3일이 지나고, 25일에 또 다시 나타난 그렙이 “델이 아무 말도 하지 않고 혼자 문제를 해결하려 할 줄 알았다. 그래서 나는 유출시킬 정보를 일부 가지고 있었고, 적당한 때에 풀어버리기로 했다.”고 언급하며 또 다른 민감 정보를 공개했어요.

이번에 공개된 정보는 500MB에 달하며, 내부 문서, PDF, 이미지, 장비 실험 영상, 이중 인증 관련 데이터 등 델의 인프라에 대한 상세 정보가 포함되어 있었다고 하는데요. 이러한 정보는 델의 시스템에 대한 후속 해킹 공격을 가능하게 할 수 있는 위험 요소로 작용할 수 있어서 지속적인 침투가능성을 배제할수 없는데요

델의 대응과 미래 우려

델의 연속된 데이터 유출 사건에도 불구하고 지속적인 침묵을 일관하며

"해커의 주장을 알고 있으며 현재 보안팀에서 전사적으로 조사하고 있다"고만 밣혀 업계의 시선을 집중시키고 있어요. 이 사건은 단순한 데이터 유출을 넘어, 기업의 보안 시스템과 내부 관리 체계에 대한 신뢰성을 심각하게 훼손할 수 있는데요.

해커들이 내부 시스템에 침투할 수 있는 경로와 방법이 존재한다는 점에서, 다른 기업들도 이와 같은 공격에 노출될 위험이 크다는 것을 의미해요. 사이버 보안 전문가들은 이 사건을 통해 기업들이 사이버 공격에 대한 경각심을 가져야 한다고 강조하고 있어요.

기본적인 보안 조치가 미흡할 경우, 이러한 사고는 언제든지 발생할 수 있으며, 기업은 보다 철저한 보안 체계를 구축해야 할 필요성이 있는데요.

이 사건은 단순히 델(DeLL)에 국한된 문제가 아니라, 전 세계적으로 사이버 보안의 중요성을 다시 한번 일깨우는 계기가 될 것 같은데요. 기업과 개인 모두가 더욱 경각심을 가지고, 정보 보호에 힘써야해요! 앞으로 델이 어떤 대응을 할지, 그리고 이 사건이 다른 기업들에게 어떤 교훈을 줄지 주목해 보아요!

 <관련기사>

 ○ 한 번에 기업 내부정보 싹 털어가는 API 공격, 어떻게 대응하나 (2023.10.02.)

 ○ 델, 4천900만건 고객정보 유출…해커, API 취약점 악용해 공격  (2024.05.14.)

 ○ 미국 1위 하드웨어회사도 ‘충격’…단 1명에게 직원 1만명 정보가 탈탈 (2024.09.24.)

디지털 재앙: 데이터 도난

사이버 범죄의 진화

2024년 하반기가 지나가고 있는 현재, 전 세계적으로 사이버 공격과 해킹으로 인한 피해가 역대 최대 규모를 기록했다고 하는데요. 특히, 데이터 도난과 같은 사건들이 잇따르면서 사이버 보안의 중요성이 더욱 부각되고 있어요.

주요 글로벌 사이버 침해 사건만 살펴봐도 데이터 도난 건수가 무려 10억 건에 달한다는

보고가 있는데요. 가장 주목할 만한 사건으로는 미국 최대 헬스케어 기업 체인지 헬스케어에 대한 해킹, AT&T의 대규모 데이터 유출, 국내에서도 많이 이용되는 '티켓마스터' 해킹,

그리고 영국 런던의 모든 병원을 마비시킨 랜섬웨어 공격 등을 꼽을 수 있어요. 이런 사건들은 사이버 보안의 중요성을 다시 한번 일깨워주고 있는데요.

국내 상황도 예외는 아니어서, 사이버 공격의 빈도가 높아지고 그 양상도 더욱 심각해지고 있어요. 사이버 공격으로 인한 개인정보 유출은 매우 심각한 문제로,

온라인 환경에서 점점 더 많은 위협이 발생하고 있어 데이터 도난은 조용히 발생하는 '디지털 재앙&이라고도 불린다고 하는데요. 당장 우리 생활에 직접적인 영향을 미치지는 않지만, 서서히 진행되며 언제나 위협하는 존재예요.

새어나간 개인정보는 해커의 서버나 어둠의 경로, 온라인 범죄 시장 등으로 퍼지고 있으니 정말 무서운 일인데요. 해당 정보를 악용하게 되면 타인으로부터 금전적인 이득을 취하는 것부터 시작해서 명의 도용, 금융 관련 사기 등 중대한 범죄 행위로 번지게 되니 말이에요.

계속적으로 국내 온라인 쇼핑몰에서 결제 페이지로 위장한 피싱 페이지로 인해 개인정보가 유출되는 사건이 일어나고 있어요.

요즘에는 이를 더 악용해서 공격자는 중고거래 플랫폼, 오픈마켓, 애플스토어를 활용해 부정하게 결제를 하여 현금화 하는 사건이 있었다고 해요.

애플스토어의 '대리인 수령' 정책을 악용한 경우 였는데요.

중고 거래 사이트에서는 해당 기기를 시세보다 낮은 가격에 판매하고, 구매자가 나타나면 애플 스토어 매장에서 직접 받아가는 방법을 안내하여 안심하게 하는 수법이예요.

