Our Latest Insights

내 메신저의 대화를 누군가 보고 있다? 강형욱 사태로 보는 사내 메신저 보안 이슈

개통령이라 불리는 강형욱 훈련사의 회사 <보듬컴퍼니>에서 있었던 사건이 화제가 되고 있습니다. 강형욱 대표는 논란이 불거진 지 일주일 만에 유튜브에 해명 영상을 올렸습니다. 강 대표는 각종 폭언 논란과 폐쇄회로텔레비전(CCTV) 감시 등 자신을 향해 제기된 직장 내 갑질 의혹 대부분이 사실이 아니거나 오해에서 비롯됐다고 해명하는 등의 이야기를 했는데요. 그 중에 보안/전자증거와 관련해서 주목할만한 건이 있었습니다. 바로 사내 메신저입니다.대표나 경영진이 손쉽게 열람 가능한 사내 메신저해명 영상과 보도에 따르면 강 대표 부부는 직원들에게 사내 메신저 사용을 강요하고, 직원들의 동의 없이 메신저로 주고받은 내용을 감시했다는 의혹에 대해선 일부 인정했지만 고의가 아니라는 취지로 해명, 사내 메신저는 업무 편의를 위해 도입한 것이고, 메신저의 관리자 감시 기능은 유료 버전을 이용하게 되면서 자동으로 추가된 것이라 했는데요. 보듬컴퍼니 이사이자 강형욱 훈련사의 아내인 수전 엘더 이사는 "(직원들의 대와 내용 중에) 아들 이름이 있었다. 이제 막 태어난 6∼7개월짜리 아들에 대한 조롱(이었다)"며 "슈돌(슈퍼맨이 돌아왔다)에 나가는 것을 가지고 아들을 앞세워 돈을 번다 이런 얘기였다. (이런 내용들에) 눈이 뒤집혀 양심의 가책을 느끼면서도 손을 놓을 수 없었다"며 직원들이 사내 메신저로 주고받은 대화를 불가피하게 볼 수밖에 없었다고 말했습니다. 수전 엘더 이사 측은 직원들의 대화 중 특정 커뮤니티에서 사용하는 혐오 단어를 사용하며 타 직원을 조롱하는 내용들도 있었다고 했는데요. 가장 문제가 됐던 직원 3명 가운데 1명은 바로 퇴사했으며, 다른 이들도 큰 갈등 없이 퇴사했다고 말하기도 했습니다.사내 메신저로 인한 징계가 가능할까?과연 사내 메신저를 오사용했다고 징계하는 것은 위법일까요? DM(Direct Message) 기능 등을 이용한 내용은 관리자가 볼 수 없을까요? 해당 내용을 수집하는 것은 어떤 기술적 문제가 있으며 어떤 절차를 통해서 가능한 것일까요? 지난 2011년 7월, 넷플릭스는 동료에 대한 비난 메시지를 메신저 앱 <슬랙(Slack)>의 단체 채널(대화방)이 아닌 개인 채널에 올렸다는 이유로 마케팅 임원 3명을 해고한 바 있습니다. 테드 사란도스 넷플릭스 공동 CEO는 링크드인 게시물을 통해 그 내용이 단순한 동료 험담이 아니라, 해당 동료가 발표를 하는 도중에도 험담을 나누는 등 "몇 달 동안 지속적으로 동료들에 대한 개인적인 비판을 올렸다"고 했는데요. 대표는 평소에 회사가 슬랙이나 이메일을 모니터링하지는 않지만, 해당 채널은 완전히 사적인 것이 아니고, 채널이 열려 있기에 누구나 들어갈 수 있었다"고 덧붙이기도 했습니다. 사례가 있었다는거죠.기업 보안의 관점에서 사내 메신저 추적과 감시 흔히들 직장인들은 회사 내에서의 소통, 특히 사내 메신저 사용을 하면서 비밀이 보장된다고 생각합니다. 회사 컴퓨터로 사적인 채팅이나 이메일, 화상회의를 하더라도 사측에서 이를 보지 않고 볼 수 없을 것이라고 지레짐작하는거죠. 하지만 사측이 직원의 직장 내 온라인 커뮤니케이션을 추적할 수 있는 기술은 엄연히 존재합니다. 다만 이를 활용하는 수준에 대해 회사가 밝히지 않을 뿐이죠. 어떤 장비를, 혹은 어떤 프로그램을 사용하든 상관없이 회사는 사용자의 메신저 대화나 웹 사이트 방문 등 모든 활동을 추적할 수 있습니다.물론 기업이 내부 커뮤니케이션을 추적할 만한 정당한 이유가 없는 것은 아닙니다. 오히려 추적이 힘들고 개인정보 보호 이슈가 많은 개인용 메신저 대신 보다 추적과 관리가 용이한 기업용 메신저를 사용하는 쪽으로 선회하고 있는 상황이죠. 수많은 침해, 유출 사고들이 발생하면서 GDPR을 비롯, 기업에는 더 많은 정보보호규제가 요구되고 있기 때문입니다. 일례로 유럽연합은 GDPR(General Data Protection Regulation, 유럽 연합 일반 데이터 보호 규칙)을 발효하면서 고객의 개인정보에 대한 강한 보호조치를 걸었지만 반대로 기업에게는 소송 혹은 조사에 성실한 참여를 할 수 있도록 보유하고 있는 정보의 사본을 손쉽게 공개할 수 있도록 하는 제약을 걸어 두었습니다. 