Offcanvas

��������� ���������

애슐리 매디슨, '보안 어워드 메달'도 가짜였다

어떤 웹사이트가 가짜 보안 관련 상을 받았다고 스스로를 과시한다면 어떨까? 애슐리 매디슨이 지난해 대규모 보안 사고에 앞서 저지른 행위가 바로 이것이었다. 22일 캐나다와 호주의 프라이버시 분야 기관이 보고한 바에 따르면, 이 캐나다 소재 성인 만남 사이트는 가입자들을 안심시키기 위해 수상을 조작하는 일종의 사기 행위를 벌였다. 이들 두 국가의 프라이버시 기관은 지난해 3,600만 명의 데이터가 누출된 대규모 해킹 사건 이후 애슐리 매디슨을 조사해왔다. 그 결과 은밀히 혼외정사를 장려한 이 웹사이트가 범용 표준은 물론 프라이버시 법에도 대응하지 못 하는 보안 기법을 이용한 것으로 밝혀졌다. 더불어 사이트 상단에는 'trusted security award'라는 메달 아이콘이 게재돼 있었는데, 애슐리 매디슨 측은 이 어워드가 조작된 것이었다고 인정했다고 이들 기관은 전했다. 애슐리 매디슨이 사용자 데이터를 보유한 방법도 문제 중 하나로 지적됐다. 이 웹사이트는 사용자가 삭제 서비스에 대해 별도의 비용을 지불하지 않는 한 모든 프로필 정보를 저장했다. 계정이 비활성화된 경우에도 예외가 아니었다. 또 이러한 행태 중 어떤 것도 애슐리 매디슨 프라이버시 정책에 명확히 명시되지 않았다. 캐나다와 호주의 법은 계정이 비활성화된 경우 사용자 정보를 무기한 저장하는 행위를 금지하고 있다. 23일 애슐리 매디슨 소유주 루비(Ruby)는 조사 이후 양국의 기관이 제시한 권고 사항을 수용하는데 동의했다. 여기에는 사용자 프로필을 무료로 삭제하는 옵션도 포함돼 있다. 예전에는 미화 15달러에 수행됐던 서비스다. 캐나다 및 호주 프라이버시 기관은 애슐리 매디슨인 권고 사항을 수용하지 않을 경우 법적으로 강제할 수도 있다고 전했다. ciokr@idg.co.kr 

보안 해킹 누출 위조 가짜 수상 애슐리 매디슨

2016.08.24

어떤 웹사이트가 가짜 보안 관련 상을 받았다고 스스로를 과시한다면 어떨까? 애슐리 매디슨이 지난해 대규모 보안 사고에 앞서 저지른 행위가 바로 이것이었다. 22일 캐나다와 호주의 프라이버시 분야 기관이 보고한 바에 따르면, 이 캐나다 소재 성인 만남 사이트는 가입자들을 안심시키기 위해 수상을 조작하는 일종의 사기 행위를 벌였다. 이들 두 국가의 프라이버시 기관은 지난해 3,600만 명의 데이터가 누출된 대규모 해킹 사건 이후 애슐리 매디슨을 조사해왔다. 그 결과 은밀히 혼외정사를 장려한 이 웹사이트가 범용 표준은 물론 프라이버시 법에도 대응하지 못 하는 보안 기법을 이용한 것으로 밝혀졌다. 더불어 사이트 상단에는 'trusted security award'라는 메달 아이콘이 게재돼 있었는데, 애슐리 매디슨 측은 이 어워드가 조작된 것이었다고 인정했다고 이들 기관은 전했다. 애슐리 매디슨이 사용자 데이터를 보유한 방법도 문제 중 하나로 지적됐다. 이 웹사이트는 사용자가 삭제 서비스에 대해 별도의 비용을 지불하지 않는 한 모든 프로필 정보를 저장했다. 계정이 비활성화된 경우에도 예외가 아니었다. 또 이러한 행태 중 어떤 것도 애슐리 매디슨 프라이버시 정책에 명확히 명시되지 않았다. 캐나다와 호주의 법은 계정이 비활성화된 경우 사용자 정보를 무기한 저장하는 행위를 금지하고 있다. 23일 애슐리 매디슨 소유주 루비(Ruby)는 조사 이후 양국의 기관이 제시한 권고 사항을 수용하는데 동의했다. 여기에는 사용자 프로필을 무료로 삭제하는 옵션도 포함돼 있다. 예전에는 미화 15달러에 수행됐던 서비스다. 캐나다 및 호주 프라이버시 기관은 애슐리 매디슨인 권고 사항을 수용하지 않을 경우 법적으로 강제할 수도 있다고 전했다. ciokr@idg.co.kr 

