Our Latest Insights

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

북한 정찰총국 산하 해커 조직으로 알려진 '라자루스(Lazarus)'가 대한민국 사법부 전산망을 해킹, 2년간 1TB에 달하는 개인정보를 포함한 정보를 탈취한 사실이 정부 합동수사 결과 드러났습니다. 이 문제는 작년 12월 제기되었는데요. 법원은 작년 2월에 이미 라자루스의 공격을 인지했음에도 불구하고 거의 1년 가까이 숨겨왔습니다. 더욱 웃지 못할 일은, 악성코드에 피해를 입은 대법원 전산망 관리자 계정의 일부 비밀번호가 'P@ssw0rd', '123qwe', 'oracle99' 등 추측이 쉬운 문자열로 구성돼 있었고, 일부 계정은 길게는 6년 넘게 비밀번호를 바꾸지 않았던 것으로 확인되었다는겁니다.비밀번호 관리 실패, 사법부 보안 붕괴 사례보통 우리는 비밀번호를 관리할 때 BS 7799라는 정책을 따르는데요. BS 7799는 영국정부의 정보보안 관리시스템 표준(British Standard for Information Security Management System)으로 조직이 고객 정보의 비밀성, 무결성 및 가용성을 보장한다는 것을 공개적으로 확인하는데 초점을 두는 표준입니다. 이 표준은 1999년 10월에 ISO 표준으로 제안, ISO/IEC DIS 17799-1로 채택되었습니다. 99년 만들어진 표준답게 오래되었지만 여기서 요구하는 비밀번호의 최소 복잡도가 '문자와 숫자가 섞인 6자리 이상 규격'이며, 평문화된 패스워드를 직접 서버에 보관하지 않고 변경 시에는 별도의 이메일 인증을 통해 변경처리를 하는 등의 기초적인 내용을 담고 있습니다. 하지만 사법부 전산망에는 영문 대소문자와 특수문자 등을 섞어 구성하게 하는 '비밀번호 복잡도' 정책이나 주기적으로 비밀번호를 바꾸도록 설정하는 '비밀번호 사용 기간 만료' 정책을 설정하지 않은 탓에 쉬운 비밀번호를 장기간 사용, 결국 해커들에게 노출되어 민감한 핵심 정보들이 유출되는 결과를 낳았습니다.법원의 늑장 대응 역시 문제가 되었습니다. 2년 가까이 해킹을 인지조차 못했고, 10개월이 지나서야 관계당국에 신고했기 때문입니다. 더우기 어떤 정보가 얼마나 유출되었는지 파악조차 제대로 되지 않고 전체 해킹 규모의 0.5%에 불과한 분량만 파악되었는데요. 개인회생사건과 관련해 주민등록번호, 금융정보, 혼인관계증명서, 병원 진단서 등의 개인정보가 다수 포함된 것으로 알려졌습니다. 개인정보보호법에 따르면 방대한 개인정보를 다루는 대형병원이나 기업, 대학 등은 전문성을 갖춘 CPO(Chief Privacy Officer, 개인정보보호책임자)를 갖출 것을 요구하고 있는데 막상 법원을 포함해 공공기관에서 근무하는 CPO는 관련 경력이 없어도 급수만 충족된다면 누구나 맡을 수 있다는 맹점이 있었습니다. 실제로 지난달 1,200여건의 개인정보가 유출된 '정부24'를 포함해 행정안전부의 개인정보를 담당하는 CPO도 관련 분야와 사실상 무관한 경력을 갖춘 인물로 알려졌는데요.거기다 공공기관에서 실시하는 정보보호에 대한 투자 및 인프라, 인력 확보 역시 문제가 됩니다. 한국인터넷진흥원(KISA)이 발간한 ‘2024 국가정보보호백서’에 따르면 중앙행정기관 23곳, 지방자치단체 31곳, 공공기관 59곳 중 정보보호 전담부서를 운영하는 기관은 61.95%입니다. 전년(72.73%)과 비교하면 11%포인트 감소, 특히 중앙행정기관은 정보보호 전담부서를 운영하는 곳이 30%대에 불과한 것으로 집계되었습니다. 거기다 CISO(Chief Information Security Officer, 정보보호최고책임자)를 둘 의무가 공공기관에 없기도 한데요. 정보통신망법에 따르면 일정 규모 이상의 정보통신서비스 업체는 사업주나 대표자 등을 CISO로 지정해야 하지만 공공기관은 그렇지 못합니다. 2021년 1월 민주당 이해식 의원이 공공기관에도 정보보호와 보안대책을 총괄하는 CISO를 지정하는 내용이 담긴 '전자정부법' 개정안을 발의했으나, 국회에서 계류 중인 상태죠. 미국에서는 CIRCIA를 통해 랜섬웨어 감염 등 보안 사고 발생 시 빠듯하게까지 느껴지는 시간 안에 즉각 보고를 할 것을 요구하고 있어서 크게 차이가 나는데요. 이번 사고들은 각 조직이 보안에 대해 인지를 하고 적합한 투자와 더불어 인력배치를 하면서 사고에 대한 대응 프로토콜을 갖추는 것이 비싼 솔루션을 도입하는것보다 훨씬 더 중요하다는 것이 더욱 크게 체감되는 사고라고 할 수 있겠습니다.