번호식 URL로 8억건 문서 이미지가 노출될 수 있었다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

간단한 주소 조작으로 문서 이미지가 노출될 수 있었고 내부 발견정보가 공시절차로 올라가지 않은 사건이다.

1. 01

   1. 문서 URL 생성

   부동산 결제와 권원보험 관련 이미지가 번호식 웹주소로 제공됐고 사용자를 다시 인증하는 통제가 충분하지 않았다.

2. 02

   2. 순차 접근 가능

   주소의 숫자를 바꾸면 다른 문서가 열릴 수 있어 계좌·세금 관련 정보가 포함된 이미지의 잠재적 노출범위가 커졌다.

3. 03

   3. 내부 전달 지연

   보안부서는 취약점을 파악했지만 공시책임자가 중요성을 제때 평가할 수 있도록 정보가 전달되지 않았다.

4. 04

   4. 공시통제 제재

   SEC는 2021년 위험정보를 수집·보고하는 통제 실패에 48만7,616달러 제재를 부과했다. 실제 악용 피해는 별도 문제로 남았다.

사건 연표

1. 2019년 1월

   내부 침투시험에서 웹 취약점이 발견된다

2. 2019년 5월 24일

   언론 문의가 대량 문서 접근 가능성을 회사에 알린다

3. 2019년 5월 28일

   회사가 사고 관련 공시를 낸다

4. 2020년 9월

   SEC가 공시통제 조사 절차를 진행한다

5. 2021년 6월 14일

   SEC가 제재명령을 발표한다

왜 가능했나

웹 문서 접근은 로그인 한 번으로 끝나는 통제가 아니다. 각 요청의 이용자와 문서 권한을 서버가 다시 확인하는 구조가 필요하다. 순차 번호처럼 추측 가능한 주소에 객체별 인증검사가 없으면 대규모 자료가 노출될 수 있다. 부동산 거래문서에는 계좌·세금 정보가 함께 들어갈 수 있어 이미지 하나의 민감도도 높다. 문서 수가 많아도 한 사람이 여러 이미지를 가질 수 있으므로 인원으로 환산할 수 없다.

상장회사의 사이버 통제에는 기술부서에서 공시책임자까지 정보를 올리는 경로도 포함된다. 취약점을 기술적으로 고쳤는지와 투자자에게 중요한 위험을 제때 평가했는지는 별도 질문이다. 보안팀이 발견한 시점과 외부 공개 사이의 약 4개월은 이 전달경로를 검토하게 한다. SEC 제재는 공시통제를 겨냥했으며 8억건의 실제 악용이나 같은 규모의 고객손실을 확정한 배상명령이 아니다.