23andMe, 크리덴셜 스타핑으로 사용자 데이터 도난 확인

 (bleepingcomputer.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 유전 검사 서비스 23andMe의 사용자 데이터가 해커 포럼에서 유통됐고, 회사는 원인을 비밀번호 재사용을 노린 크리덴셜 스타핑으로 보고 있음
  • 공격자는 다른 온라인 플랫폼 침해에서 노출된 로그인 정보로 23andMe.com 계정에 접근했으며, 현재까지 회사 내부 시스템 침해 징후는 없다고 설명함
  • 노출된 항목은 실명, 사용자명, 프로필 사진, 성별, 생년월일, 유전적 조상 결과, 지리적 위치 등 개인 식별성이 큰 정보임
  • 초기 샘플은 Ashkenazi 사람들의 데이터 100만 줄이었고, 이후 10월 4일 계정당 1~10달러 가격의 대량 판매 제안으로 이어짐
  • DNA Relatives 기능을 켠 계정의 매칭 데이터가 긁혀 나가면서, 선택형 소셜 기능이 예상 밖의 개인정보 노출 경로가 될 수 있음

해커 포럼에서 확인된 23andMe 데이터

  • 23andMe는 자사 플랫폼 사용자 데이터가 해커 포럼에서 유통 중인 사실을 인지하고 있으며, 크리덴셜 스타핑 공격에 따른 유출로 보고 있음
  • 이 회사는 고객이 타액 샘플을 실험실에 보내면 조상 및 유전적 소인 보고서를 제공하는 미국 생명공학·유전체 기업임
  • 한 위협 행위자가 유전학 기업에서 훔쳤다고 주장한 데이터 샘플을 공개했고, 며칠 뒤 23andMe 고객 데이터 팩 판매를 제안함

크리덴셜 스타핑과 회사 입장

  • 23andMe 대변인은 포럼에 올라온 데이터가 실제 23andMe 데이터라고 확인함
  • 공격자는 다른 침해 사고에서 노출된 자격 증명을 이용해 23andMe 계정에 접근하고 민감 데이터를 훔친 것으로 파악됨
  • 회사는 현재 자사 시스템 안에서 데이터 보안 사고가 발생했다는 징후는 없다고 밝힘
  • 초기 조사 결과, 사용자가 여러 온라인 플랫폼에서 재사용한 로그인 정보가 다른 사고에서 유출된 뒤 공격자에게 수집됐을 가능성이 있음

유출·판매된 데이터 범위

  • 초기 공개 데이터는 제한적이었지만, 위협 행위자는 Ashkenazi 사람들의 데이터 100만 줄을 공개함
  • 10월 4일에는 구매량에 따라 23andMe 계정당 1~10달러 가격으로 데이터 프로필을 대량 판매하겠다고 제안함
  • 노출된 정보에는 다음 항목이 포함됨
    • 전체 이름
    • 사용자명
    • 프로필 사진
    • 성별
    • 생년월일
    • 유전적 조상 결과
    • 지리적 위치

DNA Relatives 기능을 통한 확산

  • 판매된 계정 수가 노출 자격 증명으로 침해된 23andMe 계정 수와 그대로 일치하지는 않음
  • 침해된 계정들은 23andMe의 DNA Relatives 기능을 켠 상태였음
  • DNA Relatives는 사용자가 유전적 친척을 찾고 연결할 수 있게 해주는 기능임
  • 공격자는 소수의 23andMe 계정에 접근한 뒤, 해당 계정의 DNA Relatives 매칭 데이터를 스크래핑함
  • 이 사례는 특정 기능 참여가 예상치 못한 개인정보 노출로 이어질 수 있음을 보여줌

