보잉, 지불 거부 뒤 LockBit에 45GB 데이터 유출

 (itbrew.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Boeing의 부품·유통 사업 일부를 겨냥한 사이버 사고가 45GB 데이터 공개로 이어지며, 랜섬웨어 협박이 실제 유출로 번진 사례가 됨
  • 러시아 연계 해킹 조직 LockBit은 10월 27일 공격 책임을 주장하고, 기한 내 Boeing이 접촉하지 않으면 민감 데이터를 공개하겠다고 경고함
  • Boeing은 사고를 인정했지만 11월 2일 Cybersecurity Dive에 보낸 이메일에서 이번 문제가 비행 안전에는 영향을 주지 않는다고 밝힘
  • 공개된 자료에는 Citrix 파일, 보안 제어, 이메일 백업 등이 포함됐고, 보안 분석가 Dominic Alvieri는 기업 이메일도 유출됐다고 말함
  • MalwareHunter Team은 자료가 2006년 Boeing이 인수한 Aviall에서 나온 것으로 보인다고 봤으며, 두 회사 시스템이 지난 17년간 얼마나 통합됐는지가 침해 범위를 가를 수 있음

LockBit의 Boeing 데이터 공개

  • 랜섬웨어 조직 LockBit은 10월 27일 Boeing 공격 책임을 주장함
    • Boeing이 기한 내 접촉하지 않으면 민감 데이터를 공개하겠다고 데이터 유출 사이트에 게시함
    • 11월 10일 기한이 지난 뒤 약 45GB의 Boeing 회사 데이터를 온라인에 공개함
  • Boeing은 같은 날 해킹을 인정함
    • 11월 2일 Cybersecurity Dive에 보낸 이메일에서 “부품 및 유통 사업 일부에 영향을 주는 사이버 사고”를 인지했다고 밝힘
    • 같은 이메일에서 이번 문제는 비행 안전에 영향을 주지 않는다고 밝힘
  • 유출 자료에는 클라우드 컴퓨팅 회사 Citrix 파일, 보안 제어, 이메일 백업 등이 포함됨
    • 보안 분석가 Dominic Alvieri는 The Register에 기업 이메일이 유출 자료에 포함됐다고 말함
    • Alvieri는 전체 데이터셋을 모두 보지는 않았지만, Boeing 이메일과 일부 자료가 악의적 목적에 유용해 보인다고 봄

Aviall 가능성과 침해 범위

  • MalwareHunter Team은 유출 자료를 검토한 뒤 자료가 Aviall에서 나온 것으로 보인다고 평가함
    • Aviall은 Boeing이 2006년에 인수한 부품 유통사임
  • 침해 심각도는 지난 17년 동안 Aviall과 Boeing 시스템이 얼마나 통합됐는지에 달려 있음
    • 두 회사 네트워크가 많이 병합되지 않았고 LockBit이 Aviall 네트워크만 장악한 경우라면 Boeing에는 “단순히 나쁜” 수준의 문제라고 평가함
    • 네트워크 통합 정도가 크다면 이미 알려진 것보다 침해 심각도가 더 클 수 있음

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 방위산업에서 일하는 입장에서 보면, 암호화되지 않은 이메일 45GB는 상업적 관점에서는 거의 가치가 없고 국가안보 관점에서도 큰 사건이 아님
    오히려 회사나 국가보다 개별 직원에게 더 위협이 될 가능성이 큼
    달리 말하면 이 데이터에 가치가 있었다면 랜섬웨어 조직이 무료로 공개하지 않았을 것임

    • “가치가 있었다면 무료로 공개하지 않았을 것”이라는 해석은 완전히 틀렸고 추측에 불과함
      돈을 내지 않은 가장 그럴듯한 이유는 수사기관이 개입했고, 수사기관이 랜섬 지급을 싫어하며 아예 금지까지 검토해 왔기 때문임
      이 데이터가 가치 없다는 뜻은 전혀 아니고, Citrix 장비 인증 정보가 들어 있어 Boeing이 보안 태세를 개선하지 않으면 향후 침해로 이어질 가능성이 큼
    • 방위산업도 범위가 넓고, 보안상 자세히 말하기 어려웠을 수도 있음
      다만 자기 직업을 내세운 뒤 개인은 중요하지 않고 상업적 주체만 중요하다는 식으로 말하면, 일부 방위 관련 직무에는 맞지 않을 수 있음
    • 몇 년 전 업무 계정이 50GB 한도에 걸려 정리해야 했고, 지금도 다시 20GB를 쓰고 있음
      조직 내 하위 엔지니어 한 명인데도 자동화 시스템과 Confluence에서 오는 메일이 거의 스팸은 아니지만 때로 유용한 대량 알림을 엄청나게 만들어냄
      이메일이 500TB였다면 우려할 만하지만 45GB는 단일 계정 침해처럼 보임
      전사나 부서 전체로 간 흥미로운 기밀 메일이 조금 있을 수는 있어도 대체로 큰 가치는 없어 보이고, 그래서 Boeing이 돈을 내지 않은 판단은 맞았다고 봄
    • 그렇게 확신하긴 어려움
      비밀번호를 훔치는 범죄자들도 계정 안을 파고들어 더 큰 이득을 얻기보다, 낮은 값에 대량 판매하고 털어버리려 할 때가 있음
      이번에도 다른 고가치 표적에게 자기들이 진지하다는 점을 보여주려는 목적일 수 있음
    • 이번 일로 Enron 같은 자연어 처리용 이메일 말뭉치가 하나 더 생길지도 모르겠음