보안 vs 편의: 비밀번호 관리의 딜레마하지만 일반적으로 보안과 편의는 저울의 양쪽 끝에 위치한 상반된 요소라는 인식이 있습니다. 불편함을 감수해야 보안성을 달성할 수 있고, 편리하게 만들면 사고가 날 수 있는 가능성이 커진다는거죠. 대표적 사례가 지난번 네이버 사건에서 트집이 잡혔던 싱글 사인 온, 그리고 비밀번호입니다. 심지어 가장 강력하다고 알려진 암호 프로토콜을 사용하는 블록체인 거래에서도 해킹 사고는 자주 발생합니다. 블록체인 자체는 해킹이 거의 불가능하지만 거래소의 지갑에 보관된 개인 키와 공개 키는 해커나 내부자에 의해 유출될 수 있기 때문입니다. 대표적인 사례가 Mt.Gox라는 비트코인 거래소 해킹 사건이었죠. 거래소가 사용하는 핫 월릿(인터넷에 연결된 지갑)의 키가 유출된 것이었습니다. 아무리 강력한 시스템이라 하더라도 취약점은 존재할 수 밖에 없는데요. 그렇다면 각 개인이 할 수 있는 최선의 비밀번호 관리는 어떤 방식이 있을까요?물론 충분한 보안 절차가 동반되어 있다면 비밀번호가 상대적으로 취약하다 하더라도 문제가 되지 않을 수 있습니다. 당장 미국의 핵 미사일 발사 비밀번호가 20여 년 가까이 '00000000'이었다는 걸 생각해 보면 말이죠. 하지만 이런 십여 단계에 거친 강력한 보안 프로토콜을 우리는 사용할 수 없기에, 우리는 비밀번호를 관리해야 할 필요가 있습니다. 비밀번호를 관리하는데 있어 가장 먼저 생각해 볼 만한 방법은 어딘가에 적어두는 것입니다. 대한민국 군대에 있는 모니터 뒤나 키보드 아래 등에 항상 붙어있는 쪽지인 '1q2w3e4r!' 같은 것 말이죠. 농담 삼아 이런 걸 이야기하는 게 국가 기밀 누설이라고 말하기도 할 정도로 흔한데요. 이런 비밀번호 관리(?)는 물리적 침입 등과 같은 사회공학적 해킹에 너무 쉽게 파훼될 수 있습니다. 다음으로 생각해 볼 만한 것은 구글 비밀번호 관리자나 OS에 내장된 비밀번호 관리자입니다. 하지만 크롬은 모든 로그인 정보를 암호화하는 마스터 비밀번호를 사용하지 않는다는 문제가 있습니다. 물론 모바일의 경우 생체정보 인증을 마스터 비밀번호로 사용할 수 있지만, PC의 경우 상대적으로 로컬 공격에 취약하다는 문제점을 보여주죠. 거기다 모든 계정에 대한 보안이 브라우저 보안에 좌우되기 때문에, 브라우저 계정에 대한 로그인에는 다중 인증과 같은 보안 정책을 강력하게 설정해 둘 필요가 있습니다. 물론 비용을 조금 더 지불하더라도 신뢰할 수 있는 회사에서 제공하는 독립형 비밀번호 관리자나 전용 관리자를 사용하는 것이 도움이 될 수 있습니다.재미있는 것은 NIST(National Institute of Standards and Technology , 미국 국립표준기술연구소)의 새로운 비밀번호 안전 사용법에 대한 6가지 계명입니다. 상식과는 많이 다른 내용들이 있는데요. 침해되었다는 증거나 정황 없이 기계적으로 비밀번호를 주기적으로 바꾸기만 하는 건 불필요한 자원 낭비라는 점인데요. NIST는 '모든 비밀번호를 계속해서 바꾸는 게 아니라 바꿀 비밀번호가 어디에 있는지 확인하고 즉각적인 조치를 취해주는 것이 더 올바른 방향'이라고 말했습니다. 또한 비밀번호의 강력함을 결정하는 것은 복잡성이 아니라 길이라며, 대/소문자 가릴 것 없이 최대한 길게, 간단한 문장의 형태로 암기하기 쉬운 비밀번호를 사용해 글자수를 늘리고 기억하기도 편리하게 만드는 것이 효과적이라고 조언해 줬습니다. 직접적으로 독립형 비밀번호 관리자나 관련 제품군을 추천하진 않았지만, 붙여 넣기를 허용하라는 등 관리자 사용을 암시적으로 추천하기도 했습니다. 비밀번호 관리의 중요성과 실천 방법지금 사용중이신 비밀번호는 안전하신가요? 보안은 하나의 취약점만 생겨도 뚫릴 수 있기에 개인과 조직이 유기적으로 맞물려 돌아가며 보안성을 제고할 필요가 있습니다. 그 보안성 제고의 첫 걸음은 꼼꼼한 비밀번호 관리가 아닐까 합니다. 당분간 비밀번호라는 체계 자체는 꾸준히 유지될 가능성이 크기 때문입니다. 비밀번호 관리, 안전한 기업보안의 핵심입니다.비밀번호는 단순히 기억하기 쉬운 것이 아닌, 해커로부터 안전한 것이어야 합니다. 이를 위해 강력한 비밀번호를 생성하고, 주기적으로 변경하며, 다중 인증 방식을 사용하는 것이 좋습니다. 또한, 비밀번호 관리 프로그램을 활용하여 각 계정마다 고유한 비밀번호를 사용하는 것도 좋은 방법입니다. 모든 보안의 시작은 비밀번호 관리에서 출발하며, 작은 습관이 큰 보안의 차이를 만듭니다.

