꼰머의 보안공부

1. 내부 직원에 의한 개인정보 유출

- 기업이나 기관의 내부 구성원이 고의 또는 실수로 개인정보나 중요 데이터를 외부로 유출하거나, 보안 사고를 발생시키는 행위

1.1 발생 원인

① 미흡한 권한 관리

> 직원에게 과도한 접근 권한 부여

② 모니터링 부족

> 내부 정보 접근 및 다운로드 기록 미비

③ 보안 교육(또는 인식) 부족

> 개인 정보 등 중요 정보에 대한 보호 및 보안 교육 부족

④ 내부 감시 시스템 부족

> 이상 행동 탐지 시스템, 로그 모니터링 등 시스템 부족

1.2 관련 사례

- 14.01.08 카드 3사 개인정보 및 금융정보 무단 유출

> 카드 3사(KB, 롯데, 농협)는 KCB에 FDS 시스템 업그레이드 관련 용역을 진행

> KCB 담당 직원은 12.10 ~ 13.12까지 USB로 고객들의 개인정보를 유출

> 유출 정보를 대출광고업자에게 1650만원에 판매하였고, 대출광고업자들은 2300만원에 재판매

1.3 대응 방안

① 최소 접근 권한 부여

> 업무 수행에 필요한 최소한의 정보만 접근 가능하도록 설정

② 모니터링 시스템 구축

> 내부직원의 정보 접근 및 다운로드 로그 등을 모니터링할 수 있도록 시스템 구축

③ 주기적 보안 교육

> 개인정보 보호 및 보안에 대한 교육 시행

④ 데이터 암호화 및 접근 통제

> 중요 데이터에 대한 암호화 적용 및 접근 통제 (인증 시스템 강화)

1.4 관련 법률

2. NIA 개인정보 유출

- 최근 실시한 자체 감사 결과, 한 내부 직원이 개인정보가 포함된 자료를 유출한 사실을 최종 확인

> 유출 정보 : NIA 외부 자문위원 등의 개인정보

> 유출 항목 : 자문위원 개인의 소속과 핸드폰 번호, 이메일, 생년월일, 주민번호, 주소, 계좌번호 등

> 현재 유출된 자료는 모두 회수한 상태로, 유출 사실 인지 직후 관계기관 신고 등 추가 유출 방지를 위한 조치를 진행중

3. 참고

[1] https://www.boannews.com/media/view.asp?idx=136323&page=1&kind=1

1. 스티비 서버 해킹으로 개인정보 유출

- 뉴스레터 발송용으로 활용하는 외부 마케팅 솔루션이 해킹되어 외교부 사칭 스팸 메일이 발송
> 유포된 메일에 대한 기술적 분석 결과 악성 기능이 없는 것으로 파악

- 사용자 이름, 이메일 주소, 암호화된 비밀번호 등과 일부 고객 신용정보 유출
> 결제 오류 로그에 민감한 신용정보가 함께 저장 (서버 해킹으로 내부 로그가 함께 유출)
> 일부 회원 계정이 외부 공격자에 의해 로그인된 정황 발견 (비밀번호는 단방향 암호화되어 있어 유출 가능성 낮음)

※ 로그 관리 방식의 미비 : 로그 접근 권한의 제한 부족과 장기간 로그 보관이 보안상 취약 요소로 작용

- 사후 보안 강화 대책
> 취약점 보완 및 시스템 내 모든 개인정보 완전 암호화
> 로그인 시 2단계 인증 도입 및 이상 로그인 감지 시스템 강화
> 해외 IP 차단 및 로그 보관 정책 재정비
> 금융기관과 협력해 이상 금융 거래 감시 및 실시간 모니터링 강화
> 보안 조직 확대 및 보안 전문가 영입
> 개인정보 수집 및 보관 정책 변경 (불필요 정보 즉시 파기, 최소한 정보 저장)

2. KERIS 개인정보 유출

- AI디지털교과서 수업설계안 개발 과정에 참여한 교원들의 개인정보가 유출
> 개발에 참여 중인 선생님들이 상호 피드백 그룹 정보 조회를 위한 엑셀파일을 구글 드라이브에 탑재
> 엑셀파일은 개인정보 보호를 위해 암호 설정 및 선생님들은 수신 문자의 그룹 코드를 입력해 본인의 피드백 그룹 정보만 확인하도록 설계
> 구글 드라이브에서 구글 스프레드 시트를 통해 열람 또는 다운로드할 경우 암호 설정이 해제되는 현상이 발생하여 개인정보 유출

