게 매우 쉽다는 것이라고 비쇼프는 강조했다. “구글 클라우드 DB 이름은 3~63글자 사이에서 소문자와 숫자, 대쉬, 밑줄, 점으로만 만들어져야 합니다. 빈 칸이 있으면 안 되고 첫 글자와 끝 글자가 숫자나 글자로만 되어있어야 합니다. 그렇기 때문에 특수한 도구만 있으면 검색이 쉽게 됩니다.”
콤패리테크 측은 알렉사 선정 최고 웹사이트 100개의 도메인 이름들을 먼저 검색했다고 한다. 이 때 버킷에 흔히 붙는 글자인 bak, db, database, users와 같은 단어를 혼합했다. “이렇게 해서 나온 결과물을 구글 클라우드의 이름 붙이기 규칙에 따라 걸렀습니다. 그랬더니 약 2천 개의 버킷을 찾아낼 수 있었습니다. 여기까지 오는 데 걸린 시간은 불과 2시간 30분이었습니다. 조금 더 정교하게 작업을 했다면 비슷한 시간에 더 많은 도메인을 찾아낼 수 있었을 겁니다. 공격자라면 그렇게 했을 겁니다. 더 시간을 들이기도 했을 거고요.”
이번 조사의 경우 연구 대상이 구글 클라우드의 버킷들이라 여기에서만 문제가 있는 것처럼 보이지만, 다른 공공 클라우드 플랫폼들도 설정 오류로 인한 어려움을 겪고 있다. 특히 아마존의 S3 버킷에서는 이런 사고가 자주 발생한다. 보안 업체 레드 카나리아(Red Canary)의 부회장인 조 몰즈(Joe Moles)는 트위터를 통해 “코로나로 인해 클라우드에 대한 의존도가 높아졌고, 그러면서 탈중앙화 된 아키텍처가 많이 사용되는 때”라며 “이런 때는 클라우드를 사용하는 모든 조직이 안전에 대한 교육을 철저히 진행할 책임이 있다”고 강조했다. 그러면서 “평소 보안 문화가 성숙하지 못한 곳들에서 클라우드 설정 사고가 터지는 경향이 있다”고 지적하기도 했다.
최근 들어서까지 클라우드 설정 오류로 인한 개인정보 유출 사고는 끊임없이 일어나고 있다. 9월만 해도 레이저(Razer)라는 대형 게이밍 장비 제조사에서 엘라스틱서치(Elasticsearch) 서버를 잘못 설정해 10만 명의 개인정보가 유출됐었다. 게다가 70개의 데이팅 및 온라인 상거래 사이트들이 비슷한 오류 때문에 민감 정보와 개인 식별 정보를 대량으로 노출시키기도 했다. 웨일스의 의료보험기구에서도 공공 클라우드에 코로나 확진자의 개인 식별 정보를 업로드하는 해프닝을 벌이기도 했다. 이 사건 모두 9월 한 달 안에 벌어진 일들이다.
보안 업체 쓰레트쿼션트(ThreatQuotient)의 CTO인 라이언 트로스트(Ryan Trost)는 개인 트위터를 통해 “코로나로 재택 근무자가 많아진 때에 설정 오류 문제는 더 치명적으로 작용할 수 있다”고 경고했다. 또한 공격자들도 이 사실을 알고 적극 공략할 것이라고 덧붙이기도 했다. “코로나로 인해 많은 조직들이 준비 기간 없이 클라우드로 대거 이동했습니다. 그러면서 클라우드의 안전한 사용에 관해 제대로 전달받지 못했고, 그렇기 때문에 더 많은 사고가 예고되어 있습니다. 아직 시한폭탄이 제대로 터지지 않은 느낌입니다.”
3줄 요약
1. 구글 클라우드 버킷 6%에서 설정 오류 발견됨.
2. 각종 민감 정보와 개인 식별 정보가 가득 저장되어 있었던 상황.
3. 코로나 시대에 클라우드 설정 오류는 더 치명적으로 작용할 것.
[국제부 문가용 기자(globoan@boannews.com)]
이 중 6%가 설정 잘못되어 있어...각종 민감 정보와 개인정보가 노출돼
[보안뉴스 문가용 기자] 구글 클라우드(Google Cloud)의 버킷들 중 6%가 설정 오류로 인터넷에 열려진 채 운영되는 것이 발견됐다. 보안 업체 콤패리테크(Comparitech)에 의하면 2064개의 구글 클라우드 버킷들 중 131개가 공개된 상태였다고 하며 누구나 접속해 정보를 다운로드 받고 업로드할 수 있었다고 한다. 약 6000개의 여권 사본과 인도 아이들의 출생증명서, 러시아 웹 개발자의 크리덴셜 및 채팅 로그와 같은 개인정보가 가득 담겨 있었다.
