세계적으로 악명 높은 해킹 및 데이터 유출 사건 11가지

현대 사회에서는 디지털 기술과 인터넷이 더욱 중요한 역할을 하고 있으며, 이에 따라 해킹과 데이터 유출의 위협도 증가하고 있습니다. 해킹은 비정상적인 방법으로 컴퓨터 시스템에 접근하거나 조작하는 행위를 의미하며, 데이터 유출은 중요한 정보가 무단으로 공개되는 것을 의미합니다. 이 두 가지 위협은 기업, 정부, 개인 모두에게 큰 문제가 될 수 있으며, 이 글에서는 세계적으로 악명 높은 11 가지 해킹 및 데이터 유출 사건을 살펴보고 그 영향과 대응 방안에 대해 소개합니다.

1. 쿼라(Quora) 데이터 유출(2018): Access Control 관리의 실패로 인한 데이터 유출

1.1. 사건 개요

2018년, 소셜 지식 공유 플랫폼인 Quora는 큰 규모의 데이터 유출 사건을 겪었습니다. 이 사건에서 Quora 사용자 데이터 중 약 1억 개, 사용자 기반의 50%가 노출되었습니다. 사건의 원인은 악의적인 제3자가 Quora의 내부 시스템에 무단으로 접근한 결과로 밝혀졌습니다.

1.2. 침해 사고의 탐지 및 공개

침해 사고는 2018년 11월 30일에 Quora 내에서 발견되었으며, Quora는 사건을 발견한 즉시 2018년 12월 3일에 이를 공개적으로 발표했습니다. 이로써 사용자들에게 사건을 알리고 신속한 대응을 취할 수 있었습니다.

1.3. 대응 조치

Quora 관계자는 무단 접근 사실을 인정하고 CEO인 Adam D'Angelo는 사건 원인을 파악하고 보완 조치를 시행했다고 밝혔습니다. Quora는 영향을 받은 사용자의 데이터 보호를 최우선 과제로 보았으며, 다음과 같은 손상된 정보가 있었습니다.

• 사용자 이름, 이메일 주소와 같은 계정 정보
• 암호화된 비밀번호 (비밀번호 재설정을 위한 조치 수행)
• Facebook, Twitter 등 연결된 소셜 네트워크에서 가져온 데이터

1.4. 사건 조사 및 협력

Quora는 사건 조사를 위해 즉각 조치를 취하고, 법 집행 기관에도 사건을 통보했습니다. 이는 사용자 데이터 보호와 법적 책임에 대한 엄중한 관심을 나타냅니다.

 

쿼라 데이터 유출 사건은 온라인 서비스 제공자와 사용자 모두에게 강력한 보안 조치와 개인 정보 보호의 중요성을 상기시키는 사건으로 남아 있습니다. 강력한 비밀번호 관리 및 고유한 비밀번호 사용, 그리고 기업 수준에서의 보안 강화는 이러한 사건을 예방하고 대응하는 데 중요합니다.

2. 트위터 침해 (2022-2023): 암호화 실패로 인한 데이터 유출

2.1. 사건 개요

트위터는 2022년에 발생한 대규모 침해 사건으로, 사용자 데이터의 과도한 노출에 직면했습니다. 이러한 공격은 해킹 포럼에서 540만 명의 사용자 정보가 판매된 사례와 관련이 있었습니다. 그 후, 2023년 1월에는 공격자들이 4억 명의 사용자 데이터를 추가로 긁어와 다크 웹에서 판매하였습니다.

2.2. 침해 사고의 영향

이 사건으로 인해 공격자들은 트위터 사용자의 이메일 ID와 전화번호와 같은 개인 정보를 알아낼 수 있었습니다. 이로 인해 유명한 인사, 정치인, 활동가와 같은 고객들이 민감한 정보 노출 및 공격에 취약해졌습니다. 침해로 인해 여러 사용자가 사회 공학, 표적 피싱 공격, 신원 도용 등에 노출되었습니다.

2.3. 대응과 보호 조치

트위터는 침해 사건을 발견하자마자 조사를 실시하고, 영향을 받은 사용자에게 경고를 보내고 비밀번호 재설정을 권장했습니다. 또한 추가적인 보호를 위해 이메일과 전화번호의 변경을 권장하며, 사용자들에게 계정 보안 강화를 촉구하였습니다.