- 개발에 참여 중인 선생님 957명의 이름, 소속학교, 지역(시, 도), 휴대전화번호, 이메일 유출
> 구글 드라이브에서 엑셀 파일 삭제 및 선생님들에게 파일 삭제 요청 안내

- 휴먼 에러 가능성
> 암호화 엑셀 파일을 구글 드라이브에 올린 후 구글 스프레드 시트로 열람할 경우 비밀번호 입력 기능이 유지됨
> 구글 스프레드시트에서 직접 파일을 작성하고 특정 사용자에게 링크 공유와 잠김 기능을 사용한 경우 설정 오류일 것
> 또는 엑셀 파일 자체에 비밀번호 설정을 잘못했을 가능성
> 내부 개인정보 문서를 외부 시스템을 통해 공유하는 방법 자체의 잘못

3. 한예종 재학생·졸업생 개인정보 유출

- 해킹 공격으로 누리 시스템에 있는 재학생·졸업생 1만 8,000여명의 개인정보 유출
> 유출 항목 : 학번, 한글·한문·영문성명, 생년월일, 성별, 학적상태, 학년, 과정, 소속, 학과,  전공, 입학일, 수험번호, 일반휴학학기, 휴대전화번호, 자택전화번호, 주소, 예금주, 은행명, 계좌번호, 이메일 등
> 유출 의심 항목 : 보호자 정보, 장학금, 등록금, 성적

4. 한국정보보호산업협회 개인정보 유출

- 뉴스레터를 발송하는 과정에서 수신인 메일 주소 10,592건이 삽입되어 발송
> 뉴스레터 구독자들에게 메일 삭제 요청
> 악용 의심 사례는 발생하지 않음

- 대응
> 메일 전송 서버 강제 중단
> 메일 송부 프로그램 교체 및 발송 확인 절차 강화

5. GS리테일 개인정보 유출

- 크리덴셜 스터핑 공격을 받아 개인정보 유출
> 유출 항목 : 이름, 성별, 생년월일, 연락처, 주소, 아이디, 이메일

- 공격 IP 및 공격 패턴 차단, 계정 잠금 처리, 개인정보가 표시된 페이지를 확인할 수 없도록 임시 폐쇄 조치
> 2차 피해 방지를 위해 비밀번호 변경 권고

1. 국내

- 온라인 강의 플랫폼 클래스유, 개인정보 유출
> 암호화 등 보안조치 미흡으로 100만명의 회원정보가 해킹포럼에 유출
> 유출된 개인정보는 닉네임, 이름, 전화번호, 이메일(일부 암호화)이며, 금융정보는 포함되지 않은 것으로 확인
> 앞으로는 회원들의 정보를 모두 암호화하여 보관할 예정

- 전북대 통합정보시스템 해킹으로 32만여명의 개인정보 유출
> 재학생, 졸업생, 평생교육원 회원 등 총 32만명 이상의 개인정보 유출
> 이름, 주민등록번호, 전화번호, 이메일, 학사정보 등을 포함해 재학생·졸업생은 74개 항목, 평생교육원 회원은 29개 항목이 유출
> 인지 직후 공격 IP, 불법 접속 경로 차단 및 취약점 보완 조치와 철저한 재발방지 대책 마련 약속

- 공군 창의·혁신 아이디어 공모 해커톤 참가자 개인정보 유출
> 공군에서 운용 중인 인터넷 공군 해커톤 평가체계 홈페이지에서 관리되고 있는 고객 약 450명의 개인정보가 유출
> 유출된 정보는 2022년 수상자 명단, 2024년 접수현황 파일로, 해당 파일에 신분, 이름, 생년월일, 소속, 전화번호, 메일주소가 포함
> 유출 사실 인지 후 추가 피해 방지 및 예방 조치 완료

