GDPR 대비해 마련한 새 기능에서 치명적인 취약점 나타나
피해 규모 얼마 크지 않다지만, 인스타그램의 정보 보호 태도 드러나

[보안뉴스 문가용 기자] 인스타그램이 최근 도입시킨 기능인 ‘데이터 다운로드 받기(Download Your Data)’에서 취약점이 발견됐다. 이 기능을 통해 데이터를 다운로드 받았을 때 일부 사용자들의 비밀번호가 노출되는 경우가 발생했다고 한다.


[이미지 = iclickart]

포춘(Fortune)에 따르면 “이 기능을 사용한 일부 사용자의 비밀번호가 URL에 고스란히 노출되는 일이 있었다”며 “이는 컴퓨터를 공유하거나 침해된 네트워크에 연결된 컴퓨터를 사용하는 사람들에게 있어 매우 큰 문제가 될 수 있다”고 한다. 페이스북 측은 이 문제의 영향을 받은 것으로 생각되는 사용자들에게 해당 사실을 알렸다.

‘데이터 다운로드 받기’는 인스타그램이 유럽연합이 GDPR을 도입하기 직전에 구축한 기능으로, 사용자들이 인스타그램 플랫폼에서 수집한 자신의 개인정보를 열람하고 다운로드할 수 있도록 하기 위해 만들어졌다.

인스타그램의 대변인은 외신 인포메이션(The Information)과의 인터뷰를 통해 “이번에 발견된 취약점의 실질적인 영향을 받은 고객은 적은 수”라는 점을 강조했다. 하지만 보안 업체 비트글래스(Bitglass)의 CMO인 리치 캄파냐(Rich Campagna)는 “고객의 피해 규모가 작든 크든, 인스타그램의 개인정보 활용 방법을 드러냈다는 데에서 의미를 찾을 수 있는 사건”이라고 반박했다.

“피해를 입은 고객의 숫자는 이 사건의 본질과 큰 상관이 없습니다. 인스타그램의 개인정보 처리 방침에서 문제가 나타난 것이니까요. 게다가 인스타그램은 굵직한 정보 보안 관련 사고를 최근 들어 자주 일으킨 그 페이스북을 모체로 가지고 있는 회사입니다. 인스타그램에서도 조만간 사고가 터질 건 누구나 예상할 수 있었죠. 이번 사건이 연쇄적 사고의 시초가 될지도 모릅니다.”

인스타그램의 대변인은 “인스타그램의 데이터 다운로드 기능을 사용하려고 로그인 정보를 제출했을 때 임시적으로 비밀번호가 URL에 노출되는 일이 있었습니다. 다행히 이 정보가 타인에게 노출되지는 않았습니다. 인스타그램은 이 상황을 인지하고 조치를 취해 더 이상 같은 일이 일어나지 않도록 했습니다”라고 밝혔다.

캄파냐는 “보안의 중요성이 대두되고 있는데도 기업들이 계속해서 초보적인 실수를 저지르며 개인정보를 노출의 위험에 처하게 하고 있다”며 “고객의 개인정보를 진심으로 보호해야 한다는 마인드가 없이는 이런 현상이 계속될 것”이라고 말했다. “큰 회사들이 이렇게나 무책임하게 정보를 다루는 현상도 없어지기 힘들어 보입니다.”

3줄 요약
1. GDPR 위해 인스타그램이 마련한 ‘데이터 다운로드’ 기능에서 취약점 발견됨.
2. 이 기능 사용하던 일부 고객의 비밀번호가 URL에 그대로 나타남.
3. 인스타그램의 개인정보 처리 방침이 보이는 부분이라, 피해 규모 자체는 의미가 없는 사건.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>