2.4. 법적 조치와 협력

트위터는 해당 사건을 관련 법 집행 기관과 협력하여 법적 조치를 취하기로 결정했습니다. 침해 사건의 규모와 심각성에 따라 법률적으로 책임을 물을 수 있는 조치가 검토되고 있습니다.

 

트위터 침해 사건은 온라인 플랫폼 및 개인 정보 보호에 대한 중요한 교훈을 제공합니다. 사용자들은 비밀번호 보안, 이중 인증 및 계정 보호 조치를 강화해야 하며, 기업들은 고객 데이터 보호에 더 큰 노력을 기울여야 합니다. 또한 온라인 서비스 제공자들은 보안 시스템을 강화하여 대규모 데이터 노출 사고를 예방하고 대응할 필요성을 강조합니다.

3. 페이스북 데이터 유출 (2019): 암호화 실패로 인한 데이터 유출

3.1. 사건 개요

2019년, 소셜 미디어 기업인 Facebook은 5억 3,300만 명 이상의 사용자 데이터가 노출된 대규모 데이터 침해 사건에 직면했습니다. 이 침해로 인해 위치 정보, 전화번호, 사용자 ID, 계정 이름과 같은 민감한 개인 정보가 해킹 포럼에 게시되었습니다. 노출된 데이터는 타사 Facebook 앱에서 스크랩되었습니다.

3.2. 침해 원인과 보안 결함

이번 침해는 Facebook이 사용자 비밀번호를 암호화하지 않고 일반 텍스트로 저장했기 때문에 발생했습니다. 비밀번호가 암호화되지 않았다는 결함으로 인해 해커들은 비밀번호를 추측하거나 해독하여 사용자 계정에 쉽게 접근할 수 있게 되었습니다.

3.3. 영향과 대응 조치

이 데이터 유출로 인해 Facebook 사용자들은 개인 정보 보호 문제와 계정 보안에 대한 우려가 증가했습니다. Facebook은 침해 사건을 인식한 후에 빠르게 조치를 취했습니다. 이에 따라 Facebook은 비밀번호 보안을 강화하고, 영향을 받은 사용자들에게 비밀번호 변경을 권장하였습니다.

 

Facebook은 침해 사건에 대한 법적 조치를 취하고 해커들을 추적하기 위해 협력하였습니다. 법 집행 기관과의 협력을 통해 법적 책임을 물을 수 있도록 노력했습니다.

 

페이스북 데이터 유출 사건은 사용자들에게 개인 정보 보호와 비밀번호 안전성의 중요성을 상기시키는 교훈을 제공합니다. 비밀번호 암호화와 사용자 데이터 보호가 중요하며, 기업들은 보안 결함을 최소화하고 사용자 데이터를 안전하게 보호해야 합니다. 이러한 사건은 온라인 플랫폼과 개인 정보 보호에 대한 끊임없는 주의를 촉구합니다.

4. Strava API 위반 (2018): 군사 기지 히트맵 노출과 데이터 유출

4.1. 사건 개요

2018년, 피트니스 앱 Strava의 API 위반 사건이 발생하여 군사 기지의 글로벌 히트맵이 노출되었습니다. Strava는 군인들이 피트니스 및 훈련 활동을 추적하기 위해 널리 사용되는 앱으로, 이 사건은 군사와 보안 문제에 관련된 중대한 사건으로 평가되었습니다.

4.2. API 취약점과 데이터 노출

Strava API에서 발견된 잘못된 설계로 인해 10억 개의 온라인 활동과 3조 개의 데이터 포인트가 노출되었습니다. 이 취약점은 공격자가 2015년 1월부터 2017년 9월까지의 전 세계 사용자 활동 데이터를 수집할 수 있게 했습니다.

 

이 사건은 특히 군사 기지와 관련하여 큰 주목을 받았습니다. Strava의 데이터 노출로 인해 군사 기지의 위치와 구조가 공개되었으며, 이로 인해 군사적인 보안과 안전에 대한 우려가 높아졌습니다.

4.3. 대응과 보호 조치

Strava는 사건이 발생한 즉시 취약점을 수정하고 데이터 노출을 제한하기 위해 노력하였습니다. 또한 사용자들에게 개인 설정을 통해 데이터 노출을 제어하고 히트맵 기능을 비활성화하는 옵션을 제공하였습니다.

Strava API 위반 사건은 개인 데이터 보호와 군사 기반 정보의 중요성을 강조하는 사례로 남아 있습니다. 데이터 보호와 보안 측면에서 앱 및 플랫폼은 사용자의 민감한 정보를 적극적으로 보호해야 하며, 취약점 및 데이터 노출 위험에 대비하여 지속적으로 보호 조치를 강화해야 합니다.