사용자가 취할 수 있는 보호 조치

  • 23andMe는 계정 보호를 위해 2단계 인증을 제공하며, 모든 사용자에게 활성화를 권장함
  • 관련 안내는 Adding 2-Step Verification to Your 23andMe Account에서 볼 수 있음
  • 사용자는 비밀번호 재사용을 피하고, 모든 온라인 계정마다 강력하고 서로 다른 자격 증명을 사용해야 함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 내가 잘못 읽은 게 아니라면, 누군가 이미 유출된 이메일/비밀번호 데이터베이스를 갖고 있다가 23andMe에 대입해 보고, 로그인되면 접근 가능한 데이터를 가져간 것 같음
    23andMe가 매우 광범위하고 개인적인 데이터를 갖고 있는 건 맞지만, 이런 공격은 말 그대로 어떤 웹사이트에도 가능함
    핵심은 사람들이 비밀번호를 재사용했고, 2단계 인증도 켜지 않았다는 것임
    그래서 판매 중인 데이터베이스는 다른 유출에서 나온 이메일/비밀번호 중 23andMe에서도 통했던 것과, 그 계정에 있던 23andMe 데이터의 목록일 뿐임
    정확히 말하면 23andMe 자체 침해라고 보긴 어려움

    • 설령 그렇다 해도 23andMe가 더 잘 막았어야 함
      왜 새 IP에서 계정 로그인을 허용하면서 추가 확인을 안 했는지 모르겠음
      이메일을 갖고 있으니 최소한 이메일 기반 2단계 인증이라도 할 수 있었고, 다른 사람들이 말했듯 CAPTCHA도 공격을 더 느리고 비싸게 만들 수 있었음
      내가 일하는 곳은 둘 다 쓰기 때문에, 이 공격이 “말 그대로 어떤 웹사이트에도 가능하다”는 건 아님
      상장사이기까지 한 성숙한 기업이 수백만 계정 규모의 크리덴셜 스터핑을 허용했다는 건 부끄러운 일임
    • 그렇게 읽으면 안 될 것 같음
      사람들이 접근할 수 있었던 것 중 가장 중요한 건 전체 원시 DNA 프로필이었고, 피해자 중 상당수는 자기 계정이 안전했더라도 “Relatives” 기능에 동의한 사람들 때문에 노출된 경우였음
    • 한 가지 물어볼 수 있음:
      “2단계 인증이 꺼져 있음”이 “매우 광범위하고 개인적인 데이터”와 공존하도록 허용돼야 하는가
    • 이게 정교한 공격이 아니었다는 점은 맞음
      실망스러운 건 이 공격이 대규모로 잘 먹혔다는 점임
      일부 웹사이트에서는 이런 공격을 규모 있게 실행할 수 있지만, 적절한 지표를 골라 모니터링하고 경보를 걸면 받는 쪽에서는 꽤 시끄럽게 드러나는 유형임
      “현재로서는 우리 시스템 내부에서 데이터 보안 사고가 있었다는 징후가 없다”고 했지만, 그 시스템이 고객 데이터를 추출하는 데 쓰였고 고객 데이터가 팔리고 나서야 알아챘다면 그 부분부터 개선해야 함
      공개가 이렇게 늦은 걸 보면 언론 문의를 받고서야 알았을 가능성도 있어 보임
    • 웹사이트는 알려진 크랙 비밀번호와 대조해서 크리덴셜 스터핑을 완화해야 함
      Troy Hunt의 해시된 비밀번호 데이터베이스를 내려받아 로그인 때 확인하고, 유출된 비밀번호면 이메일 비밀번호 재설정 흐름으로 보내면 됨
      아니면 API를 써도 됨
      아주 간단하고, 2017년쯤부터 받아들여진 모범 사례였다고 봄
      이건 100% 23andMe 책임
      https://haveibeenpwned.com/Passwords

  • 기업들이 “전이적 권한”이나 “네트워크 권한”을 진지하게 재검토하기 시작할지 궁금함
    예전에 Facebook이 크게 당했던 것과 매우 비슷함
    나는 친구들의 모든 데이터를 볼 권한이 있었고, 예전에는 버튼 하나로 요청한 누군가에게 내 정보뿐 아니라 내 친구들의 정보까지 보게 할 수 있었음
    컴퓨터 과학 관점에서는 말이 됨: 내가 내 모든 데이터를 보게 해준다면, 그 사람이 또 누구와 공유하는지는 내가 통제할 수 없게 됨
    하지만 사람 관점에서는 대부분 내가 당신에게 접근권을 준 것이 사실상 전 세계에 접근권을 준 것이라고 생각하지 않음
    이런 네트워크 권한은 해당 데이터를 가진 회사를 주요 표적으로 만듦
    공격자는 몇 개 계정만 해킹해도 기하급수적으로 더 많은 데이터를 얻을 수 있기 때문임

