Kiteworks, 심각한 취약점 패치하고 고객 시스템 정상화

한 줄 요약

미국 보안 기업 Kiteworks(옛 Accellion)가 심각한 취약점을 패치한 뒤, 고객사에 내렸던 시스템 셧다운 권고를 해제했습니다. Kiteworks는 기업 이메일, 파일 공유, MFT(대용량 파일 전송) 등을 통합 제공하는 플랫폼으로 전 세계 수천 개 기업과 정부기관, 1억 명 이상의 이용자가 사용합니다. 지난 토요일 정보당국으로부터 공격 가능성을 경고받아 전체 시스템 임시 중단을 요청했으나, 모니터링 결과 침해 흔적이 없어 월요일에 서비스를 재개했습니다. 이번에 패치된 취약점은 전체 고객의 1% 미만이 쓰는 특정 기능(Advanced Forms)에 있었으며, 악용 정황은 발견되지 않았습니다. 과거 Accellion 시절 이 회사의 legacy 파일 전송 소프트웨어(FTA)가 Clop 랜섬웨어 조직에 의해 제로데이 공격을 당해 다수 글로벌 기업의 대규모 데이터 유출로 이어진 전례가 있어 이번 사안도 업계의 주목을 받았습니다.

사건

Kiteworks(옛 Accellion)가 심각한 취약점을 발견해 고객에게 시스템 임시 셧다운을 권고했다가, 패치 완료 및 침해 흔적 없음을 확인한 뒤 서비스를 정상화했다.

영향

Kiteworks는 전 세계 수천 개 기업·정부기관과 1억 명 이상의 이용자를 보유한 파일 공유·전송 플랫폼으로, Shadowserver 조사 결과 인터넷에 노출된 인스턴스가 약 400개(미국 234개) 확인됐다.

원인

고객의 1% 미만이 쓰는 Advanced Forms 기능에서 심각한 취약점이 발견됐으며, 구체적 세부사항과 CVE 번호는 아직 공개되지 않았다.

대응

Kiteworks는 취약점 패치와 전 환경에 대한 추가 보호 조치를 적용했으며, 모니터링 결과 악용 정황이 없어 셧다운 권고를 해제했다. 자체 호스팅 Advanced Forms 이용 고객에게는 별도 지원 문의를 안내했다.

실무 포인트

파일 공유·전송 플랫폼은 민감 문서를 다량 보관하기 때문에 랜섬웨어·데이터 탈취 조직의 주요 표적이 된다는 점에서, 과거 Accellion FTA 사태(Clop 조직의 제로데이 공격으로 다수 글로벌 기업 유출)를 교훈 삼아 인터넷에 노출된 인스턴스 점검과 신속한 패치가 중요하다.

본문

미국 기술 기업 Kiteworks가 심각한 취약점을 패치한 후, 고객들에게 시스템을 종료하라고 요청했던 예방적 권고를 해제했다.

과거 Accellion으로 알려졌던 이 회사는 기업 이메일, 파일 공유, MFT(Managed File Transfer, 대용량 파일 전송), API, 웹 양식을 하나의 플랫폼으로 통합하는 Private Content Network(PCN)를 운영한다.

Kiteworks는 전 세계 수천 개 기업과 정부기관에 서비스를 제공하며, 그 Private Data Network는 1억 명이 넘는 최종 사용자를 보유하고 있다.

이 보안 파일 공유 소프트웨어 회사는 토요일 전 세계 고객들에게, 연방 정보당국으로부터 임박한 사이버공격 가능성에 대한 경고를 받은 후 서버를 일시적으로 종료할 것을 촉구했다.

월요일, 회사는 침해 증거나 의심스러운 활동이 발견되지 않았다는 점을 확인한 뒤 호스팅 중인 모든 고객 시스템을 다시 온라인으로 전환했다.

Kiteworks는 "해당 기간 동안 지속적인 모니터링 결과 비정상적인 활동은 발견되지 않았으며, 회사는 Kiteworks 또는 고객 시스템이 침해되었다는 어떠한 징후도 확인하지 못했다"고 밝혔다.

회사는 원래의 권고문 업데이트에서 "9월 27일부로 종료 권고는 모든 고객에 대해 해제된다. 아직 재시작하지 않았다면 Kiteworks 시스템을 다시 온라인으로 전환해도 된다"고 덧붙였다.

Kiteworks는 또한 전체 고객의 1% 미만이 사용하는 이름이 공개되지 않은 기능에서 심각한 취약점을 패치했으며, 자체 호스팅 방식의 Kiteworks Advanced Forms를 사용하는 고객들에게는 추가 지원을 위해 지원팀에 문의할 것을 권고했다.

회사는 "Kiteworks는 해당 기간 동안 수정 사항을 개발 및 배포했고, 모든 환경에 걸쳐 추가적인 보호 계층을 적용했으며, 해당 취약점이 실제로 악용된 정황은 확인되지 않았다. 다른 모든 Kiteworks 제품은 영향을 받지 않았다"고 밝혔다.

회사는 아직 패치된 취약점에 대한 추가 세부 정보를 공개하지 않았으며, 손쉬운 추적을 위한 CVE ID도 아직 부여하지 않았다.

위협 감시 기관 Shadowserver는 인터넷에서 접근 가능한 Kiteworks 인스턴스를 거의 400개 발견했으며, 그중 대부분(234개)이 미국에 있다고 밝혔다. 다만 이 중 얼마나 많은 인스턴스가 허니팟이거나 이미 패치가 완료됐는지에 대한 정보는 제공하지 않았다.

인터넷에 노출된 Kiteworks 인스턴스 (Shadowserver)

민감한 문서를 저장하고 있기 때문에, 사이버범죄 조직들은 데이터 탈취·협박 공격에서 취약한 파일 공유 플랫폼을 자주 표적으로 삼는다.

예를 들어, 기업용 파일 공유 플랫폼의 취약점을 악용해 온 오랜 이력을 가진 Clop 협박 조직은, 이 회사가 아직 Accellion으로 불리던 시절 레거시 Kiteworks File Transfer Appliance(FTA) 소프트웨어를 제로데이 공격으로 노린 바 있다.

당시 Accellion은 20년 된 레거시 FTA 소프트웨어를 사용하는 고객이 300곳이었으며, 이 중 100곳 미만이 침해당했고, 그중 20여 곳 미만이 "상당한 데이터 탈취를 겪은 것"으로 보인다고 밝혔다.

이 Clop 해킹 캠페인은 Accellion FTA 소프트웨어를 사용해 민감한 파일을 전송하던 다수의 유명 기관에 연쇄적인 데이터 유출 사고를 초래했다. 여기에는 사이버보안 기업 Qualys, 에너지 대기업 Shell, 뉴질랜드 중앙은행(Reserve Bank of New Zealand), 대형 슈퍼마켓 체인 Kroger, Singtel, 호주 증권투자위원회(ASIC), 워싱턴주 감사원(Office of the Washington State Auditor), 그리고 여러 대학이 포함됐다.

Five Eyes 회원국들 또한 2021년 2월 이러한 공격과 그에 따른 협박 시도에 관해 공동 보안 권고문을 발표하며, Accellion 고객들에게 취약한 서버에 대한 인터넷 접근을 차단하고 공격을 막기 위해 업데이트할 것을 경고했다.