더 잦은 침해 사고, 더 커지는 문제: 서드파티 앱에 대한 신뢰 비용

소프트웨어와 그 개발 과정을 안전하게 만들고, 개발 초기 단계부터 보안을 고려하여 설계하는 것이 우리의 핵심 사명이라는 사실은 잘 알려져 있습니다. 우리의 비전은 개발자가 코드를 작성하는 과정에서 취약점을 스스로 감지하고 문제가 발생하기 전에 해결할 수 있는 역량과 지식을 갖추도록 하여, 소프트웨어 개발의 새로운 기준을 세우는 것입니다.

이러한 맥락에서, 우리가 전 세계 기업에 영향을 미치는 새로운 데이터 유출, 사이버 공격, 코드 악용 소식을 듣고 기뻐할 것이라고 생각할 수도 있습니다. 물론 그러한 사건들이 여러 산업 분야에서 우리 서비스의 필요성을 부각하는 것은 사실입니다. 하지만 솔직히 말하면 매우 안타까운 일입니다. 대부분의 보안 교육이 위험을 최소화하고 이러한 침해 사고를 막기에 충분하지 않기 때문에, 업계 전체가 같은 실수를 반복하고 있다는 점이 분명합니다.

최근 데이터 유출 사고의 피해자는 티켓마스터(Ticketmaster)입니다. 수천 명의 피해 고객 중 한 명이었다면, 사건을 알리고 비밀번호 변경을 요청하는 이메일을 받으셨을 겁니다. 콘서트나 스포츠 경기 티켓을 구매했다는 이유만으로 개인정보가 유출될 것이라고 예상하는 사람은 아무도 없지만, 현실은 이렇습니다.

모두에게 끔찍한 상황입니다. 티켓마스터의 평판에는 치명적이며, 고객에게는 정말 불쾌한 경험이죠. 하지만 한 가지 문제는 이것이 전적으로 그들만의 잘못은 아니라는 점입니다.

티켓마스터는 인벤타 테크놀로지스(Inbenta Technologies)의 타사 고객 지원 애플리케이션을 사용하고 있었습니다. 티켓마스터 영국 법인은 해당 제품에 악성 코드가 포함되어 있었고, 이로 인해 전 세계 고객 데이터의 5%가 유출되었다는 사실을 발견했습니다.

해커들은 어떻게 이 시스템을 악용했을까요? 그들은 인벤타 테크놀로지스가 티켓마스터의 요구 사항에 맞춰 맞춤화한 자바스크립트 코드 한 줄을 조작했습니다. 인벤타에 따르면, 해당 코드는 원래 의도되지 않은 페이지에서 사용되었으며, 만약 그 사실을 알았더라면 보안 취약점으로 식별했을 것이라고 합니다.

이 취약점은 본질적으로 파일 업로드/저장 라이브러리의 보안 문제로, 단 한 번의 침해로 동일한 코드가 로드된 모든 사이트가 영향을 받을 수 있습니다. 코드를 수정하여 개인정보를 수집하고 공격자에게 재전송하는 것부터 시작할 수 있죠. 이는 파급력이 큰 간단한 공격 방식이며, 우리는 이를 방어하기 위해 다양한 플랫폼 내 교육 훈련을 통해 개발자들을 지원하고 있습니다.

물론 타사 애플리케이션에 의존하지 않고 비즈니스를 운영하는 것은 사실상 불가능합니다. 하지만 그들이 소프트웨어를 어떻게 구축하는지 제어할 수 없으며, 코드의 보안 강도를 파악할 방법도 거의 없습니다. 결국 신뢰의 문제가 되는 것이죠. 만약 협력사가 보안 코딩 관행을 소홀히 한다면, 귀하의 회사에 보안 침해의 문을 열어주는 꼴이 될 수 있습니다.

그렇다면 해결책은 무엇일까요? 간단합니다. 우리 모두 더 잘해야 합니다. 보안을 기업 혁신의 걸림돌로 여기는 사고방식에서 벗어나야 합니다.

개발 팀이 보안을 수용하고 잘못된 코드를 사전에 차단할 수 있는 올바른 도구와 지식을 갖추도록 돕는 것은 생각보다 어렵지 않습니다. 세계 최대 규모의 금융, 통신, 소매 및 기술 기업들이 이러한 새로운 접근 방식을 채택하는 것을 보게 되어 기쁘지만, 보안 교육은 포춘 100대 기업만의 전유물이 되어서는 안 됩니다. 개발자를 고용하고 있는 모든 기업은 팀이 안전하게 코딩할 수 있도록 교육을 시행해야 합니다.

최근 우리 CTO인 마티아스 마두(Matias Madou)와 함께 작성한 백서에서는 조직 내에 보안 문화를 구축하는 것의 이점을 다루고 있습니다. 우리는 왜 이것이 혁신을 이끌어내고, 민첩성을 유지하며, 보안이 취약한 코드로 인한 재정적 피해를 줄이는 핵심인지 상세히 설명합니다.

다음과 같은 팁을 확인하실 수 있습니다:

* 개발자에게 관련성 있고 흥미로운 보안 교육을 제공하는 방법

* 개발자가 스스로 문제를 식별하고 해결하도록 가르치는 방법

* 개발자가 안전하게 코드를 작성하도록 돕는 방법

이 자료를 다운로드하여 조직 내 보안 문화를 정착시키고, 팀의 역량을 강화하며, 더 높은 수준의 코드 표준을 선도하는 데 활용해 보시기 바랍니다.

We must stop thinking of security as an irritating obstacle on the path of company innovation.