5. SolarWinds 공급망 공격 (2020): 보안 로깅과 모니터링의 실패

5.1. 사건 개요

2020년, 네트워크 모니터링 소프트웨어 제공 업체인 SolarWinds는 국가 기관, 기업, 정보 기관, 국방부 등에서 사용되는 소프트웨어의 공급망 공격에 직면했습니다. 이 회사는 5천만 개 이상의 기록이 노출된 대규모 침투 사건을 경험하였습니다.

5.2. 침투 및 악성 코드 삽입

러시아 해커 그룹은 SolarWinds의 생산 환경을 침투하고 네트워크 모니터링 소프트웨어인 Orion에 악성 코드를 삽입하였습니다. 그들은 오염된 소프트웨어 업데이트를 18,000명 이상의 고객에게 전송하여 클라이언트 시스템에 트로이 목마를 설치하고 백도어인 SUNBURST를 생성하였습니다.

 

공격자들은 비밀번호 추측, 스피어 피싱, Orion 소프트웨어의 제로데이 취약점 악용 등의 다양한 전략을 사용하여 SolarWinds 시스템에 침투하였습니다. 공격자들은 불충분한 로깅 및 모니터링 관행을 악용하여 침투 후 몇 달 동안 감지를 피할 수 있었습니다.

5.3. 피해와 영향

이 공급망 공격은 소프트웨어 공급망의 일부인 많은 개인과 기업에 큰 피해를 입혔습니다. 악성 코드로 인해 공격자들은 트로이 목마를 통해 타깃 시스템에 액세스하고 데이터를 빼돌릴 수 있었습니다.

 

이 사건을 인지한 SolarWinds는 즉각 대응 조치를 취하고 침해 사건을 조사했습니다. 또한 고객들에게 업데이트 및 보안 패치를 제공하여 보호를 강화하였으며, 보안 수준을 높이기 위해 지속적으로 노력하고 있습니다.

 

이 사건은 국제적 관심을 불러일으키며, 다양한 국가와 조직 간의 사이버 보안 협력을 촉진하고 데이터 보호와 공급망 안전에 대한 경각심을 높이는 데 기여하였습니다.

6. 깃허브 DDoS 공격 (2018년): 리소스 부족 및 속도 제한

6.1. 2018년 DDoS 공격

2018년, 깃허브(GitHub)는 1.3TBps(역대 최고 기록)의 속도로 엄청난 양의 트래픽이 유입되어 1억 2,690만 개의 패킷이 초당으로 전송되는 역사상 가장 큰 알려진 DDoS(Distributed Denial of Service) 공격에 직면했습니다.

6.2. 공격 기법

이 공격은 깃허브의 IP 주소를 스푸핑하고 플랫폼으로 전송된 요청을 증폭시키기 위해 Mem 캐싱 방법(데이터베이스 캐싱 시스템)을 사용하여 조율되었습니다.

 

이 공격은 10분 동안 지속되었으며, 이로 인해 깃허브 플랫폼은 5분 동안 사용할 수 없었습니다. 다행히 깃허브는 DDoS 보호 기능을 가지고 있어 공격을 중지할 수 있었지만, 회복에는 거의 1주일이 걸렸습니다.

 

깃허브는 이러한 대규모 DDoS 공격에 대비하기 위해 보안 조치를 강화하고 DDoS 보호 시스템을 개선하였습니다. 또한 이러한 공격 사례를 통해 온라인 서비스 제공 업체들이 보안 조치를 강화하고 사용자 데이터와 서비스의 안정성을 보호하는 데 더욱 주의를 기울이도록 도와주는 중요한 교훈을 얻을 수 있었습니다.

7. 야후 해킹 (2013년, 2014년): 암호화의 실패로 인한 대규모 개인 정보 유출

7.1. 사건 개요

2013년, 약 10억 개 이상의 Yahoo 계정이 침해되었습니다. 이로 인해 사용자들의 이름, 생년월일, 보안 질문, 연락처 정보, 비밀번호 등이 손상되었습니다. 2014년에는 추가로 5억 개의 계정이 해킹되었습니다. 이 계정 중 일부는 이미 2013년 해킹 사건에서 영향을 받은 계정과 중복될 가능성이 있어 영향을 받는 계정의 정확한 수는 파악하기 어렵습니다.

