23andMe, 해커들이 690만 사용자의 조상 데이터를 훔쳤음을 확인

 (techcrunch.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 초기에는 직접 침해된 계정이 약 1만4,000명으로 알려졌지만, DNA Relatives 연결망을 통해 전체 피해가 690만 명으로 커짐
  • 약 550만 명의 옵트인 사용자는 이름, 출생연도, 관계 라벨, 친척과 공유한 DNA 비율, 조상 보고서, 자가 보고 위치가 노출됨
  • 별도 약 140만 명은 Family Tree 프로필 정보에 접근당했으며, 표시 이름과 관계 라벨, 위치, 정보 공유 여부 등이 포함됨
  • 23andMe는 고객의 비밀번호 재사용 때문에 다른 서비스 유출 비밀번호로 계정 접근이 가능해졌다고 밝힘
  • 한 계정 침해가 연결된 친척 정보 노출로 이어지면서, 피해 규모는 23andMe가 보고한 전체 고객 1,400만 명의 약 절반에 이름

690만 명으로 커진 23andMe 데이터 침해

  • 23andMe는 금요일에 고객의 0.1%, 약 1만4,000명의 개인 데이터에 해커가 접근했다고 발표함
  • 당시 회사는 이 계정들을 통해 다른 사용자 조상 정보가 담긴 “상당한 수”의 파일에도 접근할 수 있었다고 밝혔지만, 영향을 받은 “다른 사용자” 수는 공개하지 않음
  • 이후 23andMe 대변인은 전체 피해자가 690만 명이라고 확인함
  • 이 수치는 23andMe가 보고한 전체 고객 1,400만 명의 약 절반에 해당함

DNA Relatives와 Family Tree에서 노출된 정보

  • 약 550만 명은 23andMe의 DNA Relatives 기능에 옵트인한 사용자임
    • 이 기능은 고객이 일부 데이터를 다른 사용자와 자동으로 공유할 수 있게 함
    • 해커가 접근한 데이터에는 이름, 출생연도, 관계 라벨, 친척과 공유한 DNA 비율, 조상 보고서, 자가 보고 위치가 포함됨
  • 또 다른 약 140만 명의 DNA Relatives 옵트인 사용자는 Family Tree 프로필 정보에 접근당함
    • 포함된 정보는 표시 이름, 관계 라벨, 출생연도, 자가 보고 위치, 사용자가 정보 공유를 선택했는지 여부임
  • DNA Relatives는 사용자를 친척과 매칭하는 구조라서, 하나의 계정이 해킹되면 계정 보유자뿐 아니라 연결된 친척의 개인 데이터도 노출될 수 있음
  • 이 연결 구조가 직접 침해 계정 수보다 훨씬 큰 피해 범위를 만듦

해킹 포럼 게시와 데이터 진위 단서

  • 10월 초 한 해커는 유명 해킹 포럼에 23andMe 사용자의 DNA 정보를 훔쳤다고 주장함
  • 침해 증거로 유대계 아슈케나지 혈통 사용자 100만 명과 중국 사용자 10만 명의 것으로 주장되는 데이터를 공개함
  • 해당 해커는 계정당 1~10달러에 데이터를 판매하겠다고 제안함
  • 2주 뒤 같은 해커는 같은 해킹 포럼에서 추가로 400만 명의 기록이라고 주장되는 데이터를 광고함
  • 별도 해킹 포럼에서는 널리 알려진 광고보다 두 달 앞서 23andMe 고객 데이터로 주장되는 묶음이 이미 광고된 정황도 확인됨
  • 수개월 전 유출 데이터를 분석했을 때, 일부 기록은 취미 연구자와 계보 연구자가 온라인에 공개한 유전 데이터와 일치함
    • 두 데이터 세트는 형식은 달랐지만 일부 고유 사용자 데이터와 일반 데이터가 같았음
    • 이 때문에 해커가 유출한 데이터가 적어도 일부는 실제 23andMe 고객 데이터일 가능성이 있음

