역대 최대 규모 데이터 유출: 160억 개의 애플, 페이스북, 구글 비밀번호 유출

사이버뉴스와 협력하는 사이버 보안 연구원들이 발견한 대규모 데이터 유출 사건으로 인해 160억 개의 비밀번호가 노출된 것으로, 빌리우스 페트카우스카스에 따르면 이는 기록적인 수치다.

이 자격 증명은 이전 해킹에서 재활용된 것이 아니며, 공개된 유출 사고에서 다시 게시된 것도 아니다. 이들은 새로 생성된 것으로, 문서화되지 않았으며 매우 위험하다.

페트카우스카스와 그의 팀은 수개월 동안 이 혼란스러운 데이터를 조사한 끝에, 각각 수천만 건에서 35억 건의 기록을 포함하는 30개의 서로 다른 데이터셋을 식별했다고 확인했다.

연구자들은 데이터 유출을 글로벌 플랫폼 및 새로운 해킹과 연결지었다

해당 파일들 모두 실제 사용자 로그인 자격 증명(이메일 주소, 사용자 이름 및 비밀번호)을 포함하고 있어 악용될 준비가 되어 있다. 그 규모는 이전에 본 적이 없는 수준이다. 페트카우스카스는 이를 확인된 도난 접근 데이터 중 최대 규모 덤프라고 불렀다.

유출된 자료의 대부분은 공개적으로 본 적이 없었다. 유일한 예외는 이미 온라인에서 유통되었던 1억 8,400만 개의 비밀번호 데이터베이스다. 나머지는 모두 완전히 새로운 것이다. 또한 무작위 잡음이 아니다.

데이터는 구조화되어 있으며, 플랫폼의 URL, 그 다음 사용자 이름과 비밀번호가 깔끔한 행으로 표시되어 있다. 이는 수정 없이 자동 공격 도구에 바로 연결할 수 있기 때문에 해커들의 꿈과도 같다. 이것이 바로 연구자들이 이번 사건이 단순한 유출이 아니며, 대규모 계정 탈취의 기반이 되는 것임을 경고한 이유다.

노출된 자격 증명은 애플, 구글, 페이스북, 깃허브, Telegram, 그리고 일부 정부 포털에 대한 접근 권한을 제공한다. 여기서의 위험은 규모뿐만 아니라 품질에도 있다. 이들은 만료되거나 관련 없는 로그인이 아니다. 이 데이터는 여전히 사용 중인 활성 계정을 가리킨다. 페트카우스카스와 그의 팀은 이 유출이 대규모 피싱 캠페인, 자격 증명 스토핑 공격 및 모든 주요 기술 생태계에서의 직접적인 계정 하이재킹으로 이어질 수 있다고 밝혔다.

The 연구원 자격 증명의 구조, 저장 방식 및 번들링 방식을 확인했다. 균일한 형식과 이전 노출의 부재는 이러한 데이터가 수동적으로 수집된 것이 아님을 시사한다. 이들은 스크래핑되거나 액티브 툴을 사용하여 유출되었을 가능성이 높으며, 대부분 인포스틸러 멀웨어를 통해 수집되어 판매 또는 배포에 최적화된 데이터셋으로 모였다.

일부 데이터셋에는 개발자 포털 로그인, VPN 계정 및 기업 자격 증명이 포함되어 있어 공격자들이 개인 및 기업 시스템 모두에 대한 열쇠를 얻게 되었다.

키퍼 보안의 공동 설립자이자 CEO인 더런 구치온은 이 “GOAT 비밀번호 유출”이 기업들이 어떻게 종종 민감한 데이터를 의도치 않게 공개하는지를 보여준다고 말했다. 구치온은 구성 오류가 발생한 클라우드 설정이 여전히 막대한 취약점이라고 지적했다. 일부 경우 자격 증명은 접근 제어 없이 클라우드 버킷에 덤프된다. 더런은 “이는 온라인 세계로 쏟아져 들어올 가장 큰 보안 아이스버그의 빙산의 일각일 뿐일 수 있다”고 말했다.

분산된 팀을 보유한 거대 조직들은 동일한 실수를 계속 저지르고 있다: 데이터를 공유 드라이브로 푸시하고, 로그를 보호하지 않으며, 시스템 전반에 걸쳐 기본 비밀번호를 사용하는 것이다. 이것이 수십억 건의 기록이 떠다니게 되는 이유다. 더런은 “문제의 자격 증명이 널리 사용되는 서비스에 대해 높은 가치를 지니고 있다는 사실은 광범위한 영향을 수반한다”고 말했다.