240억 건 계정 정보 인터넷에 노출…인포스틸러가 만든 ‘계정 탈취 저장소’

핵심 요약

240억 건에 달하는 사용자 계정 정보(사용자 이름, 이메일 주소, 평문 비밀번호, 로그인 주소 포함)가 인증 없이 접근 가능한 엘라스틱서치(Elasticsearch) 클러스터를 통해 인터넷에 무방비로 노출되는 사고가 발생했습니다. 해당 데이터는 주로 인포스틸러 악성코드가 감염된 컴퓨터에서 수집한 것으로 분석되며, 이는 공격자가 Initial Access(TA0001) 및 Credential Access(TA0006) 전술을 통해 탈취한 정보를 Data from Information Repositories(T1213)에 저장하고 활용하는 전형적인 수법입니다. 특히 평문 비밀번호 노출은 심각한 보안 취약점을 드러냅니다. IT 감사인은 이러한 대규모 계정 정보 유출 사고가 조직의 계정 탈취 위험을 증대시키고, 다크웹 모니터링 및 사용자 계정 보안 정책의 적절성을 재평가해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치엘라스틱서치(Elasticsearch) 클러스터 및 모든 데이터베이스 시스템에 대해 강력한 인증 메커니즘(예: 다단계 인증)을 적용하고, 네트워크 접근 제어(NAC) 및 방화벽 정책을 통해 불필요한 외부 접근을 엄격히 통제할 것을 권고함.
• ✔기술적 조치사용자 계정 비밀번호는 평문으로 저장하지 않고, 최소 SHA-256 이상의 강력한 단방향 해싱(Hashing) 알고리즘과 솔트(Salt)를 적용하여 저장하도록 시스템을 개선할 것을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 인포스틸러 악성코드 탐지 및 차단 기능을 최신 위협 인텔리전스에 기반하여 지속적으로 업데이트하고, 의심스러운 프로세스 및 네트워크 연결에 대한 실시간 모니터링 및 자동 대응 체계를 강화할 것을 권고함.
• ✔관리적 조치임직원 및 고객 계정 정보의 외부 유출 여부를 정기적으로 모니터링하기 위한 다크웹 모니터링 서비스 도입을 검토하고, 유출된 계정 정보 발견 시 즉각적인 비밀번호 변경 안내 및 추가 보안 조치(예: 다단계 인증 강제)를 시행하는 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치모든 시스템 및 서비스에 대해 주기적인 취약점 점검 및 모의 해킹을 수행하여, 인증 및 접근 통제 미흡, 평문 비밀번호 저장 등 잠재적인 보안 취약점을 사전에 식별하고 개선하는 프로세스를 강화할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 인포스틸러 악성코드 감염 예방을 위한 보안 교육(피싱 이메일, 의심스러운 파일 다운로드 금지 등)을 정기적으로 실시하여 보안 인식 수준을 향상시킬 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문