2014.05.22

'이베이 누출 사고'로 되짚어보는 기업 로그인 정보 보호법

Antone Gonsalves | CSO
이베이는 지난 21일 '소수의' 직원 로그인 정보가 누설됐으며 이에 따라 사내 네트워크에 불법적 접근이 나타나고 있다고 밝혔다. 그러나 1억 4,500만 명에 이르는 등록 회원 중 몇 명의 정보가 누출됐는지에 대해서는 함구했다.

스텔스비츠 테크놀로지(STEALTHbits Technologies)의 전략 및 연구 담당 임원 조나단 샌더는 "내부 접근이 가능한 계정만 확보한다면 공격이 한층 쉬워진다"라고 설명했다.

이베이 측은 직원 로그인 정보가 어떻게 도난됐는지에 언급하지 않았으며 단지 지난 2월 말에서 3월 초 발생한 사건이라고만 밝혔다. 도난 당한 데이터로는 소비자 이름, 암호화된 패스워드, 이메일 주소, 실제 주소, 전화번호, 생년월일 등이 있었다. 계좌 등의 금융 정보는 포함되지 않은 것으로 알려졌다.

직원들이 사내 네트워크 로그인 정보를 도난 당하는 경로는 많다. 특히 사내 네트워크에서와 동일한 아이디 및 패스워드를 다른 인터넷 사이트에서 사용하기 때문인 경우가 흔하다. 이 밖에 키로그를 움치는 맬웨어에의 감염, 피싱 공격 등의 경로도 있다.

샌더는 기업 정책 차원에서 이를 감안해 적용할 필요가 있다고 강조했다. 사내 네트워크 로그인 정보를 다른 사이트와 반드시 다르게 설정하도록 교육시켜야 한다는 것이다. 실제로 교육이야말로 보안 측면에서 가장 효과적인 비기술적 정책이라고 그는 덧붙였다.

그는 "방어와 관련해 최고의 방안 중 하나는 교육이다. 기업들이 이를 좀더 진지하게 생각할 필요가 있다"라고 말했다.

직원 로그인 정보 누출을 막는 효과적 방법으로는 또 이중 인증(two-factor authentication)이 있다고 에일리언발트의 맬웨어 연구 디렉터 제이미 블라스코가 설명했다.

그는 "가장 쉬운 방법이라고 본다. 해커가 직원 패스워를 훔쳐도 물리적 토큰 없이는 접근할 수 없기 때문이다"라고 말했다.

블라스코는 이어 네트워크 침해 사고가 증가하면서 좀더 강력한 기술을 도입하려는 기업이 늘고 있는 추세라고 전했다. 그는 "보안에 있어 가장 취약한 지점은 사용자다. 그리고 이베이의 경우에서는 아마 직원들이었을 것이다. 앞으로 직원으로 인한 누출 사고가 늘어날 것으로 예상한다"라고 말했다. ciokr@idg.co.kr



2014.05.22

'이베이 누출 사고'로 되짚어보는 기업 로그인 정보 보호법

Antone Gonsalves | CSO
이베이는 지난 21일 '소수의' 직원 로그인 정보가 누설됐으며 이에 따라 사내 네트워크에 불법적 접근이 나타나고 있다고 밝혔다. 그러나 1억 4,500만 명에 이르는 등록 회원 중 몇 명의 정보가 누출됐는지에 대해서는 함구했다.

스텔스비츠 테크놀로지(STEALTHbits Technologies)의 전략 및 연구 담당 임원 조나단 샌더는 "내부 접근이 가능한 계정만 확보한다면 공격이 한층 쉬워진다"라고 설명했다.

이베이 측은 직원 로그인 정보가 어떻게 도난됐는지에 언급하지 않았으며 단지 지난 2월 말에서 3월 초 발생한 사건이라고만 밝혔다. 도난 당한 데이터로는 소비자 이름, 암호화된 패스워드, 이메일 주소, 실제 주소, 전화번호, 생년월일 등이 있었다. 계좌 등의 금융 정보는 포함되지 않은 것으로 알려졌다.

직원들이 사내 네트워크 로그인 정보를 도난 당하는 경로는 많다. 특히 사내 네트워크에서와 동일한 아이디 및 패스워드를 다른 인터넷 사이트에서 사용하기 때문인 경우가 흔하다. 이 밖에 키로그를 움치는 맬웨어에의 감염, 피싱 공격 등의 경로도 있다.

샌더는 기업 정책 차원에서 이를 감안해 적용할 필요가 있다고 강조했다. 사내 네트워크 로그인 정보를 다른 사이트와 반드시 다르게 설정하도록 교육시켜야 한다는 것이다. 실제로 교육이야말로 보안 측면에서 가장 효과적인 비기술적 정책이라고 그는 덧붙였다.

그는 "방어와 관련해 최고의 방안 중 하나는 교육이다. 기업들이 이를 좀더 진지하게 생각할 필요가 있다"라고 말했다.

직원 로그인 정보 누출을 막는 효과적 방법으로는 또 이중 인증(two-factor authentication)이 있다고 에일리언발트의 맬웨어 연구 디렉터 제이미 블라스코가 설명했다.

그는 "가장 쉬운 방법이라고 본다. 해커가 직원 패스워를 훔쳐도 물리적 토큰 없이는 접근할 수 없기 때문이다"라고 말했다.

블라스코는 이어 네트워크 침해 사고가 증가하면서 좀더 강력한 기술을 도입하려는 기업이 늘고 있는 추세라고 전했다. 그는 "보안에 있어 가장 취약한 지점은 사용자다. 그리고 이베이의 경우에서는 아마 직원들이었을 것이다. 앞으로 직원으로 인한 누출 사고가 늘어날 것으로 예상한다"라고 말했다. ciokr@idg.co.kr

X