10/16 News, 숙박예약 사이트 개인정보 1,610건 또 노출! 페이스트빈 어쩌나

또 숙소예약 사이트에서 개인정보 유출사고가 일어났습니다. 공격한 기법은 SQL Injection으로 OWASP TOP 10중 1위에 올라와있는 공격입니다. 공격의 난이도에 비해 공격이 한번 성공하면 큰피해가 발생하는 공격입니다. 

SQL Injection 으로 유출된 1600건 가량의 개인정보는 pastebin 에 올라왔으며, 약 8개월가량 무방비로 노출되어 왔습니다. 문제는 한번 pastebin에 올라가면 삭제요청이 쉽지 않다는것입니다. 이를 막기위해서는 보안솔루션에 의지하지 말고, 전체 소스에서 DB 연계구간을 모두 찾아 전 과정에서 단 하나라도 보호로직이 누락되지 않도록 시큐어 코딩을 하여야 한다고 합니다. 일단 유출되면 pastebin에 올라가고, 2차피해가 발생하는것을 막을 수 없기에 SQL 인젝션을 원천적으로 차단하는 방법을 사용해야 할것같습니다.

이 정보는 개인정보가 누구나 볼 수 있는곳에 노출 되어있으며, 2차피해가 발생할 수 있다는 위험성을 보여주기 위해서 작성되었습니다.  해당 정보를 이용하여, 실제로 로그인을 시도하거나, 악용하는 행위는 범죄입니다.  개인정보도용을 통해 발생한 2차 피해발생시 법적 처벌을 받을 수 있습니다.

실제로 pastebin에 방문해 보았습니다. 

원래 pastebin 의 용도는 익명으로 자신의 소스코드를 공유하기 위해 만들어 졌습니다. 

하지만 2011년 룰즈섹에서 자신들을 과시하기위해 해킹을 통해 얻은 데이터를 페이스트빈에 올리기 시작하면서, 운영목적이 변질되었습니다. pastebin에 자료가 올라가게 되면, 삭제가 힘들기 때문에 개인정보가 유출되면, 또다른 2차피해가 발생할 가능성이 큽니다.

실제로 최근에 국내 네이버, 구글 계정이 탈취되어 약 8천개의 계정이 페이스트빈에 그대로 노출 되었었습니다.

현재는 많이 지워졌지만 아직도 naver 라고 검색하기만 해도 많은 개인정보들이 그대로 노출이 되어있습니다.

유출된 계정들의 유형을 살펴보면 대부분 bruteforce 및 레인보우테이블로 쉽게 크랙되는 영문자+숫자 로 비밀번호가 설정이 되어 있음을 확인할 수 있었습니다. 각 개인사용자들도 이런 개인정보유출의 심각성을 깨닫고 비밀번호를 바꾼다던지 사이트에서 제공하는 2차인증서비스를 이용하는 등의 개인의 보안유지에 힘써야 할 것입니다.