23andMe가 밝힌 침해 원인

  • 23andMe는 10월 침해 공개에서 고객의 비밀번호 재사용을 원인으로 지목함
  • 해커들은 다른 회사 데이터 침해에서 공개된 비밀번호를 이용해 피해자 계정에 무차별 대입 방식으로 접근할 수 있었음
  • 계정 하나에 대한 접근이 DNA Relatives 연결망을 타고 다른 사용자 정보 접근으로 이어지면서, 피해 범위가 크게 확대됨

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 이 사고는 “왜 프라이버시에 그렇게 신경 써? 내가 공유해도 너한테 영향 없고, 싫으면 안 하면 되잖아”라는 말에 대한 완벽한 반례임
    친척이 23andMe에 유전체 정보를 올리면 내 선택과 무관하게 나에 대한 정보도 드러남
    같은 배경을 공유하는 사람들의 행동 데이터를 수집하는 경우에도 똑같이 적용된다는 걸 사람들이 깨닫길 바람

    • 그 반론 자체에는 동의하지만, 사람들이 정말 그런 식으로 말하는지는 잘 모르겠음
      더 흔한 말은 그냥 “왜 프라이버시에 그렇게 신경 써?”이고, 애초에 프라이버리가 왜 중요한지 이해하지 못하는 경우가 많음
      이 사건도 실제 피해를 보여주기 전까지는 다른 유출 사고보다 더 강한 반박이 되긴 어려움
      이번에 조상 관련 데이터가 도난당한 사람들에게 실제로 어떤 일이 벌어질 거라고 보는지 궁금함
    • 개인적으로는 Equifax 유출이 더 나은 반례였다고 봄
      23andMe는 그래도 고객이 서비스를 쓸지 말지 결정하고 장단점을 따질 수 있었지만, Equifax는 대출 신청부터 취업 지원까지 영향을 주는 평가 시스템에 강제로 편입됐고, 제3자가 판 데이터를 빨아들여 내 개인정보를 보유함
      유출 뒤에도 실효성 있는 구제는 없었고, 신원 도용 가능성이 매우 높은데도 잘못을 인정하기보다 형식적인 ‘신용 모니터링’만 제공했음
      결국 문제를 만든 신용평가기관들이 동의 없이 정보를 공유·배포하면서도 아무 책임을 지지 않음
      프라이버시를 가볍게 보는 안일함 때문에 타인까지 더 나쁜 처지에 놓이게 되는, 무지하고 자기파괴적인 논리라고 봄
    • 프라이버리를 지지하고 대부분의 사람보다 더 불편을 감수해서라도 공유를 피하는 편이지만, 개인의 선택도 중요하다고 봄
      다른 사람이 자기 정보를 공유하는 걸, 일부 정보가 나와 겹친다는 이유만으로 막을 수 있는 프라이버시 모델은 잘 떠오르지 않음
    • 정확히는 유전체 데이터가 도난당했다고 보도된 건 아님
      유출된 건 족보·친족 관련 데이터에 가까워 보임
      도난 데이터에는 이름, 출생연도, 관계 라벨, 친척과 공유하는 DNA 비율, 조상 보고서, 자가 보고 위치가 포함됐다고 함
    • 동의함
      비슷하게 “수입이 얼마야?”, “내가 네 우편물을 읽어도 돼?”, “네 집 열쇠를 가져도 돼?”라고 물어보면 됨
      추상적인 생각은 어려워하는 사람이 있지만, 물리적 세계로 가져오면 모두가 불쾌함을 바로 이해함

  • 추수감사절 당일, 모두의 받은편지함에서 묻히기 딱 좋은 시점에 나간 이용약관 변경과 얼마나 관련이 있는지 궁금함
    이 변경은 집단소송을 금지하려 하고, 법적 조치 전 “비공식” 60일 절차를 거치게 하며, 구속력 있는 중재로 몰아넣음
    23andMe 변호사들이 만든 조항에 따르면 고객으로서 실질적인 법적 권리는 거의 없는 셈임

