애플, 설명 없이 사용자들의 Apple ID 접속 차단

 (9to5mac.com)
1P by GN⁺ | ★ favorite | 댓글 3개
  • 금요일 저녁 여러 Apple 사용자가 여러 기기에서 동시에 Apple ID 로그아웃을 겪었고, 다시 로그인하려면 비밀번호를 재설정해야 하는 문제가 확산됨
  • 당시 Apple의 System Status 페이지에는 서비스 장애가 표시되지 않았지만, 소셜 미디어 제보와 9to5Mac 내부 사례가 이어짐
  • 기존 Apple ID 비밀번호로 로그인하려 하면 계정이 잠기고, 이후 비밀번호 재설정을 거쳐야 다시 접근할 수 있는 흐름이 보고됨
  • Stolen Device Protection을 켠 사용자가 신뢰할 수 있는 위치 밖에 있으면, 갑작스러운 로그아웃으로 계정 복구가 더 불편해질 수 있음
  • Apple ID 비밀번호를 재설정하면 iCloud의 앱 전용 비밀번호도 함께 재설정되어, 연결된 앱과 서비스 접근에도 영향이 생길 수 있음

금요일 저녁 확산된 Apple ID 로그아웃

  • 여러 사용자가 금요일 저녁 여러 기기에서 Apple ID에서 로그아웃되는 문제를 겪음
  • 9to5Mac은 동부시간 기준 오후 8시쯤 첫 제보를 받았고, 이후 몇 시간 동안 소셜 미디어에서 관련 보고가 빠르게 늘어남
  • 9to5Mac 내부에서도 일부 인원이 같은 문제를 직접 겪음

계정 잠금과 비밀번호 재설정 흐름

  • 문제를 겪은 사용자는 모든 기기에서 Apple ID 로그아웃 상태가 됨
  • 기존 Apple ID 비밀번호로 다시 로그인하려 하면 계정이 잠김
  • 다시 로그인하려면 Apple ID 비밀번호 재설정이 필요함
  • 왜 이런 일이 발생하는지에 대한 명확한 이유는 확인되지 않음

장애 표시 없는 상태 페이지와 불확실한 원인

  • Apple의 System Status webpage는 당시 Apple 서비스 장애를 표시하지 않음
  • 소셜 미디어 보고를 기준으로 Apple 내부에서 무언가 비정상적인 일이 발생한 것으로 보임
  • 이번 금요일 저녁 문제가 최근 몇 주간 추적된 Apple ID 비밀번호 재설정 공격과 관련이 있는지는 확인되지 않음

보안 기능과 앱 전용 비밀번호 영향

  • Stolen Device Protection을 활성화한 경우, 신뢰할 수 있는 위치 밖에서 Apple ID에서 갑자기 로그아웃되면 더 큰 문제가 될 수 있음
  • Apple ID 비밀번호를 재설정하면 iCloud에서 생성해 둔 앱 전용 비밀번호도 함께 재설정됨
  • 앱 전용 비밀번호를 쓰던 앱이나 서비스는 새 비밀번호 설정이 필요할 수 있음

사용자 보고와 Apple 답변 대기

함께 보면 좋은 글 β

scvggggo   [-]

이 글의 요약은 다른 글과 섞인걸까요? 전혀 다른 내용이 요약으로 들어가 있네요
아무튼 전에 구글 계정 잠겨서 일상이 난리난 사람 이야기도 읽은 적이 있는데 제대로 된 대응 고객센터가 없는건 진짜 문제 같습니다

답변달기
xguru   [-]

크롤링할때 잠시 오류가 있었나 보네요. 수정해두었습니다. 감사합니다.

