- 미국 국토안보부(DHS) 직원 4만 1천 명 이상의 이름, 직함, 전화번호, 이메일, 사무실 위치가 해커에게 넘어갔다.
- 해커는 DHS가 쓰는 신원·접근 관리 서비스 옥타(Okta)를 거쳐 들어갔다. 세관국경보호국(CBP) 기록이 약 2만 1천 건, 이민세관단속국(ICE) 기록이 7천 건 가까이 포함됐다.
- 얼굴인식 앱 같은 감시 도구를 쓸 수 있는 내부 부서 정보도 함께 새 나갔다. 데이터는 ‘Icepick’이라는 이름으로 공개 호스팅되고 있다.
이름, 직함, 전화번호, 이메일 주소, 사무실 위치. 미국 국토안보부(DHS) 직원 4만 1천 명 이상의 정보 다섯 가지를 해커 한 명이 빼냈다. 테크크런치와 와이어드가 보도했다. 명단에는 이민 단속을 맡은 ICE와 국경 관리를 맡은 CBP 직원이 대거 들어 있다. 미국 이민 단속 현장에서 일하는 요원들의 연락처가 한꺼번에 인터넷에 풀렸다.
빠져나간 것은 직원 명부만이 아니다. 어느 부서가 얼굴인식 앱과 휴대폰 데이터 분석 도구를 쓸 수 있는지도 함께 드러났다. 전화번호나 이메일은 번거로워도 바꿀 수 있다. 하지만 어떤 조직이 어떤 감시 도구를 쓰는지는 업무 구조와 맞물려 있어서 쉽게 바꾸기 어렵다. 이번 유출을 가볍게 볼 수 없는 이유다. 해커는 정당한 맞대응이라고 주장했다.
옥타를 거쳐 4만1천 명 명부가 한 번에 빠졌다
테크크런치에 따르면 범인은 스스로를 ‘평화부(Department of Peace)’라고 부르는 해커다. 데이터에 접근한 경로는 DHS가 쓰는 신원·접근 관리 서비스 옥타. 이런 서비스는 직원 인증을 한곳에서 처리하고, 그 인증으로 여러 업무 시스템에 들어가게 해 주는 관문 역할을 한다. 편한 대신 위험도 한곳에 모인다. 관문 하나가 뚫리면 조직 내부 정보 곳곳에 손이 닿을 수 있다.
기관별 유출 규모는 편차가 크다. CBP 기록이 전체의 절반가량으로 가장 많고, ICE가 뒤를 잇는다.
| 기관 | 정식 명칭 | 유출 기록 규모 |
|---|---|---|
| CBP | 세관국경보호국 | 약 2만 1천 건 |
| ICE | 이민세관단속국 | 7천 건 가까이 |
| CISA | 사이버보안·인프라보안국 | 포함(개별 수치 미보도) |
| USCIS | 이민서비스국 | 포함(개별 수치 미보도) |
| HSI | 국토안보수사국 | 포함(개별 수치 미보도) |
| DHS 전체 | 국토안보부 | 4만 1천 명 이상 |
CISA 직원 기록까지 들어 있다는 점은 그냥 넘기기 어렵다. CISA는 미국의 사이버 방어를 책임지는 기관이다. 그런 기관의 직원 명단이 다른 부서 명단과 같은 경로로 빠져나갔다. 방어를 맡은 조직도 같은 인증 관문의 위험을 피하지 못했다. 유출된 정보는 다음과 같다.
- 이름과 직함
- 전화번호와 이메일 주소
- 사무실 위치
- 감시 도구에 접근할 수 있는 내부 부서 정보
모바일 포티파이·펜링크 쓰는 부서까지 노출
보도에 따르면 유출 자료에는 DHS 안에서 감시에 쓰일 수 있는 도구에 접근 권한을 가진 조직 정보도 들어 있다. 거론된 도구는 두 가지다. 얼굴인식 앱 ‘모바일 포티파이(Mobile Fortify)’와, 휴대폰과 온라인 서비스의 데이터를 수집·분석할 수 있는 ‘펜링크(PenLink)’. 누가 어떤 감시 도구를 쓸 수 있는지가 지도처럼 바깥에 드러났다.
DHS가 해 온 일을 보면 이 정보가 왜 민감한지 알 수 있다. DHS는 미국 곳곳에서 반이민 단속을 벌여 온 CBP·ICE 요원들의 신원을 감추려 애써 왔다. 그러면서도 온라인에서 자신들을 비판하는 사람들은 추적해 왔다.
“그들은 우리 정보를 갖고 있으니, 우리가 그들 정보를 갖는 것도 공평하다.” 해커는 바로 이 비대칭을 문제 삼았다. 요원 신원은 숨기면서 시민은 들여다보는 DHS의 태도를 그대로 되갚겠다는 논리다. 유출 자료에 연락처뿐 아니라 감시 도구 접근 권한까지 들어 있는 것도 이 주장과 맞아떨어진다.