- 선문대학교, 위탁업체 실수로 학생 개인정보 유출
> 일부 홈페이지의 개발·운영을 위탁한 외부 업체가 시스템 업데이트 과정에서 학생 개인정보 유출
> 시스템 업데이트 과정에서 기술적 문제로인해 로그인 없이 재학생 정보를 검색할 수 있었음
> 9700여명의 이름 일부와 학년, 학과, 전화번호 유출
> 피해 학생에게 사실 안내와 개보위 신고 및 긴급회의 진행(사건 발생 경위, 데이터 관리 차원에서 기술적 오류 여부, 사후 관리 계획 등)

2. 해외

- 아틀라시안의 작업 관리도구 트렐로에서 약 1,500만명의 사용자 개인정보 유출
> API 취약점을 악용한 해커의 공격으로 발생
> 공개된 API 앤드포인트 악용->이메일 주소 목록 활용->데이터 조합->데이터 유출 및 판매 단계를 걸쳐 진행

> 아틀라시안은 이메일 주소를 기반으로 다른 사용자들의 공개 정보를 요청하는 비인가 사용자들의 접근 차단 조치 및 API 사용을 지속 모니터링해 필요한 조치를 취할 것이라 발표

- 사상 최대 규모의 개인정보 유출 사건 발생
> 미국 거주자의 민감한 개인정보 담긴 약 27억 건의 데이터가 암호화되지 않은채 해킹 포럼에 유출
> 개인정보를 수집·판매하는 업체인 National Public Data에서 발생
> 유출된 정보는 이름, SSN(사회보장번호), 주소지, 일부 별칭 정보가 담긴 두 개의 텍스트 파일로, 총 277GB
> 유출된 데이터 중 많은 데이터가 오래된 백업에서 가져온 것으로 보임
> 피해 최소화를 위해 신용 보고서 모니터링, 신용 동결 고려 등 즉각 조치를 권고

- 텐센트 사용자 14억 명의 개인정보 유출
> 텐센트 고객 14억 명의 이메일, 전화번호, QQ용 ID 등 유출
> 정보의 출처는 확인되지 않으나, 24년 1월 MOAB(Mother of All Breaches)일 것으로 판단
> MOAB는 4000건이 넘는 침해 사고에서부터 수집된 데이터를 저장한 DB로, 약 260억 건의 기록을 포함
> MOAB에 15억 건의 텐센트 계정이 포함되어 있던것이 확인된바 있음

3. 공통

- IP 카메라 해킹으로 사생활 영상 180건 유출
> 2017년부터 최근까지 촬영된 것으로 보이는 IP 카메라 영상 약 180건 확인
> 유출 영상은 하나당 10~15달러에 거래되나, 피해자는 영상 유출 사실조차 인지하지 못하는 상황
> 제품을 사용하지 않을 경우 전원을 꺼두거나 렌즈 가리기, 펌웨어 최신 업데이트 등 보안 조치 필요

국내 기업 자료 유출

1. 개요

- 랜섬웨어, 해킹 등으로 탈취한 자료 다크웹 유출 및 판매

2. 주요내용

- 인포스틸러에 의한 국내 주요 인터넷 강의 사이트 로그인 정보 및 계정 정보 4만 5천 건 다크웹 유출
>  로그인 정보 4만 5,352건, 사내 계정 정보 490건, 관련 문서 143건

- EvilQueen 해커조직, 국내 온라인 쇼핑몰 노려 7,089건 신용카드 정보 탈취
> 국내 온라인 쇼핑몰 웹사이트 50여개 결제창 위장해 이용자 정보 유출
> 플랫폼의 취약점과 여러 웹 취약점을 이용해 침투 후 피싱 페이지 삽입 (취약점이 확인된 구버전 PHP 사용, 2차 인증 없이 노출된 관리자 페이지, FTP 서비스 외부 오픈 등)
> 유출된 정보는 카드번호, CVC, 유효기간, 카드 비밀번호, 주민등록번호, 휴대폰 번호 등 금융정보

- 의료금융 플랫폼 개인정보 유출
> 2020년경 해킹으로 유출된 데이터가 공개
> 유·노출된 개인정보는 학교명, 학년, 직업, 계정정보(네이버, 네이트, 한메일 등) 등
> 현재 해당 플랫폼은 정보보호 전담조직이 없는 것으로 파악