    • 이게 법정에서 유효할까?
      적어도 독일에서는 한쪽에 지나치게 유리한 계약은 법원에 가면 무효가 됨
    • 방금 이메일 업데이트를 받았는데, 새 약관에서 거부 선택을 할 수 있는 것처럼 보임
      그 결과가 뭔지는 잘 모르겠음
      “새 약관 전체를 읽어보시길 권합니다. 약관에 동의하지 않는 경우 이 이메일을 받은 날부터 30일 이내에 알려주세요. 그러면 기존 서비스 약관이 계속 적용됩니다. 30일 이내에 알리지 않으면 새 약관에 동의한 것으로 간주됩니다.”
      알림 이메일: legal@23andme.com
    • 690만 사용자가 중재 절차를 시작하면, 23andMe도 오히려 집단소송을 선호할지 모름

  • 앞으로 실질적인 의미의 프라이버시가 유지 가능하다고 보는 사람이 있는지 궁금함
    기계학습 알고리즘은 얼굴 인식 없이 걸음걸이만으로 사람을 식별하는 법을 배우고 있고, 키보드 타건 소리만으로 입력 텍스트를 해독하는 방향으로도 가고 있음
    모든 공개 데이터의 전체적인 단서와 충분히 발전한 알고리즘이 있다면, 극단적인 조치를 빠짐없이 적용하지 않고도 우리가 오늘 합리적이라고 여기는 프라이버시를 유지할 방법이 있을까?
    가치판단을 하려는 건 아니고, 진행 중인 추세가 그렇게 보인다는 뜻임

    • 아마 어렵겠지만, 그렇다고 미래의 프라이버시가 어떤 모습이어야 하는지 논의를 포기할 이유는 없음
      가만히 있으면 그들이 이기지만, 공개적으로 논의하면 최소한 안전장치를 마련할 가능성은 있음
      물론 솔직히 말하면 다 망했고 EvilCorp가 이길 테니, 싸우느라 에너지만 쓰고 스스로 미쳐가는지도 모름
      저항은 무의미함
    • 약 10년 전, 얼굴이 아닌 귀 모양·보행·신체 특징으로 사람을 인식하는 컴퓨터 비전 알고리즘을 연구하던 사람들을 알고 있었음
      Fortinet 같은 회사들이 아파트나 콘도 출입구에 카메라를 두고 지나가는 사람을 스캔·분석하는 “자동 도어맨”을 만들려 했기 때문임
      관련자 누구에게서도 윤리의식은 거의 보이지 않았음
      필요한 건 잊힐 권리를 명문화하는 강력한 입법임
      식별 자동화 자체가 본질적으로 잘못됐다고 보진 않지만, 동의 없이 가능한 모든 인간을 식별하려는 회사들의 시도는 크게 잘못됐다고 봄
    • 영국 정부는 수십 년 전부터 프라이버시를 보존하는 걸음걸이를 연구하고 있었던 셈임: https://youtu.be/eCLp7zodUiI
    • 동의하지만, 프라이버시는 사람들이 실제로 걱정하는 것 위에 얹힌 추상화이기도 함
      “왜 이 정보를 숨기려 하느냐”에 대한 답은 결국 “[어떤 사람이나 집단]이 [사적 데이터]를 이용해 나에게 [나쁜 결과]를 만들 수 있다”는 두려움으로 귀결됨
      사람들이 진짜 신경 쓰는 건 데이터 자체가 아니라 나쁜 결과의 위험임
      이 추세가 맞다면, 초점은 그런 나쁜 결과를 만들 수 있는 사회적 거래의 비대칭적 권력 불균형을 막는 데 있어야 함
    • 개인적으로는 유지 가능하다고 보지 않음
      예전에는 기밀 문서가 유출될 생각만 해도 미칠 것 같았지만, 개인정보가 얼마나 엉망으로 다뤄지는지 보고 거의 보장된 일이라고 깨달음
      프라이버시 법이 좋은 편인 호주에서도 Optus 대형 해킹으로 인구의 절반가량이 신용카드 정보를 도난당했고, Medibank 해킹으로 민간 건강보험 고객 상당수의 정보가 털렸음
      주택담보대출을 신청하면서 동네의 작은 모기지 중개업자들까지 매년 수백~수천 건의 민감한 신분증 문서를 이메일로 받고, 거래가 끝난 뒤 지우지도 않는다는 걸 알게 됨
      호주의 많은 회사는 이름, 주소, 생년월일만으로 신원을 확인하는데, 보통 5분 검색이면 쉽게 찾을 수 있음
      Telstra 계정에 몇 년 동안 관리 변경을 막아야 할 PIN을 설정했지만, 어느 날 전화했더니 비밀번호를 묻지도 않고 그냥 처리해버렸음
      프라이버시가 존중받으려면 사기 책임을 실제 피해자인 회사에 물리는 수밖에 없다고 봄
      “신원이 도난당했다”는 오래된 농담도 사실 신원이 도난당한 게 아니라, 회사의 검증 절차가 실패했는데 손실 책임을 피하려고 책임을 돌리는 것임
      그래서 요즘은 신용카드만 씀
      부정 사용이 발생하면 차지백을 할 수 있고, 내 돈에 대한 무단 접근을 실질적으로 막을 수 있는 거의 유일한 장치이기 때문임

