콜럼버스 시, 사이버 공격 규모를 폭로한 전문가 고소

• 오하이오주 콜럼버스 시가 유출 데이터의 종류와 규모를 공개해 온 사이버보안 전문가 Connor Goodwolf를 상대로 소송을 제기했고, 법원은 시의 임시 금지명령 요청을 받아들임
• 사건은 7월 18일 시 기술 부서가 시스템의 이상 징후를 발견한 뒤 인터넷 연결을 차단하면서 본격화됐고, 해커 그룹 Rhysida는 6.5TB 데이터를 보유했다고 주장하며 그중 45%를 공개함
• Andrew Ginther 시장은 8월 13일 탈취 데이터가 손상됐거나 암호화돼 쓸모없을 가능성이 높다고 했지만, Goodwolf는 같은 날 접근 가능한 개인정보 사례를 10TV에 보여주며 반박함
• 이후 공개된 내용에는 최근 10년간 경찰 보고서의 증인·피해자·용의자 정보와 잠복 경찰 보고서를 담은 Columbus police crime matrix가 다운로드 가능하다는 점도 포함됨
• 법원 명령에 따라 Goodwolf는 시의 도난 데이터에 접근·다운로드·배포할 수 없으며, 시는 최소 2만5천 달러 손해배상과 프라이버시 침해·과실·민사상 전환 등 청구를 제기함

---

Goodwolf를 상대로 한 소송과 임시 금지명령

• Franklin County 판사는 콜럼버스 시의 요청을 받아 사이버보안 전문가 Connor Goodwolf에 대한 임시 금지명령을 승인함
• Goodwolf는 최근 몇 주 동안 10TV와 다른 언론에 다크웹에 올라온 정보의 종류를 알려 왔으며, 인터뷰에서 사용하는 이름은 법적 이름이 아님
• 명령에 따라 Goodwolf는 시의 도난 데이터를 접근·다운로드·배포하는 행위를 중단해야 함
• 시는 최소 2만5천 달러의 손해배상을 청구했으며, 최종 금액은 재판에서 결정됨
• 소송에서 시는 Goodwolf의 행동이 “회복할 수 없는 피해”와 “Central Ohio 지역 전반의 광범위한 우려”를 초래했다고 주장함
• 시의 청구는 범죄 행위에 따른 손해배상, 프라이버시 침해, 과실, 민사상 전환 등 4가지임
• Franklin County Common Pleas Court 기록상 최종 사전심리 회의는 2025년 9월 18일로 예정됨
• 10TV는 Goodwolf에게 의견을 요청했지만, 그는 답변을 거절함

데이터 유출 경과와 엇갈린 공개 내용

• 콜럼버스 시는 7월 18일 시 기술 부서가 시스템에서 “이상 징후의 증거”를 발견하면서 문제가 처음 확인됐다고 밝힘
• 이후 시는 인터넷 연결을 차단함
• 2주 뒤 해커 그룹 Rhysida가 공격 책임을 주장하며 6.5TB 데이터를 보유했다고 했고, 나중에 탈취 데이터의 45%를 공개함
• 8월 13일 Andrew Ginther 시장은 해커가 훔친 데이터가 손상됐거나 암호화돼 쓸모없을 가능성이 높다고 말함
• 같은 날 Goodwolf는 10TV에 그 말이 사실이 아니라고 하며 접근 가능한 개인정보의 종류를 보여줌
• 이후 Goodwolf는 시 데이터가 다크웹에 게시된 상황을 계속 전했고, 최근에는 Columbus police crime matrix가 다운로드 가능하다고 밝힘
  • 해당 데이터베이스에는 최근 10년간 경찰 보고서의 증인, 피해자, 용의자 정보가 포함됨
  • 잠복 경찰 보고서도 포함됨

시가 내세운 공공 안전 논리

• City Attorney Zach Klein은 이번 조치가 Goodwolf의 수정헌법 제1조(First Amendment) 권리를 억누르려는 것이 아니라고 말함
• Klein은 문제가 발언이 아니라 다크웹에 들어가 정보를 수집하고 다운로드한 뒤 언론 또는 다른 사람에게 배포하는 행위라고 밝힘
• 더 일찍 조치하지 않은 이유에 대해서는 데이터 유형이 범죄 수사를 위협하는 수준으로 확대됐기 때문이라고 설명함
• Klein은 Goodwolf가 다운로드하고 공유한 정보가 공공 안전에 대한 위협이며, 경찰관·피해자·증인을 보호하려는 조치라고 말함
• 시는 Goodwolf가 직접 만들 웹사이트를 통해 도난 데이터를 공개하겠다고 위협한다고 주장함
• Goodwolf는 이전에 10TV에 웹사이트를 만들 계획은 있지만, 사용자가 자기 이름이 데이터 유출에 포함됐는지만 확인할 수 있도록 하겠다고 말함

