사이버범죄 포럼에서 23andMe 사용자 기록 수백만 건 추가 유출

 (techcrunch.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 23andMe 사용자 데이터 유출이 처음 알려진 지 2주 만에, 같은 해커가 BreachForums에 400만 명 규모의 새 데이터셋을 공개함
  • Golem이라는 해커는 새 데이터셋에 Great Britain 출신 사용자가 포함됐고, “미국과 서유럽에 사는 가장 부유한 사람들”의 정보도 있다고 주장함
  • TechCrunch는 새 유출 데이터 일부가 공개된 23andMe 사용자·유전 정보와 일치한다고 확인함
  • 23andMe는 새 유출을 인지한 뒤 데이터의 진위를 검토 중이며, 앞서 비밀번호 변경과 다중 인증 활성화를 사용자에게 안내함
  • 실제 침입 방식, 전체 유출 규모, 도난 데이터의 사용 목적은 아직 확인되지 않아 23andMe 사용자에게 추가 위험이 남아 있음

BreachForums에 공개된 추가 데이터

  • Golem이라는 해커가 사이버범죄 포럼 BreachForums에 23andMe 사용자 정보 400만 건이 담긴 새 데이터셋을 공개함
  • 이 해커는 2주 전에도 유전검사 회사 23andMe에서 훔친 사용자 데이터 묶음을 유출한 인물과 동일함
  • TechCrunch는 새로 유출된 데이터 일부가 공개된 23andMe 사용자 및 유전 정보와 일치한다고 확인함
  • Golem은 해당 데이터셋이 Great Britain 출신 사람들의 정보를 포함한다고 주장함
    • 목록에는 “미국과 서유럽에 사는 가장 부유한 사람들”의 데이터도 포함돼 있다고 주장함
  • 23andMe 대변인 Andy Kill은 회사가 새 유출을 인지했고, 데이터가 실제 23andMe 데이터인지 검토 중이라고 밝힘

23andMe의 사고 설명과 계정 보안 조치

  • 23andMe는 10월 6일 해커가 일부 사용자 데이터를 확보했다고 발표했으며, 해커가 크리덴셜 스터핑(credential stuffing) 을 사용했다고 설명함
    • 크리덴셜 스터핑은 다른 데이터 유출에서 이미 공개된 사용자 이름·이메일과 비밀번호 조합을 시도하는 기법임
  • 사고 대응으로 23andMe는 사용자에게 비밀번호 변경을 요구하고 다중 인증 활성화를 권장함
  • 공식 사고 대응 페이지에 따르면 23andMe는 “제3자 포렌식 전문가”의 도움을 받아 조사를 시작함
  • 회사는 고객의 비밀번호 재사용과 선택 기능인 DNA Relatives를 사고 원인으로 지목함
    • DNA Relatives는 유전 데이터가 일치하는 다른 선택 참여 사용자의 데이터를 볼 수 있게 하는 기능임
    • 이 기능이 켜져 있으면 해커가 한 계정에 침입해 여러 사용자 데이터를 스크래핑할 수 있음

아직 풀리지 않은 의문

  • 해커가 실제로 크리덴셜 스터핑을 사용했는지, 다른 기법을 썼는지는 불명확함
  • 도난당한 사용자 데이터의 총량은 아직 알려지지 않음
  • 해커가 데이터를 어떻게 사용하려는지도 확인되지 않음
  • 이번 사고는 몇 달 전 수행됐거나 최소한 시작됐을 가능성이 있음
    • 8월 11일 Hydra라는 다른 사이버범죄 포럼에서 한 해커가 23andMe 사용자 데이터 세트를 광고함
    • TechCrunch 분석에 따르면 그 데이터 세트는 2주 전 유출된 사용자 기록 일부와 일치함
    • Hydra의 해커는 23andMe 사용자 데이터 300TB를 보유했다고 주장했지만, 증거는 제공하지 않음
  • 현재까지 데이터 유출의 전체 범위는 명확하지 않으며, 23andMe도 얼마나 많은 데이터가 탈취됐는지 아직 파악하지 못한 상태로 보임

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 23andMe가 고객의 비밀번호 재사용과, 유전적으로 일치하는 다른 참여자의 데이터를 볼 수 있게 해주는 선택 기능인 DNA Relatives를 탓하는 건 핵심 문제를 흐리는 말임
    DNA Relatives 공유 옵션의 세분화가 부족하고, 기본적으로 두 단계 정도밖에 없어 충분하지 않음
    또 23andMe는 DNA Relatives에 참여한 사람 중 가장 가까운 1,500명까지만 보이게 제한하는데, 이 구조라면 해커가 몇천 개 계정만 장악해도 데이터베이스 대부분에서 하플로그룹, 민족 기원 예측, 이름, 프로필, 친척 목록, 지리적 기원 정보를 모을 수 있었을 것임
    이 1,500명 제한은 이론상 도움이 되지만, 최근 한동안은 그 범위를 넘는 프로필도 볼 수 있었고, 그게 악용 방식의 일부였는지는 확실하지 않음

