골스드푼 해킹 사고

개요

• 발생 서비스: 골드스푼(http://goldspoon.co/)
• 발생 일자: 2021-10-01~12일 사이
  • 10월 12일에 공지를 통해 '수일 전' 발생했음을 밝힘
• 피해 형태: 랜섬웨어, 디도스, 해킹
• 피해 규모: 불분명
• 개인정보 유출 항목: 불문명

문제점

• 개인정보가 유출 되었는지가 가장 큰 쟁점
• 공지 내용을 보면 '개인정보보호포털 ~ 등 유관기관과 적극 협조', '개인정보보호 조치 강화', '발신자의 신원이 불분명한 메일은 절대 열어보지 마시고 즉시 삭제' 등 개인정보가 유출 가능성이 있다는 것을 밝히고 있다.
• 그러나 공지 내용은 개인정보보호법에 따른 개인정보 유출 통지 공지와는 다른 공지이므로 아직 개인정보가 유출되었는지 여부, 유출 항목 등에 대해선 파악이 안 된 것으로 보인다. 만약 유출 사실이 인지가 되었는데 이런식으로 공지를 한 것이라면 그 자체로 법 위반이다.

대처의 문제

개인정보 유출 또는 유출 정황 시 가장 먼저 취해야 될 자세는 피해 방지이다. 어떤 범위까지 유출되었을 가능성이 있고 만약 유출되었다면 어떤식으로 피해방지조치를 취해야 하는지 언급해주는 것이 바람직하다. 절대 금지해야 할 것이 피해 사실이나 잘못을 축소하려는 행위이다.

• 공지문에선 해킹 공격이 '대표 숙박/여행 플랫폼, 명품쇼핑 플랫폼, 대형 인테리어 앱' 등과 함께 당한 공격임을 강조하는데 지면을 상당히 할애하고 있다. 이는 불가피하게 당할 수 밖에 없는 공격이었음을 어필하려는 의도가 보이며, 바람직하지 못한 대응이다.
• 또한 내용상으로 개인정보 유출 정황이 있는 것처럼 적어 놓았음에도 피해방지를 위한 어떠한 절차도 안내되어 있지 않으며 그저 피해가 의심된다면 메일을 보내라는 말 뿐이다. 전화번호도 없다. 그리고 '피해 제보'시에 메일을 달라는 내용만 있어 해킹 사고에 대한 일반적인 문의대응을 해주려는 의지 또한 보이지 않는다. 이는 내부적으로 파악이 되고 있지 않은 피해 범위를 파악하는데 도움이 되는 정보 취득에만 신경쓰고 있는 것으로 볼 수 있다. 진심으로 고객들의 피해를 걱정하고 고객들의 불안감을 해소해주고자 하였더라면 급하게 알바생을 구하거나 철야를 할 생각을 해서라도 저 공지에 전화번호를 기재하고 어떠한 문의라도 받겠다는 태도를 취했어야 한다.
• 또한 해킹 공지 직후 게시판을 차단해버렸는데 아마도 회원들간 이 사고에 대해 이야기를 해서 논란이 키우는 것을 차단하기 위한 목적으로 추정된다. 만약 2차 피해 방지 등의 목적이었다면 게시판 뿐만 아니라 전체 서비스를 모두 차단하고 피해범위 파악 및 잠재적 피해자 구제에만 집중했어야 한다.
  

개인정보 유출 시 피해

• 골드스푼은 직업, 경제력 인증 등을 까다롭게 하는 것으로 유명한 소개팅 서비스로 인증 시 전문직 자격증, 소득금액증명원, 가족관계증명서, 부동산 등기서류 또는 매매 계약서 등을 업로드 하도록 하고 있다.
  • 이 파일은 인증을 위해서만 사용된다고 하지만 인증이 끝난 뒤에도 삭제되진 않는다.
  • 주민등록번호 등 민감한 정보에 대한 마스킹 기능은 제공되지 않는다.
• 그리고 익명 게시판(라운지)을 제공하여 개인에 사상이나 성향에 관한 민감한 내용들을 자유롭게 올리고 소통하도록 하고 있다. 또한 이 익명 게시판을 통한 만남 또한 가능한 구조인데 익명성에 기반하여 섹스파트너식 만남 등도 흔히 이루어지고 있다.
  • 게시판 자체는 익명이지만 게시판을 통해 매칭이 가능한 구조로, 게시글은 회원 정보와 매핑되어 있다.

만약 인증용 증빙 파일이 탈취당한 경우

• 만약 인증용 증빙 파일이 암호화되지 않고 보관되어 있었다면 해킹을 통해 탈취당하였을 가능성이 매우 높다. 접근 제어가 별도로 이루어지는 DBMS 등과 달리 파일 시스템에 저장된 파일은 서버가 해킹당하면 가장 손쉽게 탈취될 수 있는 대상이다. 물론 별도의 접근제어가 이루어지는 이미지 서버를 운영하였거나 이미지가 저장된 디렉터리를 특수 퍼미션 그룹으로 운영하였다면 유출되지 않았을 가능성 또한 있다.
• 이 인증용 증빙파일은 정말 민감한 정부 공식 문서 등으로, 이 파일들만 유출되어도 오남용의 우려가 무척이나 크다. 이들은 인증이 지나면 자동으로 삭제가 되어야 한다! 이 기능은 골드스푼에서 당장 구현하길 바란다.