또한 기업 비밀의 불건전 행위 혹은 탈취 보고가 있을 경우 내부 감사를 수행하는데 증빙자료로 쓰기 위해서라도 내부 커뮤니케이션 자료들을 모아둘 것을 요구하고 있기도 하죠. 이 커뮤니케이션 자료에는 당연하겠지만 사내 메신저 대화, 전자우편 기록 등이 모두 포함됩니다.사내 메신저의 대화 내용도 개인정보 보호의 대상이 될 수 있을까?국가 핵심 기술과 같이 민감한 데이터를 관리하는 기업 역시 마찬가지입니다. 대표적인 보안 조치사항 중 하나로 ‘사각이 단 한곳도 발생하지 않도록 사무실 내 CCTV를 설치할 것’이 요구되는 등, 컴플라이언스 규제는 더욱 강화되고 있습니다. 실제로 기술, 데이터 유출 사례가 상당 수 발생하면서 의료 기록이나 정부 계약 등 민감한 자료를 다루는 모든 이들은 회사의 사업과 평판 및 자원을 보호하기 위해 적극적으로 모니터링을 할 수 있는 대상이되었습니다.물론 기업들이 직원들의 직장 내 커뮤니케이션을 면밀히 살펴보는 것을 막기 위한 최소한의 제약은 있습니다. 대표적으로 한국의 정보통신망법 49조가 있죠. 이 조항은 ’누구든지 정보통신망에 의하여 처리, 보관 또는 전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해, 도용 또는 누설하여서는 아니된다고 규정하면서, 이를 위반한 사람을 처벌하고 있습니다. 여기서 쟁점이 되는 것은 사내 메신저 대화내용이 타인의 비밀인지에 대한 유권해석일텐데 . 사용자가 근로자의 대화내용을 회사의 재산권이나 직장 내 감시권 등을 이유로 감시하거나 열람할 수 있을까요?미국에서는 할 수 있다고 보는 입장에 가깝습니다. 사용자가 근로자의 전자우편을 감시하겠다는 정책을 사전에 공표하여 근로자가 이를 알고 있는 이상은 사내 전자우편에 대한 근로자 프라이버시가 보장되지 않는다는 것입니다. 프랑스 같은 경우는 반대입니다.예외적으로 정당한 이유가 인정될 때만 직원대표조직과 사전협의를 거쳐 정보 주체에게 개별적으로 통지하는 절차를 거친 후에야 접근할 수 있습니다. 우리나라 법원의 입장은 아직까지 성문화 된 조문으로 명확하게 나와있지는 않지만 '개별적 동의는 물론, 공지 등 필요한 최소한의 조치도 취하지 아니한 채' 감시 프로그램을 사용하였다는 이유로 정보통신망법 제49조 위반을 인정한 판례가 있다는 점에서 양국 중 프랑스 쪽에 조금 더 가깝다는 생각을 해 볼 수 있습니다.기업의 근로자 커뮤니케이션 감시의 맹점하지만 여기에도 맹점이 있습니다. 전 세계 어느 곳에도 사측이 개인에 대해 수집한 자료를 알려야 한다는 법 조항은 없다는 것입니다. 어떤 기업들은 근로자들에게 '직장 내 커뮤니케이션에서 사생활 보장을 기대하지 마라'는 가이드를 제시하기도 하죠. 유럽연합 연구소의 에이다 폰세 델 카스티요 브뤼셀 주재 선임연구원은 "근로 계약에 서명할 때 사측에선 '당신을 감시합니다'라고 말하지 않는다"며 "직원들은 이에 대한 세세한 내용을 거의 알지 못한다"고 말하기도 했습니다. 사실은 회사 소유 장비로 로그인한 개인 이메일이나 소셜 미디어 계정도 모니터링이 가능한데 말입니다. 물론 기업들은 단순히 '투덜이 스머프'를 찾아내기 위해 커뮤니케이션 자료를 살펴보는 경우는 거의 없습니다. 대부분은 특정인에 대한 괴롭힘, 차별, 회사를 위험에 빠뜨릴 수 있는 문제가 발생하는 등 내부 감사가 필요해진 상황이 되어서야 증거보존조치(Litigation Hold)를 건 뒤 적법한 절차를 따라 관련 자료를 찾기 시작하죠.정보의 중요성은 점차 크게 다가오고 있습니다. 우리는 고객이나 사용자의 개인정보는 보호해야 한다고 쉽게 결과를 내릴 수 있지만 기업 내에서 보유하고 있는 정보의 경우 회사의 재산권이나 감시권이 대립하여 내부통제나 감사를 제대로 수행하지 못하는 경우가 많죠. 이번 사건 역시 제대로 된 증거보존조치나 내부감사의 근거가 없기에 단순히 흠집내기 그 이상 그 이하가 되지 않을 가능성이 큽니다. 전문가의 도움을 통해 적합한 내부감사나 증거보존조치, 혹은 ECA(Early Case Assessment, 초기 사건 평가)를 수행할 필요가 있습니다. 인텔렉추얼데이터는 철저한 보안성 제고를 담보로 한 증거보존조치를 포함하여 내부감사, ECA를 포함한 E-Discovery 작업에 대한 전문성을 가지고 다양한 부분에서 국내 기업들의 사건 해결에 도움을 주고 있습니다.