  • 최근에 꽤 섬뜩한 일이 있었음
    몇 달 전 방문한 병원에서 전화가 와서 DNA 분석 프로그램에 참여해달라고 했음
    “가장 좋은 점은 아무것도 안 하셔도 된다는 겁니다. 지난번에 채취한 혈액 샘플을 쓰면 됩니다”라고 하더라
    당연히 거절했지만, 내게 알리지도 않고 나와 연결된 생물학적 샘플을 보관했고 사후적으로 DNA 분석까지 할 수 있다는 점이 말이 안 됐음
    미국의 프라이버시 법이 사실상 존재하지 않는다는 증거처럼 느껴짐
    EU에서는 동의 없이 샘플을 동결 보관할 수 없고, 동결하지 않은 샘플도 며칠 정도만 허용됨

    • 스웨덴에는 1975년 이후 스웨덴에서 태어난 모든 사람의 혈액 샘플 등록부가 있음: https://sv.wikipedia.org/wiki/PKU-registret
      위키 문서는 스웨덴어뿐임
      예상 가능하게도, 혹은 흥미롭게도 경찰은 이 데이터에 접근하지 못하다가 2003년 정부 장관이 살해된 뒤 용의자의 샘플을 확보했음
      알려진 바로는 이후 사용된 적이 없음
      냉소적으로 볼 수는 있지만, 현재까지는 경찰의 등록부 사용이 자리 잡지는 않았고 법원이 통제하고 있음
    • 그래도 병원은 전화를 걸어 사용 허락을 받으려 했고, 법을 지켰다면 샘플을 실제로 쓰지는 않았을 것임
      그러면 프라이버시 법이 있긴 한 셈 아닌가?
      오래된 결과나 샘플을 정리하는 과정의 한 단계였을 수도 있음

  • 뭔가 앞뒤가 맞지 않음
    “23andMe는 데이터 유출이 고객의 비밀번호 재사용 때문에 발생했다고 밝혔다”는데, 한 번에 1만4000개 계정이 뚫렸다면 그 비밀번호들은 어디서 나온 걸까?
    LastPass 같은 다른 관련 유출이 있었던 건 아닐까?
    또 해커들이 “DNA Relatives” 기능으로 690만 명의 개인정보에 접근했다면, 원래 뚫린 1만4000개 계정마다 고유 친척이 약 492명 있었다는 뜻임
    내가 뭘 놓치고 있는 걸까?