답변달기
GN⁺   [-]
Hacker News 의견들

  • 나만 그런 게 아니었나 봄. iPhone을 사서 앱 2개를 내려받고 잤는데, 일어나 보니 완전히 잠겨 있었음
    전화 지원 요청으로 18시간 뒤 풀어줬지만, 24시간도 안 돼 다시 차단됐고, 5번쯤 더 전화한 뒤에는 영구 정지되면서 법적 고지만 보내기 시작했음
    손대지 않는 계정 관리 시스템 문제 때문에 기기가 완전히 벽돌이 될 수 있다는 건 집단소송감처럼 느껴짐

    • 이 글은 HN 첫 페이지에도 올라왔고 큰 Mac 사이트에도 실렸으니, 이미 평판 손상은 벌어졌다고 봄
      “Apple은 아직 2조 달러짜리 회사니 이 방식이 먹힌다”는 식으로 합리화할 수도 있지만, 이런 사고 전에도 Apple은 잘 돌아갔고, 이런 실수 뒤에 더 잘 돌아간다고 볼 수는 없음
      정상적인 행동이 아니고, Apple은 이 때문에 고객을 잃고 있음
      가족 안에서도 2012년쯤 MacBook Air 시절에 Apple을 쓰기 시작했고, 집에 두 대가 10년쯤 잘 돌아갔지만 이후 배터리, 키보드, 트랙패드 문제가 생기며 결국 힘들게 죽었음
      나는 90년대부터 Linux를 써 왔고 Apple이나 Microsoft가 온라인 ID를 강요하지 않아도 내 시스템에 들어갈 수 있지만, 아내에게는 Mac이 편했음
      그래서 MacBook Air M1을 샀는데 13개월쯤 지나 밤새 화면이 죽었음. 덮개를 닫기 전엔 멀쩡했고 아침엔 죽어 있었고, 이 주제의 긴 스레드도 많음
      그때 아내를 Ubuntu로 옮겼고, Ubuntu든 Linux Mint든 아내는 신경 쓰지 않음. 아마 Debian이나 Devuan도 쓸 수 있을 듯함
      우리에게 Apple은 끝났음. 다시는 Mac을 사지 않을 것이고 누구에게도 Mac을 추천하지 않을 것임
      이런 생각을 하는 사람이 나뿐은 아니며, AAPL 시가총액으로 얼마든지 합리화해도 결국 구제수단 없이 기기에서 쫓겨나는 걸 감수해야 함
    • 며칠 전에 iPhone을 샀고 주말에 오래 쓰던 Android 폰에서 옮기려 했는데, 다행히 아직 상자도 안 열어서 전액 환불로 반품할 수 있을 듯함
      이런 경험에 1000달러 이상을 쓸 생각은 없음
    • 법적 고지의 대략적인 내용이라도 공유할 수 있는지 궁금함. 이미 말한 잠금과 지원 요청 관련 무단 접근인지, 말하지 않은 다른 무단 활동인지, 약관의 특정 위반인지, 아니면 추가 정보 없이 기존 판단만 반복한 건지 정도라도 알면 좋겠음
      선의로 받아들이고는 있지만, 다른 사람 말처럼 이야기에서 뭔가 빠진 느낌도 있음. 이런 세부사항이 있어야 기사 속 계정 패턴과 어떻게 맞는지 이해할 수 있음
    • 이야기에서 뭔가 빠진 듯함. 앱 2개를 내려받았다는 이유로 차단된 건지, 아니면 다른 일이 있었는지 궁금함
      아직도 처음 차단된 이유를 전혀 모르는 건지도 궁금함
    • Apple이 정상적인 개발자 계정을 종료해서 생계를 망가뜨리는 경우에도 똑같이 적용됨

  • 어제 관련된 생각을 했는데, Google, Facebook 같은 거대한 인터넷 사일로들이 고객 지원을 거의 제공하지 않고도 우리가 그걸 받아들였다는 게 놀라움
    이런 곳에서 끊기면 사람들에게 큰 영향을 줄 수 있는데, 예고도 없고 설명도 없는 경우가 많음
    절차가 어떻게 돌아가고 일반적으로 어떻게 도움을 받을 수 있는지 더 공개하도록 강제해야 한다고 봄
    Apple은 보통 지원 담당자와 연결은 됐음. 도움이 안 되는 경우가 많았지만 최소한 사람은 있었음
    Google과 Facebook에서는 사람을 찾을 수 없었고, 이 사이트에서도 Google에 아는 사람이 있는 사람에게 대신 연락해 달라는 호소가 자주 올라옴
    물론 EULA에는 지원이 거의 없다고 여러 번 적혀 있을 것임. Google Workspace는 보통 사람과 연결되는 편임

