우버와 협력하던 로펌에서 침해 사고가 터졌다. 공격자들은 우버 운전자들의 민감한 정보들을 가져갔다고 한다. 그런데 왜 로펌에서 운전자 정보를 가지고 있었어야 했는지는 아무도 대답하지 않고 있다.

[보안뉴스 문정후 기자] 카풀 서비스 빅테크 업체 우버(Uber)를 담당하고 있는 법률 자문 회사에서 데이터 침해 사고가 발생했다. 이 때문에 우버에 등록되어 있는 운전자들의 이름과 사회 보장 번호 등 민감한 정보가 새나간 것으로 보인다. 아직 피해 규모에 대해서는 정확히 알려진 바가 없다. 이로써 우버와 관련된 해킹 사고는 6개월 만에 세 번 발생하게 되었다.

[보안뉴스 / 4.5.] 우버의 법률 파트너사에서 침해 사고 터져 우버 운전자 정보 빠져나가

[이미지 = utoimage]

문제의 로펌은 제노바번즈 LLC(Genova Burns)로, 네트워크 내에서 수상한 점을 발견한 건 지난 1월의 일이다. 외부 전문가들에게 조사를 의뢰했을 때, 시스템 침해가 확인됐고 더 나아가 일부 데이터가 외부로 빠져나간 것도 확인됐다. 제노바번즈는 왜 우버의 법무 대행 업체이면서도 우버 운전자들의 개인 식별 정보와 민감 정보를 보유하고 있었는지 설명하지 않고 있다.

로펌은 우버 운전자들에게 공개 서한을 보내면서 다음과 같이 안내했다. “사건에 대해 인지한 직후 정확한 사건의 성격과 피해 규모를 알아내기 위한 수사를 시작했고, 피해가 확산되는 것을 막기 위해 모든 시스템의 비밀번호들을 변경했습니다. 사법 기관과 유관 기관들에도 해당 사안을 알려 조사를 같이 진행 중에 있습니다. 개인정보를 보다 강력히 보호하고, 비슷한 사건이 추가로 발생하는 것을 막기 위해 더 노력하겠습니다.”

예전부터 법률 회사들은 사이버 공격자들의 주된 공격 표적이었다. 민감한 정보가 다량 저장되어 있는 곳이면서 정보 보호 전문가를 따로 두고 있지 않아서이기 때문이다. 지난 1월과 2월에도 굿로더(GootLoader)와 속골리시(SocGholish)라는 두 개의 사이버 범죄 캠페인이 진행되어 6개의 로펌이 해킹 공격의 피해를 입기도 했다. 각종 계약과 협약 관련 내용들이 해커들의 손에 넘어간 것으로 알려져 있다.

사이버 보안, 이제 우버에게는 고질적인 문제
우버는 사이버 보안 업계에서는 악명 높은 이름이다. 2014년 5월 5만 명의 운전사 개인정보와 차량 번호판 정보가 유출되었으며, 2016년 10월에는 5700만 우버 사용자들의 개인정보에 사이버 공격자들이 접근하기도 했다. 2022년에는 민감한 데이터가 유출되는 사고가 두 건이나 발생해 CISO가 사임하기도 했다. 그리고 2023년 4월에 파트너 로펌에서 문제가 발생한 것이다.

우버는 마지막 사건에 대해 “운전자들에게 사회 보장 번호와 납세자 식별 번호 등이 침해됐을 가능성이 있다고 알리고, 신용 모니터링 서비스와 아이덴티티 보호 서비스를 제공하겠다고 안내했다”고 발표했다. 그러면서 “제노바번즈에 의하면 유출된 정보를 통한 실질적인 정보 악용 시도는 아직까지 발견된 바가 없다고 한다”고 강조하기도 했다.

우버에 의하면 제노바번즈 측에서 사이버 보안 공격 사실을 처음 탐지하게 된 건 1월 31일의 일이라고 한다. 탐지하자마자 외부의 포렌식 및 데이터 보안 전문 업체에 수사를 의뢰했다고 하나, 어느 회사인지는 밝히지 않고 있다. 조사 결과 이미 1월 31일보다 한 주 전에 데이터에 대한 공격자들의 접근이 이뤄진 것으로 밝혀졌다. “2023년 3월 1일, 우버 운전자들과 관련된 정보가 1월에 침해된 데이터 속에 섞여 있다는 것을 확실하게 알아냈고, 그런 후에 곧바로 우버에 사실을 알렸습니다.”

법률 회사들은 보안의 측면에서 봤을 때 중소기업이다
보안 업체 시큐어웍스(Secureworks)는 “로펌들은 점점 사이버 공격자들에게 있어 맛도 좋고 영양도 만점인 먹잇감이 되어가는 중”이라고 강조한다. “특히 표적 공격을 특장점으로 삼고 있는 고차원적인 공격자들 사이에서 로펌들의 인기가 높은 편입니다. 로펌에는 대량의 서드파티 데이터가 저장되어 있고, 그러한 현실이 제대로 개선되지도 않고 있습니다. 보안 전문가를 고용하는 곳도 거의 없고요. 그러니 표적으로 삼기에 더 없이 알맞은 조직인 겁니다.”

시큐어웍스는 “보안의 측면에서 봤을 때 로펌은 아무리 덩치가 크고 국제적인 프로젝트를 맡는 곳이라고 하더라도 중소기업으로 분류되어야 한다”고 말한다. “작다고 할 수 없는 IT 인프라를 가지고 있고, IT 기술을 풍성히 사용하고 있기도 합니다. 데이터도 충분히 많고요. 그럼에도 보안에는 자원을 거의 투자하고 있지 않죠. 중소기업들과 하나도 다르지 않습니다. 좀 더 많은 보안 투자가 필요해 보입니다.”

최근 국가가 지원하는 APT 공격자들 사이에서 로펌을 공격해 주요 인물이나 기업, 기관의 내부 사정과 관련된 중요하고 민감한 정보를 훔쳐내는 일이 점점 잦아지는 중이다. 특허와 관련된 정보들도 자주 표적이 되고 있다.

3줄 요약
1. 보안에 취약하기로는 짝이 없는 기업 우버, 이번에도 데이터 침해 사고 터짐.
2. 다만 우버 측에서 직접 터진 건 아니라 우버를 담당하고 있던 로펌에서 벌어진 일.
3. 그런데 로펌에서 왜 우버 운전자 개인정보를 가지고 있었는지는 의문.
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>