2016.08.24

'고객 잃을 수도…' CMO 아젠다 된 사이버보안

사이버공격이 발생했을 마케팅 임원이 관심을 가지고 브랜드 전략과 안전을 고려해 적극적으로 대응해야 한다. 회사의 사이버보안 방어에 계속해서 관심을 보이고 적극적으로 참여하고 있다는 항목에 '높은' 점수를 주는 마케터는 많지 않다. 그러나 호주에서 설립됐으나 현재 미국 샌프란시스코로 본사를 옮긴 협업 소프트웨어 업체인 아틀라시안(Atlassian)의 마케팅 책임자 카릴루 디트리히는 업무 일부로 사이버보안을 지원하고 있다. 디트리히는 회사만 걱정하는 게 아니다. 디트리히(오른쪽 사진)는 "사이버 침해 사고가 고객의 데이터, 프라이버시, 콘텐츠, 소스 코드, 평판에 미칠 영향을 가장 먼저 우려하고 있다. 고객들의 비즈니스에 우리가 개발한 협업 소프트웨어가 중심적인 역할을 하고 있다. 따라서 고객과 데이터를 보호해야 하는 책임이 크다"고 밝혔다. 이어서 "이 책임을 아주 중요하게 생각하며, 고객 신뢰를 유지 및 성장시키기 위해 노력하고 있다. 모든 종류의 보안 위협을 꾸준히 경계하고, 모델링 및 모니터링 하고, 대응한다"고 강조했다. 디트리히는 사이버보안 사고를 계속 추적하고 있다. 이는 그녀의 팀이 고객에게 미칠 영향을 파악하고, 투명하면서도 미래지향인 커뮤니케이션 계획 및 해결책을 수립할 수 있도록 도와준다. 그녀는 다른 많은 마케터와 달리 회사 보안 부서와 긴밀하게 협력하고 있다. 디트리히는 "각자 전문성이 있다. 가장 좋은 방법으로 고객을 보호하고, 고객과 소통하는데 두 부서의 전문성이 모두 필요하다"고 밝혔다. 보안 의식으로 무장해야 기술 회사의 마케터에게는 비교적 흔하게 발견할 수 있는 상황이다. 특히 고객 데이터를 호스팅하고 보호하는 회사라면 더 그렇다. 그러나 IT산업 외부를 살펴봤을 때, 마케팅 부서에서 사이버보안 문제가 언급되는 일은 드물다. 물론 문제가 발생했을 때는 예외이다. 미국에서 소니, 애슐리 ...

소니 브랜드 가치 아틀라시안 고객 충성도 타깃 고객 정보 사이버보안 PwC 이사회 CMO 애슐리 매디슨

2016.07.08

사이버공격이 발생했을 마케팅 임원이 관심을 가지고 브랜드 전략과 안전을 고려해 적극적으로 대응해야 한다. 회사의 사이버보안 방어에 계속해서 관심을 보이고 적극적으로 참여하고 있다는 항목에 '높은' 점수를 주는 마케터는 많지 않다. 그러나 호주에서 설립됐으나 현재 미국 샌프란시스코로 본사를 옮긴 협업 소프트웨어 업체인 아틀라시안(Atlassian)의 마케팅 책임자 카릴루 디트리히는 업무 일부로 사이버보안을 지원하고 있다. 디트리히는 회사만 걱정하는 게 아니다. 디트리히(오른쪽 사진)는 "사이버 침해 사고가 고객의 데이터, 프라이버시, 콘텐츠, 소스 코드, 평판에 미칠 영향을 가장 먼저 우려하고 있다. 고객들의 비즈니스에 우리가 개발한 협업 소프트웨어가 중심적인 역할을 하고 있다. 따라서 고객과 데이터를 보호해야 하는 책임이 크다"고 밝혔다. 이어서 "이 책임을 아주 중요하게 생각하며, 고객 신뢰를 유지 및 성장시키기 위해 노력하고 있다. 모든 종류의 보안 위협을 꾸준히 경계하고, 모델링 및 모니터링 하고, 대응한다"고 강조했다. 디트리히는 사이버보안 사고를 계속 추적하고 있다. 이는 그녀의 팀이 고객에게 미칠 영향을 파악하고, 투명하면서도 미래지향인 커뮤니케이션 계획 및 해결책을 수립할 수 있도록 도와준다. 그녀는 다른 많은 마케터와 달리 회사 보안 부서와 긴밀하게 협력하고 있다. 디트리히는 "각자 전문성이 있다. 가장 좋은 방법으로 고객을 보호하고, 고객과 소통하는데 두 부서의 전문성이 모두 필요하다"고 밝혔다. 보안 의식으로 무장해야 기술 회사의 마케터에게는 비교적 흔하게 발견할 수 있는 상황이다. 특히 고객 데이터를 호스팅하고 보호하는 회사라면 더 그렇다. 그러나 IT산업 외부를 살펴봤을 때, 마케팅 부서에서 사이버보안 문제가 언급되는 일은 드물다. 물론 문제가 발생했을 때는 예외이다. 미국에서 소니, 애슐리 ...