[GN⁺]

Hacker News 의견들

• 전직 침투 테스터로서 Goodwolf에게 대체로 공감하지만, 실제 데이터 공개는 거의 항상 나쁜 생각임. 버그 바운티 프로그램에 범위 제한이 있는 이유도 그 때문임
  시는 그가 진행 중인 수사와 잠복 경찰 보고서 관련 데이터를 공유했다는 점에 화난 듯한데, 정확히 무엇을 공유했는지에 따라 시를 탓하기 어려울 수도 있음. 데이터가 이미 어디에 있느냐와 별개로, 그것을 가져와 다른 사람에게 넘기는 건 명백히 좋지 않음
  기자들에게 그런 데이터가 존재하고 내려받을 수 있다는 사실을 증명하려는 목적이었다면, 실제 데이터에 접근하지 않고도 포럼 게시물 스크린샷, 링크 전달, 데이터 종류 설명 등 여러 방법이 있었음. 만약 그 정도만 했는데 시가 이렇게 반응한 것이라면 명백한 남용이지만, 진행 중인 수사 데이터를 기자들에게 퍼뜨리지 말라고 명령하는 것 자체가 이상하진 않음
  업계에 들어오기 전에는 이런 것이 화이트햇 해킹이라고 생각했을 만큼 하기 쉬운 실수라서 공감은 감. 침해 사실을 알리는 건 좋지만 어떻게 알리느냐가 정말 중요함
  단, 2016년에 1년 정도 일한 경험이라 지금은 달라졌을 수 있음. 그래도 오늘날에도 침투 테스터가 어떤 침해 데이터든 실제 배포를 용인한다고 하면 꽤 놀랄 것 같음
  시가 말하길 Goodwolf가 직접 웹사이트를 만들어 시의 도난 데이터를 공개하겠다고 위협했다는데, Goodwolf는 10TV에 이름이 데이터 침해에 포함됐는지만 확인할 수 있는 사이트를 만들 계획이라고 말한 바 있음. 이는 비밀번호 유출 여부 확인 사이트와 다르고, 누구든 이름을 입력해 그 사람이 형사 수사의 증인인지 확인하게 만들 수 있음

  • 정확히 무엇을 어떻게 공유했는지는 다소 불분명함. 기사와 연결된 데이터 침해 기사에서는 Goodwolf가 내용을 확인하려고 데이터를 내려받고 기자에게 보여줬지만, 실제로 데이터를 공개하거나 기자가 영구히 보유하도록 배포한 것은 아니라고 보임
    이는 Boeing이 “737 MAX 문제를 몰랐다”고 하는데 직원이 “알고 있었잖아요, 이게 진실입니다”라며 기밀 메모 스크린샷을 언론에 보여주는 것과 비슷함
    이름을 검색해 경찰 수사 관련 여부를 확인하는 웹사이트를 만드는 건 나쁜 생각이라는 데 동의하지만, 그는 실제로 그렇게 한 게 아니라 계획만 갖고 있었음
  • 내가 읽은 기사에 따르면 Goodwolf는 데이터를 공개하지 않았음. 해커들이 데이터를 공개했고, 시가 거짓말을 했고, Goodwolf는 공개적으로 접근 가능한 데이터를 가져와 기자들에게 시의 거짓말을 입증했을 뿐임
    그 기사가 상황을 심각하게 왜곡한 게 아니라면, 이는 시가 Goodwolf를 희생양으로 삼으려는 거대한 시민 자유 침해로밖에 보이지 않음. 그들이 말하는 피해는 모두 자기들의 부주의가 만든 결과임
  • 이건 정보를 “공개”한 게 아니라 이미 공개돼 있던 것임. 다크웹은 특별한 초대 전용 연결이 필요한 곳이 아니라, 어디를 봐야 하는지만 알면 누구나 접근할 수 있는 평범한 웹사이트들임. TOR를 쓰더라도 마찬가지임
  • 시를 탓하기 어렵지 않음. 이런 결정권자들은 매우 나쁜 사이버보안 문제를 도와주려는 사람들의 의지를 꺾는 폭력을 행사하고 있음. 그런 문제는 어디에나 있음
    건강한 사회라면 이 기소를 결정한 사람은 화산에 제물로 바쳐졌을 것임, 물론 비유적으로
  • 이건 범죄자들이 이미 공개적으로 풀어놓은 데이터임