    • 그래서 개인용 컴퓨팅에서는 벤더 생태계나 클라우드 우선 SaaS를 늘 거부해 왔음
      내 삶도 Facebook이나 Gmail에 끊김 없이 접근해야만 굴러가도록 설계하지 않았음
    • 그건 우리가 “고객”이 아니라 상품이기 때문임. Google과 Facebook의 청구서를 내는 사람들이 진짜 고객임
      Apple은 달라야 함. 사용자가 고객이어야 하는 회사임
    • Facebook은 쓸 돈이 수천 달러 있으면 다시 들어가기 쉬움. 계정 잠금 해제를 해주는 내부자들이 서비스를 팔고 있음
      Google은 그렇지 않음. 전화와 이메일 디렉터리를 천천히 훑고 있는데도 내 Google 계정을 풀어줄 사람을 아직 못 찾았음
      내부 전화/이메일 디렉터리에 다들 접근할 수 있는 것 같고, 사람들은 문제를 해결할 다른 사람에게 넘기고 싶어 함
    • 이런 기업들은 사용자에게 적극적으로 적대적이고, 사람들이 이들을 신뢰하거나 상호작용한다는 것 자체가 이상함
      최근 GrapheneOS를 설정하면서 Google Play 서비스에 로그인하려 했더니, YouTube 앱으로 인증한 뒤에도 “보안 우려” 때문에 24시간 지연됐음. 오픈소스로 가려 하니 24시간 차단을 준 셈임
      강제 YouTube 앱 인증 자체도 보안 조치가 아니라, YouTube 앱을 설치하고 열도록 만드는 다크 패턴임. 전화나 이메일 로그인은 조용히 안 되고, 단일 로그인 메시지는 목적지에 도달하지 않음
      이게 Google의 뒤틀린 유인을 보여주는 사례가 아니라고 믿기 어려움. 일관되게 역겹고 탐욕적인 회사임
    • 우리가 이런 서비스는 무료여야 한다고 가정하기 때문임. 돈을 내기 시작하면 분위기가 바뀜

  • 최근 무서웠던 건 두 번의 업데이트가 새 암호화 키를 줬다는 점임
    처음엔 Apple을 믿고 새 키를 적어뒀지만, 두 번째 업데이트 뒤 의심스러워 온라인에서 확인해 보니 다른 사람들에게도 일어나고 있었음
    권장된 명령줄 도구로 새 암호화 키를 검증했는데 검증되지 않았음. 암호화를 끄고 다시 켜면 된다고는 하지만, 지금은 그냥 꺼둔 상태임

    • 나도 이게 섬뜩했음. 전직 보안 전문가로서 Apple이 이렇게 해야 할 좋은 이유는 거의 없고, 표적 공격 냄새가 남
      내가 데이터를 훔칠 무영향 취약점 공격을 갖고 있다면 이런 모습일 것 같음
      반대로 Apple이 암호화된 볼륨 상당수가 실제로는 암호화되지 않았거나 오프라인 공격자가 키를 복구할 수 있다는 걸 갑자기 발견했다면, 이 사실들도 설명됨
      하지만 Apple의 설명 부재가 걱정됨
    • 조금 더 자세히 말해줄 수 있나? Mac의 FileVault 암호화 얘기인지, 비교적 새로운 iMessage 암호화 얘기인지 궁금함
      그리고 어떤 명령줄 도구를 말하는지도 궁금함
    • 새 암호화 키를 준 업데이트가 iOS였는지 macOS였는지 궁금함. 업데이트 설치 전에 동의 대화상자가 나왔나?
    • 바보 같은 질문일 수 있지만, 이걸 어떻게 알았는지 궁금함. 소프트웨어 업데이트 때마다 수동으로 확인하나?
    • 알려줘서 고마움. 확인해 보니 내 복구 키도 유효하지 않았음
      Apple이 이런 건 사람들에게 알려줬어야 함. 사용자에게 알리지 않는 이런 실수는 정말 끔찍함

  • 조금 관련만 있지만, 거의 3개월 동안 Apple 개발자 프로그램 등록을 시도 중임
    무엇이 문제인지 이해하는 게 사실상 불가능함. 오프라인 매장에 가도 도움이 안 되고, 고객센터에 전화하면 www.apple.com/support로 가라고 하며, 지원 문의를 쓰면 서로 다른 4명의 담당자를 거치는데 갈수록 쓸모가 없어짐
    마지막 답변에서는 또 다른 담당자가 처리해야 하고 “기한 미정”이 걸린다고 했음. 절대 안 된다는 말을 좋게 표현한 것일 수도 있음
    잘못한 게 전혀 없어도 실제로 할 수 있는 일이 아무것도 없다는 걸 깨닫는 건 정말 의욕을 꺾음
    전혀 인상적이지 않음