2016.07.08

인포그래픽ㅣ'보안, 아이디 도용, 피싱' 2015년 보안 이슈 총 정리

보안에 대해서라면 제각기 할 말이 많겠지만 그 말이 모든 것을 설명해 주지는 못한다. 사이버 보안 위협, 개인정보 도용, 피싱과 관련해서는 특히 그렇다. 그저 숫자의 나열일 뿐이다. 그리고 잠시 후 살펴보면 알겠지만, 2015년 사용자는 승자가 아니었다. 2015년 보안의 큰 그림을 그리는 차원에서 <CIO>의 젠 A. 밀러가 수집한 사이버 보안 관련 기사 및 산업 동향 보고서 등을 참고했다. 해커, 스캐머, 사이버 범죄자들이 사용자를 어떻게 공격하는지 파헤치기 위한 것이다. 글로 장황하게 설명하는 대신으로 수치 중심으로 정리한 인포그래픽으로 올해의 보안 이슈를 전하고자 한다. ciokr@idg.co.kr

보안 버라이즌 데이터 유출 조사 보고서 IRS 해킹 JP모건 해킹 크라이슬러 리콜 미 교도소 휴대폰 통화 내역 해킹 사건 온라인 쇼핑 사기 개인 정보 도용 애슐리 매디슨 사이버 범죄 피싱 해킹 데이터 유출 유나이티드 항공 버그 프로그램 사건

2015.12.23

보안에 대해서라면 제각기 할 말이 많겠지만 그 말이 모든 것을 설명해 주지는 못한다. 사이버 보안 위협, 개인정보 도용, 피싱과 관련해서는 특히 그렇다. 그저 숫자의 나열일 뿐이다. 그리고 잠시 후 살펴보면 알겠지만, 2015년 사용자는 승자가 아니었다. 2015년 보안의 큰 그림을 그리는 차원에서 <CIO>의 젠 A. 밀러가 수집한 사이버 보안 관련 기사 및 산업 동향 보고서 등을 참고했다. 해커, 스캐머, 사이버 범죄자들이 사용자를 어떻게 공격하는지 파헤치기 위한 것이다. 글로 장황하게 설명하는 대신으로 수치 중심으로 정리한 인포그래픽으로 올해의 보안 이슈를 전하고자 한다. ciokr@idg.co.kr

2015.12.23

기고 | 외부 업체와 협력 시 주의해야 할 5가지 보안 위협

최근 발생한 보안 사고들 가운데 외부 업체 소속 인력의 이탈 행위에서 비롯된 것들이 있다. 가장 최근의 사례가 바로 애슐리 매디슨의 회원 정보 유출이다. 핵심 경쟁력에 주력하고 비핵심 분야를 외부 업체에 위탁할 때 주의해야 할 점을 소개한다.  이미지 출처 : Thinkstock 타깃에서부터 최근의 애슐리 매디슨 사태까지, 우리는 그 동안 외부 업체와의 협력이 보안 위협으로 이어지는 경우를 숱하게 봤다. 단말기, 서비스, 앱이 일상적으로 서로 서로 영향을 주고받는 환경에서는 약간의 실수로도 해커들에게 기업의 네트워크로 침입할 수 있는 허점을 보이고 만다. 외부 업체와 협업 시 주의해야 할 5가지 보안 위험에 대해 알아보자. 위험 #1 - 공유 크레덴셜 공유 크레덴셜은 기업에서 활용하는 인증 절차 중 가장 위험한 절차 중 하나기도 하다. 자주 사용하지 않는 서비스에 대해 크레덴셜 기반의 인증 절차가 필요하다고 해보자. 서비스 이용자는 시간이 가면서 바뀌겠지만 편의를 이유로 크레덴셜은 바뀌지 않고 그대로 둔다. 해당 서비스를 여러 위치에서, 다양한 기기를 통해, 여러 가지 목적을 가지고 이용할 경우 보안 위협에 노출되는 것은 시간 문제다. 게다가 서비스 전체와 다른 사용자들까지도 위험에 빠뜨릴 수 있다. 데이터베이스에서 커뮤니케이션 프로토콜에 이르기까지, 서비스 크레덴셜을 공유하는 기업은 타깃 네트워크에 접근을 노리는 해커의 먹잇감이 되기 십상이다. 시스템 관리자가 지속적으로 사용자의 행동을 모니터링 해야만 개별 인증 프로토콜 맵을 통해, 그리고 비정상 사용자 접근 이벤트들을 관련시켜 이러한 위험을 막을 수 있다. 네트워크에서 공유 크레덴셜이 자주 목격되든 아니든 간에, 거의 실시간에 가깝게 이들을 모니터링 하는 것만이 기업 네트워크의 잠재적 위협 요소들을 피하는 방법이 될 것이다. 위험 #2 –불규칙한 접근 내부 크레덴셜을 협력 업체에게 제공하는 기업들은 그것이 아주 장기적이고,...

