1억 건 유출에 의무 최소 2년형…원인은 끝내 풀리지 않은 비밀번호

수요일, 시애틀 연방 법원에서 최근 기억에 남을 만큼 큰 데이터 유출 사건 중 하나가 마무리됐다. 온타리오주 키치너 출신의 코너 라일리 무카(26)는 2024년 최소 165개 조직을 공격하고 최소 1억 명의 개인정보 기록을 노출한 해킹 연쇄 사건과 관련해 컴퓨터 사기, 전신 사기, 가중 신원 도용 및 공모 혐의에 대해 유죄를 인정했다. 그는 몸값과 데이터 판매로 최소 49만 5,000달러를 직접 챙겼다. 선고는 10월 27일로 예정되어 있으며, 신원 도용 혐의 하나만으로도 2년의 의무 최소형에 처할 수 있고 나머지 혐의로는 최대 30년의 형을 받을 수 있다.

이 숫자들이 헤드라인이다. 곱씹어 볼 가치가 있는 세부 사항은 더 작고, 훨씬 덜 영화적이다. 검찰에 따르면 무카가 실제로 침입할 수 있었던 이유는 오래된 비밀번호였다. 제로데이 공격이 아니었다. 표적 플랫폼의 결함도 아니었다. 법무부는 아직 그 플랫폼의 이름을 공개적으로 밝히지 않았지만(2024년 당시 Snowflake와 사고 대응 업체 Mandiant가 관여 사실을 직접 밝히면서, 이 사건을 그해 Snowflake 고객 계정을 상대로 벌어진 일련의 침해 사건과 연결했다). 해당 자격 증명은 수년 전 인포스틸러 악성 코드에 의해 수집된 뒤 사용되지도, 변경되지도 않은 채 방치되어 있었고, 마침 다중 요소 인증도 꺼져 있던 계정의 잠금을 풀었다.

그 문장에서 모든 역할을 하는 것은 왜 “변경되지 않은”인가

인포스틸러 악성 코드는 기기에 침투하면 — 흔히 불법 복제 앱, 가짜 브라우저 업데이트 또는 악성 첨부 파일을 통해 — 해당 기기의 브라우저 자동 완성 및 저장된 비밀번호 보관소에 들어 있는 자격 증명을 조용히 빼내 악성 코드를 운영하는 사람에게 전송하는 악성 소프트웨어의 한 범주다. 이는 새롭거나 이례적인 일이 아니다. 훔친 자격 증명 묶음이 대량으로 사고팔리는, 수년째 존재해 온 흔한 범죄 서비스다.

Snowflake 사건이 유용한 교육 사례가 되는 부분은 탈취와 사용 사이의 간극이다. 보도에 따르면 이 특정 비밀번호들은 “수년 전”에 수집됐다. 이는 오랜 기간 동안 해당 계정의 소유자들이 어느 데이터베이스 어딘가에 침해된 자격 증명을 활성 상태로 둔 채, 그것을 변경하도록 강제하는 장치가 전혀 없었다는 뜻이다. 공격자가 아직 시도하지 않았기 때문에 어떤 로그인 시도도 의심스러운 것으로 표시되지 않았다. 누군가 알아차릴 만한 활성화된 공격이 없었으므로 비밀번호 재설정도 실행되지 않았다. 자격 증명은 유효한 상태로 그저 기다렸고, 누군가 Snowflake 고객 계정을 상대로 대규모로 사용하기로 결정할 때까지 그대로 있었다.

변경되지 않은 비밀번호를 재사용할 때 생기는 실패 방식은 바로 이것이다. 반드시 약한 비밀번호라서가 아니다. 인포스틸러 악성 코드는 브라우저의 저장된 비밀번호 보관소에서 강력하고 고유한 비밀번호도 기꺼이 그대로 가져간다. 문제는 사람이나 정책이 만료 시점을 정해 주지 않는 한, 도난당한 비밀번호에는 만료일이 없다는 것이다. 그 사이 아무도 자격 증명을 변경하지 않았다면, 2021년에 발생한 침해가 2024년에도 여전히 문을 열 수 있다.