Oct 18 2024

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

네이버가 일본에서 서비스 하고 있는 메신저 서비스인 '라인'이 여기저기 큰 파장을 끼치고 있습니다. 일본 총무성은 라인 개인정보 유출 사태를 계기로 지난 3월 이후 두 차례에 걸쳐 라인-야후에 대한 행정지도에 나섰는데요. 일본에선 행정지도는 법적 구속력은 없지만 그 영향력 자체는 상당하다고 알려져 있습니다. 이번 행정지도에는 라인-야후 지배구조 개편이 포함되어 있습니다. 마쓰모토 다케아키 일본 총무상은 "경영권 관점에서 한 말은 아니다"라고 했지만 "그룹 전체 보안 거버넌스의 본질적 재검토 가속화를 요구"하는 한편 자본 지배 관계 재검토가 경영권 관점과 어떻게 무관한지에 대해서는 설명하지 않았다는 점에서 외교 문제가 발생할 정도의 발언은 삼가고 있는 분위기지만 사실상 '암묵적인 요구에 가깝다'고 업계에서는 평가하고 있습니다.네이버와 소프트뱅크 간 경영권 재편의 파장 : 일본 라인의 공공 인프라화와 데이터 주권 논란라인-야후는 소프트뱅크 그룹과 네이버가 합작한 A홀딩스 산하 기업으로, 일본 내에서 야후재팬과 라인 사이에 검색엔진과 포털 사이트에서는 야후재팬이, 모바일 메신저에서는 네이버재팬이 압도적으로 강력한 입지를 지니고 있기에 차세대 사업인 배달사업과 간편결제 사업에서 출혈 경쟁을 막고자하는 의도였습니다. 또한 라인이 일본에서 갖는 입지가 점점 커지면서 기간인프라에 준하는 MAU(Monthly Active Users)를 갖게 되었기에 이와 관련하여 원활한 사업을 하기 위해 일종의 대관(對官) 문제를 해소하고자 A홀딩스를 설립, 사실상 두 회사를 통합하게 되었던거죠.라인은 출범 당시 네이버의 자회사이자 핵심적인 역할을 한 인력이 대부분 한국인이었습니다. 자국중심주의가 강한 일본에서 한국 기업이 사업을 확장하는 건 쉽지 않았기에 현지화 전략의 일환으로 현지인 경영진 중심으로 사업부를 꾸리고 국적 논란이 일 때는 “도쿄에 본사를 두고 있으며 이사회의 과반수가 일본인으로 구성돼 있다”라는 등의 입장을 내며 논란을 피해 갔습니다. 하지만 반한 감정은 끊이지 않았고 한국 국가정보원이 네이버 라인을 통해 일본인을 감청하고 있다는 소문이 일본 언론에 보도되기도 했습니다.그런데 이번 행정지도에서는 네이버의 A홀딩스 지분을 이 회사에 공동 출자한 일본 기업 소프트뱅크에 넘기라는 것으로 업계에서는 해석하고 있습니다. 라인-야후 역시 이에 발맞추어 지난 5월 8일 열린 결산설명회에서 ‘라인의 아버지’로 불리는 신중호 CPO를 사실상 경질, 이사회를 모두 일본인으로 구성하는 한편 네이버와의 위탁관계를 차례대로 종료해 기술적인 협력관계에서도 독립을 추진하겠다고 밝혀 결별을 공식화했습니다.일본 정부가 라인에 날린 강한 메시지, 행정지도란?이번 행정지도 요청의 핵심 근거는 라인-야후가 시스템 보안 업무를 한국 업체인 네이버에 의존해 해킹에 대한 대처가 미흡했다는 것이었습니다. 행정지도는 일본 총무성이 개인과 기업에 협력을 요구하는 지도 행위로 관료제가 강한 일본에서는 행정지도를 따르지 않고는 사업을 하는 게 불가능하고 알려져 있습니다. 일본 총무성은 한국의 과학기술정보통신부와 행정안전부, 그리고 통계청을 합친 기관으로 지방자치 재정 정책까지 관여하는 등 가장 강력한 실세 기관 중 하나입니다. 업계에서는 일본 정부가 자국의 대표 플랫폼을 한국 기업이 공동 소유하고 있는 것에 불편함을 공식적으로 드러냈다는 말이 나왔습니다. 국적 논란이 일만큼 라인은 일본의 공공 인프라로 자리매김하고 있는데요요. 일본 인구가 대략 1억 2300만명 정도 되는데 그중 80%에 달하는 9600만명이 라인을 쓰고 있습니다. 심지어 일본 정부와 지자체의 디지털화를 일부 수행하는 역할도 하고 있습니다.이 사건을 촉발시킨 개인정보 유출 사고는 지난 2023년 11월 27일과 2024년 2월 14일, '부정 액세스에 대한 정보 유출에 관한 통지'에서 공식화되었는데요. 라인-야후 재팬은 대주주인 네이버와 직원용 시스템 -구 Line망- 을 네이버 클라우드를 통해 공유하고 있습니다. 거기다 두 망 사이엔 일종의 SSO와 같은 공통 기반 인증 시스템으로 망이 연동, 계정이 관리되고 있어서 네이버 클라우드 해킹을 통해 라인-야후에 대한 서버에 접근할 수 있었던겁니다. 