Oct 18 2024

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

북한 정찰총국 산하 해커 조직으로 알려진 '라자루스(Lazarus)'가 대한민국 사법부 전산망을 해킹, 2년간 1TB에 달하는 개인정보를 포함한 정보를 탈취한 사실이 정부 합동수사 결과 드러났습니다. 이 문제는 작년 12월 제기되었는데요. 법원은 작년 2월에 이미 라자루스의 공격을 인지했음에도 불구하고 거의 1년 가까이 숨겨왔습니다. 더욱 웃지 못할 일은, 악성코드에 피해를 입은 대법원 전산망 관리자 계정의 일부 비밀번호가 'P@ssw0rd', '123qwe', 'oracle99' 등 추측이 쉬운 문자열로 구성돼 있었고, 일부 계정은 길게는 6년 넘게 비밀번호를 바꾸지 않았던 것으로 확인되었다는겁니다.비밀번호 관리 실패, 사법부 보안 붕괴 사례보통 우리는 비밀번호를 관리할 때 BS 7799라는 정책을 따르는데요. BS 7799는 영국정부의 정보보안 관리시스템 표준(British Standard for Information Security Management System)으로 조직이 고객 정보의 비밀성, 무결성 및 가용성을 보장한다는 것을 공개적으로 확인하는데 초점을 두는 표준입니다. 이 표준은 1999년 10월에 ISO 표준으로 제안, ISO/IEC DIS 17799-1로 채택되었습니다. 99년 만들어진 표준답게 오래되었지만 여기서 요구하는 비밀번호의 최소 복잡도가 '문자와 숫자가 섞인 6자리 이상 규격'이며, 평문화된 패스워드를 직접 서버에 보관하지 않고 변경 시에는 별도의 이메일 인증을 통해 변경처리를 하는 등의 기초적인 내용을 담고 있습니다. 하지만 사법부 전산망에는 영문 대소문자와 특수문자 등을 섞어 구성하게 하는 '비밀번호 복잡도' 정책이나 주기적으로 비밀번호를 바꾸도록 설정하는 '비밀번호 사용 기간 만료' 정책을 설정하지 않은 탓에 쉬운 비밀번호를 장기간 사용, 결국 해커들에게 노출되어 민감한 핵심 정보들이 유출되는 결과를 낳았습니다.법원의 늑장 대응 역시 문제가 되었습니다. 2년 가까이 해킹을 인지조차 못했고, 10개월이 지나서야 관계당국에 신고했기 때문입니다. 더우기 어떤 정보가 얼마나 유출되었는지 파악조차 제대로 되지 않고 전체 해킹 규모의 0.5%에 불과한 분량만 파악되었는데요. 개인회생사건과 관련해 주민등록번호, 금융정보, 혼인관계증명서, 병원 진단서 등의 개인정보가 다수 포함된 것으로 알려졌습니다. 개인정보보호법에 따르면 방대한 개인정보를 다루는 대형병원이나 기업, 대학 등은 전문성을 갖춘 CPO(Chief Privacy Officer, 개인정보보호책임자)를 갖출 것을 요구하고 있는데 막상 법원을 포함해 공공기관에서 근무하는 CPO는 관련 경력이 없어도 급수만 충족된다면 누구나 맡을 수 있다는 맹점이 있었습니다. 실제로 지난달 1,200여건의 개인정보가 유출된 '정부24'를 포함해 행정안전부의 개인정보를 담당하는 CPO도 관련 분야와 사실상 무관한 경력을 갖춘 인물로 알려졌는데요.거기다 공공기관에서 실시하는 정보보호에 대한 투자 및 인프라, 인력 확보 역시 문제가 됩니다. 한국인터넷진흥원(KISA)이 발간한 ‘2024 국가정보보호백서’에 따르면 중앙행정기관 23곳, 지방자치단체 31곳, 공공기관 59곳 중 정보보호 전담부서를 운영하는 기관은 61.95%입니다. 전년(72.73%)과 비교하면 11%포인트 감소, 특히 중앙행정기관은 정보보호 전담부서를 운영하는 곳이 30%대에 불과한 것으로 집계되었습니다. 거기다 CISO(Chief Information Security Officer, 정보보호최고책임자)를 둘 의무가 공공기관에 없기도 한데요. 정보통신망법에 따르면 일정 규모 이상의 정보통신서비스 업체는 사업주나 대표자 등을 CISO로 지정해야 하지만 공공기관은 그렇지 못합니다. 2021년 1월 민주당 이해식 의원이 공공기관에도 정보보호와 보안대책을 총괄하는 CISO를 지정하는 내용이 담긴 '전자정부법' 개정안을 발의했으나, 국회에서 계류 중인 상태죠. 미국에서는 CIRCIA를 통해 랜섬웨어 감염 등 보안 사고 발생 시 빠듯하게까지 느껴지는 시간 안에 즉각 보고를 할 것을 요구하고 있어서 크게 차이가 나는데요. 이번 사고들은 각 조직이 보안에 대해 인지를 하고 적합한 투자와 더불어 인력배치를 하면서 사고에 대한 대응 프로토콜을 갖추는 것이 비싼 솔루션을 도입하는것보다 훨씬 더 중요하다는 것이 더욱 크게 체감되는 사고라고 할 수 있겠습니다.