데이터는 핵티비스트 마이아 아슨 크리뮤(maia arson crimew)를 거쳐 비영리단체 DDoSecrets(Distributed Denial of Secrets)에 전달됐다. 지금은 ‘Icepick’이라는 이름의 데이터셋으로 공개돼 있다. 공개 호스팅된 자료는 누구나 받아 갈 수 있으니 사실상 되돌리기 어렵다.
미국 정부 인력 정보가 털린 일은 이번이 처음도 아니다. 불과 몇 주 전에도 해커들이 FBI 직원과 입사 지원자 데이터를 빼냈다.
한국 여행객은 해당 없음, 옥타 쓰는 기업은 점검할 때
유출된 것은 DHS 직원 정보다. 미국 입국자나 이민 신청자의 개인정보가 빠져나갔다는 내용은 보도 어디에도 없다. 미국 출장이나 여행을 앞둔 사람이 지금 서둘러 할 일은 없어 보인다.
신경 써야 할 쪽은 오히려 기업이다. 아래는 보도된 사실을 토대로 한 분석이며, 국내 피해가 확인된 것은 아니다.
- 통합 인증이 뚫리면 전체가 위험하다: 옥타 같은 신원·접근 관리 서비스는 나라를 가리지 않고 쓰이는 클라우드 서비스다. 이 관문 하나로 4만 명 넘는 조직의 명부가 한 번에 빠져나갈 수 있다는 사실이 이번에 드러났다. 인증을 한곳으로 묶었다면 그곳의 계정 관리 수준이 곧 회사 전체의 보안 수준이 된다.
- 직원 명부는 피싱의 재료가 된다: 이름, 직함, 전화번호, 이메일이 한데 모이면 특정인을 노린 사칭 메일이나 전화 사기에 그대로 쓰일 수 있다. 사내 주소록을 누가 볼 수 있는지 다시 점검할 필요가 있다.
- 권한 목록도 기밀이다: 어느 부서가 어떤 도구를 쓰는지 보여 주는 권한 정보가 새 나가면, 공격자에게 조직 내부 지도를 넘겨주는 것과 같다. 누구를 먼저 노려야 하는지가 그 지도에 나와 있기 때문이다.
가장 큰 빈칸은 침입 방식이다. 해커가 옥타 자체의 허점을 파고들었는지, DHS 직원 계정을 탈취해 옥타를 통과했는지는 아직 밝혀지지 않았다. 옥타 자체의 허점이었다면 옥타를 쓰는 다른 조직도 같은 위험을 의심해야 한다. 계정 탈취였다면 문제는 DHS의 계정 관리로 좁혀진다. 옥타 고객사가 얼마나 긴장해야 하는지는 이 답에 달렸다.
확인된 것과 아직 불확실한 것
확인된 것(보도 기준)
- DHS 직원 4만 1천 명 이상의 이름, 직함, 전화번호, 이메일, 사무실 위치 유출
- CBP 약 2만 1천 건, ICE 7천 건 가까이 포함, CISA·USCIS·HSI 기록도 포함
- 침입 경로는 DHS가 쓰는 옥타
- 모바일 포티파이, 펜링크 등 감시 도구에 접근하는 부서 정보 포함
- DDoSecrets가 ‘Icepick’ 데이터셋을 호스팅 중
아직 불확실한 것
- 옥타 자체의 보안 결함인지, 계정 탈취인지 등 구체적인 침입 방식
- 침입 시점과 DHS가 이를 알아챈 시점
- CISA·USCIS·HSI 각 기관의 유출 규모
- DHS의 입장과 피해 직원을 위한 후속 조치
- 몇 주 전 FBI 데이터를 빼낸 세력과 같은 쪽인지 여부
- 유출 정보가 실제로 악용된 사례
더버지가 DHS에 입장을 물었지만 곧바로 답은 오지 않았다.
금전 요구 없는 해킹, FBI에 이어 DHS까지
이번 사건은 돈을 노린 랜섬웨어 공격과 성격이 다르다. 지금까지 보도된 내용에는 금전을 요구한 정황이 없다. 자료는 핵티비스트와 공개 아카이브 단체로 넘어갔고, 해커가 내세운 명분은 이민 단속과 정부 감시에 대한 반발이다. 데이터를 협상 카드로 쓰지 않고 공개 아카이브에 넘겼다는 점에서, 이번 해킹은 협박보다 항의에 가깝다.
파장은 두 방향으로 번질 수 있다. 요원 신원이 공개되면서 현장 요원의 안전이 문제로 떠오를 수 있고, 반대로 DHS가 감시 도구를 어떻게 쓰고 있는지를 두고 공익 논쟁이 커질 수도 있다. 몇 주 사이에 FBI와 DHS가 잇달아 뚫렸다. 미국 연방기관의 신원 관리 체계를 전면 점검하라는 압박은 한동안 이어질 것으로 보인다.
출처: The Verge
글로벌뉴스 데스크
Daily News Korea 글로벌뉴스 데스크는 전 세계 IT·기술 뉴스를 실시간으로 모니터링하여 한국 독자에게 가장 중요한 소식을 전합니다. 실리콘밸리, 유럽, 아시아의 최신 기술 동향을 한국 시장 관점에서 분석합니다.