외부 업체 타깃 애슐리 매디슨 외주 인력 써드 파티 보안 공유 크레덴셜

2015.10.14

최근 발생한 보안 사고들 가운데 외부 업체 소속 인력의 이탈 행위에서 비롯된 것들이 있다. 가장 최근의 사례가 바로 애슐리 매디슨의 회원 정보 유출이다. 핵심 경쟁력에 주력하고 비핵심 분야를 외부 업체에 위탁할 때 주의해야 할 점을 소개한다.  이미지 출처 : Thinkstock 타깃에서부터 최근의 애슐리 매디슨 사태까지, 우리는 그 동안 외부 업체와의 협력이 보안 위협으로 이어지는 경우를 숱하게 봤다. 단말기, 서비스, 앱이 일상적으로 서로 서로 영향을 주고받는 환경에서는 약간의 실수로도 해커들에게 기업의 네트워크로 침입할 수 있는 허점을 보이고 만다. 외부 업체와 협업 시 주의해야 할 5가지 보안 위험에 대해 알아보자. 위험 #1 - 공유 크레덴셜 공유 크레덴셜은 기업에서 활용하는 인증 절차 중 가장 위험한 절차 중 하나기도 하다. 자주 사용하지 않는 서비스에 대해 크레덴셜 기반의 인증 절차가 필요하다고 해보자. 서비스 이용자는 시간이 가면서 바뀌겠지만 편의를 이유로 크레덴셜은 바뀌지 않고 그대로 둔다. 해당 서비스를 여러 위치에서, 다양한 기기를 통해, 여러 가지 목적을 가지고 이용할 경우 보안 위협에 노출되는 것은 시간 문제다. 게다가 서비스 전체와 다른 사용자들까지도 위험에 빠뜨릴 수 있다. 데이터베이스에서 커뮤니케이션 프로토콜에 이르기까지, 서비스 크레덴셜을 공유하는 기업은 타깃 네트워크에 접근을 노리는 해커의 먹잇감이 되기 십상이다. 시스템 관리자가 지속적으로 사용자의 행동을 모니터링 해야만 개별 인증 프로토콜 맵을 통해, 그리고 비정상 사용자 접근 이벤트들을 관련시켜 이러한 위험을 막을 수 있다. 네트워크에서 공유 크레덴셜이 자주 목격되든 아니든 간에, 거의 실시간에 가깝게 이들을 모니터링 하는 것만이 기업 네트워크의 잠재적 위협 요소들을 피하는 방법이 될 것이다. 위험 #2 –불규칙한 접근 내부 크레덴셜을 협력 업체에게 제공하는 기업들은 그것이 아주 장기적이고,...

2015.10.14

"애슐리 매디슨 사고, 개인적 이유의 해킹일 수도"