보안 vs 편의: 비밀번호 관리의 딜레마하지만 일반적으로 보안과 편의는 저울의 양쪽 끝에 위치한 상반된 요소라는 인식이 있습니다. 불편함을 감수해야 보안성을 달성할 수 있고, 편리하게 만들면 사고가 날 수 있는 가능성이 커진다는거죠. 대표적 사례가 지난번 네이버 사건에서 트집이 잡혔던 싱글 사인 온, 그리고 비밀번호입니다. 심지어 가장 강력하다고 알려진 암호 프로토콜을 사용하는 블록체인 거래에서도 해킹 사고는 자주 발생합니다. 블록체인 자체는 해킹이 거의 불가능하지만 거래소의 지갑에 보관된 개인 키와 공개 키는 해커나 내부자에 의해 유출될 수 있기 때문입니다. 대표적인 사례가 Mt.Gox라는 비트코인 거래소 해킹 사건이었죠. 거래소가 사용하는 핫 월릿(인터넷에 연결된 지갑)의 키가 유출된 것이었습니다. 아무리 강력한 시스템이라 하더라도 취약점은 존재할 수 밖에 없는데요. 그렇다면 각 개인이 할 수 있는 최선의 비밀번호 관리는 어떤 방식이 있을까요?물론 충분한 보안 절차가 동반되어 있다면 비밀번호가 상대적으로 취약하다 하더라도 문제가 되지 않을 수 있습니다. 당장 미국의 핵 미사일 발사 비밀번호가 20여 년 가까이 '00000000'이었다는 걸 생각해 보면 말이죠. 하지만 이런 십여 단계에 거친 강력한 보안 프로토콜을 우리는 사용할 수 없기에, 우리는 비밀번호를 관리해야 할 필요가 있습니다. 비밀번호를 관리하는데 있어 가장 먼저 생각해 볼 만한 방법은 어딘가에 적어두는 것입니다. 대한민국 군대에 있는 모니터 뒤나 키보드 아래 등에 항상 붙어있는 쪽지인 '1q2w3e4r!' 같은 것 말이죠. 농담 삼아 이런 걸 이야기하는 게 국가 기밀 누설이라고 말하기도 할 정도로 흔한데요. 이런 비밀번호 관리(?)는 물리적 침입 등과 같은 사회공학적 해킹에 너무 쉽게 파훼될 수 있습니다. 다음으로 생각해 볼 만한 것은 구글 비밀번호 관리자나 OS에 내장된 비밀번호 관리자입니다. 하지만 크롬은 모든 로그인 정보를 암호화하는 마스터 비밀번호를 사용하지 않는다는 문제가 있습니다. 물론 모바일의 경우 생체정보 인증을 마스터 비밀번호로 사용할 수 있지만, PC의 경우 상대적으로 로컬 공격에 취약하다는 문제점을 보여주죠. 거기다 모든 계정에 대한 보안이 브라우저 보안에 좌우되기 때문에, 브라우저 계정에 대한 로그인에는 다중 인증과 같은 보안 정책을 강력하게 설정해 둘 필요가 있습니다. 물론 비용을 조금 더 지불하더라도 신뢰할 수 있는 회사에서 제공하는 독립형 비밀번호 관리자나 전용 관리자를 사용하는 것이 도움이 될 수 있습니다.재미있는 것은 NIST(National Institute of Standards and Technology , 미국 국립표준기술연구소)의 새로운 비밀번호 안전 사용법에 대한 6가지 계명입니다. 상식과는 많이 다른 내용들이 있는데요. 침해되었다는 증거나 정황 없이 기계적으로 비밀번호를 주기적으로 바꾸기만 하는 건 불필요한 자원 낭비라는 점인데요. NIST는 '모든 비밀번호를 계속해서 바꾸는 게 아니라 바꿀 비밀번호가 어디에 있는지 확인하고 즉각적인 조치를 취해주는 것이 더 올바른 방향'이라고 말했습니다. 또한 비밀번호의 강력함을 결정하는 것은 복잡성이 아니라 길이라며, 대/소문자 가릴 것 없이 최대한 길게, 간단한 문장의 형태로 암기하기 쉬운 비밀번호를 사용해 글자수를 늘리고 기억하기도 편리하게 만드는 것이 효과적이라고 조언해 줬습니다. 직접적으로 독립형 비밀번호 관리자나 관련 제품군을 추천하진 않았지만, 붙여 넣기를 허용하라는 등 관리자 사용을 암시적으로 추천하기도 했습니다. 비밀번호 관리의 중요성과 실천 방법지금 사용중이신 비밀번호는 안전하신가요? 보안은 하나의 취약점만 생겨도 뚫릴 수 있기에 개인과 조직이 유기적으로 맞물려 돌아가며 보안성을 제고할 필요가 있습니다. 그 보안성 제고의 첫 걸음은 꼼꼼한 비밀번호 관리가 아닐까 합니다. 당분간 비밀번호라는 체계 자체는 꾸준히 유지될 가능성이 크기 때문입니다. 비밀번호 관리, 안전한 기업보안의 핵심입니다.비밀번호는 단순히 기억하기 쉬운 것이 아닌, 해커로부터 안전한 것이어야 합니다. 이를 위해 강력한 비밀번호를 생성하고, 주기적으로 변경하며, 다중 인증 방식을 사용하는 것이 좋습니다. 또한, 비밀번호 관리 프로그램을 활용하여 각 계정마다 고유한 비밀번호를 사용하는 것도 좋은 방법입니다. 모든 보안의 시작은 비밀번호 관리에서 출발하며, 작은 습관이 큰 보안의 차이를 만듭니다.

