대부분의 데이터 유출 뒤에 숨은 조용한 범인

사람들은 데이터 유출을 떠올릴 때 보통 후드를 쓴 해커가 방화벽을 뚫거나 기업 네트워크에 랜섬웨어를 배포하는 모습을 상상합니다. 하지만 TechRadar가 조명한 최근 보안 연구에 따르면, 개인정보 유출의 가장 큰 원인은 정교한 범죄자가 아닙니다. 바로 데이터를 보호해야 할 조직이 인터넷에 그대로 노출해 버린 잘못 구성된 데이터베이스입니다.

이 문제의 규모는 새로운 것이 아니지만, 여전히 충격적입니다. 2015년 말, 보안 연구원 크리스 비커리는 1억 9,100만 명의 유권자 개인정보가 담긴 데이터베이스를 발견했습니다. 300GB에 달하는 이 방대한 데이터는 비밀번호나 인증 절차 없이 누구나 접근할 수 있는 상태로 공개되어 있었습니다. 누군가 침입한 것도, 악성코드가 사용된 것도 아니었습니다. 누군가 적절한 접근 제어 없이 데이터베이스를 설정했고, 그대로 방치되어 어디를 봐야 하는지 아는 사람이라면 누구든 접근할 수 있었던 것입니다.

10년 전의 이 사건은 보안 연구자들이 결코 사라지지 않았다고 말하는 패턴을 보여줍니다. 잘못 구성된 데이터베이스는 유출된 레코드의 순수한 양 측면에서 전통적인 해킹 사건을 능가하며 데이터 보안의 가장 큰 위협으로 남아 있습니다.

왜 설정 오류가 해킹보다 더 큰 위협인가

단순한 설정 실수가 의도적인 사이버 공격보다 더 많은 데이터를 노출할 수 있다는 것이 직관에 반하는 것처럼 느껴질 수 있습니다. 하지만 현대 데이터 인프라가 어떻게 작동하는지 이해하면 그 이유를 알 수 있습니다. 기업과 정부 기관은 방대한 정보를 관리하기 위해 점점 더 클라우드 데이터베이스와 스토리지 버킷에 의존하고 있습니다. 새 데이터베이스를 가동하는 데는 몇 분이면 충분합니다. 적절한 인증, 네트워크 제한, 암호화를 갖춰 올바르게 구성하는 데는 더 많은 시간과 전문 지식이 필요하며, 바로 이 단계가 자주 생략되거나 잘못 처리됩니다.

특정 대상을 공격하기 위해 노력, 기술, 계획이 필요한 표적 해킹과 달리, 잘못 구성된 데이터베이스는 종종 그냥 그 자리에 놓여 검색 엔진이나 스캐닝 도구에 색인된 채 누군가 우연히 발견하기를 기다립니다. 보안 연구자, 언론인, 그리고 물론 악의적인 행위자들도 방어 체계를 우회할 필요가 없기 때문에 이러한 열린 데이터베이스를 일상적으로 검색합니다. 문이 활짝 열려 있었던 것입니다.

이것이 전통적인 침해와 랜섬웨어 공격이 심각한 위협이 아니라는 의미는 아닙니다. Spirals 랜섬웨어가 아시아 IT 기업을 공격하여 Tor를 통한 갈취를 시도한 사건은 의도가 확고한 위협 행위자들이 표적 침투를 통해 조직을 계속해서 갈취하고 있음을 보여줍니다. 그리고 해커 '888'이 주장하는 Accenture 소스 코드 도난 사건은 민감한 기업 데이터의 고의적인 절도가 여전히 활발한 우려 사항임을 보여줍니다. 하지만 순수한 양 측면에서는, 잘못 보안된 데이터베이스로 인한 조용하고 우발적인 노출이 단일 해킹 캠페인이 달성할 수 있는 규모를 훨씬 능가하는 경우가 많습니다.

VPN과 암호화는 완벽한 해결책이 아닙니다

온라인 활동을 보호하기 위해 VPN에 의존하는 독자라면 알아야 할 냉정한 진실이 있습니다. VPN은 인터넷 연결을 보호할 뿐, 여러분이 정보를 건넨 후 기업이 그 정보를 저장하는 데 사용하는 데이터베이스를 보호하지 않습니다. 이메일 주소, 전화번호, 결제 정보를 신뢰한 회사가 백엔드 시스템을 잘못 구성한다면, 여러분 쪽에서 아무리 개인 암호화를 사용해도 그 데이터가 노출되는 것을 막을 수 없습니다.

이것이 트라이베카 영화제 유명 인사들의 개인정보를 노출한 침해 사건이나 5,500만 개의 이메일과 Stripe 데이터를 노출한 Suno 침해 사건의 재부상 같은 저장된 개인정보 관련 침해 사건이 그토록 중요한 이유입니다. 이러한 사건들은 여러분의 데이터가 기기를 떠나 회사의 데이터베이스에 들어가는 순간, 개인정보 보호는 여러분의 도구가 아니라 전적으로 그 조직의 보안 관행에 달려 있다는 것을 보여줍니다.

이것이 당신에게 의미하는 바

소비자로서 여러분이 이용하는 모든 서비스의 데이터베이스 구성을 직접 감사할 수는 없지만, 더 나은 정보를 바탕으로 선택을 할 수는 있습니다. 보안 관행을 투명하게 공개하고, 신속한 침해 공개 실적이 있으며, 전송 중인 데이터뿐만 아니라 저장 데이터에도 암호화를 사용하는 회사를 찾아보세요. 애초에 회사가 수집하는 개인 정보를 최소화하는지 물어보십시오. 회사가 민감한 정보를 적게 저장할수록, 잘못 구성된 데이터베이스가 노출되었을 때의 피해도 줄어듭니다.

또한 잘못 구성된 데이터베이스는 소규모 스타트업부터 국가 유권자 데이터베이스에 이르기까지 모든 규모의 조직에 영향을 미친다는 점을 기억할 필요가 있습니다. 이는 보안 예산이 부족한 회사에만 국한된 문제가 아니라, 클라우드 인프라가 배포되는 속도와 그것이 얼마나 신중하게 보안 유지되는지 사이의 불균형과 관련된 시스템적인 문제입니다.

실천 가능한 조치

  • 가능한 모든 곳에서 고유한 비밀번호를 사용하고 다중 인증을 활성화하여, 하나의 노출된 데이터베이스로 인해 여러 계정이 침해당하는 일을 막으세요.
  • 침해 알림을 모니터링하고, 유출 탐지 서비스를 이용해 내 데이터가 노출된 시점을 파악하는 것도 고려하세요.
  • 명확한 데이터 보존 및 보안 정책을 공개하고, 수집하는 개인정보를 최소화하는 서비스를 선호하세요.
  • VPN은 트래픽을 보호할 뿐, 저장된 정보를 담은 데이터베이스까지 보호하지는 않습니다. 데이터 보호에는 계층화된 접근 방식이 필요합니다.

클라우드 도입 속도가 신중한 구성을 계속 앞서고 있기 때문에, 잘못 구성된 데이터베이스는 당분간 대규모 데이터 유출의 주요 원인으로 남을 것입니다. 자신의 데이터가 어떻게, 어디에 저장되는지 지속적으로 파악하고, 자신이 이용하는 서비스에 책임을 묻는 것이 개인적 위험을 줄이는 가장 실용적인 방법 중 하나입니다.