소스넥스트, 비밀번호가 평문으로 유출된 이유 — "암호화해 두었으나 키에 접근할 수 있는 시스템이 침입당했다"

무슨 일이 있었나요?

소스넥스트의 회원 정보를 가져오는 API(프로그램끼리 데이터를 주고받는 창구)에 누군가 몰래 접근했습니다. 이 과정에서 회원의 이름, 주소, 비밀번호 등이 새어 나갔습니다. 회사는 비밀번호를 암호화해 저장했다고 말했지만, 암호를 풀 수 있는 열쇠가 들어 있는 시스템이 공격당했다고 설명했습니다.

주요 숫자와 사실

• 최대 약 2252만 건의 정보가 유출되었을 수 있습니다.
• 회사는 모든 고객의 비밀번호를 강제로 초기화하고, 고객에게 새 비밀번호를 설정하도록 요청했습니다.
• 회사는 복호화 열쇠 자체는 빠져나가지 않았지만, 비밀번호가 풀린 상태로 밖에 나갔다고 확인했습니다.
• 회사는 15일 발표에서 이 사실을 알렸습니다.

왜 헷갈리나요?

비밀번호는 보통 '해시화'라는 방법으로 저장합니다. 해시화하면 원래 글자를 되돌리기 어렵습니다. 반면 암호화는 열쇠가 있으면 다시 풀 수 있습니다. 소스넥스트는 암호화를 했다고 했지만, 열쇠를 쓸 수 있는 시스템이 뚫리면서 결국 비밀번호가 그대로 드러났습니다. 회사는 오래된 방식을 계속 써서 최신 해시화 방식으로 바꾸지 못했다고 설명했습니다.

왜 중요한가요?

비밀번호가 그대로 새면, 해커가 다른 사이트에서도 같은 비밀번호를 시도할 수 있습니다. 그래서 많은 사람이 비밀번호를 바꿔야 합니다. 또 회사가 자세한 보안 대책과 시스템 역할을 밝히지 않아, 고객이 얼마나 안전한지 알기 어렵다는 점도 문제입니다.

앞으로 지켜볼 점

• 회사가 새 비밀번호를 어떤 방식으로 저장하는지 밝히는지 살펴봐야 합니다.
• 수사기관의 조사 결과에 따라 피해 범위가 더 늘어날지 지켜봐야 합니다.
• 회사가 말한 보안 대책이 실제로 어떤 내용인지 공개될지 기다려야 합니다.