Oct 18 2024

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

네이버가 일본에서 서비스 하고 있는 메신저 서비스인 '라인'이 여기저기 큰 파장을 끼치고 있습니다. 일본 총무성은 라인 개인정보 유출 사태를 계기로 지난 3월 이후 두 차례에 걸쳐 라인-야후에 대한 행정지도에 나섰는데요. 일본에선 행정지도는 법적 구속력은 없지만 그 영향력 자체는 상당하다고 알려져 있습니다. 이번 행정지도에는 라인-야후 지배구조 개편이 포함되어 있습니다. 마쓰모토 다케아키 일본 총무상은 "경영권 관점에서 한 말은 아니다"라고 했지만 "그룹 전체 보안 거버넌스의 본질적 재검토 가속화를 요구"하는 한편 자본 지배 관계 재검토가 경영권 관점과 어떻게 무관한지에 대해서는 설명하지 않았다는 점에서 외교 문제가 발생할 정도의 발언은 삼가고 있는 분위기지만 사실상 '암묵적인 요구에 가깝다'고 업계에서는 평가하고 있습니다.네이버와 소프트뱅크 간 경영권 재편의 파장 : 일본 라인의 공공 인프라화와 데이터 주권 논란라인-야후는 소프트뱅크 그룹과 네이버가 합작한 A홀딩스 산하 기업으로, 일본 내에서 야후재팬과 라인 사이에 검색엔진과 포털 사이트에서는 야후재팬이, 모바일 메신저에서는 네이버재팬이 압도적으로 강력한 입지를 지니고 있기에 차세대 사업인 배달사업과 간편결제 사업에서 출혈 경쟁을 막고자하는 의도였습니다. 또한 라인이 일본에서 갖는 입지가 점점 커지면서 기간인프라에 준하는 MAU(Monthly Active Users)를 갖게 되었기에 이와 관련하여 원활한 사업을 하기 위해 일종의 대관(對官) 문제를 해소하고자 A홀딩스를 설립, 사실상 두 회사를 통합하게 되었던거죠.라인은 출범 당시 네이버의 자회사이자 핵심적인 역할을 한 인력이 대부분 한국인이었습니다. 자국중심주의가 강한 일본에서 한국 기업이 사업을 확장하는 건 쉽지 않았기에 현지화 전략의 일환으로 현지인 경영진 중심으로 사업부를 꾸리고 국적 논란이 일 때는 “도쿄에 본사를 두고 있으며 이사회의 과반수가 일본인으로 구성돼 있다”라는 등의 입장을 내며 논란을 피해 갔습니다. 하지만 반한 감정은 끊이지 않았고 한국 국가정보원이 네이버 라인을 통해 일본인을 감청하고 있다는 소문이 일본 언론에 보도되기도 했습니다.그런데 이번 행정지도에서는 네이버의 A홀딩스 지분을 이 회사에 공동 출자한 일본 기업 소프트뱅크에 넘기라는 것으로 업계에서는 해석하고 있습니다. 라인-야후 역시 이에 발맞추어 지난 5월 8일 열린 결산설명회에서 ‘라인의 아버지’로 불리는 신중호 CPO를 사실상 경질, 이사회를 모두 일본인으로 구성하는 한편 네이버와의 위탁관계를 차례대로 종료해 기술적인 협력관계에서도 독립을 추진하겠다고 밝혀 결별을 공식화했습니다.일본 정부가 라인에 날린 강한 메시지, 행정지도란?이번 행정지도 요청의 핵심 근거는 라인-야후가 시스템 보안 업무를 한국 업체인 네이버에 의존해 해킹에 대한 대처가 미흡했다는 것이었습니다. 행정지도는 일본 총무성이 개인과 기업에 협력을 요구하는 지도 행위로 관료제가 강한 일본에서는 행정지도를 따르지 않고는 사업을 하는 게 불가능하고 알려져 있습니다. 일본 총무성은 한국의 과학기술정보통신부와 행정안전부, 그리고 통계청을 합친 기관으로 지방자치 재정 정책까지 관여하는 등 가장 강력한 실세 기관 중 하나입니다. 업계에서는 일본 정부가 자국의 대표 플랫폼을 한국 기업이 공동 소유하고 있는 것에 불편함을 공식적으로 드러냈다는 말이 나왔습니다. 국적 논란이 일만큼 라인은 일본의 공공 인프라로 자리매김하고 있는데요요. 일본 인구가 대략 1억 2300만명 정도 되는데 그중 80%에 달하는 9600만명이 라인을 쓰고 있습니다. 심지어 일본 정부와 지자체의 디지털화를 일부 수행하는 역할도 하고 있습니다.이 사건을 촉발시킨 개인정보 유출 사고는 지난 2023년 11월 27일과 2024년 2월 14일, '부정 액세스에 대한 정보 유출에 관한 통지'에서 공식화되었는데요. 라인-야후 재팬은 대주주인 네이버와 직원용 시스템 -구 Line망- 을 네이버 클라우드를 통해 공유하고 있습니다. 거기다 두 망 사이엔 일종의 SSO와 같은 공통 기반 인증 시스템으로 망이 연동, 계정이 관리되고 있어서 네이버 클라우드 해킹을 통해 라인-야후에 대한 서버에 접근할 수 있었던겁니다. 