이 서버에 접속할 수 있는 네이버 자회사 협력사의 PC 중 하나가 APT 악성 코드에 감염, 라인-야후의 서버와 네이버 클라우드가 무단 접속, 라인 이용자의 연령, 성별, 라인 스티커 구매 내역 등 개인을 식별할 수 없는 범위의 정보와 더불어 라인 야후 재팬의 비즈니스 파트너와 직원의 이메일 정보도 유출되었습니다.라인-야후는 MFA(다중요소인증)을 도입하지 않았고, 유출 사고 발생 후에도 원인 규명이 신속하지 않았다는 지적을 받았습니다. 일본 개인정보보호위원회는 위원회는 보안에 대한 액세스 제어 등 기술적 안전관리 조치가 적절하지 못했으며, 개인 데이터 취급 상황의 파악 및 안전관리 조치와 유출 시 신속한 대응 조치가 미흡했기 때문에 이번 사건이 발생했다고 분석했습니다. 라인-야후 측은 보안 리스크 평가 기준 재검토(3월 완료), 실효적인 위탁처 관리 실현을 위한 감독 방법의 검토 및 기준 책정(3월 기준 책정 완료, 이후 순차 시행), 안전관리 조치 및 사이버보안 대책 설정(1월 완료), 사이버 침해 유무 및 범위 파악(9월말 완료 예정), 네이버 클라우드 사와의 관계에 따른 리스크 관리 문제점 개선(6월 제도 설계 완료 예정 및 순차 시행), 사실 관례 조사 및 원인 규명 등 유출 시 대응태세 정비(5월 계획 입안 및 6월 외부 평가 이후 순차 시행) 등으로 조치를 시행하고 있다고 밝히기도 했습니다.물론 라인에서 주고받은 메시지 내용, 이용자의 은행 계좌, 신용카드 등은 유출되지 않았습니다. 관계자에 따르면 그런 민감 데이터는 구조적으로 분리되어 있어서 쉽게 유출되지 않는다고 했는데요. 실제 블랙 마켓 등에도 판매를 볼 수 없는 등 외부로 공개된 사례가 확인되지 않았죠. 하지만 이런 공포 자체는 일본 미디어에 의해 증폭되었습니다. 2021년 아사히신문은 심층보도를 통해 라인 이용자 간에 주고받는 대화 서비스의 모든 사진과 동영상이 한국에 있는 서버에 보관되고 있는데, 이용자들이 볼 수 있는 라인의 개인정보 관련 지침에는 그런 상황이 충분히 기술돼 있지 않다고 지적하기도 했습니다. 또 라인이 서비스에 사용하는 AI 개발을 중국 상하이에 있는 업체에 위탁, 이 업체 직원이 접근 권한을 갖고 있어 자칫 개인정보가 중국으로 유출될 우려가 있다고도 주장하기도 했습니다.이런 와중에 데이터 사고가 발생해서 문제가 되었습니다. 아사히신문의 보도에 따르면, 라인야후는 지난 3월 첫 행정지도 조치를 받은 뒤 총무성에 제출한 보고서에서 네이버와 네트워크 완전 분리에 2년 이상 걸린다는 전망과 구체적이지 않은 안전 관리 대책을 제시, 총무성 관계자들의 화를 돋웠고, 한 간부는 “사태를 너무 안이하게 보는 것 아닌가”라는 반응을 보였다고 했습니다. 일본 사회에서는 공적 인프라를 언제까지 한국 기업에 의존할 것이냐는 논란이 끊이지 않았다. 집권당에서는 라인이 공공재라며 “라인과 네이버 간 연결고리를 끊어야 한다”는 노골적인 목소리까지 나왔습니다.국제 안보와 개인정보 보호: 데이터 주권의 딜레마이런 배경에는 '데이터 주권'에 대한 우려가 있다는 것이 업계 대부분의 평가입니다. 플랫폼 수립과 AI 운영에는 방대한 백데이터가 필요한데요. 이런 플랫폼과 AI에 대한 통제권을 자국 정부와 기업이 갖고 있어야 한다는 것이 데이터 주권의 요지입니다. 외국 기업이 소유하면 자국민의 데이터가 유출돼 경제와 안보에 위협이 될 수 있다는거죠. 이 사건 뿐만이 아닙니다. 지난 4월 조 바이든 미국 대통령은 국가 안보를 이유로 중국 동영상 플랫폼 틱톡 강제 매각법에 서명하기도 했습니다.물론 개인정보 보호와 관련하여 지켜야 할 거버넌스나 컴플라이언스는 중요합니다. 네트워크를 기능별로 분리하고, 통합인증을 가급적 사용하지 않으며, APT와 같은 악성코드를 조기에 탐지할 수 있도록 하는 보안성 제고 역시 지켜져야 할 일입니다. 하지만 이번 사고는 사건 범위나 파급력에 비해 타국에서 데이터 주권이라는 헤게모니를 지키고자 과도한 제약을 가했다는 평가가 많습니다. 특히 최근들어 더욱 잦아지는 국제 소송에서도 대한민국 기업의 기술을, 국가핵심기술이라 불리는 중요한 기술에 대한 공격이 들어오는 경우가 많은데요. 인텔렉추얼데이터는 이런 소송 과정에서 국내 기업을 보호하고, 철저한 보안성 제고를 통해 소송 과정에서 만에 하나라도 있을 위협을 방어하는데 최선의 노력을 경주하고 있습니다.