    • 친구와 한 달쯤 iOS 앱을 만들어 출시하고 수익화하려 했지만, 우리도 개발자 계정 생성을 전혀 못 했음
      법인, DUNS 번호, 미국인, 아주 평범한 사람들이었는데 가입 양식에서 그냥 “Error creating developer account”만 떴고, Apple 지원은 도움이 안 됐음
      결국 포기하고 웹 앱으로 다시 만들었음. 결정적이었던 건 “앱스토어에서 사용자가 100만 명 미만이라고 생각되는 비게임 앱을 마지막으로 설치하거나 쓴 게 언제였나?”라는 깨달음이었음
      설치된 앱 목록을 보니 인디 앱은 사실상 죽어가고 있었고, 우리 웹 앱은 꽤 성공했음
    • 비슷한 문제가 있었는데 무엇이 해결했는지 기억나지 않음. 휴대폰에서 로그아웃했다가 다시 로그인해야 하는 식의 어이없이 멍청한 일이었던 것 같음
      가입을 막는 몇 가지 경계 사례 버그가 있고, Apple 고객 지원은 여기에 쓸모가 없음
    • Apple 개발자 계정을 갱신하려다 비슷한 문제가 있었음. 10년 넘게 갖고 있던 계정임
      몇 주 전 자동 갱신이 안 된다는 이메일을 받았고, 작년엔 같은 은행 정보로 잘 됐음. 웹사이트에서 뭘 해도 되지 않았고, 온라인 채팅 담당자는 Apple 개발자 포럼으로 가라고 했음
      결국 포기했지만, 현재 프로젝트의 Mac 버전을 출시하려면 해결해야 함
    • 그렇다면 Apple용으로 개발하지 않는 게 낫겠음
    • 회사로 등록하면 됨

  • 2022년 11월부터 2023년 1월까지 거의 3개월 동안 잠겨 있었음
    Apple은 미쳤음. 인증기가 있던 iPad가 고장났고, 끝없는 양식을 채우고 이메일과 전화번호를 검증했는데도 지원팀이 3주 뒤 어느 날짜에 전화할 거라는 이메일만 계속 보냈음
    전화는 오지 않았고 절차를 다시 시작했음. 1월에 전화가 왔는데 자동 음성메시지 같은 것이었음
    말 그대로 업무용 장비를 쓸 수 없었고, 백업 데스크톱으로 버텼음
    업무 때문에 어쩔 수 없이 필요한 MBP를 빼면 평생 Apple에 한 푼도 안 줄 것임

    • FTC에 신고하는 게 좋겠음
      https://reportfraud.ftc.gov/
    • 나도 같은 생각임. FAANG 의존도를 줄이려고 적극적으로 움직이는 중임
    • 몇 년 전만 해도 Apple 지원은 훌륭했는데 대체 무슨 일인가 싶음
      전화와 Message를 통한 내 경험은 몇 년째 일관되게 쓰레기였음
      예전에는 Apple Store에 가면 Genius나 매니저가 바로잡아 줬음
      도대체 무슨 일이 있었던 건가?

  • 스팸처럼 보일 위험은 있지만, Apple ID에서 잠긴 내 경험과 관련해 지금까지 HN에서 본 것 중 가장 관련 있는 논의임
    법이 Apple에게 더 투명하고 도움이 되도록 강제하길 바람
    https://skogsbrus.xyz/dont-put-all-your-apples-in-one-basket...