    • 23andMe의 “DNA Relatives” 페이지에는 이렇게 되어 있음: “DNA Relatives 기능에 참여하기로 선택하면 개인 선호에 맞춘 여러 개인정보 옵션이 있습니다. 완전한 프라이버시를 위해서는 DNA Relatives에서 완전히 탈퇴할 수 있습니다.”
      완전한 프라이버시를 얻으려면 탈퇴해야 한다면 이게 어떻게 선택 참여 기능인지 모르겠음
      여기서 완전한 프라이버시가 뭘 뜻하는지, 합리적으로 기대할 수 있는 프라이버시와 어떻게 다른지도 불명확함
      이 기능이 선택 참여라는 회사의 주장은 말이 안 된다고 봄
    • 정말 형편없는 회사임. 저장한 데이터를 보호할 책임은 사용자에게 있는 게 아니라 전적으로 회사에 있음
      사용자가 비밀번호를 재사용했다면 단일 계정이 털린 원인일 수는 있지만, 회사라면 그 피해가 커지지 않게 쉽게 완화할 수 있었음
    • 더 많은 회사가 합리적인 요청 제한과 남용 탐지를 왜 구현하지 않는지 이해가 안 됨
      해킹된 계정 묶음만으로 수백만 명의 데이터를 긁어갈 수 있어서는 안 됨
    • 2번은 Cambridge Analytica가 Facebook 데이터를 대량 유출한 방식과 매우 비슷해 보임
      23andMe CEO도 앞으로 10년 동안 의회에 끌려 다니게 될지 궁금함
    • 결국 DNA 기반 소셜 네트워크일 뿐임

  • 23andMe를 이용한 건 인생에서 가장 큰 후회 중 하나임. 프라이버시에 신경 쓰기 전, Amazon에서 할인하길래 해버렸음
    삭제를 요청해도 실제로 내 데이터를 지울 거라는 신뢰가 전혀 없고, 설령 지운다 해도 그 데이터가 어떤 모델이나 연구 어딘가에 이미 들어가 살아 있는 건 아닌지 모르겠음
    내 데이터가 이번 유출에 포함됐는지 알고 싶지 않은 마음도 있음. 이건 신용카드나 쇼핑 데이터 유출과는 다르게 느껴짐
    더 나쁜 건 23andMe에 오래 접속하지 않았고, 아마 제대로 된 비밀번호 보안을 신경 쓰기 전이었을 가능성이 커서 놀랍지 않다는 점임

    • 별로 중요하지 않을 수도 있음. 유전 매칭 모델은 워낙 원시적이라 그 데이터에 큰 가치가 많지는 않음
      Facebook과 Google이 사람을 조종하는 데 쓸 수 있는 훨씬 더 정확한 그림을 갖고 있고, 23andMe는 호기심거리 이상은 아님
      내 데이터도 아마 이번 유출에 들어갔겠지만, 그걸 후회하는 데 인생의 1초도 쓰지 않을 것임
      집단소송에서 뭔가 받을 수 있을지나 기다려보면 됨. Experian 해킹 때처럼 한심하게 작은 수표를 우편으로 받으면 적어도 커피 테이블 위에 둘 만한 물건 하나는 생길 수 있음
    • 나도 궁금해서 주요 서비스 중 하나를 이용했고, 그것도 지금쯤 해킹됐을 가능성이 큼
      다만 가명으로 등록했고, 검사 키트를 아버지에게 줬고, 이모 한 명도 검사하게 했음
      정확하진 않았지만 호기심을 채우기엔 충분했음
      결국 모든 것은 언젠가 해킹됨. 유명한 해커가 한 말처럼, 말하거나 쓴 모든 것은 언젠가 공개 정보가 된다고 가정해야 함
      덧붙이면 “어떻게 아버지에게 그럴 수 있냐”고 할 사람도 있겠지만, 그분을 알면 이해할 것임. 거의 오프그리드로 살고 곧 돌아가실 예정이며, 이모는 이미 세상을 떠났음
    • “그 데이터가 어떤 모델이나 연구에 들어가 살아 있는 것”이라는 게 신약 개발이나 의학 연구 같은 걸 말하는 거라면, 왜 그게 나쁜 일인지 모르겠음
    • 이 건은 본인이 실수하지 않아도, 실수한 사람과 친척 관계이기만 하면 거의 포함되는 구조로 이해하고 있음
    • 삭제 요청을 안 했다는 건가? 삭제했다면 해커가 데이터를 갖고 있지 않았을 가능성이 큼