이 서버에 접속할 수 있는 네이버 자회사 협력사의 PC 중 하나가 APT 악성 코드에 감염, 라인-야후의 서버와 네이버 클라우드가 무단 접속, 라인 이용자의 연령, 성별, 라인 스티커 구매 내역 등 개인을 식별할 수 없는 범위의 정보와 더불어 라인 야후 재팬의 비즈니스 파트너와 직원의 이메일 정보도 유출되었습니다.라인-야후는 MFA(다중요소인증)을 도입하지 않았고, 유출 사고 발생 후에도 원인 규명이 신속하지 않았다는 지적을 받았습니다. 일본 개인정보보호위원회는 위원회는 보안에 대한 액세스 제어 등 기술적 안전관리 조치가 적절하지 못했으며, 개인 데이터 취급 상황의 파악 및 안전관리 조치와 유출 시 신속한 대응 조치가 미흡했기 때문에 이번 사건이 발생했다고 분석했습니다. 라인-야후 측은 보안 리스크 평가 기준 재검토(3월 완료), 실효적인 위탁처 관리 실현을 위한 감독 방법의 검토 및 기준 책정(3월 기준 책정 완료, 이후 순차 시행), 안전관리 조치 및 사이버보안 대책 설정(1월 완료), 사이버 침해 유무 및 범위 파악(9월말 완료 예정), 네이버 클라우드 사와의 관계에 따른 리스크 관리 문제점 개선(6월 제도 설계 완료 예정 및 순차 시행), 사실 관례 조사 및 원인 규명 등 유출 시 대응태세 정비(5월 계획 입안 및 6월 외부 평가 이후 순차 시행) 등으로 조치를 시행하고 있다고 밝히기도 했습니다.물론 라인에서 주고받은 메시지 내용, 이용자의 은행 계좌, 신용카드 등은 유출되지 않았습니다. 관계자에 따르면 그런 민감 데이터는 구조적으로 분리되어 있어서 쉽게 유출되지 않는다고 했는데요. 실제 블랙 마켓 등에도 판매를 볼 수 없는 등 외부로 공개된 사례가 확인되지 않았죠. 하지만 이런 공포 자체는 일본 미디어에 의해 증폭되었습니다. 2021년 아사히신문은 심층보도를 통해 라인 이용자 간에 주고받는 대화 서비스의 모든 사진과 동영상이 한국에 있는 서버에 보관되고 있는데, 이용자들이 볼 수 있는 라인의 개인정보 관련 지침에는 그런 상황이 충분히 기술돼 있지 않다고 지적하기도 했습니다. 또 라인이 서비스에 사용하는 AI 개발을 중국 상하이에 있는 업체에 위탁, 이 업체 직원이 접근 권한을 갖고 있어 자칫 개인정보가 중국으로 유출될 우려가 있다고도 주장하기도 했습니다.이런 와중에 데이터 사고가 발생해서 문제가 되었습니다. 아사히신문의 보도에 따르면, 라인야후는 지난 3월 첫 행정지도 조치를 받은 뒤 총무성에 제출한 보고서에서 네이버와 네트워크 완전 분리에 2년 이상 걸린다는 전망과 구체적이지 않은 안전 관리 대책을 제시, 총무성 관계자들의 화를 돋웠고, 한 간부는 “사태를 너무 안이하게 보는 것 아닌가”라는 반응을 보였다고 했습니다. 일본 사회에서는 공적 인프라를 언제까지 한국 기업에 의존할 것이냐는 논란이 끊이지 않았다. 집권당에서는 라인이 공공재라며 “라인과 네이버 간 연결고리를 끊어야 한다”는 노골적인 목소리까지 나왔습니다.국제 안보와 개인정보 보호: 데이터 주권의 딜레마이런 배경에는 '데이터 주권'에 대한 우려가 있다는 것이 업계 대부분의 평가입니다. 플랫폼 수립과 AI 운영에는 방대한 백데이터가 필요한데요. 이런 플랫폼과 AI에 대한 통제권을 자국 정부와 기업이 갖고 있어야 한다는 것이 데이터 주권의 요지입니다. 외국 기업이 소유하면 자국민의 데이터가 유출돼 경제와 안보에 위협이 될 수 있다는거죠. 이 사건 뿐만이 아닙니다. 지난 4월 조 바이든 미국 대통령은 국가 안보를 이유로 중국 동영상 플랫폼 틱톡 강제 매각법에 서명하기도 했습니다.물론 개인정보 보호와 관련하여 지켜야 할 거버넌스나 컴플라이언스는 중요합니다. 네트워크를 기능별로 분리하고, 통합인증을 가급적 사용하지 않으며, APT와 같은 악성코드를 조기에 탐지할 수 있도록 하는 보안성 제고 역시 지켜져야 할 일입니다. 하지만 이번 사고는 사건 범위나 파급력에 비해 타국에서 데이터 주권이라는 헤게모니를 지키고자 과도한 제약을 가했다는 평가가 많습니다. 특히 최근들어 더욱 잦아지는 국제 소송에서도 대한민국 기업의 기술을, 국가핵심기술이라 불리는 중요한 기술에 대한 공격이 들어오는 경우가 많은데요. 인텔렉추얼데이터는 이런 소송 과정에서 국내 기업을 보호하고, 철저한 보안성 제고를 통해 소송 과정에서 만에 하나라도 있을 위협을 방어하는데 최선의 노력을 경주하고 있습니다.

