18개월전 4백만 계정 유출당해...태만에 의한 과실
핫메일 주소 9천 6백만, 군 부대 이메일 7만, 정부 이메일 5천

[보안뉴스 문가용 기자] 불륜 조장 및 포르노그래피 회사인 프렌드 파인더 네트웍스(Friend Finder Networks)가 18개월 전 4백만 사용자 계정 유출 사고를 겪었다. 그리고 최근 다시 한 번 정보 유출 사고를 겪게 되는데, 이번엔 무려 4억 1천 2백만 계정이 털렸다. 여기엔 1천 6백만 개의 ‘삭제 계정’도 포함되어 있는 것으로 알려졌다.


▲ 현재 시각, 누군가의 마음

이번 유출 사고에 관여된 웹 사이트는 AdultFriendFinder.com, Penthouse.com, Stripshow.com, Cams.com, iCams.com이다. 지난 4백만 사용자 계정 유출보다 이번 4억 여건이 훨씬 큰 사고임은 분명하지만 새나간 정보 자체는 조금 덜 민감하다. 이번엔 이메일 주소, 암호, 마지막 만난 회원, 검색 기록, IP 주소, 멤버십 등급이었기 때문이다. 18개월 전엔 이런 정보에 더해 생년월일, 우편번호, 성적 취향, 불륜 관계 유무까지도 공개되었다.

이를 공개한 릭트소스(Leaked Source)에 의하면 도난 당한 암호는 평문으로 저장되어 있거나 SHA1으로 해시되어 있었다고 한다. 평문은 물론 SHA1 해시 기술도 현재 전혀 안전하다고 평가되지 않고 있다. 게다가 Penthouse.com의 1천 6백만 개 계정은 이미 삭제된 계정으로 애초에 도난을 당하지 않았어야 하는 것이었다. FFN 측은 어떤 이유에 의해 Penthouse.com의 삭제된 계정으로도 접근을 해왔다고 한다.

이번에 유출된 정보 중 눈에 띄는 건 9천 6백만 개의 핫메일 주소, 78,301 개의 미국 육군 소속 이메일 계정, 5,650개의 미국 연방 정부 계정이다. 릭트소스를 인용한 가디언지는 “아직 누가 해킹을 했는지 밝혀지지 않았다”고 했지만 “지난 10월 리볼버(Revolver)라는 이름을 가진 보안 전문가가 FFN에서 오류를 찾아내겠다고 장담한 바 있다”고 덧붙였다. 리볼버는 “FFN이 그때 가서 내가 찾은 오류를 거짓말이라고 한다면, 난 모든 것을 공개할 것이다”라고 협박하기도 했다.

“이번 건은 변명의 여지가 없는 ‘태만에 의한 과실’입니다. 이전에도 똑같은 사고가 일어난 적이 있거든요.” 보안 전문업체인 노비포(KnowBe4)의 CEO인 스튜 스주어만(Stu Sjouerman)이 설명한다. “FFN은 이전 해킹 사고로부터 아무 것도 배우지 못했나 봅니다. 그리고 지난 번보다 백 배나 더 많은 사용자들에게 피해를 줬어요. 앞으로 4억명의 사람들이 협박이나 피싱 공격에 노출되게 생겼습니다. 작년에 발생한 애슐리 메디슨(Ashley Madison) 해킹 사태 때보다 열 배는 더 심각한 사건입니다.”

작년 7월, 또 다른 불륜 조장 사이트인 애슐리 메디슨에서 해킹 사고가 일어나 약 3천 7백만 개의 사용자 계정이 도난당한 적이 있다. 이를 확보한 범죄자들은 협박 및 피싱 공격을 시도했고, 일부 사용자는 자살을 하기도 했다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>