• “이건 표현의 문제가 아닙니다. 아닙니다. 키보드로 들어가 다크웹에 접속하고, 정보를 모으고, 컴퓨터에 내려받은 다음 언론이나 다른 사람들에게 배포한 실제 행위의 문제입니다”라는 Klein의 말은 틀렸음
  이건 보호하지 못한 데이터의 성격과 형식에 대해 시민에게 거짓말한 문제임

  • 정치인들이 다크웹을 밤에 숨어 어린아이를 노리는 괴물처럼 말하는 게 재밌음. 말 그대로 웹사이트들의 묶음일 뿐임

• 이건 말도 안 됨. 연구자들은 Ohio Columbus 시의 보안 체계가 얼마나 나쁜지 지적했을 뿐임
  8월 13일 Andrew Ginther 시장은 해커들이 훔친 데이터가 손상됐거나 암호화돼 아마 쓸모없을 것이라고 말했음. 몇 시간 뒤 Goodwolf는 10TV에 그게 사실이 아니라고 말했고, 자신이 접근할 수 있었던 개인정보의 종류를 보여줌
  시 지도부 전체가 소환 투표 대상이 돼야 함. 보안이 없어 망신당하고, “암호화됐어 bro! 믿어, 나 정치인이야!” 식으로 시민에게 거짓말했다가 정당하게 들통났는데, 세금으로 이런 어리석은 소송까지 걸며 불에 기름을 붓고 있음

  • 동의함. 아주 큰 도시에서 다른 얘기를 들려줄 수 있는 사람이 없다면, 지방정부가 대체로 이렇게 굴러가는 듯함. 모두가 “아는 한 최선을 다했다”는 전제 위에서 살고 있고, 그 말이 책임을 지워주는 것처럼 보임
    여러 해 동안 이상한 일을 많이 봤고, 보안이 어떻게 작동하는지에 대한 당사자의 설명만으로 책임을 지워버리는 건 좋게 봐도 고의적 무지임. 지방정부가 개인정보를 보유하게 하려면 그 데이터에 책임을 져야 함. 2024년에 “몰랐다”는 받아들일 수 없고, 사실 최소 10년 전부터도 그랬음

• 당황한 시가 자기들이 얼마나 헛소리를 했는지 모두에게 알린 귀찮은 사람을 고소한 꼴임
  공개된 정보의 내용을 조사한 보안 연구자를 고소하는 건 누구도 보호하지 못함

  • Dark Net Diaries의 한 에피소드가 떠오름. 연구자들이 어떤 주 정부에 고용돼 외딴 법원 건물에서 물리적 침투 테스트를 하다가 붙잡힘. 침투 테스터들은 보안 요원과 지역 경찰에 협조하며 상황을 설명함
    그런데 현장에 관할권을 주장하는 다른 사람이 나타나 난리를 치고, 어디론가 전화를 건 뒤 침투 테스터들을 현장에서 무단침입으로 체포함
    주 정부는 그들을 어떤 카운티 구치소에 방치했고, 결국 주 정부가 망신을 당한 뒤 회사와 침투 테스터들을 상대로 민사 손해배상과 형사기소를 추진하려 했던 것 같음
    결국 혐의는 취하됐지만, 침투 테스터들의 평판은 한동안 망가졌음

• 이런 어리석고 무기화된 접근금지명령에 맞서려면 EFF나 ACLU가 맡아 방어를 도와주기에 딱 맞는 사건임

• 이쪽 정리가 더 나아 보임
  https://arstechnica.com/security/2024/08/city-of-columbus-su...

• 해킹 조직: 고소 안 당함
  해킹된 기록을 호스팅한 공개 웹사이트: 고소 안 당함
  거짓말한 공무원: 고소 안 당함
  셋을 모두 짚은 평범한 사람: 고소당함

• https://archive.is/dEBJT
  EU에서는 차단됨

• Columbus에서 여러 해 살았는데, 이건 완전히 그럴 법함. 공화당 우세 주의 민주당 도시라는 위치가 정부로 하여금 자기보호에 꽤 뻔뻔해지게 만드는 면이 있음

• “이건 표현의 문제가 아닙니다. 키보드로 다크웹에 들어가 정보를 모으고 컴퓨터에 내려받아 언론이나 다른 사람들에게 배포한 실제 행위의 문제입니다”라는 말이 맞다면, 기사에 뭔가 빠진 게 없는 한 Chrome이나 Firefox가 비밀번호 유출 가능성을 알려주는 기능도 불법이 될 것임
  현실은 이 도시가 틀렸다는 것임