사고 & 취약점
Capital One, Equifax, Log4Shell, Heartbleed, XZ — 공개된 침해 사고와 취약점을 원인, 영향, 초동 대응, 예방법으로 나누어, 지금도 통하는 교훈을 짚어봅니다.
7pay 부정 이용 사건(2019): 공식 원인 평가와 계정 보호
7pay는 2019년 7월 부정 접근을 겪었다. 8월 1일 공식 발표는 탈취된 인증 정보 목록을 이용한 공격 가능성이 높다고 평가했고 7월 31일 17시 기준 808명·38,615,473엔의 부정 충전과 부정 이용 피해를 인정했다. 재설정 기능이 직접 원인이 된 사례는 당시…
Benesse 개인정보 유출 사건(2014) — 내부 부정은 왜 막지 못했나, 최소 권한과 위탁처 관리
업무 위탁처(그룹 회사)의 파견 시스템 엔지니어가, 정규로 부여받은 데이터베이스 접근 권한으로 고객정보를 대량으로 빼내 개인 스마트폰으로 전송해 명부업자에게 매각했습니다. 감시 소프트웨어는 USB 저장장치로의 기록은 막았지만 스마트폰으로의 전송(…
Capcom 랜섬웨어 사고(2020) — 오래된 VPN 장비가 왜 침투 경로가 되었나, 이중 갈취에 대한 방어
침투 경로는 신형으로 교체한 뒤에도 폐기되지 않고 북미 자회사에 남아 있던 '오래된 예비 VPN 장비'였습니다. 거기서 사내 네트워크가 뚫려 데이터가 도난당한 뒤 랜섬웨어로 시스템이 암호화되었습니다(이중 갈취). 최대 약 39만 명의 개인정보가 유출될…
코인체크 NEM 유출 사건(2018) — 약 580억 엔이 도난당한 원인과 키 관리 방어
진입은 직원을 노린 스피어 피싱/악성코드로 보고되었고, 거기서 핫월렛(인터넷 연결)의 개인키가 탈취되어 약 5억 2,300만 XEM(당시 약 580억 엔)이 단 한 번의 송금으로 빠져나갔습니다. 핵심은 즉시 움직일 수 있는 거액을 다중서명 없이 온라인 월렛에 두…
KADOKAWA·Niconico 랜섬웨어 사고(2024) — 왜 피해가 전사로 번졌나, 네트워크 분리와 BCP
침투 경로는 직원의 자격 증명을 훔친 피싱으로 설명됩니다. 거기서 사내 네트워크가 뚫려 랜섬웨어가 실행되었고, Niconico를 포함한 그룹의 다수 서비스가 수개월간 정지했으며 약 25만 명의 데이터가 유출되었습니다. 피해가 전사로 번진 배경으로는 중요…
Takufile-bin 정보 유출 사건(2019) — 비밀번호 평문 보관은 왜 치명적인가, 해싱이라는 방어
서버의 취약점을 악용한 부정 접근을 당했고, 탈퇴 완료된 고객을 포함한 약 481만 건의 이름·이메일·로그인 비밀번호·생년월일 등이 유출됐다. 결정적이었던 것은 로그인 비밀번호가 암호화되지 않은 '평문'으로 보관돼 있었다는 점이다. 유출된 순간 그대로…
MOVEit 대규모 유출 사고(2023) — SQL 인젝션 제로데이가 2,700개 이상 조직에 도달한 경위와 방어법
진입점은 인터넷에 노출된 MOVEit Transfer의 SQL 인젝션 제로데이(CVE-2023-34362)였습니다. 웹 셸(LEMURLOOT)이 심어지고 백엔드 데이터베이스에서 데이터가 대량 탈취되어 2,700개 이상 조직, 약 9,330만 명에게 피해를 입혔습니다. 대부분의 피해자는 벤…
Capital One 데이터 유출 사고(2019) — 단 하나의 SSRF가 1억 건이 넘는 기록을 유출시킨 경위와 방어법
단 하나의 SSRF가 메타데이터 엔드포인트에 도달 → 과도한 권한의 IAM 임시 자격 증명 → S3 일괄 복사로 약 1억 600만 건이 유출되었습니다. 어느 단계에서든 막을 수 있었습니다. 여러분의 환경에서는 IMDSv2, IAM 최소 권한, 그리고 아웃바운드 조회에 대한…
Codecov 유출 사고(2021) — CI 도구가 변조되어 비밀 정보가 새어 나갔을 때
신뢰하던 CI 도구(curl|bash로 실행되는 Bash Uploader)가 상위에서 변조되었습니다. 여러분의 코드는 손대지 않았기 때문에 약 2개월간 알아채지 못한 채 CI 비밀 정보가 유출되었고, 체크섬 검사가 이를 잡아냈습니다. 여러분의 CI에서는 가져온 산출물 검…
Equifax 유출 사고(2017) — 패치되지 않은 Apache Struts 결함이 1억 4,700만 명을 유출시킨 경위
원인은 이미 패치까지 나와 있던 알려진 CVE(CVSS 10.0)를 공개 시스템에 적용하지 않은 것이었습니다. 만료된 모니터링 인증서가 76일간 유출을 가렸습니다. 여러분의 환경에서는 자산 인벤토리, 패치 SLA, 머신 모니터링, 그리고 건강한 탐지가 핵심입니다.
Heartbleed(CVE-2014-0160) — 서버 메모리를 유출시킨 OpenSSL 버그
OpenSSL의 메모리 과다 읽기는 개인 키와 세션까지 유출시킬 수 있었습니다. 원인은 서버가 주장된 길이를 신뢰하고 인접 메모리를 읽은 것입니다. 교훈은 전부 새어 나갔다고 보고 행동하는 것(인증서를 재발급하고 모든 비밀 정보를 로테이션), 널리 쓰이는…
Log4Shell(CVE-2021-44228) — 로깅 라이브러리의 결함과, 사용 여부를 바로 확인할 수 없었던 이유
Log4j의 CVSS 10.0 버그. 핵심 문제는 전이 의존성, 즉 자신도 모르게 쓰던 라이브러리를 통해 영향을 받는 것이었습니다. 수동적인 로깅 경로가 공격 벡터가 되었습니다. SBOM, 머신 모니터링, 빠른 패치, 그리고 후속 CVE 추적이 교훈입니다.
XZ Utils 백도어(CVE-2024-3094) — 신뢰받던 공동 메인테이너에 의한 공급망 공격
신뢰받던 메인테이너가 xz에 백도어를 심은 공급망 공격. 한 엔지니어가 로그인이 느려진 것을 알아채 안정 배포 직전에 발견했습니다. 표적은 코드가 아니라 사람과 신뢰였습니다. 의존성을 최소화하고, 버전을 핀 고정하고, 재현 가능하게 빌드하고, 이상을…