Oct 18 2024

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

기술 발전과 수사 절차의 변화 속에서의 개인정보 보호의 현황 얼마 전, 검찰이 압수수색 과정에서 판사가 발부한 영장 범위 밖의 전자정보를 대검찰청 서버 'D-net'에 저장한 사실이 확인되었습니다. 영장 밖 정보 저장의 위법성 여부를 떠나서 <스트레이트>와 <뉴스타파>에서는 흥미로운 보도를 했습니다. 바로 26자리 암호와 지문 잠금을 사용한 기자의 안드로이드 스마트폰이 사용자의 동의 없이 암호가 해제되었다는 것입니다.과거 한동훈 법무부장관이 제출했던 휴대전화의 암호가 24자리로 너무 길어 '현재 기술론 풀 수 없다'며 돌려줬다는 검찰의 발표나 주호주대사로 임명된 이종섭 전 국방부 장관이 "수사에 협조하겠다"며 공수처에 제출한 휴대폰이 '채 상병 사건' 이후 처음 쓰기 시작한 새 휴대전화였던 것으로 확인되었다는 보도와 엮어 생각해보면 더욱 흥미로워집니다. 이는 현재의 포렌식 도구과 모바일 보안, 나아가 전자증거의 수집과 관리라는 부분에서 많은 화두를 던져주는 일이라 할 수 있는데요.개인정보 보호 vs. 수사 필요성: 기술적 접근의 딜레마휴대전화에 보관되는 정보를 통해 얻을 수 있는 정보가 매우 많다는 점을 생각해본다면 이런 문제는 더욱 심각하게 와 닿을 수 있습니다. 대법원은 지난 4월 26일, 부정청탁금지법·공무상비밀누설 혐의로 기소된 강모(63)씨에게 유죄를 선고한 원심판결을 파기환송하며 “무관정보를 삭제·폐기·반환하지 않고 계속 보관하면서 이를 탐색·복제·출력하는 일련의 수사상 조치는 모두 위법하다”고 판시한 바 있지만, 관행적으로 이런 일이 일어나고 있다는 점에서 더욱 문제가 됩니다.특히 아이폰의 암호는 무적으로 알려져있는데, 사실 방법이 없는 것은 아닙니다. 특히 숫자만으로 구성된 암호는 거의 의미가 없다고 해도 과언이 아닙니다. 수집한 스마트폰에서 이미지가 추출된 순간부터 위험은 시작됩니다. IOS의 시스템 파티션에 있는 /private/etc./passwd를 추출, "John the Ripper"와 같은 비밀번호 크래킹 도구를 사용할 수도 있습니다. 사용자 데이터가 SQLite라는 데이터베이스 인스턴스에 저장된다는 점을 활용, 논리적 추출을 할 수도 있습니다. 또한 IP-Box나 UFED, 혹은 오픈소스 파이선 스크립트 중에서도 IOS의 비밀번호를 해독할 수 있는 방법이 있습니다.여러 차례 비밀번호가 틀리면 휴대전화 접근 자체가 막히지만, 한번 덤프 된 이미지를 수백, 수천개를 동시에 만들고 막힌 이미지를 파기하는 방식으로 강제 대입법 공격을 실행할 수 있는거죠. 평범한 노트북에서도 30개 이미지를 병렬 작업으로 시도할 수 있는데요. 4자리 암호를 강제 대입법을 통해 깨는데는 단 3분밖에 걸리지 않았습니다. 이스라엘 보안장비 업체 셀레브라이트(Cellebrite)의 UFED, 혹은 미국 보안업체인 마그넷 포렌식(舊 그레이시프트)의 그레이키는 더욱 강력합니다. UFED는 2022년 기준, 최신모델인 "아이폰 X를 비롯하여 만들어진 모든 아이폰에 침입할 수 있다"고 밝혔는데요. GPS 기록, 메시지, 통화 기록, 연락처, 인스타그램, X(舊 트위터), 링크드인과 같은 특정 앱의 데이터까지 보안조치를 무력화한 채 모두 해독할 수 있습니다.A11(아이폰 X, 8) 또는 이전 기기는 checkm8(체크메이트) 취약점이 있는데요, 이 취약점은 Boot ROM 취약점으로, 소프트웨어 업데이트로는 무력화할 수 없습니다. 이 취약점을 이용한다면 물리적으로 접근이 가능한 기기에 악성코드를 로우 레벨에서 실행할 수 있습니다. 이 취약점으로 checkra1n 이라는 탈옥(JailBrake)이 가능하고, 잠금을 우회할 수 있는 도구도 배포되었습니다. 데이터 포렌식을 위한 공격을 할 때도 이 취약점이 사용됩니다.