요즘 성장가도를 달린다는 중국의 소셜미디어 마케팅 회사 소셜악스가 두 번째로 억 단위 개인정보를 설정 부주의로 노출시켰다. 지난 해에는 1억, 이번에는 2억이다. 이 많은 정보를 모은 방법도 의뭉스럽지만, 6개월도 안 되는 기간 동안 3억 명의 개인정보를 ‘실수로’ 노출시킨 것이 더 놀랍다.

[보안뉴스 문가용 기자] 중국의 소셜미디어 관리 전문 업체인 소셜악스(Socialarks)가 클라우드 스토리지 설정 실수로 400GB가 넘는 개인정보를 노출시켰다. 인터넷에 고스란히 노출된 엘라스틱서치(ElasticSearch) 데이터베이스에는 2억 1400만 명의 소셜미디어 사용자들의 프로파일 정보가 저장되어 있었다고 한다. 영향을 입은 소셜미디어 플랫폼은 페이스북, 인스타그램, 링크드인이다.


[이미지 = utoimage]

이러한 상황을 제일 먼저 발견한 건 보안 블로그인 세이프티 디텍티브(Safety Detectives)로, “문제의 엘라스틱서치 서버는 비밀번호나 암호화와 같은 기본적인 보안 장치가 전혀 적용되어 있지 않았다”고 한다. 즉 해당 서버의 IP 주소만 알고 있다면 누구나 인터넷을 통해 이 수많은 개인정보에 자유롭게 접근할 수 있었다는 것이다.

현재까지 조사된 바에 의하면 이 서버에 저장된 정보들은 소셜미디어 플랫폼들에서 ‘긁어온’ 프로파일 정보들로 보인다고 한다. 페이스북, 인스타그램, 링크드인 모두 약관을 통해 이와 같은 행위를 금지시키고 있다. 소셜악스는 2020년 8월에도 비슷한 사고를 일으켰고, 당시 링크드인, 페이스북, 인스타그램 사용자 1억 5천만 명의 데이터를 유출시켰다.

이번에 유출된 정보를 통해 세이프티 디텍티브의 연구원들은 이름, 거주 국가, 근무지, 직책, 구독 데이터, 연락처 등을 파악할 수 있었다고 한다. 이번에 유출된 정보와 피해 규모를 세이프티 디텍티브 측은 다음과 같이 정리했다.
1) 11,651,162명의 인스타그램 사용자 프로파일
2) 66,117,839명의 링크드인 사용자 프로파일
3) 81,551,567명의 페이스북 사용자 프로파일

문제의 서버는 중국의 대기업인 텐센트(Tencent)에서 호스팅하고 있었으며, 세 개의 소셜미디어에서 긁어온 정보를 분류해 모아두려는 의미에서 몇 개의 인덱스로 분할되어 있었다. 지난 8월에 그런 일을 겪고도 오히려 더 많은 정보를 취약한 데이터베이스에 저장해 온 소셜악스의 행태가 제일 놀라웠다고 세이프티 디텍티브는 블로그를 통해 피력했다.

인스타그램 사용자들의 경우 다음과 같은 세부 정보가 이번에 노출됐다.
1) 이름
2) 전화번호(600만 명)
3) 이메일 주소(1100만 명)
4) 프로파일 링크
5) 사용자 이름
6) 프로파일 그림
7) 프로파일 설명
8) 평균 댓글 수
9) 팔로워 수 / 팔로윙 수
10) 거주 국가
11) 특정 위치 정보
12) 자주 사용하는 해시태그

페이스북의 경우는 다음과 같은 세부 정보가 이번에 노출됐다.
1) 이름
2) ‘About’ 항목의 텍스트
3) 이메일 주소
4) 전화번호
5) 거주 국가
6) 좋아요 수, 팔로워 수
7) 메신저 ID
8) 페이스북 링크와 프로파일 그림
9) 웹사이트 링크
10) 프로파일 설명
11) 링크드인 데이터

링크드인의 경우는 다음과 같은 세부 정보가 이번에 노출됐다.
1) 이름
2) 이메일 주소
3) 직업/직무/직급
4) 링크드인 프로파일 링크
5) 사용자 태그
6) 도메인 이름
7) 연결된 타 소셜미디어 계정
8) 회사 이름과 수익 수준

피해자들은 미국, 영국, 한국, 스페인, 스위스, 러시아, 이스라엘, 인도, 프랑스 등 세계 여러 국가에서 발생했다. 미국과 영국의 경우 이번에 노출된 링크드인 사용자가 각각 3천만 명과 230만 명으로 가장 피해가 컸다. 한국의 경우 링크드인 사용자는 전혀 없었고, 페이스북 사용자 8648명, 인스타그램 사용자 12366명이 이번에 노출됐다.

소셜악스는 심천과 샤면에 본부를 둔 중국 마케팅 전문 기업으로, 중국 남부 지역에 걸쳐 10개의 지사를 운영하고 있다. 최근 소셜미디어에서의 마케팅 기술을 앞세워 급격히 성장하는 기업이라고 알려져 있다. 하지만 두 차례에 걸쳐 이들의 성공 배경에는 불법 행위가 있었음이 드러났다. 세이프티 디텍티브는 “전화번호나 주소를 비공개로 처리해 놓은 사용자들의 정보 역시 저장해 둔 것을 보면, 이들이 단순 스크랩 행위만 한 건 아닌 것으로 보인다”고 주장하기도 했다.

3줄 요약
1. 중국의 한 유명 소셜미디어 관리 업체의 클라우드 스토리지 두 번째로 노출됨.
2. 들여다보니 2억 1400명의 소셜미디어 프로파일 정보가 저장되어 있었음.
3. 지난 8월에도 1억 5천만 명 정보 노출시킨 회사, 보안 개념 깜깜할 뿐 아니라 불법 행위로 사업 키워온 것 드러남.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>