 

이는 인터넷 역사상에서 단일 개체에 대한 최대 규모의 해킹 사건 중 하나로, 야후의 평판에 큰 타격을 입히는 사건으로 평가됩니다.

7.2. 보안 결함

야후는 해킹 사건에서 사용자들의 비밀번호와 보안 질문이 유출되었지만, 더 큰 문제는 사용자들이 비밀번호와 보안 질문을 다른 온라인 서비스에서 재사용하는 경향입니다. 이로 인해 다른 온라인 계정의 보안이 위협받을 수 있습니다.

 

보고서에 따르면 이 사건에서 사용된 암호화 방식은 오래되어 쉽게 해독될 수 있는 결함이 있었습니다. 이는 사용자 데이터를 보호하는 데 사용된 보안 기술의 취약성을 노출시켰습니다.

 

야후 해킹 사건은 온라인 서비스 제공 업체들에게 개인 정보 보호와 보안 강화의 중요성을 상기시키는 교훈을 제공합니다. 사용자들은 고유한 비밀번호를 사용하고 보안 질문을 신중하게 선택해야 하며, 기업들은 최신 보안 기술을 도입하여 사용자 데이터를 안전하게 보호해야 합니다.

8. 링크드인 API 위반(2021): 식별 및 인증 실패 취약성

8.1. 2021년 링크드인 API 위반 사건

2021년, 역사상 가장 최근이자 가장 큰 해킹 사건 중 하나는 링크드인(Linkedin) API 위반 사건으로 발생하였습니다. 이 사건은 사용자 기반의 92%에 해당하는 7억 명 이상의 사용자의 개인 기록이 플랫폼에서 스크랩되어 해커 포럼에 판매되었다는 점에서 대규모 데이터 유출 사건으로 큰 주목을 받았습니다.

8.2. 공격 원인

해당 공격은 공격자가 인증되지 않은 공개 API를 발견하고 이를 위반하여 링크드인 플랫폼에서 사용자의 콘텐츠를 긁어내는 과정에서 발생했습니다.

 

사용자들의 개인 및 직업 정보가 노출된 결과, 이 사건으로 인해 신원 도용, 표적 피싱 공격, 그리고 사칭과 같은 위험이 높아졌습니다. 사용자들은 자신의 데이터가 유출될 가능성에 대한 경고를 받았으며, 신중함을 기울이고 보호 조치를 취할 것을 권고받았습니다.

8.3. 보안 결함과 개선 노력

이 사건은 링크드인과 같은 대규모 온라인 플랫폼이 사용자 데이터 보호에 얼마나 중요한지를 강조하는 사례가 되었습니다. 회사는 보다 견고한 보안 시스템을 구축하고 사용자 데이터에 대한 액세스를 엄격하게 제어하기 위한 노력을 계속하고 있습니다.

 

이러한 공격은 온라인 서비스 제공 업체들과 사용자들에게 온라인 개인 정보 보호의 중요성을 상기시키는 교훈을 제공합니다. 사용자들은 강력한 비밀번호 사용과 개인 정보를 공개적으로 공유하지 않는 습관을 유지해야 하며, 기업들은 지속적으로 보안 조치를 향상시켜 사용자 데이터를 안전하게 보호해야 합니다.

9. iCloud 연예인 해킹 (2014) : 취약하고 Outdated된 모듈 사용

9.1. 사건 개요

2014년, 제니퍼 로렌스, 케이트 업튼과 같은 많은 A급 유명 연예인들을 포함한 다수의 계정이 Apple의 클라우드 스토리지 플랫폼인 iCloud에서 해커들에게 액세스되는 치명적인 사건이 발생했습니다.

9.2. 공격 기술

해커들은 이 사건에서 무차별적인 추측과 피싱 기술을 조합하여 공격에 성공했습니다. 이들은 로그인 정보를 탈취하고, 공식적으로 보안 자격 증명을 변경해야 한다는 내용을 담은 이메일을 계정 소유자에게 보냈습니다. 이 중 한 명은 해커에게 로그인 정보를 제공하고 파일을 복사하는 데 필요한 모든 정보를 제공했습니다.

9.3 수사와 유죄 판결

해당 사건으로 인해 연결되지 않은 다수의 개인이 수사를 받았으며, 2016년 말부터 2017년 초까지 해킹 관련 범죄로 최소 2명이 유죄 판결을 받고 9~18개월의 징역형을 선고받았습니다.