  • 유출 피해자 중 한 명임. 기술적으로 밝고 보안도 잘 알고, 모든 곳에 고유하고 안전한 비밀번호를 씀
    이 회사와 그 헛소리 같은 책임 전가가 정말 역겨움
    이건 기업형 신상털이나 다름없음. 사용자 얼굴에 침 뱉는 거대 기업의 개별 임원들이 이런 일에 개인적 책임을 지기 전까지 계속 반복될 것임
    그 전까지는 진심으로 신경 써야 할 의무가 없기 때문임. 우리는 돈 버는 기계에 들어가는 원료일 뿐임
    유출 자체보다 책임 부재가 더 화나게 함
    댓글에서 피해자 탓하는 분위기가 충격적임

    • 23andMe는 수만 명의 고객 계정이 크리덴셜 스터핑 공격으로 해킹됐다고 믿게 만들려는 듯함
      1인당 1,500명의 매칭이 있고 친척이 겹치지 않는다고 가정해도, 유출된 데이터 규모인 약 1,400만 명에 도달하려면 성공적으로 해킹된 계정이 대략 1만 개는 필요함
      실제로는 친척이 겹치는 사람이 많으니 1만 개보다 훨씬 더 많은 계정이 공격받아야 했고, 그동안 23andMe가 수상한 점을 전혀 눈치채지 못했어야 함. 매우 그럴듯하지 않음
      23andMe는 이 유출의 근본 원인이 크리덴셜 스터핑이라고 주장하지만, 2개월 전 Hydra Market에 처음 올린 해커들은 23andMe가 학술·연구 협력자에게 제공한 API를 그냥 사용하거나 남용했다고 주장했음
      해커들은 원시 데이터를 포함해 300TB를 갖고 있다고 주장했지만, 공격 범위가 그 정도로 컸다는 증거는 아직 내놓지 않았음. 하지만 그 주장이 사실이라면 이 침해는 크리덴셜 스터핑이 아니라 API 사용 주장과 잘 맞음
      따라서 공격자가 말한 규모가 맞다면, 크리덴셜 스터핑보다 23andMe의 API 중 하나로 전체 데이터를 긁었을 가능성이 훨씬 큼. 협력 연구자 중 하나가 해킹됐거나, 공격자가 모든 데이터를 다시 긁을 수 있게 한 API 접근 제어 취약점이 있었거나 지금도 있을 수 있음
      23andMe가 제공하는 API에 대한 정보는 많지 않지만 RapidAPI에서 하나를 찾았고(https://rapidapi.com/23andme/api/23andme), 접근 제어 취약점이나 권한 상승 사용자 해킹이 있었다면 개인 1명만 시작점으로 삼아 여러 엔드포인트로 데이터를 내려받고, 친척 엔드포인트를 통해 재귀적으로 모든 친척을 따라가며 전원을 한 번씩 내려받을 수 있었을 것임. 개인 전체 유전체 엔드포인트까지 있음
      지금으로서는 23andMe의 방어 논리를 매우 의심하지만, 공격자가 원시 데이터를 갖고 있다는 증거를 공개하기 전에는 회사가 실제 공격 규모에 대해 틀렸거나 거짓말한다고 입증하기는 어려움. 그래도 API를 사용했다는 주장이 23andMe가 제시한 방식보다 훨씬 말이 되고, 그래서 매우 우려됨
    • OnlyFans 창작자들이 자기 표현형의 영상과 음성을 보내는 일에는 그렇게 관대하면서, 23andMe가 사람을 소스 코드 수준에서 붙잡는 건 외설적이라고 여겨지지 않는 게 이상함
    • 자기 DNA 데이터를 인터넷에 올렸다면 보안 기본기를 다시 봐야 할 때임
    • 기술 지식이 있는 사람이 왜 이런 꿀단지에 참여했는지 이해가 안 됨. 무엇을 믿고 신뢰했는지 알고 싶음
    • 구매할 때 가짜 이름과 선불 직불카드를 썼는가? 나는 그렇게 해서 다행이라고 생각함
      물론 정말 원한다면 플랫폼을 쓰는 친척을 기반으로 나를 추적할 수는 있음

  • “23andMe는 고객의 비밀번호 재사용을 탓했다”는데, 표현을 어떻게 했는지는 몰라도 이건 고객이 아니라 회사의 부족함임
    고객은 비밀번호를 재사용하고 앞으로도 그럴 것임. 민감한 개인 식별 정보라면 고객 행동을 바꾸려 하기보다 2단계 인증이나 Google SSO를 강제하는 편이 훨씬 쉬움