  • 외부자가 45GB에 접근하는 건 쉬운 부분이고, 이제 이걸 활용하려면 Boeing 규모의 회사와 공급업체 기반을 만들어야 함

    • 공급업체 계약 협상이 복잡해질 수는 있음
      “같은 장치인데 당신은 개당 50달러를 더 낸다” 같은 식으로 활용될 수 있음
    • 데이터 종류에 따라서는 실제 보안 문제가 될 수 있음
    • 그것만으로도 부족함
      부품을 복제해도 국외 반출이 허용되려면 원래 공급망과 인증 체계의 일부여야 할 것임
    • Airbus가 자체 LLM을 학습시킬 말뭉치가 필요했는데 이제 생긴 셈임

  • 기억이 선명하진 않고 간단한 Google 검색도 잘 안 나오는데, 이런 유출이 표적 회사에 대규모 문제를 일으킨 적이 있었나 싶음
    지난 2년 동안 비슷한 유출이 꽤 많았지만 시장과 대중은 대체로 무덤덤했던 것 같음
    물론 45GB는 많은 양이고, 정말 끔찍한 내용이 들어 있었다면 Boeing이 몸값을 내고 아무에게도 말하지 않았을 것 같음
    Boeing에 실제 부정적 결과가 생길까? 취약했다는 건 오점이지만, 돈을 내지 않은 건 많은 이들에게 긍정적으로 보일 수도 있음

    • Sony가 북한에 해킹당했을 때 유출된 급여 자료에서 같은 일을 하는 여성들이 남성보다 적게 받는다는 사실이 드러났음
      그 유출의 후속 결과가 어땠는지는 잘 모르겠음
      https://slate.com/human-interest/2014/12/sony-pictures-hack-...
    • 경쟁사들은 이 데이터를 보고 싶어 할 것이지만, 파일을 뒤지고 있다고 세상에 발표하진 않을 것임
      언젠가 Airbus가 Boeing보다 먼저 새 비행기를 만들거나 수익성 좋은 계약을 따내도, 그게 자연스럽게 된 일인지 이 데이터에서 얻은 지식 덕분인지는 영원히 모를 수 있음
    • 개인 메일도 최근 몇 년 사이 제공업체를 옮겼는데도 10GB 이상임
      45GB는 엄청난 양일 수도 있고, 몇 명분의 마케팅 발표 자료일 수도 있음
    • 사람들이 파고들기 시작하면 문제가 될 수 있지만, 대부분은 시간도 의욕도 없고 법적 위험을 감수하려 하지 않을 것 같음
    • 설계 문서보다 내부 이메일이 훨씬 더 가치 있을 것 같음
      책임 사슬의 마지막 사람이 MCAS가 작동하지 않는다는 말을 들었을 때 실제로 뭐라고 했는지 보고 싶음
      첫 번째 약 150명 사망 뒤 피해 통제를 위해 어떤 표현으로 포장했는지, 그다음 사건에는 어떻게 반응했는지도 궁금해서 팝콘 기계를 켤 만함

  • 랜섬웨어 조직이 합의를 어기고 데이터를 그냥 공개한 일이 방금 있지 않았나 싶음
    이러면 자기들의 사업 모델을 스스로 죽이는 셈임
    회사 X가 범죄조직이 약속을 지킨다고 믿을 수 없다면 애초에 왜 돈을 내겠나
    Boeing은 데이터 침해의 후폭풍 비용을 어차피 치러야 하는데, 범죄자에게까지 추가 비용을 낼 이유가 없음