애슐리 매디슨(AshleyMadison.com)이 “인생은 짧다. 바람을 피워라,”라는 슬로건을 내걸었을 때 지난 달 사태를 예상했던 건 아니었을 것이다. 그러나 누군가 수백 만 명의 바람 피려고 가입했던 사람들의 온라인 신원과 성적 취향을 공개해버렸다. 이 사건은 역사상 가장 큰 규모의 개인 정보 유출사고로 이내 확대됐고, 이 온라인 소개 사이트는 역사상 최악의 IT 보안 유출사고 순위에 등극했다. 하지만 누가 그 유출을 사주했는지 외부 해커인지 내부 유출인지는 여전히 미지수인 상태다. 이 공격 사건 이전에는 많은 사람들은 “애슐리 누구?”라며 이름도 잘 몰랐지만, 이제 애슐리 매디슨은 누구나 아는 명칭이 되었다. 사이트 자체의 성격이 엄청난 관심을 불러일으킨 측면도 있다. 그렇다면 애슐리 매디슨 사이트는 사업의 성격 때문에 공격 대상이 된 걸까? 만약 그렇다면 다른 온라인 만남 사이트들 역시 해커들의 공격 우선순위라는 이야기일까? CIO닷컴에서 이야기를 나눈 사이버 보안 전문가들은 모두 그 확률을 낮게 점쳤다. 모두가 오늘날 해커들의 최대 공격 동기가 사이트로부터 훔친 정보로 돈을 만들어내는데 있다는데 동의했다. 탐욕이 무엇보다도 최우선인 것이다. 그러나 탐욕 외의 동기가 있을 수도 있다. 몇몇 사이트들은 사회적, 정치적, 종교적 측면에서 여러 단계의 취약점들을 쌓아왔을 수 있다. 한 보안 컨설턴트는 요즘에는 거의 누구나 해커가 될 수 있고, 각각의 해커들은 나름대로 수많은 아젠다가 있을 수 있다고 강조했다. Credit: http://pictures.reuters.com/ 문제가 조금 개인적 영역으로 들어오다 “내 생각에 그건 뭔가 개인적이었던 것 같다. 전직 애슐리 매디슨 CEO에게 메시지를 보낸 이번 해커는 수많은 개인적 이야기를 남겼다. 해커들은 일반적으로 개인적인 이야기는 하지 않는 게 보통이다”라고 위스콘신 기반의 IT 보안 서비스와 ...

해킹 개인정보 유출 공격 애슐리 매디슨 불륜

2015.10.02

애슐리 매디슨(AshleyMadison.com)이 “인생은 짧다. 바람을 피워라,”라는 슬로건을 내걸었을 때 지난 달 사태를 예상했던 건 아니었을 것이다. 그러나 누군가 수백 만 명의 바람 피려고 가입했던 사람들의 온라인 신원과 성적 취향을 공개해버렸다. 이 사건은 역사상 가장 큰 규모의 개인 정보 유출사고로 이내 확대됐고, 이 온라인 소개 사이트는 역사상 최악의 IT 보안 유출사고 순위에 등극했다. 하지만 누가 그 유출을 사주했는지 외부 해커인지 내부 유출인지는 여전히 미지수인 상태다. 이 공격 사건 이전에는 많은 사람들은 “애슐리 누구?”라며 이름도 잘 몰랐지만, 이제 애슐리 매디슨은 누구나 아는 명칭이 되었다. 사이트 자체의 성격이 엄청난 관심을 불러일으킨 측면도 있다. 그렇다면 애슐리 매디슨 사이트는 사업의 성격 때문에 공격 대상이 된 걸까? 만약 그렇다면 다른 온라인 만남 사이트들 역시 해커들의 공격 우선순위라는 이야기일까? CIO닷컴에서 이야기를 나눈 사이버 보안 전문가들은 모두 그 확률을 낮게 점쳤다. 모두가 오늘날 해커들의 최대 공격 동기가 사이트로부터 훔친 정보로 돈을 만들어내는데 있다는데 동의했다. 탐욕이 무엇보다도 최우선인 것이다. 그러나 탐욕 외의 동기가 있을 수도 있다. 몇몇 사이트들은 사회적, 정치적, 종교적 측면에서 여러 단계의 취약점들을 쌓아왔을 수 있다. 한 보안 컨설턴트는 요즘에는 거의 누구나 해커가 될 수 있고, 각각의 해커들은 나름대로 수많은 아젠다가 있을 수 있다고 강조했다. Credit: http://pictures.reuters.com/ 문제가 조금 개인적 영역으로 들어오다 “내 생각에 그건 뭔가 개인적이었던 것 같다. 전직 애슐리 매디슨 CEO에게 메시지를 보낸 이번 해커는 수많은 개인적 이야기를 남겼다. 해커들은 일반적으로 개인적인 이야기는 하지 않는 게 보통이다”라고 위스콘신 기반의 IT 보안 서비스와 ...

2015.10.02

기고 | 가장 큰 보안 위협은 내부에 있다?

