미 뮬러 특검의 러 정부지원 해커 형사고발 가능성,
28일 멤캐시드 익스플로잇한 디도스 공격과 깃허브,
보안성 호도한 페이팔 벤모와 미 연방거래위 합의

[보안뉴스 오다인 기자] 매월 초나 말에 뉴스쌈을 쓸 때면 ‘이번 주는 몇월 몇째 주야?’하고 고민했습니다. 예전에 누군가 수요일을 기점으로 판단한다고 말해준 것이 떠올라 지금까진 수요일이 포함되는 주를 해당 월의 해당 주로 썼습니다. 그런데 오늘에서야 국가기술표준원 홈페이지에 들어가, 한국은 월요일을 한 주가 시작하는 기준으로 보며 ‘주간 수 결정법’은 “어떤 월의 날짜가 그 주간의 과반수 이상을 차지하고 있는가”로 본다는 사실을 알게 됐습니다. 3월 1주의 시작이 되는 날은 2월 26일 월요일, 끝나는 날은 3월 4일 일요일이 되는 셈입니다. 3월이 2월보다 하루 더 많이 차지하니 이번 주는 2월 4주가 아닌 3월 1주입니다. 조금 더 철저해진 3월 1주 뉴스쌈, 지금 바로 시작하겠습니다.


미 대선 농락한 러 해커들, 곧 법정에 서야 할지도 모른다
이른바 ‘러시아 게이트’를 수사하고 있는 미국의 로버트 뮬러(Rober Mueller) 특별검사가 2016년 힐러리 클린턴 대선 캠프의 존 포데스타(John Podesta) 선거대책본부장을 비롯해 미국 민주당(DNC) 측 이메일을 해킹하고 유출한 혐의에 대해 러시아 해커들을 대상으로 형사 사건을 구성하고 있다고 미국 NBC 뉴스가 보도했습니다.

이는 곧 미국 민주당을 해킹한 러시아 해커들이 하나 또는 둘 이상의 건으로 미국에서 기소될지 모른다는 뜻인데요. 기소될 경우, 러시아의 정부지원 해커들이 미국 민주당 이메일 시스템 및 포데스타의 계정을 해킹하기 위해 이용한 인물이나 수단에 대한 구체적인 내용이 일반에 공개되는 첫 사례가 될 것으로 보입니다. 위키리크스에 해당 정보를 유출한 경위에 대해서도 밝혀질 수 있고요.

지난달 뮬러 특검은 러시아의 인터넷 리서치 에이전시(Internet Research Agency)라는 회사와 관련된 인물 13명을 기소했습니다. 기소 내용에 따르면, 이 회사는 “2016년 미국 대통령 선거를 포함해 미국 정치 체계에 불화의 씨앗을 뿌리려는 전략적인 목표를 갖고” 있었습니다.

미국 NBC 뉴스는 한 소식통을 인용하면서, 만약 뮬러 특검이 두 번째 기소를 진행한다면 러시아의 해킹 작전을 자발적으로 또는 속임수에 넘어가 지원한 미국인들에 대한 정보를 빠짐없이 확보할 수 있을 것이라고 설명했습니다.

대규모 디도스 공격 물살에 깃허브도 당했다
깃허브(GitHub)가 28일 디도스(DDoS) 공격에 당해 사이트 이용에 차질이 있었다고 밝혔습니다. 협정 세계시(UTC)로 28일 17시 21분부터 26분까지 사이트가 완전히 마비됐고, 17시 26분부터 30분까지는 불균등하게 이용 가능한 상태가 됐다고 합니다. 이용자 정보의 기밀성이나 무결성에는 아무런 피해가 없었다고 깃허브는 덧붙였습니다.

지난달 공격자들은 타깃 기업들을 대상으로 디도스 공격을 확대하기 위해 취약한 멤캐시드(Memcached) 서버를 익스플로잇 했습니다. 멤캐시드는 오픈소스 소프트웨어로, 많은 기업에서 서버 퍼포먼스 속도를 높이기 위해 사용하고 있습니다. 여기서 문제는, 기업들이 일반 인터넷에 접근하려고 멤캐시드 호스트를 디플로이 하기도 한다는 데 있습니다. 디도스 공격자들 입장에선 호스트를 검색한 다음 해당 호스트를 대용량 디도스 트래픽에 보내버리기만 하면 되는 일이죠.

깃허브는 28일 디도스 공격을 식별한 뒤 대응했다고 밝혔습니다. 당시 각기 다른 엔드포인트 수만 개를 아울러 1,000개가 넘는 고유한 자율 시스템 번호(ASN)로부터 공격이 들어왔다고 깃허브는 설명했습니다. 멤캐시드를 겨냥한 이 공격은 초당 1억 2,690만 패킷을 보냄으로써 한때 1.35Tbps를 찍었습니다. 한 시설의 경우, 인바운드 트랜싯 대역폭에서 100Gbps가 넘는 증가량을 목격하기도 했다고 합니다.

깃허브는 디도스 대응업체에 맡겨서 인프라 모니터링을 자동화하는 것을 고려하고 있다고 이용자에게 알렸습니다.

페이팔 ‘벤모’의 보안 논란, 미 FTC가 합의에 다다랐다
미국 연방거래위원회(FTC)가 페이팔(PayPal)의 자회사인 벤모(Venmo)와 합의에 다다랐다고 밝혔습니다. 벤모는 개인간 간편 송금을 위한 애플리케이션을 제공하는데요. 앞서 고객들로부터 벤모가 일처리 방식을 호도해서 이윤을 창출하고 금융 플랫폼 보안수준도 실상과 다르게 홍보했다는 혐의가 제기됐습니다.

이는 2015년에 처음 고발된 내용인데요. 벤모가 최초 예금 후 출금하는 것이나 광고시간 동안 자금을 운용하는 것을 불가능하게 만들어서 고객들 일부에게 ‘실질적인 피해(real harm)’를 끼쳤다는 것이 주된 기소 내용이었습니다.

또한 벤모는 “은행 수준의 보안(bank-grade security)”을 갖추고 있으며 고객의 거래 프라이버시도 보장한다고 광고했으나 미 연방거래위가 전자나 후자 모두 사실과 다름을 밝혀냈습니다. 이번 합의안에 따르면, 벤모는 어떠한 범법 행위도 인정하지 않지만 이 같은 혐의 사실에 대해서는 인정한다고 시인했습니다.

이 합의안은 미 연방거래위 투표에서 찬성 2명, 반대 0명으로 승인됐습니다. 이에 따라 벤모는 거래 보안 수준을 호도하는 행위를 중단하고, 거래 보안과 프라이버시에 대해 고객들과 보다 투명하게 소통해야 합니다. 더불어, 10년간 해당 사항의 준수 여부를 증명하기 위해 1년에 두 번씩 평가서를 제출해야 합니다.

이 합의안은 미국 연방관보(Federal Register)에 게재돼 30일간 여론수렴(public comment)을 거친 뒤, 미 연방거래위가 최종 투표를 진행할 예정입니다.
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>