Oct 18 2024

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

기술 발전과 수사 절차의 변화 속에서의 개인정보 보호의 현황 얼마 전, 검찰이 압수수색 과정에서 판사가 발부한 영장 범위 밖의 전자정보를 대검찰청 서버 'D-net'에 저장한 사실이 확인되었습니다. 영장 밖 정보 저장의 위법성 여부를 떠나서 <스트레이트>와 <뉴스타파>에서는 흥미로운 보도를 했습니다. 바로 26자리 암호와 지문 잠금을 사용한 기자의 안드로이드 스마트폰이 사용자의 동의 없이 암호가 해제되었다는 것입니다.과거 한동훈 법무부장관이 제출했던 휴대전화의 암호가 24자리로 너무 길어 '현재 기술론 풀 수 없다'며 돌려줬다는 검찰의 발표나 주호주대사로 임명된 이종섭 전 국방부 장관이 "수사에 협조하겠다"며 공수처에 제출한 휴대폰이 '채 상병 사건' 이후 처음 쓰기 시작한 새 휴대전화였던 것으로 확인되었다는 보도와 엮어 생각해보면 더욱 흥미로워집니다. 이는 현재의 포렌식 도구과 모바일 보안, 나아가 전자증거의 수집과 관리라는 부분에서 많은 화두를 던져주는 일이라 할 수 있는데요.개인정보 보호 vs. 수사 필요성: 기술적 접근의 딜레마휴대전화에 보관되는 정보를 통해 얻을 수 있는 정보가 매우 많다는 점을 생각해본다면 이런 문제는 더욱 심각하게 와 닿을 수 있습니다. 대법원은 지난 4월 26일, 부정청탁금지법·공무상비밀누설 혐의로 기소된 강모(63)씨에게 유죄를 선고한 원심판결을 파기환송하며 “무관정보를 삭제·폐기·반환하지 않고 계속 보관하면서 이를 탐색·복제·출력하는 일련의 수사상 조치는 모두 위법하다”고 판시한 바 있지만, 관행적으로 이런 일이 일어나고 있다는 점에서 더욱 문제가 됩니다.특히 아이폰의 암호는 무적으로 알려져있는데, 사실 방법이 없는 것은 아닙니다. 특히 숫자만으로 구성된 암호는 거의 의미가 없다고 해도 과언이 아닙니다. 수집한 스마트폰에서 이미지가 추출된 순간부터 위험은 시작됩니다. IOS의 시스템 파티션에 있는 /private/etc./passwd를 추출, "John the Ripper"와 같은 비밀번호 크래킹 도구를 사용할 수도 있습니다. 사용자 데이터가 SQLite라는 데이터베이스 인스턴스에 저장된다는 점을 활용, 논리적 추출을 할 수도 있습니다. 또한 IP-Box나 UFED, 혹은 오픈소스 파이선 스크립트 중에서도 IOS의 비밀번호를 해독할 수 있는 방법이 있습니다.여러 차례 비밀번호가 틀리면 휴대전화 접근 자체가 막히지만, 한번 덤프 된 이미지를 수백, 수천개를 동시에 만들고 막힌 이미지를 파기하는 방식으로 강제 대입법 공격을 실행할 수 있는거죠. 평범한 노트북에서도 30개 이미지를 병렬 작업으로 시도할 수 있는데요. 4자리 암호를 강제 대입법을 통해 깨는데는 단 3분밖에 걸리지 않았습니다. 이스라엘 보안장비 업체 셀레브라이트(Cellebrite)의 UFED, 혹은 미국 보안업체인 마그넷 포렌식(舊 그레이시프트)의 그레이키는 더욱 강력합니다. UFED는 2022년 기준, 최신모델인 "아이폰 X를 비롯하여 만들어진 모든 아이폰에 침입할 수 있다"고 밝혔는데요. GPS 기록, 메시지, 통화 기록, 연락처, 인스타그램, X(舊 트위터), 링크드인과 같은 특정 앱의 데이터까지 보안조치를 무력화한 채 모두 해독할 수 있습니다.A11(아이폰 X, 8) 또는 이전 기기는 checkm8(체크메이트) 취약점이 있는데요, 이 취약점은 Boot ROM 취약점으로, 소프트웨어 업데이트로는 무력화할 수 없습니다. 이 취약점을 이용한다면 물리적으로 접근이 가능한 기기에 악성코드를 로우 레벨에서 실행할 수 있습니다. 이 취약점으로 checkra1n 이라는 탈옥(JailBrake)이 가능하고, 잠금을 우회할 수 있는 도구도 배포되었습니다. 데이터 포렌식을 위한 공격을 할 때도 이 취약점이 사용됩니다.최신 안드로이드 폰은 파일 단위로 암호화(File Based Encryption) 하지만, 이전의 안드로이드 폰(갤럭시 S9, 노트9 또는 이전)은 디스크 전체를 암호화(Full Disk Encryption) 합니다. 여기서 나타나는 취약점도 있습니다. 최신 기기(FBE)는 크게 2단계 인증 후 개인 데이터가 잠금 해제 됩니다. 1단계로 시스템이 변조되지 않아야하고, 2단계로 잠금화면 암호가 필요합니다. 잠금화면 암호가 없다면, 복호화 키를 알아낼 수 없기에, 개인 데이터는 복호화될 수 없습니다. 하지만 구형 기기(FDE)는 기본값으로 1단계 인증 후 개인 데이터가 잠금 해제됩니다. 시스템이 변조되지 않은지 확인만 되었다면 바로 개인 데이터가 잠금 해제 되지요. 잠금 화면은 단순히 화면만 잠글 뿐입니다.BFU와 AFU: 진화하는 방패, 뛰어넘는 창이후 이런 취약점을 막기 위해 BFU(Before First Unlock)단계와 AFU(After First Unlock)단계로 구분, 전원을 키고 첫 성공적인 잠금 해제를 하지 않았다면 기기는 데이터를 복호화 할 키를 모르는 상태라서 공격자가 비밀번호 없이는 내부 데이터를 알아낼 수 없게 하였지만, 이 공격도 성공한 사례가 있습니다. 사용자 자격 증명을 입력하지 않고 장치의 전원을 켜면 최초 잠금 해제 전 상태, 즉 BFU 상태가 됩니다. 이 단계에서는 장치 암호화 파일을 읽을 수는 있지만 대부분의 사용자 데이터가 저장되는 자격 증명 암호화 파일은 특정 보안 칩으로 보호됩니다. 장치를 AFU 상태로 전환, 자격 증명 암호화 CE 파일에 액세스하려면 해당 칩에서 키 자료를 가져와야 하는데요.S3K250AF라는 보안 칩은 2020년 갤럭시S20 모델에 도입된 후, 대부분의 엑시노스 기기에 탑재되어 있습니다. 258KB의 온보드 플래시, 16KB의 랜덤 액세스 메모리를 가지고 있는데요. 255byte의 단일 바이트를 보내면 버퍼 오버플로우가 발생, 스택을 조작하여 숨겨진 시스템 영역을 탈취하고 SALT 키를 확보할 수 있게 됩니다. SALT란 해시함수를 돌리기 전에 원문에 임의의 문자열을 덧붙이는 것으로, 암호를 유추하기 힘들도록 만들게 합니다. 음식에 소금간을 하듯, 평문에 임의의 문자열을 붙인다는 의미죠. 스택을 제어하게 되는 순간 전체 주소에서 임의의 데이터를 가져올 수 있게 됩니다. 1분 30초만에 모든 로그인 자체가 암호의 길이에 무관하게 깨지는거죠.적법한 수사와 개인정보 보호의 경계 : 법적 균형 찾기의 중요성2016년 프랑스 헌법재판소는 “내무부 장관 명령만으로 주거 수색과 데이터 복제를 가능하게 한 비상사태법은 공공질서 보호와 사생활 존중 사이의 균형을 요구하는 1789년 인권선언에 위반되므로 위헌을 선언한다.”며 국가비상사태에도 무차별 데이터 복제를 막는 등 적법 수사 원칙을 확인하는 판결을 내리기도 했습니다. 기기를 확보할 수 있는 상황에서 포렌식 기술은 무조건 암호화 기술을 이길 수 밖에 없는데요. 인권 보호와 더불어 전자증거 조사 적법하게 하는데에는 단순히 암호화나 보안 기법 외에 이런 법적, 절차적 증거 정당성도 확보할 필요가 있습니다. 개인정보가 갖는 가치가 점점 커지고 있는 가운데, 이런 정보를 취급하는 수사기관과 전문가 역시 강력한 컴플라이언스의 규제를 받을 필요가 있는거죠. 이러한 판례들은 우리에게 법적인 틀 내에서 기술을 사용할 필요성을 상기시켜 줍니다. 앞으로도 우리는 이 두 영역 사이의 긴장 관계를 지속적으로 탐구하고, 더 나은 미래를 위한 기술적 솔루션과 법적 가이드라인을 발전시켜 나가야 할 것입니다. 인텔렉추얼데이터는 고객의 소중한 법적 정보를 보호하기 위해 각종 보안 취약점에 대한 방어 체계를 수립하는 데 최선을 다하고 있습니다. 이를 통해 더욱 안전한 리걸 테크 환경을 구축, 선도하고자 합니다.