    • 랜섬웨어에 맞서는 흥미로운 전략이 열리지만, 매우 비윤리적이고 불법적이며 국가 행위자가 실행할 수 있는 방식임
      1. 표적을 해킹해 데이터를 인질로 잡음
      2. 몸값을 받은 뒤 데이터를 그대로 공개함
        이렇게 하면 실제 랜섬웨어 조직의 신뢰가 크게 떨어짐
        더 윤리적으로 만들려면 데이터가 중요하지 않거나 암호화돼 있어야 함
        그래도 언론은 보도할 것이고 대중 인식은 바뀔 수 있음
        더 나은 방식은 해킹 “표적”과 비밀리에 조율해 전체 사건을 무해한 구경거리로 만들면서도 데이터 인질극의 유인을 줄이는 것임
    • 공유지의 비극임
      나쁜 랜섬웨어 행위자를 식별해 퇴출할 중앙 사법 시스템을 세워야 함
    • 그런 일은 항상 벌어짐
      첫 번째 몸값은 표적 데이터의 복호화 키를 받기 위한 것이고, 두 번째 몸값은 복호화된 데이터를 공개하지 못하게 막기 위한 것임

  • 이 덤프에 “쓸 만한” 게 있나?
    기사에는 Citrix와 이메일이 나온다지만, 그건 무엇이든 될 수 있음

    • 누구에게 유용하냐에 달림
      이메일 덤프와 다른 데이터는 추가 침해나 직원 대상 공격에 유용할 수 있음
      내부 보안팀이 전부 살펴보겠지만 놓치는 게 있을 수 있고, 개인 정보는 인지하고 있어도 사기에 악용 가능함
      중국 같은 정부나 Boeing의 항공·방위 경쟁사에는 이미 접근권이 없었다면 금광일 것임
      Boeing은 국가안보와 우주 관련 일을 많이 함
    • 이미 공개된 이상 누군가는 결국 내려받아 확인할 것임
      인터넷에 올라간 것은 거의 사라지지 않음

  • 미국은 몸값 지급을 불법화하고, 몸값을 내거나 승인한 사람에게 징역형을 부과해야 함
    그런 법이 있으면 회사들이 지급 위험을 감수하지 않을 테니 랜섬웨어 조직이 미국 기업을 표적으로 삼을 가능성이 줄어듦

    • 이미 불법일 수도 있음[1][2]
      그래도 회사들이 돈을 내는 걸 막지는 못함
      병원이라면 법 문구를 어기는 것과 많은 사람을 죽게 두는 것 사이에서 저울질하게 됨
      [1] https://www.gma-cpa.com/technology-blog/paying-ransom-on-a-r...
      [2] https://cbs12.com/news/cbs12-news-i-team/hospital-ransomware...
    • 몸값을 낸 게 아니라 미국 밖에 있는 사이버 보안 회사에 일곱 자리 컨설팅 비용을 냈고, 그 회사가 어쩐지 마법처럼 문제를 해결해 준 것뿐임
    • “1만 달러를 안 주면 네가 10만 달러 몸값을 냈다고 당국에 말하겠다”
      “알겠다, 여기 돈이다”
      “고맙다. 1만 달러를 더 안 주면 방금 거래를 당국에 말하겠다”
    • 그런 금지가 말이 안 되는 경우도 있음
      예를 들어 몇 주 전 해킹당한 성형외과는 환자들의 의료 기록과 수술 전후 사진이 유출되는 걸 막으려 최소한 시도하는 게 낫다고 판단할 만함
      몸값 지급을 불법화하면 모든 환자의 의료 이력과 사진이 유출될 수 있고, 그건 악몽임

  • 이게 Boeing 측의 ITAR 위반으로 간주될지 궁금함

    • 왜 그렇게 보나?

  • 정부가 기업의 랜섬웨어 조직 대상 지급을 불법화하면 됨
    그러면 랜섬웨어 사업 모델은 사라지고, 기업들은 잠재적 문제를 돈으로 해결하길 기대하는 대신 실제 보안에 집중해야 함
    사회가 단기적 고통을 감수하고 장기적으로 더 나은 해법을 얻는 셈임

    • 그런 조치를 우회하는 방식은 이미 흔할 것 같음
      기업들이 비싼 “전문가”와 “컨설턴트”를 고용하고, 그들이 조용히 랜섬웨어 조직에 돈을 내는 식임

  • 러시아와 연계된 사이버 조직이라면, 그 안의 민감한 정보는 어차피 이미 공개 정보로 취급해야 함
    그렇다면 왜 돈을 내겠나

답변달기
GeekNews BeeBS 게시판 오픈! 자유로운 이야기와 소소한 일상을 함께 나눠보세요.