    • 1만4000개 계정이 뚫린 것 자체는, 계속 다른 계정으로 로그인하는 시도를 제한하거나 탐지하지 못했다는 기술적 문제를 제외하면 아주 놀랍진 않음
      공격자들이 대규모 분산망으로 데이터를 긁었을 수도 있지만, 애초에 탐지나 보호가 없었을 가능성이 큼
      다만 내 계정에서 친척 수를 확인하려고 로그인했더니 23andMe가 비밀번호 재사용을 이유로 로그인을 막고 재설정을 요구했음
      이 계정에는 항상 매우 강한 비밀번호를 썼고 어디에도 재사용한 적이 없으며, 2단계 인증도 켜져 있었음
      회사도 원인이 재사용 비밀번호였다는 설명에 완전히 편하지는 않은 듯함
      재사용한 적 없는 비밀번호를 재설정한 뒤 확인해보니 DNA 친척 패널에는 60페이지가 있었고, 페이지마다 25명씩 표시되어 총 1500명의 친척을 가져갈 수 있었음
      무작위 계정 1만4000개에서 이걸 긁으면 상당한 규모의 네트워크를 만들 수 있음
    • 전혀 놀랍지 않음
      과거의 여러 비밀번호 유출을 모은 대형 목록은 공개적으로 구할 수 있고, 공격자뿐 아니라 누구나 접근하기 쉬움
      1400만 명 넘는 사용자 중 0.1%인 1만4000명이 다른 곳에서 유출된 비밀번호를 재사용했을 가능성은 충분히 합리적임
      Troy Hunt의 작업에 대한 어제 HN 논의처럼, 그런 비밀번호를 명시적으로 탐지하고 무효화하지 않는다면 더 그렇음
    • 비밀번호 재사용으로 인한 유출이라면, 사용자명과 비밀번호 묶음이 다른 곳에서 새어 나왔다는 뜻이어야 함
      사용자명과 비밀번호가 23andMe에서 유출된 것이라면 재사용 문제가 아니라 23andMe의 인증정보 목록을 찾아 크랙한 것일 뿐임
      다른 웹사이트 유출 목록이나 여러 사이트 유출을 합친 목록에 23andMe 사용자 1만4000명이 겹치는 건 조금도 놀랍지 않음
    • 내 23andMe 상황이 DNA 친척 수와 친척들의 해킹 취약성 면에서 평균에 가깝다면 그럴듯함
      검색해보면 23andMe 고객은 1400만 명이고, 1만4000개 계정 유출은 1000개 중 1개가 뚫린 셈임
      내 DNA 친척 목록에는 1500명이 조금 넘게 나옴
      각 계정이 1/1000 확률로 해킹됐다고 하면, 내 친척 중 아무도 해킹되지 않았을 확률은 (1-1/1000)^1500 = 0.223임
      적어도 한 명의 친척이 해킹됐을 확률은 0.777이 됨
      내가 평균적이라고 가정하면, 해킹된 계정을 친척으로 둔 사람이 약 1080만 명쯤 될 것으로 예상되며, 이는 690만 명이라는 수치와 충분히 가까워 보임

  • 23andMe를 진지하게 써볼 생각을 한 적이 없음
    해커 때문이 아니라, 정부가 그 정보를 어떻게 쓸지 때문임
    단지 가계도가 궁금해서 임의의 친척이 범죄 혐의를 받게 되는 일에 책임지고 싶지 않음