Oct 18 2024

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

Recommended

1 다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

2 e디스커버리 진행 전 반드시 알아야 정보 모음!

3 KT가 사용자에게 직접 악성코드 배포? 그리드 컴퓨팅과 네트워크 보안의 핵심 쟁점과 이슈

Archives

내 메신저의 대화를 누군가 보고 있다? 강형욱 사태로 보는 사내 메신저 보안 이슈

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

eDiscovery가 궁금하다면
지금 바로 전문가와 상담하세요.

제출이 완료되었습니다.

Company

Insights Insights

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요.

Our Latest Insights

탈덕수용소 정체를 밝힌 1등 공신! 미국 e디스커버리 제도에 대한 궁금증 해결

Recommended

1 다시 시작된 기아 보이즈의 악몽? 미국 자동차 시장의 특수성과 API 취약점이 만든 새로운 차량 해킹 위협

2 e디스커버리 진행 전 반드시 알아야 정보 모음!

3 KT가 사용자에게 직접 악성코드 배포? 그리드 컴퓨팅과 네트워크 보안의 핵심 쟁점과 이슈

Archives

내 메신저의 대화를 누군가 보고 있다? 강형욱 사태로 보는 사내 메신저 보안 이슈

비밀번호 123qwe?... 사법부 보안 시스템의 치명적 실패와 충격적인 여파

네이버 라인 개인정보 유출 사태... 일본 내 데이터 주권과 경영권 재편의 파장

24자리 아이폰 비밀번호, 정말로 난공불락의 성일까?

eDiscovery가 궁금하다면 지금 바로 전문가와 상담하세요.

제출이 완료되었습니다.

전문가들이 분석한 최신 업계 동향과 인사이트를 확인하세요. 전문가들이 분석한 최신 업계 동향과
인사이트를 확인하세요.

eDiscovery가 궁금하다면
지금 바로 전문가와 상담하세요.