    • 타임라인에 “회사에서 받은 MacBook Pro에 내 Apple ID로 로그인했다”고 되어 있는데, 이러면 업무 기기와 개인 기기 사이에 의도치 않은 데이터 공유가 생기지 않나?
    • 그래서 나는 어떤 기기에도 로그인하거나 ‘나의 찾기’를 켜지 않음. Apple에는 암호화를 우회해 매장에서 기기를 지울 수 있는 백도어도 있음
      로그인하는 순간 기기에 대한 통제가 내 손을 떠남
    • Apple뿐 아니라 Google과 Microsoft까지 포함하도록 넓혀야 한다고 봄
    • 작성자를 탓하려는 건 아니지만, 계정 문제를 정확히 알 것 같음. 자체 호스팅한 .xyz 도메인 이메일로 등록한 것임
      수상해 보이는 최상위 도메인을 쓰면 이런 문제를 자초하는 셈임
      https://news.ycombinator.com/item?id=28554400

  • 팁으로, AppleID로 보조 이메일을 만들어 일상 이메일로 쓰고 로그인 이메일은 비밀로 두는 게 좋음
    문제는 악의적 집단이 이메일 주소를 확보해 분산 사전 공격을 돌리는 데서 비롯됨
    Apple의 대응은 공격받는 계정의 모든 로그인, 유효한 로그인까지 막는 것임
    계정 잠금을 풀려면 Apple에 전화해야 하고, 왜 잠겼는지는 말해주지 않을 것임

    • 나도 Apple 전용 이메일 주소를 만들었고 실제로 어렵지 않았음
      그 뒤로 문제는 전혀 없음
      몇 년 전 내가 방문한 적도 없는 웹사이트에서 내 이메일이 유출됐음. 누군가 내 이메일로 가입했고 그 사이트가 이메일 검증을 하지 않은 듯함
      그동안 점점 더 많은 사람이 같은 이메일 주소로 여기저기 가입했음. 같은 사람이 아니라는 것도 확인했음
      Gmail은 사용자 이름의 점을 무시함: https://support.google.com/mail/answer/7436150?hl=en#:~:text...
      이제 내 이메일은 random hashes@random hash domain이어야 할 것 같음
    • 나는 [REDACTED]를 제공자로 쓰고, 가능하면 상호작용하는 회사나 도메인마다 이메일 주소/계정을 하나씩 만듦. 예를 들어 personal_github@domain.tld나 amazon_personal@domain.tld 같은 식임
      이렇게 하면 두 가지가 됨. 어디에도 공유 자격 증명이 없고, 이 주소로 스팸이 오면 누가 팔았거나 해킹당했는지 즉시 알 수 있어 해당 계정과 이메일 별칭을 지우고 넘어갈 수 있음
      Firefox 같은 일부 서비스는 “내 이메일 숨기기” 형태를 제공하기 시작했지만, 여러 서비스에서 같은 로그인 ID를 쓰는 문제는 해결하지 못함
      그 ID가 어딘가에 유출됐다면, 누군가가 다른 곳에서도 로그인 ID로 썼을 가능성이 큼
      다른 실용적 해법은 모르겠지만, 사이트마다 가능한 로그인 ID를 하나의 고유 ID로 줄이는 것이 내가 쉬운 사전 공격 대상이 되지 않기 위해 아는 유일한 방법임
    • 악의적 집단이 이메일 주소를 확보해 분산 사전 공격을 돌린다는 데 대한 출처가 필요함
    • 팁이라기엔, 완전히 직관적이지 않고 귀찮은 일을 해야 하며 몇 년 전부터 시작했어야 하고, 그러면 어쩌면 Apple이 잠그지 않을지도 모른다는 얘기임. 행운을 빌어야 함
    • Google 계정도 이런 공격에 비슷하게 취약한지 궁금함

  • 유효한 데이터인지는 모르겠지만, 나는 7명의 Apple ID 계정을 관리함. 이런 일이 몇 번 있었고 어젯밤에도 두 번 있었는데, 기본 이메일로 @icloud.com을 쓰는 사람들에게만 발생했음
    비밀번호 추측 공격과 관련 있다고 봄. 두 주소 모두 공개 이메일 유출 데이터베이스에 있음
    문제가 생길 때를 대비해 복구 연락처와 복구 키를 설정해 두는 것 정도를 권함