    • 23andMe 덕분에 아버지가 실제 생물학적 아버지가 아니었고, 이복자매와 존재조차 몰랐던 큰 친척 집단이 있다는 걸 알게 됨
      프라이버시와 개인식별정보 우려는 충분히 알고 있지만, 나에게는 내가 누구인지 더 잘 이해하고, 나를 매우 따뜻하게 맞아준 친척들을 찾았다는 점에서 확실히 가치가 있었음
      결국 트레이드오프임
    • 내 23andMe 정보는 정말 궁금하지만, 언젠가 해킹되거나 사용자를 팔아넘겨 빠르게 돈을 벌려는 신뢰할 수 없는 조직에 매각될 거라고 봤음
      검사를 하고 결과를 보낸 뒤 회사 쪽의 테스트 데이터와 정보가 파기되거나, 데이터가 집 밖으로 나가지 않는 가정용 검사가 가능하다면 해볼 것임
      회사들이 왜 이 데이터를 계속 보관하는지 이해하기 어려움
      엄청난 책임 부담임
      이 경우에는 친족 관계 식별 기능 때문일 수 있지만, 그 기능이 위험을 감수할 만큼 가치가 있는지는 의문임
    • 이런 데이터베이스를 이용해 살인이나 강간이 아닌 혐의를 제기한 경우가 있었나?
      내가 본 이 기술로 해결된 사건들은, 내가 한 일이 심각하게 나쁜 일을 하는 사람을 막는 데 도움이 됐다면 기꺼이 다행이라고 느낄 만한 것들이었음
    • 그게 유일한 걱정이라면 나치에 대해 더 읽어봐야 함
      유전정보 데이터베이스를 손에 넣으면 그들이 무엇을 했을지 상상해보면 됨

  • 우연히도 어제 다른 스레드에서 adameasterling이 인증정보 대입 공격에 대해 쓴 훌륭한 댓글을 읽었음 [1]
    “Troy Hunt는 정말 귀중한 사람이다. 웹 애플리케이션 개발자라면 인증정보 대입 공격에 대한 보호를 안 할 변명이 없다. 최선의 방어는 아마 2단계 인증이지만, Hunt의 해시된 비밀번호 데이터베이스와 대조하는 것도 매우 좋고 사용자에게 추가 작업을 요구하지 않는다”는 내용이었음
    그 댓글은 60일 전 글인데도 23andMe [2]를 예시로 들었고, 이번 사건은 TechCrunch 기사에서도 언급됨
    [1] https://news.ycombinator.com/item?id=38521106
    [2] https://news.ycombinator.com/item?id=37794379

  • 이 시점에서는 데이터를 모으는 회사라면 언젠가 해킹될 것처럼 느껴짐
    “일어날까”가 아니라 언제 일어날까의 문제임

    • 아주 좋은 이유가 없으면 사이트와 앱이 이메일 주소 이상을 수집하지 못하도록 벌칙이 충분히 강해야 함
      마케팅 자료를 보내고 싶다는 건 좋은 이유가 아님
    • 정부가 데이터를 받거나 바꾸고 싶어 한다면, 해킹될 필요조차 없음
    • 스스로를 보호하는 일이 어려워서가 아님
      보안에 투자하는 것이 보통 사업 우선순위가 아니기 때문임
      경영진뿐 아니라 강제와 인센티브를 통해 실무자에게도 그렇게 작동함
      이런 대형 해킹의 대부분은 선의로 일반적인 감사만 해도 잡을 수 있는 잘 알려진 위협에서 비롯됨

  • “다행히 이제 유전체 모니터링 서비스를 제공합니다. 월 $79.99만 내시면 누군가 귀하의 유전 기록에 접근하려 할 때마다 알림을 받을 수 있습니다!” — 23andMe

  • “숨길 게 없으면 두려울 게 뭐가 있나?”
    나는 권력 있는 자리에 있는 멍청한 사람들이 두려움
    범죄 해결 기법으로서의 DNA 매칭은 원래부터 문제가 많았음
    “DNA 증거는 많은 사람이 믿는 것만큼 신뢰할 수 없다”
    https://www.lexology.com/library/detail.aspx?g=2800ffc0-c286-4094-80a5-ad4419908bc0
    “DNA 검사의 거짓 약속”
    https://www.theatlantic.com/magazine/archive/2016/06/a-reasonable-doubt/480747/
    “법의학 DNA 증거가 어떻게 오판으로 이어질 수 있는가”
    https://daily.jstor.org/forensic-dna-evidence-can-lead-wrongful-convictions/

답변달기
GeekNews BeeBS 게시판 오픈! 자유로운 이야기와 소소한 일상을 함께 나눠보세요.