2년간 3차례 해킹에도 경고 무시... 가정폭력 피해자 등 민감정보 유출 위기

[보안뉴스 김형근 기자] 영국 범죄기록청(ACRO)이 약 2년에 걸쳐 세 차례의 시스템 침해를 당해 가정폭력 피해자 등 수천 명의 민감 정보가 노출 위험에 처했음에도 이를 제때 인지하지 못한 것으로 드러났다. 영국 정보위원회(ICO)는 보안 체계의 총체적 부실을 이유로 ACRO에 공식 견책(Reprimand) 처분을 내렸다.


[출처: gettyimagesbank]

조사 결과, ACRO는 2021년 7월부터 2023년 6월 사이 세 차례 공격을 받았다. 공격자들은 켄티코(Kentico) CMS 기반 대민 포털 취약점을 파고들었다. 이 시스템은 2019년 9월 이후 약 4년간 보안 패치가 적용되지 않은 상태였다. ACRO와 유지보수 업체(MSP), 웹 개발사 간 패치 적용 책임 소재가 불명확했던 것이 원인으로 지목됐다.

보안 관제 실패도 확인됐다. 트렌드마이크로 백신이 자격증명 탈취 도구인 미미카츠(Mimikatz) 설치 시도를 감지해 4차례 격리 조치하고 경고를 보냈으나, 조직 내 보안 알림 검토 및 에스컬레이션 프로세스가 전무해 침해 징후가 장기간 방치됐다.

가장 피해가 컸던 한 침해 사건의 경우 공격자는 2022년 8월부터 2023년 3월까지 약 7개월간 웹 서버에 은닉하며 정찰했고, 2023년 2월 약 1만1000명분의 민감 데이터를 탈취하기 위해 스테이징(Staging)해 둔 것으로 나타났다. ACRO의 로그 보관 부실로 인해 실제 외부 유출(Exfiltration) 여부는 확인되지 않았다.

ACRO는 사건 인지 후 초기 웹사이트 폐쇄 당시 ‘필수 유지보수’로 공지했으나, 언론 취재가 시작되자 2023년 4월 사이버 침해 사실을 시인하고 8만4000여명에게 사전 통지를 진행했다. 이후 메두사(Medusa) 랜섬웨어 조직이 배후를 주장했으나 유출 데이터 게시나 몸값 지급 여부는 확인되지 않았다.

ICO는 네트워크 분리를 통해 침해가 핵심 경찰 전산망으로 확산되지 않은 점을 참작해 금전적 과징금 대신 공식 견책 처분을 확정했다. ACRO는 침해된 인프라를 전면 폐기하고 차세대 SIEM 도입 등 보안 강화 조치를 단행했다고 밝혔다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>