 

이러한 사건은 개인 정보 보호와 온라인 보안의 중요성을 강조합니다. 사용자들은 강력한 암호를 사용하고, 피싱 공격에 주의를 기울여야 하며, 클라우드 스토리지와 같은 온라인 서비스에서 보안 조치를 취해야 합니다.

10. 캐피탈 원 데이터 유출 (2019) : Server Side Request Forgery (SSRF)

10.1. 사건 개요

2019년, 캐피털 원의 데이터 유출 사건으로 인해 캐나다와 미국 등 6개 국가에서 총 1억 개의 레코드가 영향을 받았습니다. 이 사건은 고객들의 민감한 개인 정보뿐만 아니라 캐나다 사회보험번호, 미국 사회보장번호, 대출 신청, 신용 점수, 신용 한도, 계좌 잔고 등 금융 정보까지 노출시켰습니다.

10.1 공격 기술

이 침해를 주도한 공격자는 전직 Amazon Web Services(AWS) 소프트웨어 엔지니어였으며, 이를 통해 회사의 내부 시스템에 액세스했습니다.

 

공격자는 잘못 구성된 AWS 계정을 검색하는 도구를 만들어 사용하여 Capital One을 포함한 다른 계정을 해킹하고 민감한 정보를 훔쳤습니다. 공격자는 은행 계좌 번호 80,000개와 미국 사회 보장 번호 140,000개를 탈취했습니다.

 

이번 침해는 Capital One이 사용하는 방화벽이 잘못 구성되어 있어 발생했습니다.

10.2. 벌금과 소송 해결

이 사건으로 인해 Capital One은 미국 통화 감사원(OCC)으로부터 8천만 달러의 벌금을 부과받았으며, 고객 소송을 해결하기 위해 1억 9천만 달러를 지불했습니다.

 

전직 AWS 직원은 Capital One의 데이터가 저장된 AWS 인프라에 대한 서버측 요청 위조(SSRF) 공격을 사용한 데이터 유출 혐의로 체포되어 기소되었습니다.

 

이 사건은 기업들이 클라우드 서비스와 데이터 보안에 더욱 신경을 써야 함을 강조합니다. 회사는 보안 구성을 강화하고 직원 교육을 강화해야 하며, 클라우드 서비스를 사용하는 기업들은 보안 조치를 취해야 합니다. 또한, 정부와 기업 간 협력은 온라인 범죄 대응에서 중요한 역할을 합니다.

11. 마이크로소프트 익스체인지 서버 취약점 (2021): 국가 후원 해킹의 대규모 공격

11.1. 사건 개요

2021년 초, Microsoft Exchange 서버가 정교한 해킹 캠페인의 표적이 되었습니다. 이 공격은 중국에 본부를 둔 정부 후원 단체의 소행으로 밝혀졌으며, 수많은 조직에 대한 대규모 공격으로 발전했습니다.

11.2. 공격 기술

Microsoft는 이 공격에서 공격자가 Exchange Server 제품을 실행하는 조직을 표적으로 삼기 위해 4가지 제로데이 취약점을 사용했다고 밝혔습니다. 이 중 일부는 다음과 같습니다

• CVE-2021-26855: 서버 측 요청 위조(SSRF) 취약점
• CVE-2021-26857: 시스템 계정으로 코드 실행 취약점
• CVE-2021-26858 및 CVE-2021-27065: 서버의 어느 부분에나 파일을 쓸 수 있는 취약점

공격자는 서버에 웹 셸을 배포하여 데이터를 훔치고 추가적인 악의적인 작업을 수행하는 것을 목표로 했습니다. 해당 공격은 매우 정교하고 조직적으로 이루어졌으며, 간첩 활동을 위해 민감한 데이터를 훔치기 위해 실행되었습니다.

11.3. 보안 강화와 조치

공격은 전 세계적으로 많은 조직에 영향을 미쳤으며, 수많은 조직이 영향을 받았습니다. Microsoft는 긴급 패치를 발표하여 영향을 받은 Exchange 서버에 대한 보안 조치를 제공했지만, 많은 조직에서 패치 적용이 느려 시스템이 공격에 취약한 상태가 지속되었습니다.

 

이 사건은 기업들이 보안 조치를 강화하고 취약점을 신속하게 패치해야 함을 강조합니다. 또한, 국가 간 협력이 온라인 범죄 대응에서 핵심 역할을 하며, 이러한 국제적인 공격에 대한 대응이 필요합니다.