최신 안드로이드 폰은 파일 단위로 암호화(File Based Encryption) 하지만, 이전의 안드로이드 폰(갤럭시 S9, 노트9 또는 이전)은 디스크 전체를 암호화(Full Disk Encryption) 합니다. 여기서 나타나는 취약점도 있습니다. 최신 기기(FBE)는 크게 2단계 인증 후 개인 데이터가 잠금 해제 됩니다. 1단계로 시스템이 변조되지 않아야하고, 2단계로 잠금화면 암호가 필요합니다. 잠금화면 암호가 없다면, 복호화 키를 알아낼 수 없기에, 개인 데이터는 복호화될 수 없습니다. 하지만 구형 기기(FDE)는 기본값으로 1단계 인증 후 개인 데이터가 잠금 해제됩니다. 시스템이 변조되지 않은지 확인만 되었다면 바로 개인 데이터가 잠금 해제 되지요. 잠금 화면은 단순히 화면만 잠글 뿐입니다.BFU와 AFU: 진화하는 방패, 뛰어넘는 창이후 이런 취약점을 막기 위해 BFU(Before First Unlock)단계와 AFU(After First Unlock)단계로 구분, 전원을 키고 첫 성공적인 잠금 해제를 하지 않았다면 기기는 데이터를 복호화 할 키를 모르는 상태라서 공격자가 비밀번호 없이는 내부 데이터를 알아낼 수 없게 하였지만, 이 공격도 성공한 사례가 있습니다. 사용자 자격 증명을 입력하지 않고 장치의 전원을 켜면 최초 잠금 해제 전 상태, 즉 BFU 상태가 됩니다. 이 단계에서는 장치 암호화 파일을 읽을 수는 있지만 대부분의 사용자 데이터가 저장되는 자격 증명 암호화 파일은 특정 보안 칩으로 보호됩니다. 장치를 AFU 상태로 전환, 자격 증명 암호화 CE 파일에 액세스하려면 해당 칩에서 키 자료를 가져와야 하는데요.S3K250AF라는 보안 칩은 2020년 갤럭시S20 모델에 도입된 후, 대부분의 엑시노스 기기에 탑재되어 있습니다. 258KB의 온보드 플래시, 16KB의 랜덤 액세스 메모리를 가지고 있는데요. 255byte의 단일 바이트를 보내면 버퍼 오버플로우가 발생, 스택을 조작하여 숨겨진 시스템 영역을 탈취하고 SALT 키를 확보할 수 있게 됩니다. SALT란 해시함수를 돌리기 전에 원문에 임의의 문자열을 덧붙이는 것으로, 암호를 유추하기 힘들도록 만들게 합니다. 음식에 소금간을 하듯, 평문에 임의의 문자열을 붙인다는 의미죠. 스택을 제어하게 되는 순간 전체 주소에서 임의의 데이터를 가져올 수 있게 됩니다. 1분 30초만에 모든 로그인 자체가 암호의 길이에 무관하게 깨지는거죠.적법한 수사와 개인정보 보호의 경계 : 법적 균형 찾기의 중요성2016년 프랑스 헌법재판소는 “내무부 장관 명령만으로 주거 수색과 데이터 복제를 가능하게 한 비상사태법은 공공질서 보호와 사생활 존중 사이의 균형을 요구하는 1789년 인권선언에 위반되므로 위헌을 선언한다.”며 국가비상사태에도 무차별 데이터 복제를 막는 등 적법 수사 원칙을 확인하는 판결을 내리기도 했습니다. 기기를 확보할 수 있는 상황에서 포렌식 기술은 무조건 암호화 기술을 이길 수 밖에 없는데요. 인권 보호와 더불어 전자증거 조사 적법하게 하는데에는 단순히 암호화나 보안 기법 외에 이런 법적, 절차적 증거 정당성도 확보할 필요가 있습니다. 개인정보가 갖는 가치가 점점 커지고 있는 가운데, 이런 정보를 취급하는 수사기관과 전문가 역시 강력한 컴플라이언스의 규제를 받을 필요가 있는거죠. 이러한 판례들은 우리에게 법적인 틀 내에서 기술을 사용할 필요성을 상기시켜 줍니다. 앞으로도 우리는 이 두 영역 사이의 긴장 관계를 지속적으로 탐구하고, 더 나은 미래를 위한 기술적 솔루션과 법적 가이드라인을 발전시켜 나가야 할 것입니다. 인텔렉추얼데이터는 고객의 소중한 법적 정보를 보호하기 위해 각종 보안 취약점에 대한 방어 체계를 수립하는 데 최선을 다하고 있습니다. 이를 통해 더욱 안전한 리걸 테크 환경을 구축, 선도하고자 합니다.