    • 친구의 모든 정보가 아니라, 그 친구가 공유한 부분집합만 보이는 것 아닌가
      작성자가 친구의 친구에게 보이도록 설정한 범위 말임

  • 이 트윗에 따르면 해커들이 전체 데이터를 얻었지만 일부만, 즉 130만 건의 기록만 유출했을 가능성이 있음
    그 일부가 아슈케나지 유대인 데이터였다는 얘기임
    https://x.com/mattjay/status/1710370423311888724?s=20

    • 그렇다면 적은 수의 침해 계정으로 그렇게 많은 데이터를 얻은 이유가 설명됨
      아슈케나지 유대인은 유럽의 나머지 집단과 비교적 유전적으로 고립돼 있었고, 비교적 작은 창시자 집단에서 출발했음
      그래서 표준 지표로 보면 유전적으로 서로 먼 친척으로 감지됨
      즉 일반적인 23andMe 아슈케나지 유대인 고객은 다른 고객보다 훨씬 많은 친척이 표시되고, 그만큼 더 많은 프로필을 볼 수 있었을 것임
    • 23andMe 사용자이고 아슈케나지 유전자가 높은 편이라 내 데이터도 유출됐을 거라고 예상했는데 없었음
      그러니 아슈케나지 데이터 전체는 아닐 가능성이 큼
    • 그 트윗에는 이게 재사용 비밀번호를 이용한 것 이상이라는 증거가 전혀 없음
      전체 데이터였다는 증거도 없음
    • 백 년을 살아도 사람들이 왜 유대인에 집착하는지 이해 못 할 것 같음
    • 또 네오나치 테러라니, 2020년대가 참 좋음 /s

  • 흥미로운 아이디어라고는 생각하지만, 바로 이런 이유 때문에 이런 유전자 검사는 계속 거부해 왔음

    • 그뿐 아니라, 친척 전체가 검사를 받지 않도록 해야 함
    • Simpsons에서 Homer가 정부가 모든 사람의 DNA를 파일로 갖고 있다는 걸 알고 묻자, “1932년 이후 페니를 만진 사람은 전부”라는 식으로 답하는 농담이 있었던 게 기억남
      알고 보니 그렇게 복잡할 필요도 없었고, 그냥 사람들이 직접 우편으로 보내게 하면 됐음 ;)
    • 나도 마찬가지이고, 이 데이터를 보호할 규제가 있었으면 좋겠음
      다만 이미 엎질러진 물처럼 보임
      https://www.pbs.org/newshour/amp/science/dna-ancestry-search...
    • 가짜 이름으로 하면 되는 것 아닌가
    • 나도 같음
      앞으로도 이런 서비스는 안 해볼 것 같음

  • 이제 여러 번 말했지만, 데이터 보관과 보호의 과실에 대해 형사 책임이 생기기 전까지는 이런 일이 계속 일어날 것임
    회사들은 신경 쓰지 않고, PR에서 뭐라고 하든 자기들이 직접 위험해지기 전까지는 신경 쓰지 않을 것임
    침해가 일어날 때마다 British Petroleum처럼 “정말 죄송합니다”를 반복하고 사람들에게 LifeLock이나 사줌
    완전 헛소리임

    • 왜 23andMe가 형사 책임을 져야 하는지 모르겠음
      기사에 따르면 회사가 침해당한 게 아니라, 다른 침해에서 노출된 재사용 인증정보를 쓴 개별 계정만 털린 것임
      2단계 인증은 있었어야 하지만, 2단계 인증 부재를 범죄화해야 한다고는 생각하지 않음

  • 스크린샷에 나온 사이트에 들어가 보니 누군가 필리핀 방문 때의 NATO 유출 자료라며 “PLANCTON, CRONOS, CA SIRIUS, EMADS, MCDS, B1NT 등”을 팔고 있었음
    2023년 우크라이나 시민 데이터베이스 목록도 하나 더 있었음
    CIA, 제발 죽이지 마세요! 맹세코 우연히 본 것뿐임
    아무튼 다시 일하러 가야겠음

    • 그 사이트가 어디임?