대다수 컴퓨터 전문가에게 IT보안에 대해 이야기해 보라고 하면, 악성코드, 해커, 스파이웨어, 디도스 공격 같은 온갖 종류의 외부 위협에 대해 듣게 될 것이다. 하지만, 만약 더 크고, 어쩌면 더 많은 비용이 드는 위협이 내부에서 오는 거라면? 이미지 출처 : Thinkstock 최근 '유명세'를 탄 애슐리 매디슨(Ashley Madison)은 고객들의 '불륜'을 조장하며 꽤 성공적으로 운영됐던 웹사이트다. 이런 까닭에 이 사이트에서 내부의 위협으로 역대 가장 시끄러운 보안 사고 가운데 하나가 발생한 것을 두고 '정의가 실현'됐다면서 반길 사람도 있을 것이다. 최근 IT 보안 분석가인 존 맥아피는 애슐리 매디슨의 사고는 내부에서 비롯됐다고 결론 내렸다. 그는 "애슐리 매디슨은 해킹당하지 않았다. 모회사인 애비드 라이프 미디어(Avid Life Media) 소속 직원이 데이터를 훔친 것이 사고의 원인이었다"고 설명했다. 이 주장이 사실이라면, 애슐리 매디슨의 보안 침해 사고는 외부가 아닌 내부 위협에서 비롯된 사고다. 그런데 이는 크게 놀랄 일은 아니다. 올해 발표된 여러 IT보안 조사 보고서에 따르면, 내부에서 발생한 데이터 도난과 기업 보안 침해 사고 위협이 커지고 있는 추세다. 내부 위협이 금전적으로 더 큰 피해, 방어가 더 어려운 위협을 초래하는 경우도 있다. 비유하면, 외부의 도둑이나 강도는 피해자의 집으로 침입해 들어가야 한다. 그러나 그 집에 살고 있는 누군가 물건을 훔치려 한다면 그럴 필요가 없다. 정문 열쇠와 보석함 위치를 알고 있기 때문이다. 물론 내부 위협과 외부 위협에 동일하게 적용되곤 하는 동기 하나가 있다. 데이터를 '영리 추구' 수단으로 삼는 것이다. 외부 위협의 경우, 해커들은 일반적으로 암시장에 내다 팔 수 있는 데이터를 훔치려 시도한다. 내부 위협의 경우, 과거 재직했던 또는 현재 재직 중인 직원이...

CIO 데이터 유출 맥아피 CISO 보안 위협 애슐리 매디슨 내부 보안 위협 보안 침해 사고

2015.09.30

대다수 컴퓨터 전문가에게 IT보안에 대해 이야기해 보라고 하면, 악성코드, 해커, 스파이웨어, 디도스 공격 같은 온갖 종류의 외부 위협에 대해 듣게 될 것이다. 하지만, 만약 더 크고, 어쩌면 더 많은 비용이 드는 위협이 내부에서 오는 거라면? 이미지 출처 : Thinkstock 최근 '유명세'를 탄 애슐리 매디슨(Ashley Madison)은 고객들의 '불륜'을 조장하며 꽤 성공적으로 운영됐던 웹사이트다. 이런 까닭에 이 사이트에서 내부의 위협으로 역대 가장 시끄러운 보안 사고 가운데 하나가 발생한 것을 두고 '정의가 실현'됐다면서 반길 사람도 있을 것이다. 최근 IT 보안 분석가인 존 맥아피는 애슐리 매디슨의 사고는 내부에서 비롯됐다고 결론 내렸다. 그는 "애슐리 매디슨은 해킹당하지 않았다. 모회사인 애비드 라이프 미디어(Avid Life Media) 소속 직원이 데이터를 훔친 것이 사고의 원인이었다"고 설명했다. 이 주장이 사실이라면, 애슐리 매디슨의 보안 침해 사고는 외부가 아닌 내부 위협에서 비롯된 사고다. 그런데 이는 크게 놀랄 일은 아니다. 올해 발표된 여러 IT보안 조사 보고서에 따르면, 내부에서 발생한 데이터 도난과 기업 보안 침해 사고 위협이 커지고 있는 추세다. 내부 위협이 금전적으로 더 큰 피해, 방어가 더 어려운 위협을 초래하는 경우도 있다. 비유하면, 외부의 도둑이나 강도는 피해자의 집으로 침입해 들어가야 한다. 그러나 그 집에 살고 있는 누군가 물건을 훔치려 한다면 그럴 필요가 없다. 정문 열쇠와 보석함 위치를 알고 있기 때문이다. 물론 내부 위협과 외부 위협에 동일하게 적용되곤 하는 동기 하나가 있다. 데이터를 '영리 추구' 수단으로 삼는 것이다. 외부 위협의 경우, 해커들은 일반적으로 암시장에 내다 팔 수 있는 데이터를 훔치려 시도한다. 내부 위협의 경우, 과거 재직했던 또는 현재 재직 중인 직원이...

