요약
드림호스트가 파일 관리자 사고 뒤 일부 이메일·FTP 계정의 비밀번호를 강제로 초기화했습니다.
웹 호스팅 업체 드림호스트가 서비스 상태 페이지에 올린 사고 공지입니다. 10월 23일 파일 관리자(웹에서 서버 파일을 다루는 도구) 접속 문제로 시작한 사고가 웹메일과 FTP/SFTP(파일 전송 방식)로 번졌습니다. 회사는 예방 조치로 비밀번호를 초기화했다고 밝혔습니다.
왜 중요한가
- 대상이 된 메일·FTP 사용자는 계정 소유자가 새 비밀번호를 정해 줄 때까지 로그인할 수 없습니다.
- 회사가 원인을 밝히지 않아, 사용자는 무엇이 위험했는지 모른 채 비밀번호를 바꿔야 합니다.
핵심 내용
- 10월 23일 파일 관리자가 멈추고 일부 웹메일 사용자가 로그아웃됐으며, 일부 메일 비밀번호가 초기화됐습니다.
- 같은 날 밤 FTP/SFTP 접속도 영향을 받았고, 초기화 전에 바꾼 비밀번호는 덮어쓰인다고 안내했습니다.
- 10월 24일 초기화를 마쳤고, 계정 소유자는 제어판에서 바로 새 비밀번호를 정할 수 있습니다.
- 10월 25일 밤 모든 대상자에게 안내 메일을 보냈다고 했지만, 파일 관리자는 아직 복구 중입니다.
- 이메일로 비밀번호를 묻는 일은 없으니 panel.dreamhost.com에서 직접 바꾸라고 당부했습니다.
HN 반응
- 일부 이용자는 파일 관리자로 쓰던 상용 PHP 앱이 최근 PHP 취약점에 뚫려 FTP 비밀번호가 새어 나갔을 것이라고 추정했습니다.
- 오랜 고객들은 안내가 늦고 만료됐다던 비밀번호가 여전히 통한다며 혼란을 호소했고, 메일을 한꺼번에 보내면 스팸 처리된다는 반론도 나왔습니다.
찻잎을 읽어 보자면, 장애가 "파일 관리자(File Manager)에 영향을 주는 연결 문제"로 시작했는데 그 파일 관리자가 상용 PHP 애플리케이션인 Monsta FTP 1 설치본이었습니다. 그렇다면 최근 공개된 PHP 취약점 중 하나로 파일 관리자가 뚫렸고 사용자들의 FTP 자격 증명이 유출됐을 가능성이 있다고 봅니다.
20년째 쓰는 고객입니다. 오늘 아침에 지원 챗봇에게 이게 PHP 취약점과 관련 있느냐고 물었더니 아니라고 단언하더군요. 저는 못 믿겠습니다.
PHP 사건 때 올라온 이 상태 공지들도 자기들은 직접 영향받은 적이 없다고 믿게 하려는 것 같고요: https://www.dreamhoststatus.com/pages/incident/575f0f606826303142000510/6ad8c218a7031204d4ca2981
지금까지 이번 문제에 대해 정말 두루뭉술하게만 말하고 있습니다. 8시간 전에 더 자세한 정보를 요청하는 티켓을 올렸는데 아직 답이 없습니다. 아직 한창 수습 중인 모양입니다.
지원 챗봇이 그걸 왜 알겠어요?
지원 업무를 오래 해 봤는데, 윗선에서 1차 지원팀에는 무슨 일이 있었는지 일부러 거의 알려 주지 않는 경우가 꽤 많습니다. 소송이 잦은 사회에서는 흔한 기업의 책임 회피(CYA) 방침이죠.
알 거라고 생각한 건 아니고, 지원 UX가 일단 챗봇부터 거치게 만들어 놔서 거기서 시작한 겁니다. 그다음에 티켓도 올렸고요.
1차 지원팀이 그런 걸 알고 있을 거라고는 전혀 기대하지 않습니다. 알더라도 절대 인정하지 않을 테고요.
챗봇한테 물어보는 건 애완 앵무새한테 물어보는 것만큼이나 쓸모가 없죠.