- 다크웹에서 국내 자동차 부품기업 핵심자료 거래
> 랜섬웨어 공격으로 재무제표, 인사 파일, 금융 관련 자료 등 포함

3. 대응방안

- 이용자는 주기적 계정 비밀번호 변경, 2단계 인증 적용 등 보안 강화
- 추가적인 유출 방지를 위해 새로운 보안 절차 수립, 솔루션 도입, 내부 교육 등 진행
- 정기적 백업, 최신 패치 유지, 망 분리, 임직원 보안인식 제고 등 필요

해외 기업 자료 유출

1. 개요

- 해외 빅테크 기업의 데이터 유출 확인

2. 주요내용

- 하드웨어 제조업체 Acer, 필리핀 지부 데이터 유출
> 필리핀과 공급 계약을 맺고 있는 서드파티 업체로부터 사건이 시작
> 고객 데이터는 안전하며, 직원들의 개인정보가 탈취된 것으로 확인

- 통신사 AT&T, 7300만 고객 정보 유출
> 2019년까지 가입된 고객들의 사회 보장 번호를 포함한 각종 개인정보 및 민감 정보가 다크웹 유출
> 현재 AT&T 이용 고객 760만명, 과거 AT&T를 이용해본 적이 있는 고객 6,540만

- 전자제품 제조 및 판매업체 Dell, 고객 정보 유출
> 고객 정보를 저장 및 관리하고 있는 델 내부 포털이 침해되었으며, 피해자 수는 공개되지 않음
> 고객의 이름, 거주지 주소, 델에서의 구매 이력 유출

3. 대응방안

- 증가하는 SW 공급망 공격에 대한 주의 및 철저한 대응 필요 (SW 공급망 보안 가이드라인 1.0  참고)

국제 공조, 일부 다크웹 폐쇄

1. 개요

- 국제 공조로 사이버 범죄 그룹 폐쇄

2. 주요내용

- 국제 공조로 록빗, 블랙캣, 네메시스마켓, 브리치포럼즈 등 폐쇄
> 록빗, 블랙캣이 운영하던 공격 인프라, 웹사이트 폐쇄 및 복호화 키 확보 및 공유
> 사이버 범죄 대행 서비스 네메시스마켓, 브리치포럼즈 폐쇄

3. 대응방안

- 새롭게 등장하는 다크웹 포럼 등에 대한 대응책 강구 필요

새로운 유형의 ATM 멀웨어 등장

1. 개요

- 다크웹에서 높은 성공률을 보이는 새로운 ATM 멀웨어가 거래

2. 주요내용

- 유럽 내 ATM 기기의 99%, 전 세계 ATM 약 60%를 침해할 수 있는 ATM 멀웨어 3만 달러에 적극 광고
> ATM 한 대 당 3만 달러의 수익을 보장
> 침해 가능 제조사: Diebold Nixdorf, 효성, Oki, Bank of America, NCR, GRG, Hitachi 등

3. 대응방안

- 국내 ATM 기기 최신 보안 업데이트, 물리적 USB 포트 비활성화 등 점검 필요

국내 기관 대상 공격 및 자료 유출 활발

1. 개요

- 해킹 포럼에서 국내 기관 대상 공격이 활발
- 데이터 판매, 디페이스 공격 등을 수행

2. 주요내용

- 24.01.01 한국은행, 24.01.06 외교부 DDoS 공격 발생
> 해커 "‘MrCyber’" 한국은행 대상으로 공격도구 ‘ATTACK SENT’를 이용해 DDoS 감행
> 어나니머스는 이스라엘 지지를 이유로 외교부에 DDoS 감행

- 24.01.19 샤오치잉 소속 중국 해커 "니옌" 정부 기관 등 다수 웹 상디트 공격 예고 및 공격 동참 권유
> 김천녹색미래과학관 디페이스 공격을 시작으로 정부기관 및 교육 사이트 공격 예고
> 해커 "NIKTO_R007" 국내 교육 서비스 플랫폼 런피아 웹 페이지 디페이스 공격 및 공격 과정 유튜브 공개

- 24.01.23 해커 "Teamghostof_death" 해킹포럼에 우체국 개인정보 보유 및 판매 게시글 작성
> SQL 취약점을 악용해 6000개 이상의 개인정보를 탈취(1.5GB 용량) 했다 주장
> 협상을 위해 10일 동안의 시간을 제시하였으며, 결렬 시 데이터 개인정보 판매 예고
> 우정사업본부는 유출 흔적 없음 확인 발표