    • 한 플랫폼에서 재사용 비밀번호 때문에 크리덴셜 스터핑으로 수백만 계정이 털렸다는 건 1초도 믿기 어려움
    • 동의함. 사용자 쪽에서 2단계 인증을 설정하게 하지 않아도 되는 이메일 링크 검증을 할 수 있었음
    • 2단계 인증이 있긴 하지만, 그 기능이 생기기 전에 만들어지고 다시 로그인해 설정하지 않은 계정이 수백만 개일 가능성이 큼
      문자보다 안전한 인증 앱 방식이지만, 사용자 허용을 막는 데 더 번거로워 도입률에 영향을 줬을 수 있음
    • 다중 인증을 강제하지 못한 실패임

  • 23andMe가 눈치채지 못한 채 고객 데이터 300TB가 유출됐다면 과실로 보임. 경보가 있어야 하지 않았나

    • “Bob, 이번 달 AWS 요금이 왜 이렇게 높지… 아 젠장”
    • 크리덴셜 스터핑이 아니라면, 용량 이상 탐지를 피하려고 IP당 하루 몇 GB씩 빼냈을 수 있음
      그래도 23andMe라면 고객 저장소에 새 지리적 위치를 표시하는 탐지나 통제가 있었어야 함. 각 고객의 목적지를 위조했을 리는 없기 때문임
      또는 관리자급 계정으로 데이터에 접근할 때도 감사 추적과 승인 흐름이 있는 인가 절차가 있어야 했음

  • 돈 내는 고객을 탓하며 자기 시스템 보안 실패를 덮으려 하다니 놀라움
    사용자는 통제할 수 없지만 보안 태세는 통제할 수 있음. 23andMe 경영진의 태도와 판단은 형편없음

    • 이런 반응에서 배어 나오는 태도는 데이터가 유출돼서 미안하다는 게 아니라, 더 이상 그 데이터로 돈을 벌 수 없어져서 아쉽다는 쪽에 가까움
      23andMe의 상품은 사용자의 DNA이고, 소화하기 쉬운 형태로 예쁘게 포장돼 있을 뿐임

  • 크리덴셜 스터핑으로 수백만 건의 기록이 도난당하는 걸 감지하지 못했다면, 그 역시 회사에 더 나은 변명이 되지 않음
    회사가 자기 행동에 책임지는 모습을 보기 전엔 내가 먼저 죽을 것 같으니 놀랍지도 않음

  • 23andMe가 내가 고등학생일 때 나왔고, 과학 선생님 한 분이 수업 한 시간을 통째로 써서 그 서비스를 절대 쓰면 안 되는 이유를 설명해줬음
    솔직히 내가 들은 수업 중 가장 가치 있었고, 그 덕분에 그 근처에도 갈 생각을 한 적이 없음
    데이터 프라이버시를 학교 필수 보건 과목 같은 데 넣어야 한다는 생각이 듦. 다만 정해진 교육과정은 아마 로비로 망가져 실제로 가치 있는 내용은 가르치지 않을 가능성이 큼

    • 왜 그 강의가 그렇게 가치 있는지 모르겠음. 또 왜 다른 사람에게 23andMe 이용이 인생 최대 후회인지도 모르겠음
      DNA에서 무엇이 사적인가

  • 관련 최근 글:
    23andMe Sued over Hack of Genetic Data Affecting Thousands - https://news.ycombinator.com/item?id=37895586 - 2023년 10월, 댓글 20개
    Who hacked 23andMe for our DNA – and why? - https://news.ycombinator.com/item?id=37886543 - 2023년 10월, 댓글 3개
    23andMe Accounts Hijacked and Data Put Up for Sale on Hacker Forum - https://news.ycombinator.com/item?id=37810755 - 2023년 10월, 댓글 2개

  • “유전자 검사 회사가 수집하는 정보 유형은 현재 미국의 건강정보보호법인 HIPAA의 보호를 받지 않는다.”
    유전자 검사 업계 로비스트들이 일을 잘했나 봄

    • 물리적 DNA가 보호 건강정보라면, 우리가 DNA를 남기는 모든 곳이 의사 진료실과 같은 보안을 갖춰야 함
      하지만 DNA를 분석해서 드러난 데이터, 예를 들어 유전 질환 여부 같은 것은 보호 건강정보여야 함
      머리카락 하나를 처리했다는 이유만으로 “보호 건강정보 아님”에서 “이제 보호 건강정보임”으로 바뀔 수 있다는 건 이상함
      “어느 시점부터 보호 건강정보가 되는가”는 답하기 어려운 질문일 것임
      개인적으로는 DNA 관련 데이터 보호에는 HIPAA와 다른 별도 체계가 필요하다고 봄
    • 그 근거가 있나? 실제로 검토된 적이 있었나, 아니면 그냥 지어낸 건가
답변달기