앵무새한테 너무하시네요. 앵무새는 주변 환경에 있는 상대를 따라 하는 걸로 유명하잖아요.
그렇다면 PHP 얘기를 꺼내면 소리 지르고 욕을 퍼붓는 게 오히려 자연스럽겠죠.
해시와 솔트를 적용한 비밀번호이길 바랍니다. 평문은 아니겠죠?
내부적으로야 그렇겠죠. 하지만 (아마도) 뚫린 애플리케이션이 FTP 클라이언트였으니, 사용자가 로그인할 때 그 비밀번호의 평문을 그대로 받았을 겁니다.
감사합니다, 이제야 좀 이해가 됩니다. 아무 설명 없이 이런 메일이 오는 것도 불안하고, 사용자 커뮤니티가 추측해야 한다는 것도 정말 답답합니다. 하지만 웹 클라이언트의 PHP 취약점으로 사용자 로그인이 가로채였다는 것만이 앞뒤가 맞습니다. 그렇지 않다면 비밀번호가 평문으로 저장돼 있다거나 1990년대식 헛짓거리를 하고 있다는 뜻일 테니까요.
아직도 FTP로 로그인하는 고객들 때문에 그런 거겠죠…
예방 차원에서 모든 사람의 이메일 비밀번호도 초기화했는데, 아마 사람들이 둘 다 같은 비밀번호를 쓴다고 가정한 듯합니다.
아직도 FTP를 쓰게 해 준다는 게 놀랍네요.
최근에 그런 경우를 만났습니다. 상대방이 은행이었는데, 프로세스를 바꾸는 것을 딱 잘라 거부해서 제가 얘기한 담당자들도 어쩔 수 없이 구닥다리인 줄 알면서도 그걸 계속 쓰고 있었어요. SFTP가 나온 게 30년쯤 전이죠? 업로드를 받는 쪽이 어떤 형태의 보안 연결도 지원하지 못할 가능성도 충분히 있습니다.
저는 TLS 위의 FTP가 뭐가 문제인지 잘 모르겠습니다. 프로토콜이 오래되긴 했지만 여전히 잘 동작하잖아요.
DH는 모든 PHP 버전을 아주 빠르게 패치했습니다.
이 건으로 메일을 받고서야 제가 거의 20년 가까이 여기를 써 왔다는 걸 깨달았습니다. 제가 처음 서비스를 올렸던 곳 중 하나이고, 다른 사람들의 프로젝트도 여기에 올려 줬어요. 몇 년째 적극적으로 쓰진 않지만 남은 몇 가지를 옮기는 건 한 번도 우선순위가 된 적이 없었습니다. 이번 일이 거기 올려 둔 걸 전부 다시 점검해서 정리하거나 옮기라는 계기가 될 것 같습니다.
저도 그래요! 돈은 한 푼도 안 내는데 계정은 아직 남아 있네요. 한동안 도메인을 거기 둔 채로 있다가, Cloudflare로 옮기는 게 더 싸다는 걸 알고 옮겼습니다.
Dreamhost라니, 와, 추억이 새록새록 돋네요…
000webshost 기억하는 사람 없나요? .tk 도메인도요.
110MB를 기억하는 사람이라면 진짜죠.
와, 저 둘 다 썼어요! 즐거운 시절이었죠. 그런데 DotTK가 "Freenom"으로 넘어가면서부터 정말 엉망이 되기 시작했어요.
Freewebs!
이번 DreamHost의 대응이 정말 마음에 안 듭니다. 저는 마스터 계정이 여러 개 있는데, 그중 하나가 오늘 낮 12시쯤(사건이 시작되고 48시간도 더 지나서) 이런 메일을 받았습니다...
"예방 차원에서 고객님의 DreamHost 계정에 있는 일부 이메일 및 FTP/SFTP 사용자의 비밀번호를 만료시켰습니다. 기존 비밀번호는 더 이상 사용할 수 없으며, 새 비밀번호는 설정되지 않았습니다."
그런데 실제로는 이메일 비밀번호 중 만료된 게 하나도 없고 전부 멀쩡히 됩니다. 헷갈리네요. 위험에 처한 비밀번호만 만료시켰다는 건가요? 만료되지 않은 비밀번호는 믿어도 되는 건가요?