구매자에게 가짜 사이트에 카드 번호, 카드 유효 기간, CVC, 주민등록번호, 카드 비밀번호, 일반 결제 비밀번호 등 개인정보 입력을 유도하여 훔친 카드 정보로 공격자는 애플스토어 웹사이트에서 전자제품을 불법적으로 결제하였어요.

그 후 대리 수령 영수증과 사기 계좌 정보를 구매자에게 제공한 뒤, 해당 계좌로 물품 대금을 입금받아 다시 현금화하는 방식으로 범인은 빼낸 개인정보를 이용하여 결제하여 가로채고 계좌로도 현금화하는 이중 범죄인데요.

이전에는 수익 창출 수단이 다크웹에서의 판매나 불법 복제였다면, 이번에는 한국의 온라인 결제 시스템을 이용하고 사전 정보를 수집하여 수익모델을 만들었다는 점이 특징이예요. 이외에도 아울렛을 위장한 피싱 사이트를 만들어 결제 시 카드 정보를 빼내거나 부고 안내문을 통한 악성 앱을 배포해 휴대전화 내 중요 정보 탈취 및 제어 권한을 얻는 경우도 확인됐다고 해요.

금융보안원은 가짜 웹사이트 주소(URI)의 특징을 이용한 탐지 프로그램을 개발하였고, 이를 통해 약 5,000여 개 온라인 쇼핑몰 도메인을 조사하였고 이를 통해 같은 피싱 결제 페이지가 포함된 50여 개 피해 쇼핑몰을 파악할 수 있었다고 하니 너무 무서운 일이예요.

취약점이 존재하는 쇼핑몰에 대해 SQL 인젝션 같은 방법을 활용해서 공격자가 침투하였는데요.
공격자는 평일 오전 9시부터 오후 6시 사이의 업무 시간대를 피해, 최초 1회 접속한 모바일 브라우저에서만 피싱 페이지가 보이도록 하는 교묘한 수법을 사용하며 해당 플랫폼의 자체적인 결함을 이용하여 웹쉘을 업로드하고, 보안이 약한 관리자 페이지에 대한 웹 해킹 공격을 시도한 것으로 밝혀졌어요.

이런 유형 중 대표적인 것으로는 '크리덴셜 스터핑' 공격이 있는데, 이는 해커가 여러 웹사이트에서 수집한 계정 정보를 다른 사이트에 무차별적으로 대입해서 로그인을 시도하는 방식인데요.다양한 방법으로 개인정보를 수집한 해커는 여러 시스템에 무차별적으로 계정 정보를 입력하여 사용자 계정을 도용하는데요.다크웹에서는 피해 기업을 대상으로 크리덴셜 스터핑 공격을 실행할 수 있는 전용 도구를 거래하고 있으며, 이를 통해 계정 정보, 캐시, 포인트, 쿠폰 정보까지 탈취가 가능해요. 크리덴셜 스터핑 공격 방식은 각 사용자 계정마다 1~5개의 비밀번호를 갖고 있어서 로그인 시도 대비 성공률이 높았으며, VPN 또는 봇넷 등 큰 규모의 IP 자원을 사용하는데, 동일한 IP 주소에서 1~2개의 계정에만 로그인을 시도해서 계정 탈취 시스템(ATO) 감지를 피하는 것으로 추측되어 해당 공격 시도를 파악할 수는 있지만, 패턴을 기반으로 한 차단이 어려운 실정이므로 추가 인증 수단을 도입해서 로그인 과정에서의 보안성을 높이는 일이 훨씬 중요할 것 같다고해요. 만약 계정 정보가 유출되었을 경우에는, 해당 아이디 및 비밀번호와 동일한 정보를 사용 중인 다른 계정들의 비밀번호도 함께 변경하는 것이 보안 상 안전해 보여요.

중장기적으로는 금융보안원에서는 로그인 시 생체 인식 기술 등을 활용하여 비밀번호를 입력하지 않아도 되는 패스워드리스(Passwordless) 방식이 확대될 전망이라고 하니 솔루션 부분에서 한번 살펴봐도 좋을것 같죠?

또. 본인의 개인정보 유출 여부가 궁금하신 분들은 '털린 내 정보 찾기 서비스'를 이용해 보세요!

개인정보를 탈취하기 위한 치밀한 사이버 공격이 계속해서 발전하고 있기 때문에,

같은 업종에서의 공격 사례와 방식에 대해 꾸준한 관찰이 필요하며,개인정보 처리 과정에서

공격 경로가 될 수 있는 부분을 확인하고 보안을 강화해야 해요. 탈취당한 계정 정보는 사용자도 모르게 거래되며 여러 차례 악용될 수 있기 때문인데요, 기업정보를 지속적으로 감시하는 것이 보안에 가장 중요할 것 같네요!

<관련기사>

○ 금감원 "온라인쇼핑몰 이용시 개인정보 유출 조심해야" (2023.03.13.)

○ 2024년은 사상 최악 사이버공격의 해 (2024.06.30.)

○ 전자상거래 강자 &네이버페이&, 8월 피싱 사이트 8만 5천여개...현재도 &기승&(2024.10.02.)