Oct 18 2024

삼중 갈취를 넘어 브라우저에서 공격해오는 새로운 랜섬웨어, 기업 보안 담당자가 준비해야 할 대응 전략!

4월 24일, 미 CISA(사이버 보안 및 인프라 보안국)은 사이버 사고 보고법(CIRCIA) 시범 단계에서 수집된 결과를 발표했습니다. 그 결과는 충격적이었는데요. 미국에서 보고된 랜섬웨어 피해 사례만 2천건 이상을 기록했다는 것입니다. 베트남 호치민 정보통신부 부국장의 발표는 더욱 놀라웠습니다. 평균 11초마다 한번씩 기업을 상대로 한 랜섬웨어 공격이 일어나고 있다는겁니다. 호치민에서 열린 랜섬웨어 공격 방지 위험 및 솔루션에 대한 세미나에서 호치민시 디지털 혁신 센터 부국장 Nguyễn Đức Chung은 불법적 정보 수집을 위한 공격이 12,745,681건, 악성코드 감염 및 유포 사례 1,858건이 발생했다고 말했습니다.돈을 노리는 랜섬웨어 공격의 일상화많은 사람들이 북한이나 러시아, 혹은 중국과 같은 국가에서 지원하는 국가 단위의 스파이 행위가 가장 위험한 보안 위협 사례라고 생각하고 실제로도 언론의 관심을 많이 끕니다만, 랜섬웨어 공격이야말로 즉각적 문제를 일으킬 수 있기에 더욱 긴급하게 다루어져야 할 위협입니다. 실제 블록체인 분석 업체 체이널리시스(Chainalysis)의 조사에 따르면 2023년 한 해 동안 암호화폐를 통해 피해자들이 범인들에게 지급한 돈은 11억 달러(한화 약 1조 4,643억원)라고 하는데요. 최근 결제 프로세서인 Change Healthcare에 대한 랜섬웨어 공격으로 인해 미국 의료 시스템의 일부가 손상되었으며, 월요일 회사는 침해로 인해 도난당한 민감한 개인 건강 정보가 미국 대중의 "상당한 부분"에 영향을 미칠 수 있다고 경고하기도 했습니다.특히나 이런 랜섬웨어 공격은 소위 말하는 '효자 상품'입니다. 돈도 많이 벌어다주는데 진입 장벽도 낮은 편이기 때문에 마치 '사이버범죄학 개론'과 같죠. 누구든 관심을 조금만 가져도 한번씩 거쳐갈 수 있는 범죄입니다. 간단한 취약점에 대한 익스플로잇 코드(침투 코드)만 구동할 줄 알고, 공개된 랜섬웨어 코드를 조금만 수정할 줄만 알아도 누구나 랜섬웨어 공격을 실시할 수 있습니다. 특히나 이런 랜섬웨어 공격자들이 원하는 것은 대부분 돈이기 때문에 알고 있는 취약점을 대강 스캔해서 발견되는 시스템에 무차별적으로 침투, 공격을 시도하는 경우가 많죠. 목표가 특정한 대상이 아니라 단순히 돈만이기 때문에 아무나 걸려라 하는 공격을 하는거죠. 랜섬웨어 피해가 산업 전반을 가리지 않고 곳곳에서 발생하는 것도 이 때문입니다.데이터 유출에서 DDoS 공격까지… 다중 갈취 전략의 등장하지만 2024년, 랜섬웨어 공격은 또 새롭게 진화하고 있습니다. 바로 삼중 갈취 공격입니다. 초기 랜섬웨어 공격은 데이터 암호화 뿐이었는데요. 이후 공격자는 더 많은 돈을 갈취하기 위해 민감한 데이터를 유출하겠다고 협박을 하기 시작했습니다. 이것이 바로 이중 갈취 공격입니다. 최근 나타나는 경향성은 공격자가 피해자의 고객에게 연락하거나, 미디어 또는 규제 기관에 데이터 유출에 대해 알리거나, 서비스 거부(DDoS) 공격을 시작하겠다고 위협하는 것입니다. 단순히 기술적 침투를 떠나 협박과 같은 사회공학적 기법을 최대한 악용하는 이런 삼중 갈취 공격은 피해자에게 최대의 압력을 가하여 피해자에게 최대한 많은 양의 돈을 갈취하는 것을 목표로 합니다. 예를 들어 모든 데이터가 암호화되어 비즈니스 운영이 중단된 상황에서 공격자측이 개인 고객 데이터를 유출하여 수백만 달러의 법적 비용을 발생시키겠다고 협박하는것을 가정해봅시다. 그 다음 공격자측은 피해자의 회사 웹사이트에 DDOS 공격을 가해 손발을 묶은 뒤, 고객과 미디어에 연락해 사건 혹은 개인정보를 유포하는거죠. 이렇게 되면 피해자측이 입은 누적 피해 규모는 상상을 초월해질 정도로 커지게 됩니다.E-Discovery 확산과 로펌의 사이버 보안에 대한 새로운 도전흥미로운점은 2023년부터 점점 로펌 및 관련 회사에 대한 공격 비중이 커지고 있다는 점입니다. e-Discovery 소송이 일반화되면서 법률 데이터가 문서가 아닌 전자적으로 저장되어 호스팅되고 있고, 공격자가 데이터 유출을 일으키면 치명적인 문제가 발생하는 리걸테크라는 업계 자체가 가진 문제는 실제 2023년 중 데이터 유출이 발생, 고객의 소송 데이터를 보호하지 못한 로펌을 상대로 소송이 제기되는 등 위협이 현실화되면서 더욱 피부에 와닿게 되었습니다.