아이패드 가입자 11만명 해킹 왜 발생했나?

2010.06.10

 

미국 애플의 '아이패드'를 소유한 11만4천명의 이메일 주소가 해커들에 의해 유출된 것으로 확인됐다는 보도됐습니다. 이메일 주소 유출 피해자 중에는 백악관비서실장, 뉴욕시장, 상.하원의원 등 유명인사들도 다수 포함된 것으로 알려지고 있습니다.

 

미국 실리콘 밸리의 IT 전문 블로그 '밸리왜그'는 9일 '고츠 시큐리티'라고 불리는 해커단이 최근 미국 이동통신회사 AT & T의 아이패드 3G 서비스 가입자 확인 네트워트(ICC-IDS)에 침입해 이메일 주소를 얻었다고 밝히기도 했습니다.

밸리왜그가 공개한 유출 이메일 주소 리스트에는 람 이매뉴얼 백악관비서실장, 마이클 블룸버그 뉴욕시장, 재닛 로빈슨 뉴욕타임스 최고경영자(CEO), 연방 상.하원 의원, 국방부.국토안보부.법무부.항공우주국(NASA) 직원들이 포함돼 있다는 것입니다.

 

또 타임워너.비아콤(미디어그룹), 골드만삭스, JP 모건, 시티그룹, 모건 스탠리 등의 직원의 이메일 주소도 들어 있다고 합니다.

 

밸리왜그는 고츠 시큐리티가 이전에도 애플의 사파리와 모질라의 파이어폭스 등 웹브라우저의 취약성을 경고했다고 밝혔는데 이번 해킹으로 이 문제가 입증된 것입니다.

 

AT & T 측은 성명을 통해 데이터 침입이 있었음을 시인하고 피해를 본 고객들에게 사과했으나 애플은 아직 입장이나 공지를 하지 않았습니다. 

영국 일간 '가디언' 인터넷판은 10일 이번 사건으로 지난 4월 출시돼 두달 만에 전세계적으로 총 200만대 이상이 팔린 아이패드 판매에 영향을 줄 수 있다고 보도했습니다.

 

가디언은 해커들이 AT & T의 ICC-IDS 시스템에서 약점을 발견했다면 아이폰 3G나 3G 아이패드를 갖고 있는 미국내 모든 사람들의 이메일 주소가 해킹에 의해 도용될지 모른다고 언급했습니다.

 

밸리왜그는 IT 블로그인 기즈모도의 모회사 '고커 미디어'에 속해 있는데 기즈모도는 지난 4월 아이폰 4G가 공개되기 전 기본적인 사양을 입수해 폭로한 바 있습니다.

오늘 아이패드 사용자의 이메일 주소 유출에 대한 보도를 살펴봤습니다. 그런데 어떻게 이런 해킹이 일어난 것일까요?

해킹 과정을 추정해 요약하면 다음과 같습니다.

 

1) AT&T에서 서비스 하는 웹 스크립트에 취약점이 존재
2) 무작위로 USIM ID를 생성하여 해당 스크립트로 전송
3) 스크립트는 권한을 확인하지 않고 ID에 해당되는 메일 응답함
4) 응답된 메일을 수집함

 

    more..

 

결국 AT&T가 웹서비스에 대한 보안을 신경쓰지 않고 개발하여 가입자정보가 유출되는 해킹이 발생한 사건이라는 것입니다.

애플 아이패드 자체의 취약점이 아닌 셈입니다. 그렇지만 애플 아이패드의 가입자 정보를 관리하는 통신사의 보안이 취약하면 언제라도 문제가 발생할 수 있다는 교훈을 주고 있습니다.

보안이 잘된 제품이라도 연관된 통신사나 협력사 그리고 아웃소싱 업체의 보안이 취약하면 사용자는 해킹을 당할 수 있는 구조라는 것입니다. 보안은 제조사와 서비스회사 그리고 개인 모두가 신경써야 할 중요한 문제라는 것을 알 수 있습니다.

웹사이트 보안전문가인 이창우 선임연구원은 "현재 웹서버를 비롯한 웹사이트의 취약점 공격이 급증하고 있다"고 전제하고 "인터넷 사이트 안전을 위한 사이트가드와 같은 보안서비스 등 철저한 대비가 필요하다"고 밝혔습니다.