잇달아 발표된 두 번째 긴급 패치
소프트웨어 개발사 N-able이 이번 주 들어 두 번째 핫픽스를 발표하며 자사의 원격 모니터링 및 관리(RMM) 플랫폼 N-central을 겨노린 제로데이 공격에 다시 대응했다. 이 도구는 매니지드 서비스 제공업체(MSP)가 고객 네트워크, 서버, 엔드포인트를 원격으로 관리하는 데 널리 사용된다. 따라서 N-central의 취약점은 단순히 한 회사만 위협하는 것이 아니라, 해당 MSP에 IT 지원을 의존하는 모든 조직으로 위험이 확산될 수 있다.
이번 사건의 중심에 있는 취약점들은 공격자에게 이른바 '신 모드(god mode)' 접근 권한을 부여해 N-central 콘솔에 대한 완전한 관리자 권한을 허용하는 것으로 알려졌다. 이 정도 수준의 접근 권한을 확보한 공격자는 해당 콘솔에 연결된 모든 고객 환경의 데이터를 열람, 수정, 유출할 수 있다. 미국 사이버보안 및 인프라 보안국(CISA)이 해당 취약점이 현재 활발히 악용되고 있다고 확인한 뒤 연방 기관들에 이례적으로 3일이라는 짧은 패치 기한을 통보한 것은, 정부 사이버보안 당국이 이 위험을 얼마나 심각하게 받아들이고 있는지 보여준다.
이번 상황은 평범한 버그 수정이 아니다. 제로데이 공격이란 N-able이 패치할 기회를 갖기도 전에 공격자가 취약점을 발견하고 사용했다는 의미이며, 두 번째 핫픽스가 필요했다는 사실은 첫 번째 대응으로 취약점이 완전히 해결되지 않았을 가능성을 시사한다.
MSP 플랫폼이 개인정보 보호의 병목 지점인 이유
N-central과 같은 RMM 도구는 바로 중앙 집중식 통제를 위해 존재한다. MSP 기술자 한 명이 하나의 대시보드에서 수십, 수백 개의 고객사에 업데이트를 배포하고, 엔드포인트를 모니터링하며, 문제를 해결할 수 있다. 이러한 효율성이 바로 이들 플랫폼을 공격자에게 매우 매력적인 표적으로 만들어주는 이유다.
취약점으로 인해 콘솔 자체에 대한 관리자 수준의 접근 권한이 발생하면 그 피해 범위는 N-able 자체 인프라를 훨씬 넘어선다. 전담 보안팀이 없어 IT를 아웃소싱하는 중소기업인 하위 고객사들이 그 위험을 고스란히 떠안게 된다. MSP 플랫폼을 장악한 공격자는 잠재적으로 고객사 네트워크로 침투해 민감한 기록에 접근하거나 대규모로 랜섬웨어를 배포할 수 있다. 이는 단일 장애 지점이 광범위한 노출로 이어졌던 최근의 다른 사건들과 유사한 패턴이다. 툴레인 대학교 유출 사건에서는 서드파티 HR 플랫폼의 취약점으로 인해 시스템에 직접적인 통제권이 없는 대규모 사용자들의 사회보장번호와 금융 정보가 노출된 바 있다.
여기서 개인정보 보호와 관련된 이해관계는 심각하다. RMM 플랫폼을 통해 흐르는 고객 데이터에는 구성 파일, 자격 증명, 네트워크 구성도뿐만 아니라 MSP가 관리하는 시스템에 따라 개인정보나 금융 기록이 포함되는 경우가 많다. 공격자가 콘솔 수준의 접근 권한을 얻으면 이는 단지 한 회사의 데이터를 들여다보는 것이 아니라 여러 곳으로 가는 지도를 손에 넣은 셈이 될 수 있다.
광범위한 노출의 패턴
이번 사건은 잘못 구성되었거나 취약한 인프라가 비정상적으로 큰 개인정보 위험을 초래하는 광범위한 추세와도 맞닿아 있다. 최근 연구에 따르면 열린 클라우드 스토리지 설정 오류로 인해 수십억 개의 파일이 노출되어 있으며, 이는 상호 연결된 IT 시스템의 엄청난 규모로 인해 스토리지 버킷 하나, 혹은 관리 콘솔 하나의 단일 약한 고리가 대규모 노출로 이어질 수 있음을 상기시킨다. MSP 플랫폼은 복잡성을 한 층 더 가중시킨다. 고객 데이터를 보호할 책임이 있는 조직이 자신들이 사용하는 벤더 도구의 보안 수준을 제한적으로밖에 파악하지 못하는 경우가 많기 때문이다.
이것이 의미하는 바
만약 귀사가 IT 지원을 MSP에 의존하고 있다면, 지금이 직접 질문해야 할 때다. 제공업체가 패치가 적용된 N-central 버전을 사용 중인지 확인했는가? 수정 사항이 적용되기 전 창구 기간 동안 무단 접근 징후는 없었는가? MSP는 특히 취약점이 단순히 실험실에서 발견된 것이 아니라 실제로 악용된 경우, 노출 창구에 대해 고객에게 투명하게 공개해야 한다.
개인 사용자에게 이 이야기는 나의 개인정보와 금융 데이터가 단지 내가 직접 상대하는 회사에 의해서만 보호되거나 노출되는 것이 아니라는 유용한 상기시켜준다. 데이터는 여러분이 전혀 알지 못하는 벤더, 계약업체, 관리 도구의 여러 계층을 거쳐 간다. 원격 모니터링 플랫폼에서 발생한 유출은 그 벤더의 이름을 들어본 적도 없더라도 나에게 영향을 미칠 수 있다.
실천 가능한 교훈
MSP와 함께 일하거나 MSP를 운영하는 경우, 즉시 패치를 최우선으로 적용하고 업데이트 알림을 확인했다고 해서 작업이 끝났다고 가정하지 말고 핫픽스가 실제로 적용되었는지 확인하라. 제공업체에 취약점 발견 시점, 악용 시작 시점, 그리고 대응 완료 시점에 대한 명확한 타임라인을 요구하라. 매니지드 서비스 제공업체를 이용하는 소비자나 중소기업 고객이라면, 노출 창구 기간 동안 데이터에 접근한 흔적이 없다는 서면 확인을 요청하라. 보다 광범위하게, 원격 관리 소프트웨어의 제로데이 관련 통지를 접할 때마다 누가 여러분의 시스템에 관리자 접근 권한을 가지고 있는지, 그리고 문제가 발생했을 때 그 권한을 얼마나 빨리 철회할 수 있는지 점검하는 계기로 삼아라. 이번과 같은 사건에 대한 정보를 꾸준히 접하는 것은 여러분의 데이터가 다음 뉴스 헤드라인에 오르지 않도록 지키는 가장 간단한 방법 중 하나다.
