하드코딩된 자격 증명은 보안 위험을 초래할 수 있습니다.

Secure Code Warrior는 보안 및 개발자 커뮤니티가 안전한 코드를 작성하고 보안 취약점으로 인한 위험을 완화할 수 있도록 교육하는 데 전념하고 있습니다. 이러한 목표의 일환으로, 우버의 최근 보안 사고를 사례로 삼아 개발자 주도 보안과 시프트 레프트의 중요성에 대해 논의하고자 합니다.

우버 보안 사고

우버는 9월 16일 사이버 보안 사고에 대한 성명을 발표했으며, 현재도 지속적으로 업데이트하고 있습니다. 이 사건은 현재 진행 중인 사안임을 유념해 주시기 바랍니다. 지금까지 우버의 발표와 보안 커뮤니티의 신뢰할 만한 게시물을 통해 확인된 내용을 정리해 보겠습니다.

해커는 먼저 우버 직원의 왓츠앱 번호를 알아낸 뒤 사회 공학적 기법을 사용하여 접근했습니다. 공격자는 피해자에게 연락하여 가짜 우버 사이트에 로그인하도록 유도하는 피싱 수법으로 사용자 이름과 비밀번호를 탈취했습니다.

우버 계정은 다중 인증(MFA)으로 보호됩니다. 즉, 비밀번호 입력 외에도 본인임을 증명하는 두 번째 인증 수단이 필요합니다. 대부분의 경우 모바일 기기로 전송되는 푸시 알림을 사용합니다.

자격 증명을 탈취한 공격자는 MFA 피로 공격(MFA fatigue attack)을 감행했습니다. 실제 우버 사이트에 지속적으로 로그인을 시도하여 직원의 기기에 수많은 푸시 알림을 보내 괴롭힌 것입니다. 공격자는 다시 왓츠앱을 통해 피해자에게 연락했습니다. 이번에는 IT 지원팀을 사칭하여 인증 승인을 받아내는 데 성공했습니다.

하드코딩된 자격 증명

우버 보안 침해의 근본 원인은 성공적인 피싱 공격이었습니다. 침입자는 내부망에 접속한 후 파워셸(PowerShell) 스크립트가 포함된 네트워크 공유 폴더를 발견했습니다. 이 스크립트 중 하나에 관리자의 자격 증명이 하드코딩되어 있었고, 이를 통해 AWS, G-Suite, 코드 저장소 등 우버의 내부 서비스가 침해되었습니다. 해커는 우버의 HackerOne 계정에도 접근했습니다. 다만 우버 측은 "공격자가 접근했던 버그 리포트는 모두 조치가 완료되었다"고 밝혔습니다.

이러한 취약점이 코드에서 어떻게 나타나는지 궁금하신가요? 파워셸 챌린지를 무료로 체험해 보세요.

이러한 유형의 공격은 얼마나 흔할까요?

인적 요소는 항상 사이버 보안의 가장 취약한 고리로 여겨져 왔기 때문에 사회 공학적 공격을 방어하기란 쉽지 않습니다. 이번 우버 해킹 사건은 다중 인증(MFA) 구현이 얼마나 쉽게 우회될 수 있는지를 명확히 보여주었습니다. 이를 예방하는 핵심은 피싱 공격의 작동 방식에 대해 직원들의 인식을 높이는 것입니다.

하지만 우버의 내부 서비스가 노출된 근본 원인은 파워셸 스크립트에서 발견된 관리자의 사용자 이름과 비밀번호였습니다. 자격 증명을 하드코딩하는 것은 절대 금물입니다. 코드를 볼 수 있는 개발자나 접근 권한이 있는 사람이라면 누구나 이를 읽을 수 있기 때문입니다.

다시 한번 강조하지만, 보안 의식이 핵심입니다! 보안 중심적인 사고방식을 가진 개발자는 취약점을 더 잘 발견하며, 애초에 취약점이 있는 코드를 작성할 가능성도 낮습니다.

사회 공학적 해킹에 대한 일반적인 교육과 보다 구체적인 예방적 보안 코딩 훈련이라는 두 가지 접근 방식은 코드 베이스의 취약점을 줄여주며, 보안 위협에 맞서는 데 결정적인 역할을 할 것입니다.

최신 보안 코딩 모범 사례를 유지하는 방법에 대해 더 알고 싶으신가요? Secure Code Coach를 확인해 보세요. 보안 코딩 가이드라인을 배우고 훈련 연습 문제를 무료로 체험할 수 있습니다.