평문 비밀번호의 대가, 몸값 요구에 시달리는 GitHub 사용자들

... 제3자가 귀하의 저장소에 접근 권한이 있는 사용자의 올바른 사용자 이름과 비밀번호를 사용하여 저장소에 접근했습니다. 다른 Git 호스팅 서비스에서도 유사한 공격이 발생하고 있는 것으로 보아, 이러한 자격 증명이 다른 서비스를 통해 유출되었을 가능성이 있습니다.

웹 기반 서비스를 이용하면서 개인 데이터 침해 가능성에 대한 이메일을 받는 것은 결코 유쾌한 경험이 아닙니다. 만약 그 데이터가 당신의 노력이 담긴 코드 저장소이거나 소프트웨어의 영업 비밀이라면 어떨까요? 최소 392명(현재까지)의 GitHub, Bitbucket 및 GitLab 사용자가 이번 주에 가슴 철렁한 알림을 받았습니다. 더 심각한 것은 공격자들이 코드를 다운로드한 뒤 저장소에서 삭제하고 몸값을 요구했다는 점입니다. 피해 사용자의 파일이 모두 사라진 후, 저장소에는 다음과 같은 메시지가 담긴 텍스트 파일 하나만 남았습니다.

다른 기업의 보안 사고(심지어 이전의 GitHub 공격)와 달리, 이번 사건은 플랫폼 자체의 버그로 인해 발생한 것이 아닙니다. 계정 정보가 평문으로 안전하지 않게 저장되었고, 제3자 저장소 관리 서비스를 통해 유출되었을 가능성이 큽니다. 개발자들은 중요한 비밀번호를 잘못된 방식으로 저장하고 있었으며, 여러 중요 계정에 동일한 자격 증명을 재사용하는 경우가 많았습니다.

다행히도 공격자들이 그리 똑똑하지는 않은 모양입니다. (글 작성 시점 기준으로) 몸값을 지불하고 코드를 복구한 사용자는 단 한 명도 없으며, 보안 의식이 높은 몇몇 능력자들이 피해 사용자를 위한 삭제된 코드 복구 방법을 이미 찾아냈기 때문입니다.

그럼에도 불구하고, 이번 사건은 보안 업계가 오랫동안 인지해 온 문제를 다시 한번 상기시킵니다. 대다수의 개발자가 보안 의식이 부족하며, 해킹 전문가가 아니더라도 누구나 언제든 소중한 데이터를 위험에 빠뜨릴 수 있다는 사실입니다.

왜 우리의 비밀번호 관리는 여전히 허술할까요?

인간은 불완전한 존재이며, 편의를 추구하는 경향이 있습니다. 동일한 사용자 이름과 비밀번호를 반복해서 사용하는 것이 훨씬 편리하고, 복잡한 비밀번호를 입력하는 것보다 첫 반려견의 이름을 기억하는 것이 훨씬 쉽기 때문입니다. 하지만 끊임없이 발생하는 대규모 사이버 공격을 고려할 때, 이제 개발자들은 더 나은 보안 의식을 갖춰야 합니다.

GitHub의 공식 조언은 명확했습니다. 이중 인증(2FA)을 사용하고 안전한 비밀번호 관리자를 활용했다면 이번 랜섬웨어 공격은 발생하지 않았을 것이라는 분석입니다. 이는 전적으로 옳은 말이지만, 제가 계속 강조하듯 교육이 더 확대되어야 합니다. 모든 개발자는 특정 행동이 왜 자신의 계정을 공격에 취약하게 만드는지 근본적으로 이해해야 합니다.

교육: 만병통치약일까?

보안에 밝은 개발자들은 사소한 보안 설정 오류가 치명적인 결과를 초래할 수 있음을 잘 알고 있습니다. 이번 GitHub 공격의 경우, 설정이 잘못된 파일들이 공격자로 하여금 악성 스키머를 주입하여 시스템의 핵심 키를 탈취하도록 돕는 결정적인 역할을 했습니다.

민감한 데이터 노출 또한 극복해야 할 치명적인 취약점이며, 여전히 OWASP Top 10에서 3위를 차지하고 있습니다. 비밀번호를 평문으로 저장하는 것은 그 위험성을 제대로 이해하지 못하고 있다는 증거이며, 무차별 대입 공격을 통해 시스템이 얼마나 쉽게 뚫릴 수 있는지 보여줍니다.

암호학(특히 암호화 저장 방식)을 이해하는 것은 코드 베이스 내에서 철저한 보안을 유지하며 비밀번호를 관리하는 데 필수적입니다. 저장된 모든 비밀번호에 솔팅(salting)과 해싱(hashing)을 적용하고 고유성을 강제한다면, 이번 랜섬웨어 사건과 같은 상황이 발생할 가능성을 훨씬 낮출 수 있을 것입니다.

보안에 대한 우리의 집단적 태도가 변화해야 한다는 점을 이해하는 것이 중요합니다. 개발자를 위한 적절한 교육을 강화하고 사이버 위협을 심각하게 받아들여야 합니다. 보안 학습을 긍정적이고 보람 있는 경험으로 만들어야 하며, 이것이 모든 개발자가 자신의 작업을 스스로 평가하는 기준을 전반적으로 높이는 근본적인 토대가 될 것입니다.

여기서 읽은 취약점을 직접 해결해보고 싶으신가요? 지금 바로 Secure Code Warrior에서 관련 챌린지에 도전해보세요:

• 보안 설정 오류
• 안전하지 않은 암호화 저장
• 민감한 데이터 노출