Breaking
사이버 보안(Cybersecurity)
美 8,000만 가구 개인 정보 노출돼 '충격'
2019-06-26 18:29:55
장희주
▲미국 8,000만 가구의 개인 정보가 든 미확인 클라우드 서버 데이터베이스가 발견됐다(사진=ⓒ123rf)

[라이헨바흐=장희주 기자] 사이버 보안업체 vpn멘토의 한 연구팀이 24GB 상당의 개인정보가 노출된 미확인 클라우드 서버 데이터베이스를 발견했다.

이들 정보는 미국 내 8000만 가구들에 대한 데이터인 것으로 확인됐다.

이번 사례를 발견한 두 명의 연구원인 노암 로템과 란 로카는 이 데이터베이스가 오픈된 마이크로소프트 클라우드 서버에 호스팅되있었다고 전했으며 이는 미 전체 가구의 약 65% 이상에 영향을 미치는 수치라고 밝혔다.

노출된 데이터에는 이름을 비롯한 나이, 생년월일, 집주소, 위치 등 각 가구의 구성원 수에 대한 개인 정보까지 담겨있었던 것으로 나타났다.

이외 코드화된 정보들도 있었는데, 이는 각 데이터 보유자들에게 수치 값을 내부적으로 할당시켰기 때문인 것으로 추정된다. 코드화된 정보로는 개인 직함과 소득계층, 성별, 혼인 여부, 그리고 주택 소유 상태 및 주거 유형 등의 더욱 민감하고 개인적인 정보들이 포함됐다.

연구원들은 이번 데이터 노출과 관련, 포트 스캐닝으로 식별된 IP 블록을 통해 데이터 침해 사실을 발견할 수 있었다고 밝혔다. 즉 이는  웹시스템의 취약성을 단적으로 보여주는 사례가 된다.

연구원들은 또한 이들 데이터를 다운로드하지 않았다며, 다운로드는 동의 없이 개인 식별이 가능한 데이터 세트를 불법적으로 소유하는 것이나 마찬가지이기 때문에 윤리적 위반이 될 수 있다고 지적했다.

▲노출된 정보들은 미국 내 거주자의 데이터를 처리하는 미국 기반 서비스에 속해있는 자료들로 추정된다

 

잠재적 위험

연구원들은 또한 데이터가 각 항목들에서 'member_code'와 'score'라는 표식이 있는 것으로 보아, 해당 데이터세트가 미국 내 거주자의 데이터를 처리하는 미국 기반 서비스에 속해있는 자료들로 추정했다.

이러한 추정이 사실이라면 해당 서비스 제공업체는 서비스가 운영되는 주의 법률에 따라 영향을 받을 수 있을 수 있다고 경고했다.

게다가 노출된 데이터세트에 EU 국가의 거주자 개인 데이터가 포함됐다면, 개인정보보호규정(GDPR)에도 적용될 수 있다고 덧붙였다.

그러나 가장 큰 문제점은 데이터의 크기와 깊이로, 미국 전체 인구의 상당 부분이 사이버 공격으로 잠재적 위험에 처할 수 있다는 사실이다.

연구원들은 이에 데이터 노출로 인해 수반될 수 있는 위험에 대해 논의할 필요가 있다고 강조했다.

이번 노출된 데이터세트는 범위가 광범위하고 포괄적인 첫 침해 사건 중 하나가 될 수 있다는 것. 그러면서 이처럼 공개된 데이터베이스는 신원 도용자 및 다른 공격자들에게 마치 금광이나 마찬가지라고 지적했다.

▲데이터에 노출된 이메일 및 위치 정보는 향후 큰 문제를 야기할 수 있어 위험하다(사진=ⓒ123rf)

이메일 정보

이메일 정보의 경우 사이버 범죄자들이 유출된 이메일 정보에 나타난 이름을 도용할 수 있어 문제다.

대부분 자신의 이름으로 이메일 주소를 지정하는 경향이 있어, 단순히 이름과 성을 결합하는 단순한 방법 만으로도 큰 잠재적 위험성을 가중시킬 수 있는 것이다.

이에 일단 공격자가 누군가의 정확한 이메일 주소를 확보하면 해킹을 통해 그 사람의 더욱 민감한 정보들, 즉 은행 계좌나 결제 카드 번호 등의 데이터도 탈취할 가능성은 더 커진다.

게다가 이러한 공격을 수행하는 피싱 수법도 다양하다. 현재 가장 흔하게 쓰이는 공격 기법은 악성 코드 주입으로 랜섬웨어 암호화 도구나 사이버 보안 등에 관한 지식이 부족한 사용자가 타깃이 될 경우 공격 성공은 거의 100%에 이를 수 있다.

위치 정보

피해자의 이름과 집 주소가 포함된 위치 정보 역시 공격자에게 큰 혜택을 가져다준다. 단순히 구글 검색만으로도 정확한 위치를 추적할 수 있기 때문이다.

더 무서운 점은 노출된 데이터세트에는 각종 민감한 가계 정보뿐 아니라 당사자가 속한 가구의 정확한 전체 좌표까지도 발견할 수 있다는 사실이다.

연구원들은 이에 데이터베이스에 주소 전체가 다 담겨있기때문에 공격자는 피해자가 어디에 사는지 알 수 있을뿐 아니라 당사자가 현재 집에 없다는 사실도 알 수 있어 주요 공격 목표물이 될 수 있다고 전했다.

이러한 데이터 침해는 미국 거주자들에게 일어날 수 있는 많은 위험 가운데 하나일 뿐이다.

개인 정보의 거의 모든 측면이 어느 식으로든 일부 손상될 수 있을뿐 아니라, 오프라인에서도 공격자는 다른 특정 유형의 공격도 실행할 수 있어 개인 보안이 보장되지 않을 수 있다.

연구원들은 현재 데이터베이스 보유자를 확인하는 중으로, 금융이나 의료 분야의 기업들일 것으로 추정하고 있다.

[라이헨바흐=장희주 기자]