특히 이런 e-Discovery 소송은 웹 브라우저를 사용해 작업하게 되는데, 최근 들어 브라우저의 기능이 향상되며 거의 운영체제와 유사할 정도로 다양한 기능을 갖추고 파일 시스템에 접근할 수 있는 등의 기능을 보유하게 되었는데요. 이러한 기능은 File System Access API를 통해 클라우드, 공유 폴더 및 외부 드라이브에 있는 파일을 포함하여 호스트 컴퓨터의 파일에 대한 브라우저의 액세스와 결합되어 랜섬웨어의 침투 수단이 넓어지는 결과를 낳게 되었습니다.사이버 보안의 미래: 지속적인 교육과 업그레이드 필요성2023년 8월 USENIX 보안 심포지엄 에서 발표된 RøB: 최신 웹 브라우저를 통한 랜섬웨어(RøB: Ransomware over Modern Web Browsers)라는 논문에서 이 새 랜섬웨어 변종이 어떻게 설계하기 쉽고 얼마나 피해를 줄 수 있는지 공표된 바 있습니다. RøB 랜섬웨어는 다양한 유형의 파일을 암호화할 수 있으며, 브라우저 내에서 실행되기 때문에 기존 바이러스 백신 프로그램이 포착할 수 있는 악성 시그니처나 페이로드가 없다는 강점도 있었습니다. 기존 랜섬웨어 탐지 시스템은 브라우저 기반 랜섬웨어를 막지 못한다는거죠. 결국 브라우저, 파일 시스템, 사용자 등 다양한 수준에서 다양한 층위의 보안 조치가 실행되어야 한다는 것을 알 수 있습니다.특히 정보 보안의 연결고리 중 사람이 가장 취약한 연결고리라는 점을 인지하고, 민감한 데이터에 액세스할 수 있는 사람에겐 보안 교육과 인식을 수행할 필요가 있습니다. 또한 모든 데이터를 동일한 방식으로 처리해서는 안 됩니다. 최소 권한의 원칙을 지켜 데이터가 중요할수록 데이터에 액세스할 수 있는 사람의 수를 더욱 엄격하게 제한하고 암호화 및 이중 인증과 같은 보안 장치를 확립해야 합니다.인텔렉추얼데이터는 국내 대표 e-Discovery 기업으로 중요한 핵심 가치인 데이터 보안을 위해 끊임없는 노력을 하고 있습니다. 보안 체계 구축을 위한 전문 인력 배치, 지속적인 내부 교육과 실전 같은 보안 훈련을 통해 기업의 중요 정보와 데이터를 높은 수준의 보안 시스템 내에서 유지, 관리하고 있습니다. 해외 소송 상황과 같이 기업의 민감하고 중요한 데이터에 대한 e-Discovery 필요하다면, 인텔렉추얼데이터의 전문가와 상담받아보세요.

Oct 18 2024

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

Recommended

1 다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

2 e디스커버리 진행 전 반드시 알아야 정보 모음!

3 KT가 사용자에게 직접 악성코드 배포? 그리드 컴퓨팅과 네트워크 보안의 핵심 쟁점과 이슈

Archives

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

삼중 갈취를 넘어 브라우저에서 공격해오는 새로운 랜섬웨어, 기업 보안 담당자가 준비해야 할 대응 전략!

eDiscovery가 궁금하다면
지금 바로 전문가와 상담하세요.

제출이 완료되었습니다.

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요.

Our Latest Insights

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

Recommended

1 다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

2 e디스커버리 진행 전 반드시 알아야 정보 모음!

3 KT가 사용자에게 직접 악성코드 배포? 그리드 컴퓨팅과 네트워크 보안의 핵심 쟁점과 이슈

Archives

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

삼중 갈취를 넘어 브라우저에서 공격해오는 새로운 랜섬웨어, 기업 보안 담당자가 준비해야 할 대응 전략!

eDiscovery가 궁금하다면 지금 바로 전문가와 상담하세요.

제출이 완료되었습니다.

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

eDiscovery가 궁금하다면
지금 바로 전문가와 상담하세요.