2015.09.30

애슐리 매디슨 사건에 대처하는 보안 관리자의 자세

애슐리 매디슨 데이터 유출 사건은 사이버범죄자들에게 8월의 크리스마스 선물이 됐다. 역으로 보안 관리자들에게는 자사가 표적이 되는 크리스마스 악몽이 될 수 있다. 그래서 일부 사기 사례들은 유심히 지켜봐야 한다. 우선 애슐리 매디슨 공격과 연관된 스팸의 양은 현저히 증가했다. 트랜드마이크로에 따르면, 대다수 최근 애슐리 매디슨과 연관된 피싱 사기들은 애슐리 매디슨 고객 명단(Ashley Madison Client List)이라는 링크를 제공한다. 하지만 명단 대신 사용자의 컴퓨터를 감염시켜 뱅킹 악성코드를 설치하거나 사용자의 파일들을 암호화시키고 1 비트코인 또는 약 235달러를 지불하라고 협박한다. 미국 텍사스 어빙 소재의 트랜드마이크로 사이버보안 책임자 톰 켈러만은 "기업들은 급증하는 범죄를 막기 위해서는 이메일 게이트웨이에서 애슐리 매디슨과 연관된 모든 이메일을 막고, 들어오는 모든 이메일에 URL 필터링을 사용해야 한다"고 말했다. 미국 소재의 배로니스 시스템(Varonis Systems) 마케팅 개발 부문 부사장 데이비드 깁슨은 "애슐리 매디슨 사태는 거부할 수 없는 좋은 피싱 미끼를 제공한다"며, "사람들이 애슐리 매디슨 피해자들에 대한 내용이라는 링크의 유혹을 겪게 되는 것은 피할 수 없는 결과다"고 전했다. 깁슨은 "기업들은 사용자 계정과 워크스테이션, 그리고 민감한 데이터 스토어를 보호하기 위한 조치를 취해야 한다"고 말했다. 최근 노우비포(KnowBe4)는 모의 애슐리 매디슨 피싱 이메일을 보냈는데, 4.2% 평균 클릭율을 보였다. 노우비포 CEO 스투 쇼워만은 "직원들에게 기업 이메일 주소가 회사의 자산임을 가르칠 필요가 있다. 그리고 사적인 용도로 사용해서는 안된다는 걸 알려야 한다"고 충고했다. 애슐리 매디슨 해킹은 단지 잠재적인 사용자 이메일 주소가 노출된 것이 아니다. 사이버범죄자들은 다른 데이터들과 ...

보안 해킹 Security 스팸 스피어피싱 트랜드마이크로 애슐리 매디슨 Ashley Madison spearphishing

2015.09.09

애슐리 매디슨 데이터 유출 사건은 사이버범죄자들에게 8월의 크리스마스 선물이 됐다. 역으로 보안 관리자들에게는 자사가 표적이 되는 크리스마스 악몽이 될 수 있다. 그래서 일부 사기 사례들은 유심히 지켜봐야 한다. 우선 애슐리 매디슨 공격과 연관된 스팸의 양은 현저히 증가했다. 트랜드마이크로에 따르면, 대다수 최근 애슐리 매디슨과 연관된 피싱 사기들은 애슐리 매디슨 고객 명단(Ashley Madison Client List)이라는 링크를 제공한다. 하지만 명단 대신 사용자의 컴퓨터를 감염시켜 뱅킹 악성코드를 설치하거나 사용자의 파일들을 암호화시키고 1 비트코인 또는 약 235달러를 지불하라고 협박한다. 미국 텍사스 어빙 소재의 트랜드마이크로 사이버보안 책임자 톰 켈러만은 "기업들은 급증하는 범죄를 막기 위해서는 이메일 게이트웨이에서 애슐리 매디슨과 연관된 모든 이메일을 막고, 들어오는 모든 이메일에 URL 필터링을 사용해야 한다"고 말했다. 미국 소재의 배로니스 시스템(Varonis Systems) 마케팅 개발 부문 부사장 데이비드 깁슨은 "애슐리 매디슨 사태는 거부할 수 없는 좋은 피싱 미끼를 제공한다"며, "사람들이 애슐리 매디슨 피해자들에 대한 내용이라는 링크의 유혹을 겪게 되는 것은 피할 수 없는 결과다"고 전했다. 깁슨은 "기업들은 사용자 계정과 워크스테이션, 그리고 민감한 데이터 스토어를 보호하기 위한 조치를 취해야 한다"고 말했다. 최근 노우비포(KnowBe4)는 모의 애슐리 매디슨 피싱 이메일을 보냈는데, 4.2% 평균 클릭율을 보였다. 노우비포 CEO 스투 쇼워만은 "직원들에게 기업 이메일 주소가 회사의 자산임을 가르칠 필요가 있다. 그리고 사적인 용도로 사용해서는 안된다는 걸 알려야 한다"고 충고했다. 애슐리 매디슨 해킹은 단지 잠재적인 사용자 이메일 주소가 노출된 것이 아니다. 사이버범죄자들은 다른 데이터들과 ...