같은 메일에서 관리하는 이메일 비밀번호를 전부 바꾸라고도 권합니다.
다른 계정은 DreamHost에서 경고 메일이 오지 않아서 괜찮은 줄 알았는데, 7시간 뒤에 거기에도 똑같은 일반적인 메일이 왔습니다.
제 불만은 이렇습니다.
침해를 파악하는 데 48시간이 걸렸다는 것 - 어쩌면 이해할 만합니다
하지만 침해를 파악하고 나서 고객에게 메일을 보내는 데 7시간 넘게 순차적으로 걸린다는 게 대체 말이 됩니까? 형편없습니다.
헷갈리는 안내: DreamHost는 비밀번호가 만료됐다고 하는데, 여러 계정으로 확인해 보니 전부 아직 됩니다. 이걸 바꿔야 하는 걸까요? (어차피 안전을 위해 바꾸긴 할 것 같습니다.)
저는 25년 넘은 DreamHost 고객이고 대체로 만족했지만, 이건 아마추어 같습니다.
7시간에 걸쳐 순차 발송하는 건, Google이나 Microsoft 정도가 아니라면 사실상 그럴 수밖에 없습니다. 안 그러면 과도하거나 비정상적인 발송 속도 때문에 그쪽 시스템이 자동으로 섀도밴(스팸함으로 보내기)을 걸거든요. 좋은 일은 아니지만요.
게다가 스캐머들이 이 방식이나 가짜 사이버 사고를 피싱에 많이 쓰는 터라, "보안 메일"만 예외로 풀어 주는 쉬운 해법도 없습니다.
그건 그렇죠. 그런데 DreamHost가 직접 운영하는 메일 인프라에서 자기 고객들에게 보내는 데도 7시간이 걸렸습니다. IMAP, SMTP 서버를 자기들이 돌리니까 7초면 끝낼 수 있었을 텐데요.
물론 모든 사람의 이메일 비밀번호를 날려 버린다면 알림 용도로는 소용없겠지만, 오늘 아침 기준으로 제 이메일 로그인은 전부 여전히 잘 되니까 실제로 그렇게 한 것 같지는 않습니다. 헷갈리네요.
저는 5년쯤 전에 dreamhost에서 전부 옮겼는데, 오늘 이 메일을 받고 제 결정이 옳았다는 확신이 들었습니다.
Dreamhost는 제가 처음 가입했던 호스팅 회사가 더는 아닙니다. 저도 다른 호스트를 알아보고 있어요.
그래도 버텨 볼 수는 있었을 텐데, 관리 패널과 웹사이트 관리 화면이 너무 느립니다.
저는 그곳 공유 호스팅이 정말 마음에 듭니다. 연 100달러짜리 계정 하나에 트래픽 적은 작은 앱 수십 개를 각각 서브도메인과 사용자 격리로 돌리고 있어요. OS는 그쪽이 관리하고 앱은 제가 관리하며, git으로 코드를 받아 올 수도 있고 필요하면 파이썬 인터프리터를 직접 컴파일할 수도 있습니다.
이메일 계정이 무제한이라는 점도 좋습니다. 실제로는 도메인 2~4개에 계정 3~4개를 쓰지만 이런 걸로 푼돈을 뜯어 가지 않고, 과거에는 말 그대로 포워더를 1200개나 만든 적도 있어요. 발송 평판도 좋고요.
이만큼 해 주는 다른 업체가 어디 있나요?
Porkbun이 괜찮았습니다. 그 전에는 dreamhost를 몇 년 썼고요.
어디로 옮기셨는지 여쭤봐도 될까요?
요즘 이 일이 정말 골칫거리였습니다. 제가 음악 제작 사업의 상당 부분을 Dreamhost와 Dreamhost VPS에 올려 둔 제 웹사이트 lexwhite.net으로 운영하거든요. 그래도 저는 Dreamhost를 매우 좋아하고 신뢰합니다. 거의 20년째 함께해 온, 정말 탄탄한 회사였으니까요. 이 새로운 AI 때문에 취약점이 드러나는 속도를 누구든 따라가기 어렵습니다. 이제는 사이버 보안을 최대한 단단히 강화해야 합니다.