    • 그 추측이 맞다고 봄. 계정은 보통 해킹 집단이 이메일 주소 목록에 공격을 돌리기 때문에 잠김
      @icloud.com으로 끝나는 주소는 마스터 목록에서 긁어와 Apple을 대상으로 공격하고, 사용자 도메인은 어디에 호스팅되는지 알아내야 해서 무시됨
      iCloud는 보조 이메일 주소 생성을 지원하니 그걸 쓰고 로그인 이메일 주소는 비밀로 두는 편이 좋음
    • “복구 키를 잃어버리고 기기에 접근할 수 없으면 Apple은 계정이나 데이터 접근을 되찾는 데 도움을 줄 수 없다”는 조건이 있음
      그냥 Apple에 가면 되찾을 수 있다고 생각하는 일반인에게는 위험한 조언처럼 보임

  • 지금도 iPhone에 아무 관련 행동 없이 “iCloud를 계속 사용하려면 암호를 입력하세요”라는 무작위 푸시 알림이 옴
    내 Apple ID는 고유한 비밀번호를 쓰고, 복구 키도 보관하며, 로그인 자격 증명은 어디에도 저장하지 않았고, 개발자 계정이라 내 LLC의 DUNS 번호도 붙어 있음
    설정 포털에 나열된 기기도 내 기기뿐임
    왜 이런 알림을 받는지 전혀 모르겠음

    • 며칠 전 내 모든 Apple 기기에 그 프롬프트가 떴음. 전부 취소를 눌렀고, 프롬프트는 멈췄으며 모든 것이 여전히 작동하는 것 같음
      아직 모르는 AppleID 문제가 계속 생길지는 모르지만, 지금까지는 괜찮음
    • 잠금 해제된 iPhone을 누군가 주웠을 때 그 사람에게 iPhone과 iCloud를 영원히 계속 쓰게 하지 않으려는 장치일 수도 있음
    • 이전 공격에서 악성 행위자들이 사용한 적 있는 VPN이나 엔드포인트에서 접속 중일 수도 있음. 예를 들면 대학망이나 게스트 네트워크 같은 것임
      또는 네트워크의 어떤 기기가 현재 혹은 과거에 침해되어 인터넷상의 다른 대상을 공격하는 통로로 쓰였을 수도 있음
      ISP가 이전 소유자가 남용하던 공인 주소를 줬거나, 전체 ISP 대역이 차단 목록에 들어갔을 수도 있음
    • 아마 정기적으로 실행되는 동기화 시도일 듯함

  • 사람들이 Apple 제품을 좋아하는 이유는 이해하지만, 세계에서 가장 부유한 회사가 비즈니스 결정으로 모욕적으로 형편없는 고객 지원을 제공하기로 했다는 걸 직접 경험이나 주변 사례로 알고도 회사를 방어하는 이유는 이해할 수 없음

    • Apple 사용자 대다수는 고객서비스를 상대할 일이 없고, 상대해야 하는 사람들도 보통 Apple Store에 가서 꽤 좋은 경험을 하기 때문이라고 봄
      Apple Store에서 나쁜 경험을 했던 개인 사례로 반박하지 않았으면 함. 완벽하다는 뜻은 아니지만, 원문 같은 상황은 드묾
    • 접근성 좋은 Apple Store에 Genius Bar를 넣은 건 유용한 지원을 제공하려는 비즈니스 결정이지, 모욕적으로 형편없는 지원을 주려는 결정은 아님
      물론 지원이 필요한 모든 사람이 Genius Bar에 접근할 수 있는 건 아니고, 모든 Genius Bar 직원이 가능한 모든 질문의 답을 아는 것도 아님
      그래도 Apple이 모욕적으로 굴기로 선택했다는 말은 틀렸음
    • 내 Apple 지원 경험은 매우 좋았음. 그런 식으로 알고 있지는 않음
    • 개인적으로는 21년 동안 Apple 제품을 쓰면서 받은 훌륭한 고객서비스와 이 말 사이에 괴리가 있음
      컴퓨터 9대 중 두 번의 수리, 오래된 폰의 배터리 교체가 포함됨
      운영체제 주요 포인트 릴리스가 내 homebrew 디렉터리를 옮기다 멈춘 일과 버터플라이 키보드 교체는 짜증났지만, 고객서비스 자체는 일류였음
    • Apple은 종교 같음. Antennagate 때 어떤 Apple 사용자가 “Apple은 절대 실수하지 않는다”고 말했음
      그 말을 잊지 못했고, 그 뒤로 Apple 팬들과는 대화를 피하려고 함
답변달기