2015.09.09

애슐리 매디슨 모기업, 해커 제보자에 현상금 지급 계획 발표

애슐리 매디슨 개인정보 해킹 사건에 50만 달러의 CDN 현상금이 걸렸다. 아비드 라이프 미디어(ALM)이 24일 결정적 정보를 제공한 이에게 50만 달러의 보상을 제공할 것이라고 밝혔다. 애슐리 매디슨과 쿠거 라이프(Cougar Life), 이스터블리시트 멘(Established Men)의 모기업이기도 한 ALM은 7월 이후 대규모 데이터 누출 사고를 처리해왔다. 24일 토론토에서 열린 기자간담회에서 ALM은 프로젝트 유티콘으로 알려진 전담 수사팀에 대한 정보를 설명하며 이와 같은 금액의 현상금 지급 계획을 발표했다. 프로젝트 유니콘은 토론토 경찰(TPS)의 주도 아래 미 국토방위부와 온타리오 지역 경찰, 로열 캐너디언 마운티드 폴리스, FBI 등이 협조하는 조직이다. 이 태스크 포스 측은 수사가 긍정적인 방향으로 진전되고 있지만 외부의 도움이 필요하다고 밝힌 바 있다. 이번 현상금이 등장하게 된 배경으로 풀이된다. 한편 스스로를 임팩트 팀이라고 부르는 해커 그룹은 이 기업이 타인의 고통으로부터 이윤을 창출하고 있다고 비난하며, 애슐리 매디슨과 이스터블리시트 멘의 폐쇄를 요구했다. 또 요구에 불응할 경우 입수한 데이터를 배포하겠다고 위협했다. 이 그룹은 실제로 일부 데이터를 누출시키기도 했다. 지난 화요일 고객 기록, 금융 기록, 내부 서류 및 소스 코드, CEO의 이메일 스풀 등 ALM 데이터를 담고 있는 3개의 다른 아카이브를 1차로 배포했다. ALM 대변인은 성명서를 통해 "이 유례없는 범죄에 대한 깊이 있는 수사는 결국 범인 체포와 유죄 평결을 이끌어낼 것으로 확신한다"라고 밝혔다. ciokr@idg.co.kr 

만남 성인 현상금 ALM 애슐리 매디슨 불륜

2015.08.25

애슐리 매디슨 개인정보 해킹 사건에 50만 달러의 CDN 현상금이 걸렸다. 아비드 라이프 미디어(ALM)이 24일 결정적 정보를 제공한 이에게 50만 달러의 보상을 제공할 것이라고 밝혔다. 애슐리 매디슨과 쿠거 라이프(Cougar Life), 이스터블리시트 멘(Established Men)의 모기업이기도 한 ALM은 7월 이후 대규모 데이터 누출 사고를 처리해왔다. 24일 토론토에서 열린 기자간담회에서 ALM은 프로젝트 유티콘으로 알려진 전담 수사팀에 대한 정보를 설명하며 이와 같은 금액의 현상금 지급 계획을 발표했다. 프로젝트 유니콘은 토론토 경찰(TPS)의 주도 아래 미 국토방위부와 온타리오 지역 경찰, 로열 캐너디언 마운티드 폴리스, FBI 등이 협조하는 조직이다. 이 태스크 포스 측은 수사가 긍정적인 방향으로 진전되고 있지만 외부의 도움이 필요하다고 밝힌 바 있다. 이번 현상금이 등장하게 된 배경으로 풀이된다. 한편 스스로를 임팩트 팀이라고 부르는 해커 그룹은 이 기업이 타인의 고통으로부터 이윤을 창출하고 있다고 비난하며, 애슐리 매디슨과 이스터블리시트 멘의 폐쇄를 요구했다. 또 요구에 불응할 경우 입수한 데이터를 배포하겠다고 위협했다. 이 그룹은 실제로 일부 데이터를 누출시키기도 했다. 지난 화요일 고객 기록, 금융 기록, 내부 서류 및 소스 코드, CEO의 이메일 스풀 등 ALM 데이터를 담고 있는 3개의 다른 아카이브를 1차로 배포했다. ALM 대변인은 성명서를 통해 "이 유례없는 범죄에 대한 깊이 있는 수사는 결국 범인 체포와 유죄 평결을 이끌어낼 것으로 확신한다"라고 밝혔다. ciokr@idg.co.kr 

2015.08.25

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.13