300만 넘는 회원 보유한 초대형 뷰티 플랫폼...현재는 문제 해결된 것으로 보여

요약 : 사이버뉴스 연구조사팀에 의하면 한국의 뷰티 콘텐츠 카페인 파우더룸(PowderRoom)에서 약 100만 명의 개인정보가 유출됐다고 한다. 파우더룸의 회원은 350만 명이라고 하는데, 이런 사용자들의 정보가 저장되어 있던 데이터베이스가 1년 넘게 인터넷에 노출되어 있었다고 한다. 이름, 전화번호, 이메일 주소, 인스타그램 사용자 ID, 거주지 주소 등이 아무런 보호장치 없이 공개된 상태로 유지된 것으로 조사됐다. 다행히 이러한 사실이 파우더룸과 KISA 인터넷침해대응센터에 제보돼 현재는 해당 데이터베이스가 비공개로 전환된 상황이다.


배경 : 데이터베이스가 공개되어 있다는 사실을 제일 먼저 알아낸 건 사이버뉴스의 연구조사팀이었다. 12월 15일에 처음 상황을 인지했는데, 당시 공개된 정보는 140GB 이상이었다고 한다. 약 100만 명의 개인정보가 포함되어 있는 것으로 분석됐다. 심지어 인증 관련 토큰도 100만 개 이상 발견됐다고 한다.

말말말 : “공격자들은 일부 노출된 정보를 가지고 각종 사기와 추가 공격을 충분히 저지를 수 있었습니다. 접근 토큰을 악용하면 피해자의 신원으로 접속해 구매까지 할 수 있었던 것으로 우려됩니다.” -사이버뉴스-

*해당 기사와 관련해 파우더룸 측이 본지에 입장을 밝혀와 추가로 소개한다.

이번 사태와 관련해 파우더룸 측은 “서비스 모니터링 업무에 사용되는 분석용 로그에 보안이 적용되지 않은 상태로 유지되어, 로그에 포함된 개인정보가 노출될 수 있는 가능성이 있었다”면서, “보안 국가기관의 제보로 권고사항을 신속히 반영하여 2023년 3월 3일에 개인정보 보안조치를 완료했다”고 밝혔다.

또한, 파우더룸은 이번에 문제가 된 웹사이트의 회원은 60만명이며, 실제 개인정보가 있는 회원은 20만명에 불과하다면서, 이 때문에 100만명이라는 숫자는 토큰이 100만건인 것으로 보인다고 설명했다. 아울러 해당 정보를 유출해 악용한 피해 사례는 지금까지 확인되지 않았다고 덧붙였다.

파우더룸 관계자는 “미흡한 보안조치로 회원들에게 불편함을 끼쳐 죄송하다”면서, “서비스 전반에 걸쳐 외부 전문기관의 도움을 받아 보안을 점검해 회원 개인정보를 지킬 수 있도록 하겠다”고 밝혔다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>