어바인 블러, 사용자 프라이버시 지키는 데 특화된 회사
AWS S3 버킷 설정 오류로 230만 고객의 정보가 노출됨

[보안뉴스 문가용 기자] AWS S3 버킷의 환경설정 오류 때문에 블러(Blur)의 사용자들 중 약 240만 명의 정보가 온라인에 노출됐다. 블러는 온라인 프라이버시 기업인 어바인(Abine)의 애플리케이션 개발사다. 또한 블러는 비밀번호 관리, 이메일 마스킹, 개인 브라우징 기능을 제공하는 애플리케이션의 이름이기도 하다.


[이미지 = iclickart]

어바인은 미국 현지 시각으로 월요일 자사 블로그를 통해 블러 사용자들의 정보 일부가 유출되었을 수 있다고 알렸다. 여기서 말하는 ‘정보’는 1) 이메일 주소, 2) 블러에 접속할 때의 IP 주소, 3) 비밀번호 해시이며, 일부 고객의 경우 4) 이름, 5) 비밀번호 힌트도 유출 가능성이 있다고 한다.

“하지만 중요한 건 가장 치명적인 데이터가 유출되었다는 증거는 없다는 겁니다. 어바인은 이 정보들만큼은 아무런 영향을 받지 않은 채 안전히 보관되어 있다고 보고 있습니다.” 치명적인 데이터란 사용자들이 블러에 직접 저장한 사용자 이름과 비밀번호, 신용카드 세부 사항의 자동 채우기 정보, 마스킹 된 이메일 주소, 마스킹 된 전화번호, 마스킹 된 신용카드 정보를 말한다. 지불 관련 데이터 역시 무사한 것으로 보인다고 어바인은 강조했다.

회사의 대변인들은 외신과의 인터뷰를 통해 “영향이 있을 수 있는 고객의 수는 240만 명”이라고 밝혔으며, “사고 자체는 잘못 설정된 AWS S3 버킷으로 인한 것”이라고 말했다. 문제가 발견된 AWS S3 버킷은 데이터 처리에 사용되는 것이라고 추가하기도 했다.

어바인은 “해당 버킷 계정에 저장된 정보는 2018년 1월 6일 전에 등록한 사용자들의 것”이라고 말했다. 또한 계정 설정이 잘못되어 있어 정보가 노출된 상태로 관리되고 있었다는 걸 인지한 것은 12월 13일이라고 덧붙였다.

“어바인 블러는 비밀번호를 비크립트(bcrypt)로 해시 처리하고, 각각의 사용자들에게 고유한 설트를 추가합니다만, 그래도 이번 사건의 영향권 아래 있는 사용자라면 비밀번호 변경을 권장합니다.”

그러면서 어바인은 “프라이버시와 보안에 집중되어 있는 서비스를 제공하는 회사를 표명하면서 이 같은 실수를 저질렀다는 건 정말 창피한 일”이라고 스스로 인정했다. “이런 일은 일어나지 말았어야 했고, 고객들은 물론 우리 자신에게도 커다란 실망감을 안겼습니다. 이에 진심으로 사과드리며, 이번 사건에 대한 효과적인 대응을 위해 최선을 다하겠습니다. 또한 이런 일이 다시는 발생하지 않도록 모든 노력을 기울이도록 하겠습니다.”

3줄 요약
1. 비밀번호 관리, 이메일 마스킹 등에 특화된 소프트웨어 블러.
2. 개발사가 정보 처리에 사용하는 AWS S3 버킷을 잘못 설정해 많은 고객 정보가 노출됨.
3. 2018년 1월 6일 이전에 등록한 사용자라면 비밀번호를 변경하는 것이 권장됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>