국내 클라우드·도메인·호스팅 서비스 기업 가비아에서 외부 해킹 공격으로 고객 2,998명의 개인정보가 유출됐습니다. 유출된 정보는 이름, 아이디, 이메일 주소, 휴대폰 번호이며, 비밀번호는 포함되지 않았습니다. 공격자는 가비아 웹서비스의 외부 요청 검증(입력값을 제대로 확인하지 않는 보안 허점)이 미흡한 점을 악용해 내부 시스템에 침투했습니다. 가비아는 침해 경로와 관련 계정을 차단하고 취약점을 조치했으며, KISA(한국인터넷진흥원)와 개인정보보호위원회에 신고해 조사 중입니다. 유출된 아이디를 이용한 크리덴셜 스터핑(다른 곳에서 유출된 비밀번호를 대입해 계정을 탈취하는 공격) 및 피싱 공격이 뒤따를 수 있어 비밀번호 변경과 출처 불명 링크 클릭 자제가 권고됩니다.
가비아의 웹서비스에서 외부 요청 검증 미흡 취약점을 악용한 해킹으로 고객 2,998명의 이름·아이디·이메일·휴대폰 번호가 유출됐다.
비밀번호는 유출되지 않았으나, 유출된 아이디·연락처를 이용한 크리덴셜 스터핑 및 가비아 사칭 피싱 공격 가능성이 높다. 피해 규모는 추가 조사에 따라 확대될 수 있다.
가비아 웹서비스 일부 기능에서 외부 요청에 대한 검증이 충분하지 않아 공격자가 내부 시스템에 비인가 접근했다.
가비아는 침해 경로·관련 계정 차단, 로그·증거 보전, 접근 통제 강화, 동일 유형 취약점 전수 조사를 실시했으며, KISA 및 개인정보보호위원회에 신고했다.
가비아 서비스(하이웍스 메일·클라우드·도메인 등) 이용 기업은 임직원에게 비밀번호 즉시 변경을 안내하고, 가비아 사칭 피싱 메일·문자에 주의하도록 공지해야 한다. 동일 비밀번호를 여러 서비스에서 사용 중인 계정이 있다면 크리덴셜 스터핑 피해에 대비해 해당 비밀번호도 변경해야 한다.
본문
가비아에서 외부 해킹 공격으로 개인정보가 유출되는 사고가 발생했다.
가비아는 21일 외부 공격자의 비인가 접근이 일어나 고객 2,998명의 개인정보가 유출된 사실을 확인했다고 밝혔다.
유출된 개인정보는 이름과 아이디, 이메일 주소, 휴대폰 번호 등이다. 비밀번호는 유출되지 않았다고 밝혔다. 피해 인원과 항목은 향후 조사 결과에 따라 달라질 수 있다.
공격자는 가비아 웹서비스 일부 기능에서 외부 요청에 대한 검증이 충분하지 않았던 점을 이용해 내부 시스템에 접근, 고객 개인정보를 빼낸 것으로 회사측은 파악했다.
가비아는 유출이 확인된 고객에게 이메일이나 문자로 개별 안내할 예정이다.
가비아는 유출 사실을 인지한 후 공격에 이용된 외부 접근 경로와 관련 계정을 차단했다. 또 사고 분석에 필요한 로그와 증거자료를 보전하고 문제의 시스템에 대한 접근 통제를 강화했다. 추가 침입도 차단했다. 사고 원인이 된 취약점을 조치하고 같은 유형의 취약점에 대한 전수 조사에 나섰다.
한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고하고 관계 기관과 사고 원인을 조사 중이다.
가비아 사용자는 가비아를 사칭해 비밀번호나 인증번호 등을 요구하는 피싱에 주의하고, 출처가 불분명한 링크는 클릭하지 말아야 한다. 가비아는 비밀번호 변경도 요청했다. 유출된 아이디에 다른 경로로 알려진 비밀번호를 대입하는 크리덴셜 스터핑(credential stuffing) 공격이 발생할 수 있기 때문이다.
가비아는 "고객 정보 보호를 최우선 목표로 삼아야 할 회사로서, 이번 유출로 큰 불편을 끼친 데 대해 임직원 모두 깊은 책임을 통감하고 있다"며 "같은 일이 반복되지 않도록 보안 체계를 근본적으로 재점검하겠다"고 밝혔다.
가비아는 기업에 클라우드, 그룹웨어, 보안, 도메인, 호스팅 등 통합 IT 인프라 서비스를 제공하는 클라우드 전문 기업이다.
같은 소식, 다른 매체 보도2건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
