요약
노스플랭크가 보안 사고를 공지하고, 저장된 환경 변수가 모두 털렸다고 가정하라고 안내했습니다.
인프라 서비스 업체 노스플랭크가 10월 30일부터 상태 페이지에 사고 경과를 올리고 있습니다. 환경 변수(앱에 넘기는 설정값으로, API 키도 여기에 담깁니다)가 복호화됐다고 보고 모든 키를 바꾸라는 내용입니다.
왜 중요한가
- 고객은 최종 원인이 나오기를 기다리지 말고 저장해 둔 비밀값을 전부 교체해야 합니다.
- 플랫폼에 저장된 AI API 키가 실제로 무단 사용돼, 피해는 이미 현실이 됐습니다.
- 노스플랭크는 이 일을 AI 자격 증명을 노리는 더 넓은 공격 흐름과 연결했습니다.
핵심 내용
- 10월 30일 11시 43분(UTC) 위즈의 위협 경보로 탐지했고, 13시에 위즈 사고 대응팀에 지원을 요청했습니다.
- 여러 이용자가 자기 AI 키가 사용된 것을 확인했고, 회사는 위즈의 "Black October" 보고서를 함께 언급했습니다.
- 이용자에게는 비밀값을 발급처에서 폐기하고 새로 만들어 넣은 뒤, 애드온의 공개 접근을 끄라고 권했습니다.
- AI 업체의 사용량과 청구 내역을 점검하고, 수상한 사용은 신고하라고도 안내했습니다.
- 감사 로그를 무료 이용자까지 열었지만, 최종 원인은 아직 확인되지 않았고 네트워킹·서비스·빌드 등은 주요 장애로 표시돼 있습니다.
HN 반응
- 9월 이후 여러 고객을 함께 받는 서비스 업체가 잇달아 뚫렸다며 대비를 서두르자는 목소리에, "전시 태세"는 과장된 말이라는 지적이 붙었습니다.
- 대형 클라우드로 돌아갈 것이라는 전망과 자체 서버로 공격의 대가를 줄인다는 반론이 맞섰습니다.
SaaS 비슷한 걸 조금이라도 운영하는 팀이라면 이번이 진짜 정신 차릴 계기가 되길 바랍니다. 9월 이후로만 해도 멀티 테넌트 서비스형 벤더를 노린 대규모 공격이 번개 같은 속도로 최소 여섯 건은 일어났습니다. 올해가 아니라 바로 지난달부터 말입니다. PingCAP/TiDB, Fireworks AI, Zeabur, OpenCode Console, Railway, 그리고 이번에 Northflank까지. 모두 "고객 콘텐츠를 안전하게 지켜 드립니다"를 내세우는 현대적인 업체들이고, 의욕도 높고 보호 장치도 아마 꽤 괜찮았을 겁니다.
지금 여기서 벌어지는 건 완전한 보안 비상사태입니다. 팀을 설득해 보안과 복원력에 투자하게 만드는 일이 아무리 고되더라도(정말 고된 일이죠), 우리는 준비해야 합니다. 당장요! AI로 가속된 공격자 종말의 시대가 시작됐습니다. 쾅, 쾅, 쾅, 고마웠다는 인사만 남기고 다음 표적으로 넘어갑니다. 놈들은 우리를 조준했고 효과 사격을 퍼붓고 있습니다.
그러니 자격 증명 교체, 트립와이어 시크릿, 대기 중인 DFIR, 탄탄한 취약점·침입 탐지, 그 신호에 실제로 귀 기울이기, 피해 범위 최소화, 지출 상한과 시간 제한, 자격 증명 권한의 엄격한 범위 지정, 빠른 사고 경보까지... 이제 진짜 전시 태세로 들어가야 합니다.
전쟁이요?
제가 마지막으로 확인했을 때도 대기업들은 돈 좀 아끼겠다고 핵심 엔지니어링을 여전히 외주로 돌리고 있던데요.
좀 오래된 기사지만, 이런 관행이 어떻게 용인될 수 있었는지 모르겠습니다.
https://www.propublica.org/article/defense-department-pentagon-microsoft-digital-escort-china
시가총액이 수조 달러인 회사(Microsoft)가 국방부 계약에 쓸 미국 내 인력을 뽑기엔 너무 인색했다는 거죠.
저는 Fortune 200 기업에서 일했습니다. 정부 프로젝트에 참여하려면 기본적인 민간인 보안 인가를 받아야 했습니다. 우리가 따낸 정부 계약에는 코드 작업에 해외 인력을 쓰면 안 된다고 명시돼 있었고요. MS가 그 요건을 어떻게 피해 갔는지는 모르겠네요.
