CBSE, 3일간의 학생 포털 사이버 공격 후에도 정보 유출 부인

CBSE 포위 공격: 실제로 무슨 일이 있었나

인도의 중등교육중앙위원회(CBSE)가 이번 주 사이버 보안 사건의 중심에 섰다. 자사의 온라인 포털이 3일 동안 반복적이고 조직적인 사이버 공격을 받았다고 인정한 것이다. 지속적인 시스템 공격에도 불구하고 이사회는 어떤 데이터 유출도 발생하지 않았다고 단호히 부인하며, 자체 모니터링 및 대응 체계가 각 공격을 성공적으로 차단했다고 밝혔다.

이러한 입장을 행동으로 뒷받침하기 위해 CBSE는 델리 경찰의 사이버범죄 전문 수사 부서인 정보융합전략작전(IFSO) 부서에 정식 고소장을 제출했다. 시기적으로 주목할 만한 점은, 공격이 수백만 명의 학생과 학부모가 시험 결과를 확인하기 위해 포털에 적극적으로 접속하는 기간과 겹쳤다는 것이다. 이는 CBSE 인프라에 연중 트래픽이 가장 몰리는 시기 중 하나다.

이사회의 발표가 표면적으로는 안심을 주지만, 이번 사건은 교육 기관의 디지털 인프라 회복탄력성과, 자신들이 의존하는 시스템이 공격받을 때 학생들이 스스로를 보호하기 위해 무엇을 할 수 있는지에 대한 정당한 의문을 제기한다.

교육 포털이 고가치 표적이 된 이유

학교와 시험 위원회는 모든 국가에서 가장 민감한 개인 데이터를 관리한다. 이름, 생년월일, 주소, 주민등록번호, 학업 기록, 경우에 따라 수수료 납부와 관련된 금융 정보까지 포함된다. 공격자에게 이 조합은 신원 도용, 피싱, 다른 서비스에 대한 크리덴셜 스터핑 공격에 사용될 수 있는 풍부한 데이터 세트를 의미한다.

CBSE 포털은 그 규모 때문에 특히 매력적이다. 인도 전역의 수천만 명의 학생이 학업 기간 내내 CBSE 시스템과 상호 작용한다. 그 수준의 성공적인 침해는 개인에게만 영향을 미치지 않을 것이다. 가족 데이터, 기관 기록, 그리고 학생들이 여러 플랫폼에서 자주 재사용하는 로그인 자격 증명까지 노출될 수 있다.

이번 사건은 단독으로 발생한 것이 아니다. CBSE는 이전에도 데이터 처리 관행에 대한 정밀 조사를 받은 바 있다. 앞서 보도된 AWS 클라우드 설정 오류로 2백만 명의 학생 데이터가 노출되었다는 별도의 주장을 다룬 기사는, 기관의 보안 허점이 적극적인 공격뿐만 아니라 예방 가능한 설정 오류에서도 나타날 수 있음을 보여준 사례였다. 이러한 사건들을 종합하면, 막대한 규모에서 복잡한 사이버 보안 문제를 헤쳐 나가고 있는 기관의 모습이 그려진다.

이것이 당신에게 의미하는 바

데이터가 유출되지 않았다는 CBSE의 주장이 조사 결과 입증된다 하더라도, 학생과 학부모는 이번 사건을 완전한 안전 진단이 아닌 경종을 울리는 계기로 받아들여야 할 충분한 이유가 있다.

그 이유는 다음과 같다. 공격이 3일 연속 지속되었다는 사실은 누군가, 혹은 어떤 집단이 여러분의 정보를 보유한 시스템에 침투하려고 적극적으로 시도하고 있었다는 의미이다. 이번에 성공했는지 여부는 앞으로도 성공하지 못할 것인지, 또는 덜 알려진 이전 시도에서 부분적인 결과를 얻었는지에 대해 아무것도 말해 주지 않는다.

기관 포털, 특히 트래픽이 집중되는 성적 발표 시즌에 접속하는 학생들에게는 포털 자체를 넘어서는 위험이 존재한다. 카페, 도서관, 교통 허브의 공용 Wi-Fi 네트워크는 학생들이 결과를 확인하는 흔한 환경이다. 이러한 네트워크는 기본적인 가로채기 도구를 실행하는 동일한 연결 사용자에게 로그인 자격 증명을 노출시킬 수 있다. 이런 네트워크에서 신뢰할 수 있는 VPN을 사용하면 기기에서 연결이 암호화되므로, 같은 네트워크의 누군가가 송수신 내용을 가로채기가 훨씬 어려워진다.

VPN 사용 외에도 강력한 자격 증명 위생을 실천하는 것이 필수적이다. CBSE 로그인에 사용하는 비밀번호를 이메일이나 소셜 미디어 계정과 동일하게 사용한다면, 그중 하나의 시스템이 침해될 경우 다른 모든 계정이 위험에 빠진다. 비밀번호 관리자를 사용하면 외울 필요 없이 모든 플랫폼에서 고유하고 복잡한 비밀번호를 유지하는 것이 현실적으로 가능해진다.

교육 포털에서 이용 가능한 경우, 2단계 인증은 공격자가 비밀번호를 확보했더라도 저지할 수 있는 또 다른 계층을 추가한다. 학업 목적으로 사용하는 플랫폼이 이 옵션을 제공하는지 확인하고 가능한 모든 곳에서 활성화할 가치가 있다.