데이터베이스의 정보가 유출된 경우

• 전체 데이터베이스 유출 여부
  • 데이터베이스 유출 자체로도 정말 큰 문제이지만 그나마 특정 테이블 특정 정보들만 유출되었길 바래야 한다. 이 피해 범위에 대해선 후속 조사를 통해 분명히 밝혀 주어야 한다.
• 암호화 여부
  • 데이터베이스의 어떤 항목에 암호화 되어 있었는지, 만약 암호화가 되어 있었다면 암호키가 얼마나 잘 보관되었는지에 따라 피해 규모가 크게 달라진다. 일반적으론 개인정보 안정성 확보조치 기준이나 개인정보의 기술적 관리적 보호조치 기준에 따라서 법적으로 필수사항인 암호화만 수행하는 경우가 많다. 필수 암호화 대상은 대부분 주민등록번호 등의 고유식별정보로, 골드스푼에서 다루는 수많은 민감 정보들은 필수 암호화 대상은 아니다. 만약 암호화 대상이 아니었음에도 암호화를 하고 있었다면 이에 대해선 별도로 공지를 해 주는 것이 바람직하다.

전체 데이터베이스가 탈취당한 경우

• 만약 익명 게시판과의 맵핑 정보까지 유출이 되었다면 일부 유저의 경우 심각한 후속 피해가 이어질 수 있다. 익명으로 작성하고 매칭한 수많은 정보들이 실명 계정 및 프로필과 연결된다면 그 정보가 악용될 소지가 크다. 상술했듯이 익명 게시판엔 개인의 성향, 정치 사싱, 성적 취향, 민감한 목적성 만남 등 엄청나게 민감한 정보들이 많았기 때문에 이런 부분이 악용되지 않기만을 바래야 한다.
• 만약 골드스푼이 개인정보 보호를 잘 하고 있었다면 오래된 게시판 글은 자동 삭제를 하거나 별도로 아카이브를 하고, 오래된 게시글와 회원 간의 연결고리를 끊어줬어야 한다. 만약 그렇게 되고 있지 않았다면 당장이라도 그 정책을 적용하여야 하며, 그렇게 되고 있었다면 해당 사실을 별도로 공지해주는 것이 좋다.

등록된 지인 연락처가 탈취당한 경우

• 지인 소개 방지를 위해 휴대폰 전체 연락처를 등록해두는 경우도 있다. 만약 이 정보가 암호화되어 있지 않고 유출되었다면, 해커들에게 협박용으로까지 사용될 수 있으므로 가장 심각한 문제이다. 그냥 프로필만 있는 DB가 통째로 다크웹을 통해 팔려나간다고 해도 그냥 사회공학적 공격 대상이 될 뿐 대응만 잘하면 2차 피해로 이어지지 않을 수 있으나 등록된 연락처를 빌미로 개인이 타겟이 되어 협박을 당하는 상황까지 벌어진다면 그 피해 보상은 회사 폐업으로 끝날 상황이 아닐 것이다.
• 다행인 것은 지인 소개 방지를 위한 휴대폰 번호 등록은, 등록 후 일방향 암호화 처리를 해도 그 기능을 하는데 문제가 없다. 일방향된 해시값끼리 비교를 해서 지인 소개를 방지할 수 있기 때문이다. 만약 일방향 암호화가 안되고 있었다면 지금 당장이라도 일방향 암호화 보호조치를 해야 하며, 일방향 암호화가 되어 있었다면 그 사실을 공지해 주는 것이 좋다.

기타 제언

탈퇴에 대한 접근성 강화

골드스푼은 탈퇴 메뉴가 숨겨져있다시피 하여 실제 탈퇴를 하려면 고객센터에 문의를 해야하는 줄 알고 있는 유저들 또한 많다. 아래와 같이 되어 있으니 판단은 여러분들이 하시길. 탈퇴를 하면 재가입에 불이익을 준다는 협박을 하기 보단 탈퇴를 하지 않아도 괜찮을 만큼 개인정보 보호를 잘 하고 있음을 어필하는 것이 맞다. 100% 자신이 없으면 보안 리스크 해소를 위해서라도 탈퇴는 좀 더 손 쉽게 할 수 있도록 할 필요가 있다.

• 

  계정 관리 페이지에 탈퇴하기 버튼이 보이지 않는다. 이것만으로도 큰 오해의 소지가 있다.

• 

  휴먼하기 메뉴에 들어와야 하단에 잘 안보이는 작은 글씨로 탈퇴안내 글자가 보인다. 탈퇴하기도 아니고 탈퇴 안내다.

• 

  탈퇴 안내에 들어가면 그제서야 탈퇴하기 버튼을 확인할 수 있다. 하지만 문제가 되는 협박성 멘트가 포함되어 있다.