Fortune 10 정도는 돼야 진짜 힘이 생기죠! 반면 제가 잠깐 다녔던 Fortune 200 기업에는 뿌리 깊은 부패의 징후가 한둘이 아니었어요. 여러 이유로 오래 못 버텼는데, "규칙은 지키는 척, 알죠?" 하는 태도가 정말 어이없을 정도였거든요. 그 뒤로 상장 기업에는 정이 떨어졌어요. 내가 투자하는 곳이 영화 〈스페이스볼〉 같은 회사가 아니라는 걸 어떻게 알겠어요?
젠장, 나 말고도 이걸 보는 사람이 있어서 다행이네요.
burningChrome의 말이 대체로 맞지만, 문제는 세부 사항에 있습니다.
미국 연방 프로그램은 오래전부터 핵심 연방 시스템을 민간 인프라 안에서 운영하도록 장려해 왔습니다. 예전에는 이 과정에 매우 엄격한 검증과 DoD/DHS/GSA 합동 심사가 필요했고, 대체로 길고 돈이 많이 드는 절차였습니다. 그러다 보니 소수 업체가 이런 외주 운영을 통해 여러 기관을 쥐고 흔든다는 인식이 생겼습니다. 여기에 연방 효율성에 대한 새로운 "관심"이 더해져, 최근 국방 예산 수권법이 이런 절차들을 사소한 수정과 함께 법으로 공식화했습니다. 새로운 클라우드 사업자와 서비스 제공자가 특히 저위험 등급에서 빠르게 인증받고 효율적으로 운영할 수 있도록 한두 군데 손본 것입니다.
오늘날 이는 SaaS 업체가 (미국에서 일할 자격만이 아니라) 보안 인가를 받은 엔지니어를 반드시 찾아야 한다는 뜻입니다. 이 인가받은 프로그래머가 (대개 새로운) 온갖 절차를 문서화하고 작성합니다. "연방 인클레이브" 인증 디렉터리로 인증하기, 상류에서 작성된 변경 사항을 정부가 통제하는 CI/CD 시스템으로 전달하기, SaaS 업체 그리고 연방조달청(GSA)과 함께 특수한 AWS AZ에 비견할 만한 환경에서 백엔드가 돌아가는지 확인하기 같은 것들입니다. 상류에서 무언가 바뀌면 우리 쪽 운영자는 '중대한 변경' 요청서를 준비하고, 중요한 건이면 GSA 담당자가 관문 역할을 합니다. 이 '중대한 변경' 요청의 구현 세부 사항을 꼼꼼히 들여다볼 책임자는 없고, 작성자들이 자신에 대한 정보나 코드의 출처를 밝힐 의무도 없습니다. 해당 변경에 포함된 코드를 수백 명의 프로그래머가 썼을 수 있고 그 코드는 대개 이미 상류에 배포된 상태이니, 이 방식은 효율적이고 대체로 문제없습니다.
대체로는요.
간단해요. 미국인을 실제 키보드 담당으로 고용했는데, 이 사람들이 아무것도 몰라서 사실상 KVM 역할만 한 거죠. 그래도 Microsoft는 "네, 변경은 미국인만 했습니다."라고 말할 수 있었고요.
이 "전시 태세"라는 말은 그냥 보안업계의 우스꽝스러운 관용어예요. "아주 심각하게 받아들여라"라는 뜻일 뿐이에요.
대형 클라우드 업체들 내부는 어떨지 궁금합니다. Microsoft를 제외하면 늘 보안이 최우선이었다고 생각하는데, 이 새로운 시대에는 아수라장일 것 같아요.
적어도 Google은 클라우드 보안에 아주 많이 투자해 왔습니다. Mandiant(54억 달러)와 Wiz(320억 달러)를 인수했죠. 당시에는 많은 사람이 너무 비싼 인수라고 느꼈지만, 지금 보면 현명한 선택이었을지도 모르겠습니다.
그건 독립된 제품과 전문 서비스지, Google이 내부에서 쓰는 게 아니에요.
문제는 대기업에서도 세계 최고 수준인 사람과 팀이 있긴 하지만, 모든 곳의 모든 사람이 그렇지는 않다는 거예요. 재미있는 이야기를 원하시면 Azure의 출시 과정과 내부 사정을 읽어 보세요.
정말 흥미롭네요. 괜찮으시면 링크 좀 공유해 주실 수 있나요?
https://isolveproblems.substack.com/p/how-microsoft-vaporized-a-trillion
정말 좋은 글이네요. 강력 추천합니다. 링크 감사합니다.
Microsoft와 보안이라는 두 단어가 진지한 대화에서 같이 나온 적은 한 번도 없잖아요.
보안이 허술하기로 꽤 유명하죠. 대기업이라서 그런 면이 크지만, 눈에 띄는 표적이기도 하고요.
