보관된 글 — US — techcrunch
연구원 "홈디포, 1년간 내부 시스템 접근 권한 노출"
홈 디포 직원이 실수로 온라인에 개인 액세스 토큰을 게시하여 내부 시스템을 1년 동안 노출시켰습니다. 보안 연구원인 벤 지머만이 이 위반을 발견하고 회사에 신고했지만, 회사는 몇 주간 응답하지 않았습니다. TechCrunch의 개입 뒤에 노출된 문제가 해결되었습니다. 해당 토큰은 소스 코드와 재고 시스템을 포함한 중요 인프라에 액세스할 수 있게 했습니다.
핵심 정리
- 직원이 깃허브에 개인 액세스 토큰을 게시하여 내부 시스템이 노출되었습니다.
- 노출 기간은 2024년 초부터 약 1년간 지속되었습니다.
- 연구원인 벤 짐머만이 해당 토큰을 발견하고 홈 디포를 알리려 했으나 몇 주 동안 응답이 없었습니다.
- 해당 토큰은 소스 코드 저장소와 클라우드 인프라를 포함한 중요 자원에 접근할 수 있는 것으로 나타났습니다.
- 홈 디포는 공식적인 취약점 공개 또는 버그 바운티 프로그램이 없습니다.
- 테크크런치가 홈 디포에 연락한 후에야 해당 노출이 처리되었습니다.
왜 중요한가
- 대규모 소매업체들이 직면한 지속적인 사이버 보안 문제가 강조되는 이 사건입니다.
- 이 사례는 액세스 토큰의 잘못된 관리로 인해 발생하는 보안 취약점이 증가하는 추세를 반영합니다.
- 취약점 보고 프레임워크의 부재는 특히 2025년까지 기업들이 사이버 보안을 점점 더 우선시하는 가운데 산업 내 우려를 반영하고 있습니다.
홈 디포의 사건은 민감한 내부 시스템의 무단 접근을 방지하기 위해 강력한 보안 조치와 소통 전략이 필요하다는 것을 강조한다.