- 24.01.30 "니옌" 국내 공격 대상 IP, 공격 방법 등을 공개
> Oracle, SQL, WebShell 등을 이용

- 24.02.05 신원 미상 해킹그룹 대민 서비스 계정 13,000여개 유출
> 국정원은 미상 해킹그룹이 대민 서비스 이용자의 개인정보가 불법 유통되고 있는 정황 포착
> 인포스틸러 악성코드를 악용해 ID/PW 탈취

3. 대응방안

- 공격이 예고된 도메인 또는 일자 대상 모니터링 강화
- 알려진 취약점, 인증정보 등 부정사용에 대한 모니터링 강화

1. 잡플래닛 회원 개인정보 다크웹 유출 

1. 개요

- 이메일, 해시코드, 주민번호, 연락처 등 개인정보 380K 분량 샘플 공개

2. 주요내용

- 12.02 다크웹에 ‘JOBPLANET.CO.KR 380K EMPLOYMENT SEEKERS DATABASE’ 샘플 자료 공개
- 이메일, 해시코드, 주민등록번호, 연락처 등 개인정보 공개
> 과거 데이터 다수 포함_016, 018, 019 등 전화번호가 포함되어 있음

- 잡플래닛 운영사 브레인커머스측은 개인정보가 유출된 사실이 없다 발표
> 잡플래닛에서 암호화된 개인정보는 해킹이 불가능한 구조
> 공개된 샘플에는 잡플래닛이 수집하지도 않는 정보(주민등록번호)가 포함
> 로그 상에서도 해킹을 시도했거나 성공했다는 기록이 확인되지 않음

2. 샤오치잉 공격 시도 포착

1. 개요

- 샤오치잉, 11월 국내 언론사, 부동산 관련 사이트 공격 시도 포착
- 12.09 텔레그램을 통해 국내 개인정보 파일 공개

2. 주요내용

- 샤오치잉은 상반기 한국을 대상으로 여러 사이트를 공격
> SQL 인젝션 등 취약점과 해킹 툴을 악용해 디페이스공격과 개인정보를 탈취
- 11월부터 샤오치잉 활동 재개 확인 및 공격 시도 화면 텔레그램 공격
- 12.09 “한국의 신선한 데이터베이스” 텔레그램 공개
> 2020년 4월 30일로 표기된 엑셀파일 형태로 이름, 핸드폰번호, 사용 중인 신용카드 회사명 등이 기재
> 누구나 다운로드 할 수 있도록 한국인 및 중국인들의 개인정보가 담긴 파일, 링크, 이미지 및 동영상 등이 업로드

3. 골프존 랜섬웨어 감염 및 탈취 데이터 다크웹에 유출

1. 개요

- 11.23 골프존은 랜섬웨어에 감염 및 탈취 데이터 유출

2. 주요내용

- 골프존은 랜섬웨어에의해 11.23부터 5일 이상 서비스 장애 발생
> 회원정보 및 개인정보를 요구하는 골프존 사칭 스미싱 문자 확인
- 12.08 랜섬웨어 조직 ‘BLACK SUIT’은 다크웹의 릭(leak) 사이트에 골프존 탈취 파일 업로드
> 회원의 개인정보는 없는 것으로 보이나, 유출된 데이터를 활용한 2차 공격이 예상

4. 국내 온라인쇼핑몰 M사 개인정보 추정 데이터 유출

1. 개요

- UTC 기준 12일 06:16경 온라인쇼핑몰 M사의 개인정보를 다크웹에 공개

2. 주요내용

- 온라인쇼핑몰 M사의 개인정보 샘플을 다크웹에 공개
> 주소, 휴대폰 번호, 사용은행 계좌번호, 이메일주소, 전화번호 등이 샘플로 공개
> SQL 인젝션을 이용해 DB 추출 및 2023년 정보로, 1.8kk 데이터 보유 추정
- 공개한 데이터 형식을 보면, DB에서 직접 추출한 칼럼 형태로 공개되어 있어 실제 유출됐을 가능성이 매우 높음