그래서 그 댓글이 "Microsoft는 빼고"라고 쓴 거잖아요.
그래도 Google이 2009년쯤 중국에 해킹당했다는 건 기억해 두세요.
죄송합니다. 제가 잘못 읽었네요.
"Microsoft는 빼고"요.
맞아요. 근데 그 사람이 쓴 표현은 그게 아니었어요.
APT에 번호가 붙던 시절에는 Microsoft가 "APT -1"이라는 농담이 돌았습니다. 네트워크에 윈도, 엑셀, 아웃룩이 있다는 사실이 어나니머스와 중국, 북한을 다 합친 것보다 더 큰 위협이었다는 얘기죠.
그런데 사실은 안 지켰고, 아마 지금도 안 지키고, 앞으로도 안 지킬 겁니다. 팔 수 있을 만큼만 이미지를 내세우는 거죠.
Google 계정 정보가 털렸거나 어딘가에서 대조된 것 같은데도 Google은 아무 말이 없고, 연결된 유튜브 채널에 "사업 기회"가 있다며 실제 전화번호로 스캠 전화가 온다는 제보가 들어오고 있습니다.
다른 가능성도 있습니다. 광고용 섀도 프로필이 유튜브와 다른 서비스에 로그인한 계정들을 서로 연결해 줄 수도 있으니까요.
클로즈드 소스 소프트웨어 회사가 보안에 대해 하는 말은 독립적인 검증이 뒷받침되지 않는 한 사실상 "나 믿어 봐, 형" 수준이라는 걸 대부분의 기술자가 받아들이는 시점이 이때인가요?
우리는 금융권 사람들을 두고 헛소리하길 좋아하지만, 그쪽 업계는 한 세기 동안 독립적인 감사를 몸에 새기고 살아왔습니다1
여기 HN 사람들 대다수가 애플에 대해 무비판적인 태도를 버리고, 이 주제를 말씀하신 방식으로, 즉 보안과 관련된 전체 이력을 매년 독립적으로 공개 감사하는 식으로 바라보게 되면 그때부터 효과가 나겠죠. 가장 중요한 주제는 아닐지 몰라도 군중의 사고방식을 가늠하기엔 아주 좋은 리트머스 시험지입니다.
그런 회사가 애플만 있는 건 결코 아니지만, 애플이 받는 면죄부는 아마 전 세계에서 가장 클 겁니다. 너무나 감정적이어서 저는 진지하게 받아들일 수가 없어요.
그 영광스러운 날이 오기를 아직도 기다리고 있습니다.
동의합니다. 다만 인정해야 할 게 있는데, 적어도 고위급 보안 침해라는 좁은 범위에서는 애플 관련 사례가 하나도 떠오르지 않습니다. 애플이 제대로 털린 헤드라인을 제가 놓친 거라면 애플에 대한 그 관대함은 전혀 근거가 없는 거겠죠. 정말로 없었다면, "봐, 잘 돌아가잖아"라는 논리가 꽤 강력한 프레임인 것 같고요.
20년 된 법을 왜 링크하셨는지 모르겠어요. 그 법이 제정되고 몇 년 뒤에 금융권 전체가 가짜 정보로 받은 대출 위에 떠 있었다는 게 드러났잖아요.
저는 입법 전문가는 아니지만, 100년 넘게 이어진 법제의 가장 최근이면서 바로 알아볼 만한 출발점을 제시하려던 거였습니다. 사베인스-옥슬리법은 그 이전 법들을 거의 다듬어 정리한 것이니까요.
BYOC에서 제가 제일 먼저 묻고 싶은 건 이겁니다. 벤더가 해킹당하면 공격자가 제 계정에서 뭘 할 수 있을까요? 시크릿을 읽을 수 있나요? 새 이미지를 푸시할 수 있나요? 명령을 실행할 수 있나요? 서버가 내 계정에 있다는 건 듣기엔 좋지만, 벤더가 여전히 모든 것의 키를 쥐고 있다면 실제로 얻는 게 얼마나 되는 걸까요?
인프라 스타트업에는 안타까운 일이지만, 이번 같은 사고와 Railway 사태 때문에 결국 하이퍼스케일러로 되돌아가는 흐름이 나타날 것 같습니다.
보안을 대신할 수 있는 "더 쓰기 편함"은 없습니다. 적어도 기업에 팔 때는 확실히 그렇습니다.
저는 오히려 반대라고 생각합니다. 사람들이 dokku 같은 OSS 배포 도구로 자기 하드웨어에 돌아갈 것 같아요. 모든 게 더 맞춤형이면 공격 표면이 작아지고 성공했을 때의 보상도 작아집니다. Railway를 해킹하면 API 키를 잔뜩 손에 넣지만, 아무 VPS나 해킹해서는 얻는 게 적죠.