있지 않았던 두 번째 잠금장치

검찰이 지적한 또 다른 세부 사항, 즉 영향을 받은 계정에서 MFA가 꺼져 있었다는 점이 도난당한 비밀번호를 완전한 계정 접근 권한으로 바꿔 놓았다. 다중 요소 인증은 바로 이런 상황을 위해 설계됐다. 비밀번호는 결국 유출될 것이라고 가정하고, 도난당한 비밀번호만으로는 충족할 수 없는 두 번째 신원 증명(코드, 푸시 알림, 하드웨어 키)을 추가한다. 이것이 비활성화되어 있으면 유출된 자격 증명이 유일한 장벽이 된다. 2024년 Snowflake와 연관된 광범위한 침해 물결에 대한 보도는 영향을 받은 계정 중 다수가 기본적으로 MFA가 강제되지 않았다고 지적했다. 따라서 이 설정은 각 고객 조직이 적극적으로 켜야만 적용되는 것이었다.

이것이 실제로 당신에게 의미하는 것

이 뉴스레터를 읽는 대부분의 독자는 Snowflake 데이터 웨어하우스를 운영하지 않겠지만, 여기서 드러난 작동 방식은 어디에서든 당신이 보유한 모든 계정에 적용된다.

• 오래된 비밀번호는 단지 약한 것이 아니라, 이미 유출된 것으로 간주하라. 여러 사이트에서 비밀번호를 재사용했고 그 이후 바꾸지 않았다면, 누군가 추측했기 때문이 아니라 당신이 결코 볼 수 없는 도난 자격 증명 목록에 이미 들어 있을 수 있기 때문에 폐기된 것으로 취급하라.
• 사용하는 서비스가 침해 사실을 공개하면 자격 증명을 변경하라 — 특정 계정은 “영향을 받지 않았다”는 말을 들었더라도 그렇게 하라. 조사가 계속되는 동안 초기 침해 통지는 불완전한 경우가 많다.
• 제공되는 모든 곳에서 MFA를 켜라. 그리고 서비스가 기본적으로 활성화해 둔다고 가정하지 마라. 가장 안전한 설정이 이미 활성화되어 있을 것이라고 믿기보다 계정 보안 설정을 직접 확인하라.
• 비밀번호 관리자는 근본 원인을 해결한다. 단순히 증상만 다루는 것이 아니다. 기억해서 해야 하는 일이 아니라, 고유하고 재사용하지 않는 비밀번호를 가장 수월한 선택지로 만들어 준다.
• 기기가 인포스틸러 악성 코드에 감염되었을 가능성이 있다면 (낯선 프로그램이 설치되었거나, 불법 복제 파일을 다운로드했거나, 의심스러운 로그인 알림이 온 경우), 이후 저장된 비밀번호를 전부 변경해야 한다. 중요하다고 생각되는 비밀번호 하나만이 아니라 전부 바꾸는 것만이 오래된 감염이 데이터를 수집한 사람에게 계속 이익을 안겨 주고 있지 않다는 사실을 확인할 수 있는 유일한 방법이다.

불일치가 주는 교훈

최대 30년의 형, 의무 최소형, 1억 명의 기록이 걸린 이처럼 중대한 사건이 이렇게 평범한 메커니즘에 의해 발생했다는 사실은 어딘가 불편하기까지 하다. 복잡한 공격 연쇄도, 새로운 기법도 없었다. 그저 아무도 바꾸지 않은 비밀번호 하나와 아무도 켜지 않은 보안 설정 하나가 있었을 뿐이다. 선고 관련 헤드라인이 사라진 뒤에도 이 사건을 기억할 가치가 있는 이유는 바로 그 불일치에 있다. 가장 큰 침해 사건에는 대개 천재적인 공격자가 필요하지 않다. 한 번도 변경되지 않은 자격 증명 하나가, MFA가 한 번도 켜지지 않은 계정 하나에 놓여 있으면 충분하다.