미국 공무원 대상으로 한 대규모 해킹, 점점 중국인 듯

폴란드 공항에서 발 묶인 1400여 명의 승객들

SAP HANA와 이베이 마젠타에서 각각 취약점 발견

[보안뉴스 문가용] 미국이 연방공무원들을 향한 해킹사건 수사를 위해 총력을 기울이고 있습니다. 아무래도 중국이 가장 의심을 받고 있는 중인데요, 점점 중국이 맞아 보인다는 의견들이 제시되고 있습니다. 중국은 계속해서 부인하고 있고요. 이 사건이 어느 선까지 이어질지 궁금합니다. 설사 중국이라고 해도 뭔가 정치적인 이유로 ‘중국 같다’고만 발표하고 끝날 수도 있거든요.

공항, SAP, 여러 온라인 쇼핑몰은 해커들의 공격에 끊임없이 시달림 받고 있습니다. 이론상으로만 가능하지만 아무튼 음파를 통한 새로운 해킹 수법도 공개가 되었고, 소셜 엔지니어링 수법을 통한 암호 탈취법도 공개가 되었습니다. 이번 월요일은 비교적 한산합니다.

1. 미국 공무원 해킹, 중국 향한 심증 늘어

최근 일어난 중국 해킹, 이전에 없었던 대규모 공격(Business Insider)

미국이 궁금한 점 : 왜 연방 공무원 직원 정보 아직 잠잠한가(New York Times)

미국 공무원 해킹, 딥 팬더가 배후에 있다는 주장(Tech 2)

미국 인사국 해킹 사건에 대한 분석이 계속해서 이어지고 있습니다. 아직 유출된 공무원들의 개인정보가 암시장 등에서 팔리지 않고 있다는 점에서 단순 범죄조직이 아닐 가능성이 더 높아졌다고 하고, 미국의 보안 기업들은 여러 중국 해킹그룹 가운데 딥 팬더(Deep Panda)의 가능성을 가장 높게 보고 있다고 합니다.

2. SAP HANA, 암호화 키 취약점

SAP HANA 데이터베이스에서 암호화 키 발견(Threat Post)

SAP 암호화 키 문제, 기업들에게 큰 위협(Security Week)

SAP HANA에서 암호화 키 관련 취약점이 발견되었습니다. 따라서 SAP HANA를 사용하는 기업들에겐 큰 위기가 되고 있는데요, 서둘러 패치가 나와야 할 듯 합니다. 이에 대해서는 후속 기사로 보다 상세한 내용을 보충하도록 하겠습니다.

3. 끊임없는 공격 대상, 공항과 MS

폴란드 공항 해킹 사건으로 1400여명의 승객 발 묶여(The Telegraph)

MS 프라이버시 정책 웹 사이트, 도박 사이트 홍보(The Register)

항공보안이 보안업계의 은근한 화두가 되고 있는 가운데, 쇼팽공항이라는 폴란드의 공항에서 해킹 사건이 발생했습니다. 해커는 비행 스케줄 등을 관리하고 출력하는 시스템을 공격해 1400여 명의 승객들이 공항에 머물러 있어야 했다고 하는데요, 이를 해결하는 데에 약 4~5시간이 걸렸다고 합니다.

또한 MS에서 운영하는 프라이버시 정책 관련 마이크로 사이트(http://digitalconstitution.com/)가 해킹을 당했습니다. 하지만 교묘한 해킹을 통해 카지노 산업을 홍보하는 플랫폼으로 활용되는 정황이 목격되었고, 이에 재빠른 수정을 했다고 합니다.

4. 해킹 수법 관련

악성 워드 문서, 스파이웨어, 멀버타이징, 5월에 급증(CSOOnline)

라디오 전파로 PC에서 암호화 키를 훔친다(The Register)

웹메일의 암호 초기화 사기 수법 공개(The Register)

5월에는 악성 코드가 포함된 워드 문서를 통한 공격, 스파이웨어를 통한 감시, 멀버타이징 이 급증했다고 합니다. 또한 라디오 전파를 통해서도 암호화 키가 유출될 수 있다는 주장이 제기되었습니다. 게다가 비교적 값싸고 흔히 구할 수 있는 장비로도 가능하다고 합니다. 한 마디로 복호화 과정 중 컴퓨터에서 나오는 소리를 분석하는 건데요, Funcuble Dongle  Pro+, 안드로이드가 탑재된 컴퓨터인 Rikomagic MK802 4가 실험에 사용되긴 했으나 흔히 구할 수 있는 AM 라디오로도 구현이 가능하다고 합니다. 하지만 보통 컴퓨터는 여러 개 작업을 한꺼번에 수행하기 때문에 현실적으로 이런 식으로 해킹하는 건 불가능에 가깝다고 합니다.

또한 시만텍에서는 암호를 복구하는 척 해서 사용자들로부터 웹메일의 암호를 훔쳐내는 사기 수법에 대한 경고를 발송했습니다. 일종의 소셜 엔지니어링 기법인데, 공격자들로서는 피해자의 이메일 주소와 그 주소와 관련이 있는 핸드폰 번호만 알아도 공격이 가능하다고 합니다. 지메일, 아웃룩, 야후 등의 사용자들 전부가 사실상 이 위험에 노출되어 있다고 하네요. 이렇게 메일 주소와 암호 조합을 알게 되면 좋은 것이, 사용자들이 여러 온라인 서비스를 이용할 때 똑같은 조합을 사용하기 때문이라고 합니다.

5. 패치와 시스템

이베이 마젠토에서 세 가지 취약점 패치(Threat Post)

미국연방통신위원회, 정보유출 자동알림 시스템 도입할 듯(SC Magazine)

이베이의 마젠토라는 웹 애플리케이션에서 세 가지 취약점이 발견되어 패치됐습니다. 각각 피싱, 세션 하이재킹, 데이터 가로채기를 가능하게 해주는 취약점이라고 합니다. 이베이 사용자들은 패치가 시급합니다. 또한 미국연방통신위원회에서는 정보유출 사고가 발생할 시에 이를 자동으로 알리는 시스템을 도입할까 논의 중에 있다고 합니다. 사고가 발생하면 빠르게 대처한다는 점에서는 좋지만, 모든 알림 시스템이 정확한 게 아니고 오보인 경우도 많아 이런 시스템을 도입하면 결국 소비자 입장에서는 경고 메시지의 홍수 속에 휩쓸릴 거라는 반대의견도 만만치 않아 쉽사리 결정이 나지 않고 있습니다.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>