지난 9월, 5억 계정 유출된 사건과는 별개 사건
2013년에 발생... 그 동안 야후 까맣게 모르고 있어


[보안뉴스 문가용 기자] 야후가 또 다시 보안 전문가들의 비판 대상이 되었다. 또 다시 10억 건의 사용자 계정 정보가 침해된 사실이 밝혀졌기 때문이다. 이는 지난 9월 약 5억 건의 사용자 계정이 유출된 사건이 세상에 공개되고 3개월이 채 지나지도 않은 시점이다. 일부 매체에 따르면 야후를 인수하기로 한 버라이즌(Verizon)은 불미스러운 사건이 연이어 일어나자 48억 달러라는 초기 금액을 상당히 낮추고 있다고 한다.

웹 보안 업체인 하이테크 브리지(High-Tech Bridge)의 CEO 일리야 콜로첸코(Ilia Kolochenko)는 “야후 입장에서 버라이즌이 더 낮은 가격을 제시한다고 해도 별로 할 말이 없을 듯 하다”고 말한다. “9월의 사건은 2014년에 일어났다고 하고, 이번 10억 사건은 2013년에 일어났다고 하는데, 그 공개 타이밍이 하필이면 버라이즌과의 커다란 계약이 성사되기 직전이다? 야후 주주들이 야후 경영진을 고소할 수도 있습니다.”

일리야 콜로첸코의 말 대로 이번에 밝혀진 10억 건의 사용자 계정 정보 탈취 사건은 2013년 8월에 발생했다. 사용자의 이름, 이메일 주소, 해시 처리 된 암호, 생년월일, 전화번호가 전부 유출되었으며, 일부 암호 수정용 보안 질문들도 새나갔다. 수사에 따르면 아직 신원이 밝혀지지 않은 공격자가 야후의 고유 코드에 접근하는 데에 성공했으며, 그 코드를 가지고 사용자 계정 접근을 가능하게 해주는 쿠키를 만들었다고 한다. 야후는 이러한 악성 쿠키들을 전부 비활성화시켰고, 10억 계정 주인들에게 공격 사실을 알렸다고 발표했다.

충격적인 건, 지난 9월 5억 개의 계정이 유출된 사건과 이번에 발견된 10억 개의 계정 유출 사건이 별개라는 것. 그리고 야후라는 IT 자이언트가 2~3년 동안 이런 어마어마한 사건이 두 차례나 벌어진 줄도 몰랐다는 것이 보안 전문가들의 분노를 사고 있다. 10억 개의 계정이 유출되었다는 사실 자체만도 ‘역대급’인데, 그걸 알아채기까지 걸렸던 기간 역시 ‘역대급’이니, 평소 야후가 고객 정보를 어떤 식으로 다루어왔는지 알 수 있다는 것이다.

온라인 인보이스 발행 및 결제 관리 전문업체인 뷰포스트(Viewpost)의 CSO인 크리스 피어슨(Chris Pierson)은 “5억 건 유출 사고와 10억 건 유출 사고가 거의 연속으로 발생했다는 건 업계 전체적으로도 걱정스러운 일”이라고 설명한다. “사이버 보안을 잘 하고 있겠거니 마음 놓고 있던 모든 임원진들에게 경각심을 주는 사건이 되어야 합니다. 당장 눈에 보이는 버라이즌과의 M&A 가격 손해를 보세요. 사이버 보안은 이제 경영의 문제입니다.”

지난 9월에 공개된 5억 계정 유출 사건과 이번 10억 계정 유출 사건 모두 사법기관이 야후에게 ‘당신들 정보가 새나간 것 같다’고 통보하기 전까지 야후가 이런 일들에 대해 전혀 눈치 채지 못했다는 것 때문에 야후의 보안 수준이 사실 형편없었다는 사실이 드러났다고 업계 전문가들은 말한다. 그런 타 기관에서의 소식 전달 후 부랴부랴 조사를 시작한 야후가 얼마나 졸속으로 보안을 처리해 왔겠냐는 것이다.

아직도 야후는 자체적으로 침투자가 누구인지 밝혀내지 못하고 있다. 심지어 어느 지점에서 최초 침투가 발생했는지도 모른다. 리버만소프트웨어(Lieberman Software)의 회장인 필립 리버만(Philip Lieberman)은 “지난 수년 동안 야후와 함께 일 해오면서 느꼈지만, 야후는 근본적으로 보안 자체에 관심이 없다”고 증언한다. “거기에다가 외부의 도움 없이도 보안 정도는 스스로 잘 하고 있다고 믿고 있었어요. 오만하다 싶을 정도로 말이죠.”

리버만은 기업들 중 보안에 관심을 가지고 있고 침투 흔적을 찾으려고 한다 해도 “발견하지 못하는 공격들이 있을 수 있다는 건 많이들 간과한다”고 말을 이었다. “침투 흔적을 발견하려면 끊임없는 모니터링을 해야 합니다. 그리고 발견 못한 공격에 대비해 ‘손실을 최소화 하는 방향’으로 보안을 운영해야 하죠. 눈에 보이는 것에만 대처한다는 자세는 요즘 같이 해커들이 신출귀몰한 세상에서는 매우 오만한 겁니다.”

보안 전문업체인 베라코드(Veracode)의 크리스 와이소팔(Chris Wysopal) CTO는 “침입자들이 야후의 비밀 코드에 접근해서 쿠키를 조작했다는 것도 신기한 일”이라고 설명한다. “보통 기업의 비밀 코드 혹은 고유 코드는 가장 은밀한 곳에 철저히 보관되어 있거든요. 가장 중요한 재산 중 하나니까요. 그런데 여기에 침투자들이 이미 2~3년 전에 접근 성공했다? 어떻게 했을까요?”

보안 전문가들은 “가능하다면 사용자 계정을 다 삭제하고 당분간 야후를 사용하지 않는 게 최선의 방법”이라고 말한다. 불가능하다면 현재 계정의 암호를 전부 바꾸는 것이 차선책이다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>