  • 7만 5천 달러라니
    정부가 프라이버시를 진지하게 여기지 않는다는 걸 말하지 않고도 보여주는 방법임
    3주 전 유전자 검사 기업 1Health.io는 민감한 유전·건강 데이터를 제대로 보호하지 못했고, 데이터를 얻은 고객에게 통지하거나 동의를 받지 않은 채 개인정보처리방침을 소급 변경했으며, 고객이 자기 데이터를 삭제할 수 있다고 속였다는 의혹을 해결하기 위해 FTC에 7만 5천 달러 벌금을 내기로 합의했음

    • 포장에 적힌 자아도취적인 “welcome to you” 문구만 봐도 토할 것 같은데, 이 일로 고작 7만 5천 달러라니
      회사가 완전히 내려앉았으면 좋겠음
    • 이런 데이터가 유출될 때 사람들이 자주 들고나오는 괴물 같은 결과는 실제로 보이지 않고 있음
      금지된 유전 연구가 진행되는 것도 아니고, 보험료가 오르는 것도 아니고, 이 정보 때문에 민족 청소가 벌어지는 것도 아님
      신원 도용 몇 건과 은행 사기는 있겠지만, 대체로 기존 시스템이 처리할 수 있음
      다른 끝단에서 잡힘
      큰 벌금을 원한다면 큰 피해를 입증해야 함
    • 늘 그렇듯 자본주의가 거꾸로 돌아감
      프라이버시를 정말 진지하게 여긴다면 문제를 고치라고 7만 5천 달러를 지원해야 함
      엔지니어링 예산에서 7만 5천 달러를 빼앗으면 더 못하게 되고, 더 많은 데이터가 유출될 것임

  • “재미로” DNA를 시퀀싱하러 보내는 일의 프라이버시 영향을 얘기하자면, 23andMe는 이미 법 집행기관과 협력하고 있음
    데이터 과학도 충분히 좋아져서, 내가 직접 DNA 샘플을 낸 적이 없어도 3촌 한 명이 샘플을 제출했다면 내 신원을 추정할 수 있음
    평균적인 사람은 3촌이 약 200명 있음

    • 그게 어떻게 작동하는지 더 설명해 줄 수 있나
      내 200명의 3촌 중 한 명이 23andMe 면봉 검사를 했고, 그다음 내가 아마 나라 반대편에서 범죄를 저질렀다고 하자
      법 집행기관이 DNA 증거를 수집했음
      이제 어떻게 되는 건가
    • 법 집행기관이 채취한 DNA로 23andMe 데이터베이스에 조회를 보낼 수 있나

  • 내가 알기로 Leeds-Collins 차트를 만드는 계보 서비스들이 있는데, 사용자에게 23andMe 인증정보를 요구하는 방식으로 작동함
    일부 서드파티 은행 서비스가 사용자에게 은행 인증정보를 직접 요구하는 것과 비슷함
    이 분야에는 정말 나쁜 보안 관행이 많음

    • 한동안 23andMe OAuth2 API가 있었고 SNP를 OAuth 범위로 제공했는데, 그런 상황이라 더 안타까움

  • 몇 년 전에 잃어버렸고 이제 이메일 주소도 없는 아버지 계정 비밀번호를 23andMe가 보내줄 수 있을지도 모르겠음

    • https://haveibeenpwned.com/에서 이메일을 조회해볼 수 있을 것임
      거기에 있으면 비밀번호도 갖고 있을 수 있음
답변달기
GeekNews BeeBS 게시판 오픈! 자유로운 이야기와 소소한 일상을 함께 나눠보세요.