루마니아 해커 우누, 시만텍 이어 이번엔 엔프로텍트 사이트 해킹

보안업체가 보안을 제대로 못하는 현실...보안업체들 각성해야!

잉카측 "보안취약점 제거...현재는 안전하고 실질적 피해는 없어"

시만텍에 이어 이번엔 엔프로텍트로 유명한 잉카인터넷 B2C 고객지원 웹사이트의 MYSQL DB가 SQL 인젝션 공격에 해킹을 당해 그 안에 있던 계정 정보 100만개 이상의 DB정보와 ID 및 패스워드 내용이 유출돼 파장이 예상된다.

이와 같은 사실은 지난 23일, 루마니아 해커 우누(Unu)가 시만텍 일본 고객지원 웹사이트를 해킹해 성공했다고 밝힌지 몇 일이 지나지 않은 27일 자신의 블로그에 올림으로써 밝혀진 것이다.

우누는 자신의 블로그를 통해 ‘또다른 보안회사 엔프로텍트, 수 백만개의 비밀번호와 시리얼 번호 노출!(nProtect, another big security company exposed millions of passwords in clear text and serials!)’이라는 제목으로 “nProtect 사이트에서 어떻게 하면 관리자(Admin) 권한을 획득할 수 있을까?”라며 그 방법을 소개했다.

우선 우누는 “nProtect Netizen은 트로이목마나 백도어, 혹은 다른 위협과 같은 해킹위협으로 사용자를 보호하기 위한, 사용자 PC에 설치할 필요가 없는 온라인 PC 보안 솔루션을 제공하는 회사로 3,000만 사용자가 매일 nProtect Netizen을 사용하고 있다”고 말한 뒤 “nProtect Netizen은 해킹 시도로부터 사용자를 보호하는가? 이 기업 역시 자사의 데이터베이스를 보호할 수 없었다”고 단언했다.

그리고 우누는 그런 점에서 “3억명(우누의 블로그에는 ┖30 million users┖라고 표현)사용자들은 이 점을 생각해야만 할 것”이라며 “이 웹사이트는 SQL 인젝션에 취약할 뿐만이 아니라 load_file까지 가능케 한다. 따라서 일단 Admin 권한을 갖게 되면 phpshell을 업로드하거나, 리다이렉트, 트로이 목마를 심어 감염시키거나 사이트 전체를 없애버릴 수도 있다”고 경고했다.

이와 관련 이 블로그 게시판이 올라온 지난 27일 밤 한국인터넷진흥원(KISA) 측은 이와 같은 사실을 잉카인터넷 측에 알린 것으로 전해지고 있으며, 이에 잉카인터넷 측은 "문제가 됐던 웹사이트의 보안취약점을 현재는 보완해 정상적인 서비스를 제공하고 있다"고 밝혔다.

또한 잉카인터넷 측은 “잉카인터넷의 개인용 고객지원 웹사이트의 일부에서 SQL Injection 취약점이 있었다는 것을 인정한다”고 밝히고 “웹사이트 창사 10주년 개편을 위해 일시적으로 개방한 개인용 고객지원 웹페이지에서 이러한 문제가 발견된 것”이라고 해명하고 이에 대해 유감스러움을 표명했다.

이전 시만텍 일본 고객지원 웹사이트 해킹에서도 그랬지만 이번 엔프로텍트 웹사이트를 해킹한 루마니아 해커 우누는 화이트 해커로서 다만 보안기업에서 빼낸 정보를 가지고 어떻게 하고자 하는 것이 아니라 그러한 보안취약점 문제들에 대해 각 기업들이 보완하기를 바란다고 밝히고 있어 이로 인한 피해는 없을 것이지만 이와 같은 보안업체들의 문제는 결코 쉽게 간과해서는 안된다는 것이 보안전문가들의 의견이다.

일전 시만텍 해킹과 관련해서 릭 퍼거슨(Rik Ferguson) 트렌드마이크로 리서처는 “이 사건은 최고의 보안 프랙티스를 따라야 한다는 것을 다시금 상기시켜 줬다”고 자신의 블로그를 통해 밝힌 바 있다.

또한 국내 한 보안전문가는 “보안기업인 잉카인터넷이 민감한 고객정보를 단순히 편리성을 위해 보안을 신경 쓰지 않고 전체망으로 연결될 수 있는 개별망에 단순히 방치한 채 올려 해킹을 당한 이번 사건은 시사하는 바가 크다”며 “어느 한쪽에만 보안수준을 강화하고 개별망 보안위협에 신경 쓰지 않으면 전체망에 큰 문제가 발생 할 수 있다. 만약 우누가 아닌 악의적인 해커가 엔프로텍트의 수백만명 고객의 정보를 유출해 이를 악용했다면 어찌되겠는가. 이번 일은 쉽게 간과해서는 결코 안된다”고 지적했다.

[김정완 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>