[이미지 = utoimage]
콤패리테크의 연구원인 폴 비쇼프(Paul Bischoff)는 자사 블로그를 통해 “기밀 파일, 데이터베이스, 소스코드, 크리덴셜 등이 담겨 있는 버킷들이었다”고 밝혔다. 문제는 구글 클라우드의 경우 ‘이름을 짓는 규칙’이 따로 정해져 있어 버킷을 찾아내는 게 매우 쉽다는 것이라고 비쇼프는 강조했다. “구글 클라우드 DB 이름은 3~63글자 사이에서 소문자와 숫자, 대쉬, 밑줄, 점으로만 만들어져야 합니다. 빈 칸이 있으면 안 되고 첫 글자와 끝 글자가 숫자나 글자로만 되어있어야 합니다. 그렇기 때문에 특수한 도구만 있으면 검색이 쉽게 됩니다.”
콤패리테크 측은 알렉사 선정 최고 웹사이트 100개의 도메인 이름들을 먼저 검색했다고 한다. 이 때 버킷에 흔히 붙는 글자인 bak, db, database, users와 같은 단어를 혼합했다. “이렇게 해서 나온 결과물을 구글 클라우드의 이름 붙이기 규칙에 따라 걸렀습니다. 그랬더니 약 2천 개의 버킷을 찾아낼 수 있었습니다. 여기까지 오는 데 걸린 시간은 불과 2시간 30분이었습니다. 조금 더 정교하게 작업을 했다면 비슷한 시간에 더 많은 도메인을 찾아낼 수 있었을 겁니다. 공격자라면 그렇게 했을 겁니다. 더 시간을 들이기도 했을 거고요.”
이번 조사의 경우 연구 대상이 구글 클라우드의 버킷들이라 여기에서만 문제가 있는 것처럼 보이지만, 다른 공공 클라우드 플랫폼들도 설정 오류로 인한 어려움을 겪고 있다. 특히 아마존의 S3 버킷에서는 이런 사고가 자주 발생한다. 보안 업체 레드 카나리아(Red Canary)의 부회장인 조 몰즈(Joe Moles)는 트위터를 통해 “코로나로 인해 클라우드에 대한 의존도가 높아졌고, 그러면서 탈중앙화 된 아키텍처가 많이 사용되는 때”라며 “이런 때는 클라우드를 사용하는 모든 조직이 안전에 대한 교육을 철저히 진행할 책임이 있다”고 강조했다. 그러면서 “평소 보안 문화가 성숙하지 못한 곳들에서 클라우드 설정 사고가 터지는 경향이 있다”고 지적하기도 했다.
최근 들어서까지 클라우드 설정 오류로 인한 개인정보 유출 사고는 끊임없이 일어나고 있다. 9월만 해도 레이저(Razer)라는 대형 게이밍 장비 제조사에서 엘라스틱서치(Elasticsearch) 서버를 잘못 설정해 10만 명의 개인정보가 유출됐었다. 게다가 70개의 데이팅 및 온라인 상거래 사이트들이 비슷한 오류 때문에 민감 정보와 개인 식별 정보를 대량으로 노출시키기도 했다. 웨일스의 의료보험기구에서도 공공 클라우드에 코로나 확진자의 개인 식별 정보를 업로드하는 해프닝을 벌이기도 했다. 이 사건 모두 9월 한 달 안에 벌어진 일들이다.
보안 업체 쓰레트쿼션트(ThreatQuotient)의 CTO인 라이언 트로스트(Ryan Trost)는 개인 트위터를 통해 “코로나로 재택 근무자가 많아진 때에 설정 오류 문제는 더 치명적으로 작용할 수 있다”고 경고했다. 또한 공격자들도 이 사실을 알고 적극 공략할 것이라고 덧붙이기도 했다. “코로나로 인해 많은 조직들이 준비 기간 없이 클라우드로 대거 이동했습니다. 그러면서 클라우드의 안전한 사용에 관해 제대로 전달받지 못했고, 그렇기 때문에 더 많은 사고가 예고되어 있습니다. 아직 시한폭탄이 제대로 터지지 않은 느낌입니다.”
3줄 요약
1. 구글 클라우드 버킷 6%에서 설정 오류 발견됨.
2. 각종 민감 정보와 개인 식별 정보가 가득 저장되어 있었던 상황.
3. 코로나 시대에 클라우드 설정 오류는 더 치명적으로 작용할 것.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
