Takufile-bin 정보 유출 사건(2019) — 비밀번호 평문 보관은 왜 치명적인가, 해싱이라는 방어

실제로 일어난 공개 사고를, 뉴스의 재방송이 아니라 "당신의 환경에서 어떻게 막을 것인가" 의 관점으로 읽어냅니다. 본 글은 공개 기록(기업 공식·보도)에 근거한 해설입니다. 출처는 말미에 명기하며, 공격 재현 절차는 다루지 않습니다.

무엇이 일어났는가(쉽게)

서비스는 이용자의 비밀번호를 맡습니다. 문제는 그 맡는 방식 입니다. 비밀번호를 평문(그대로 읽을 수 있는 형태)이나, 키로 되돌릴 수 있는 암호화 로만 보관하면, 데이터가 유출된 순간 내용이 그대로 쓰여 버립니다.

Takufile-bin에서는 서버의 취약점을 찔려 부정 접근이 일어났고, 고객 정보가 유출됐습니다. 그리고 후속 보고에서, 유출된 로그인 비밀번호가 암호화돼 있지 않았다(평문이었다) 는 사실이 공표됐습니다. 많은 사람이 같은 비밀번호를 여러 서비스에서 재사용 하기 때문에, 평문 그대로 유출되면 공격자는 그것을 다른 서비스에서 시도해 계정 탈취 에 쓸 수 있습니다. 침입 그 자체보다, 평문 보관이 피해를 단숨에 넓힌 것이 본질입니다.

공격의 연쇄는 '방어의 지도'이기도 하다

이 사건도, 각 단계마다 멈출 곳이 있었던 연쇄였습니다. 공격 절차가 아니라, 어디서 끊어낼 수 있었는가 로 읽어 주세요.

공표된 시계열

1. 2019-01-22

   회사가 인식하지 못한 파일이 서버 내에 생성돼 있는 것을 탐지(부정 접근의 징후).

2. 2019-01-23

   안전 확인을 위해 서비스를 정지.

3. 2019-01-25

   부정 접근과 정보 유출을 공표(탈퇴자를 포함한 약 481만 건).

4. 2019-01-30

   상세 후속 보고. 유출된 로그인 비밀번호는 암호화돼 있지 않았다(평문)고 공표.

5. 2019-03

   외부 전문 사업자의 상세 조사 결과를 보고. 당분간의 서비스 휴지를 계속.

6. 2020-01-14

   서비스의 종료를 발표(안전한 재구축에 드는 비용·시간을 고려). 같은 해 서비스 종료.

근본 원인은 '침입당한 것'만이 아니다

이 사건을 '부정 접근을 당했다'로 정리하면, 요점을 놓칩니다. 침입은 일어날 수 있다는 전제로, 유출돼도 피해를 최소화하는 보관 이 돼 있었는가가 본질입니다.

당신의 환경에서의 재발 방지

이용자의 비밀번호를 한 건이라도 맡는다면 내 일입니다. 우선순위 순의 대책입니다.

본 사이트의 설계 사상과 겹치는 점

이 사건의 본질은, 비밀번호라는 가장 중요한 비밀을, 유출되면 그대로 쓸 수 있는 형태(평문)로 보관하고 있었다 는 점입니다. 본 사이트 자신의 원칙——비밀은 되돌릴 수 없는 형태로 다루기·불필요한 것은 갖지 않기·폭발 반경을 최소화하기——와 꼭 뒤집힌 관계에 있습니다. "암호화했으니 안전하다"는 착각은 위험하며, 비밀번호는 단방향 해시＋솔트 가 정답입니다. "평문을 갖지 않기·불필요 데이터를 갖지 않기·유출돼도 쓸 수 없는 형태로 만들기"는, 규모를 불문하고 누구나 구현할 수 있는 방어입니다.

출처(공개 기록)

본 글의 사실은, 아래의 공개 정보에 근거합니다. 공격 재현 절차는 다루지 않고, 방어의 교훈에 집중합니다.

• Ogis-Research Institute 공식 발표("Takufile-bin" 서비스에서의 부정 접근에 대하여／사과와 보고, 2019〜2020) — ogis-ri.co.jp
• 각종 보도(서비스 휴지·상세 조사 결과·서비스 종료의 공표, 2019〜2020) — 일차 발표에 근거한 보도

다음에 읽기

• 실무: 비밀번호를 안전하게 저장하는 법(해싱과 솔트)
• 용어: 비밀번호 해싱이란 / 솔트란
• 용어: 2단계 인증(2FA)이란(유출돼도 직접 쓸 수 없게 하는 대비)／ 실무: 보안 베이스라인 체크리스트