ConoHa WING(GMO인터넷) 일부 웹서버 무단 접근(426개 계정): 고객 웹서버 영역 데이터 영향, 사이트 운영자가 오늘 해야 할 일

회사는 영향을 받은 고객에게 “계약 정보로 등록된 이메일 주소”로 개별 연락했으며, 연락을 받지 않은 고객은 영향을 받지 않았다고 밝혔습니다.

받은편지함뿐 아니라 스팸함도 확인하십시오. 웹 대행사가 계약을 대신했거나 오래된 주소로 등록했다면 이메일이 그곳으로 갔을 수 있습니다. 공식 사이트를 직접 열어 로그인하면 등록된 주소를 확인할 수 있고, 공지에 나온 문의처(아래 “무슨 일이 있었나” 참고)에 물어볼 수도 있습니다.

회사는 이번 사건을 악용한 피싱 이메일에 대해 경고하고 있으며, 이메일로 고객에게 비밀번호나 신용카드 정보를 요구하는 일은 없다고 밝혔습니다. 또한 개별 공지에 따라 행동하기 전에 발신자와 내용을 확인해 달라고 요청하고 있습니다.

호스팅 사고 후에는 “귀하의 계정이 영향을 받았으므로 재설정이 필요합니다” 또는 “계약을 확인해 주십시오” 같은 가짜 이메일이 나올 가능성이 높습니다(이것은 예시입니다). 이런 이메일은 로그인 화면처럼 꾸민 페이지로 연결되기도 합니다. 이메일 속 링크로 로그인하지 말고, 즐겨찾기나 직접 검색으로 공식 사이트를 여십시오(피싱이란 무엇인지 참고).

회사는 영향을 받은 고객에게 상세 내용과 “취해 주셨으면 하는 조치”를 개별 이메일로 보냈다고 밝혔습니다. 해당 내용은 공개되어 있지 않으므로 이 글에서 반복할 수 없습니다. 행동하기 전에 2단계에서처럼 이메일이 진짜인지 확인하고, 이메일 속 링크가 아니라 공식 사이트를 통해 확인하십시오.

관련 데이터는 “고객의 웹서버 영역에 저장된 데이터”입니다. 공지에는 이 데이터가 탈취되었는지 나와 있지 않지만, 이 사이트는 읽히거나 변조되었을 가능성이 있는 것으로 보고 처리할 것을 권장합니다. 자격 증명을 알 수 없는 상태로 두는 것보다 변경하는 편이 노력과 위험 모두 적게 듭니다.

• WordPress의 wp-config.php에 있는 데이터베이스 사용자 이름과 비밀번호(데이터베이스 비밀번호를 바꾸면 같은 값을 wp-config.php에도 반영하십시오)
• .env 등 파일에 있는 외부 서비스 API 키(결제, 이메일 발송, 지도 등). 각 서비스 대시보드에서 키를 재발급하고 이전 키는 비활성화하십시오.
• WordPress 관리자 비밀번호와 wp-config.php의 시크릿 키(salt). salt를 재생성하면 모든 사용자가 로그아웃됩니다.
• FTP 및 SSH 비밀번호와 키, 서버에 등록된 공개 키
• 서버에 보관된 백업 파일(데이터베이스 내보내기 등). 그 안의 자격 증명과 개인정보도 노출된 것으로 보십시오.

백신 프로그램으로 검사한 컴퓨터에서 변경 작업을 하십시오. 설정 파일 위치를 다시 점검하려면 공유 호스팅에서 .env를 공개 웹 밖에 두기를, API 키 관리는 .env와 API 키 기본을 참고하십시오.

회사는 9월 18일 악성 프로그램을 제거했다고 밝혔습니다. 그래도 내가 하지 않은 변경이 사이트에 남아 있지 않은지 직접 확인해 볼 만합니다. 접근은 9월 3일부터 시작되었으므로 그 이후의 변경에 집중하십시오.

• 파일 관리자에서 공개 폴더를 수정 날짜순으로 정렬하고, 내가 손대지 않은 날짜에 바뀐 파일이나 이미지 폴더 안의 PHP 파일을 찾으십시오.
• WordPress 사용자 목록에서 내가 만들지 않은 관리자, 설치하지 않은 플러그인이나 테마를 찾으십시오.
• 호스팅 제어판의 예약 작업(cron)에서 내가 추가하지 않은 항목을 찾으십시오.

환경별로 어디를 어떤 순서로 볼지는 웹사이트나 서버가 해킹되었는지 확인하는 방법에 정리되어 있습니다. 낯선 항목을 찾으면 삭제하기 전에 복사해 두고 회사에 문의하십시오. 문의 양식 제출 내역이나 회원 정보처럼 다른 사람의 개인정보를 사이트에 보관했다면, 해당 글의 개인정보 유출 가능성 관련 부분도 읽어 보십시오.

회사에 따르면 회원, 계약, 결제 정보는 영향을 받은 서버와 분리된 환경에서 관리되었고 유출되지 않았습니다. 이는 일반적인 원칙의 한 예입니다. 정보를 분리해 두면 한 부분이 침해되었을 때 피해가 퍼지는 범위를 좁힐 수 있습니다.

내 사이트에서도 같은 방식을 적용할 수 있습니다. 데이터베이스 내보내기 파일이나 오래된 백업을 웹서버 영역에 두지 마십시오. API 키는 필요한 권한만 주어 발급하고, 설정 파일은 공개 폴더 밖에 두십시오. 확인 방법은 공개 디렉터리에 비밀 파일을 남겨 두지 않았나요?에 나와 있습니다.

공개된 날짜를 보면 접근 시작(9월 3일)부터 발견(9월 16일)까지 13일이 지났습니다. 이것은 두 날짜의 차이일 뿐, 발견이 늦었는지에 대한 판단은 아닙니다. 다만 사업자 쪽에서 무슨 일이 생겼을 때 내 사이트의 변화를 알아챌 수 있는지는 내가 무엇을 갖추고 있는지에 달려 있습니다.

쉬운 첫걸음은 매주 한 번 WordPress 관리자 사용자 목록과 공개 폴더의 PHP 파일 목록을 내보내 지난주와 비교하는 것입니다. 새로 생긴 항목은 확인을 시작할 이유가 됩니다. WordPress 전체의 보안 강화는 WordPress 보안 — 운영 환경 강화 참고 자료를 참고하십시오.

이번 사건에서 영향 여부를 알 수 있는 방법은 계약에 등록된 주소로 가는 개별 이메일입니다. 그 주소가 웹 대행사의 주소이거나 더 이상 쓰지 않는 주소라면 이메일을 놓치게 됩니다. 아무 문제가 없을 때 지금 확인하여, 등록된 주소가 실제로 읽는 주소인지, 사업자 이메일이 스팸함으로 가지 않는지 점검하십시오.