요약
프론티어 항공 이용객들이 실제 예약번호가 적힌 피싱 메일을 받아 해킹 의심이 커지고 있습니다.
레딧의 프론티어 항공 게시판에 올라온 경고 글입니다. 작성자는 정교한 사기 메일을 조심하라고 알렸고, 같은 메일을 받았다는 댓글이 쏟아지자 고객 정보가 유출된 것으로 확신한다고 글을 고쳤습니다.
왜 중요한가
- 예약번호와 결제 금액이 실제와 같아서, 메일함의 예약 내역과 대조하는 확인법이 통하지 않습니다.
- 지난 항공편뿐 아니라 앞으로 탈 항공편 정보도 나와 있어, 유출이 사실이면 현재 예약자도 영향을 받습니다.
- 글과 댓글에는 항공사가 유출을 공식 확인했다는 내용이 없어, 아직은 이용자들의 추정입니다.
핵심 내용
- 메일은 reviewpro.com 주소에서 왔고, 이용자의 항공편 정보와 예약번호가 담겨 있었습니다.
- 링크를 누르면 공식 주소 뒤에 crs를 붙인 비슷한 사이트로 넘어가 신용카드 정보를 요구합니다.
- 이용자들이 받은 메일은 환불을 미끼로 삼았고, 400달러 환불을 내세운 메일도 있었습니다.
- 한 이용자가 도메인 등록 정보를 조회해 보니, 등록한 지 하루밖에 되지 않았습니다.
- 상담원은 메일을 무시하라고만 했고 유출 여부는 말하지 않았다는 후기가 올라왔습니다.
HN 반응
- 첫 반응은 단정하기 이르지만 CVE(공개된 보안 취약점) 급증과 관련 있다면 기업 보안 전반의 문제라는 것이었습니다.
- 토론은 취약점을 신고했다가 고발당하거나 법적 위협을 받은 사례로 번졌고, 그래도 신고해야 한다는 쪽과 개인이 지기엔 위험이 크다는 쪽이 갈렸습니다.
추측하기엔 이르지만, 이게 최근 급증한 CVE와 관련 있다면 보안 태세를 둘러싼 기업들의 대가 치르기가 지금 우리 눈앞에서 벌어지고 있는 셈입니다. 이런 일은 지금까지 한 번도 없었습니다.
홍콩항공 시스템에서 URL의 몇 글자만 바꾸면 다른 승객의 정보를 볼 수 있는 취약점을 찾은 사람이 있었습니다. 그 사람은 항공사에 이 문제를 알렸습니다. 그런데 오히려 해킹 혐의로 기소되어 유죄 판결을 받았습니다.
이런 취약점을 대하는 많은 기업의 태도를 잘 보여주는 사례입니다.
아직도 생생하게 기억나는 사건이 있습니다. "미주리주의 한 신문사가 주에 보안 위험을 알렸다. 이제 그 신문사가 기소될 위기에 처했다"[1]
[1] https://www.npr.org/2021/10/14/1046124278/missouri-newspaper-security-flaws-hacking-investigation-gov-mike-parson
아, 맞아요. 주정부가 교사들의 SSN(사회보장번호)을 클라이언트 쪽 HTML에 그대로 넣어 두었던 사건이죠. 누군가 요소 검사를 했다가 그걸 발견하고 제보했어요. 그러자 주지사가 사적인 앙심을 품고 그 사람을 CFAA 위반으로 기소하려 했는데, CFAA는 절대 만만한 법이 아닙니다.
이 일을 보고, 기본적인 기술을 이해하는 개발자가 의회에 훨씬 더 많이 필요하다는 걸 깨달았어요. AI가 사회에서 큰 부분을 차지하게 되는 지금은 더더욱 그렇고요.
이해 부족이 문제라고는 생각하지 않습니다. "SSN이 전부 전송되고 있었고, 허술하게 가려져 있었을 뿐이다"라는 건 기술 지식이 많지 않아도 이해할 수 있습니다.
필요한 건 앙심 깊고 속 좁은 사람이 권력의 자리에 덜 앉는 것입니다. 안타깝게도 이건 아직 아무도 풀지 못한 문제입니다.
권력을 쥔 사람들의 문제는 애초에 권력을 얻으려고 나섰던 사람들이라는 점입니다. 만약 추첨으로 아무 시민에게나 권력의 고삐를 쥐여 준다면, 권력을 추구할 만큼 자기중심적이라서 앙심 깊고 속 좁아진 사람들이 뽑히는 일은 없을 겁니다.
그건 이 문제의 해답이 아닙니다. 오히려 취약점 연구자들은 소송으로 돌려받을 가능성이 있는 잠재적 피해자들에게 발견한 내용을 공유해서 그들이 소송을 걸 수 있게 해야 합니다. 공화당이 장악한 주정부에 제보해 봤자 그쪽에서 연구자를 고소하기만 할 테니까요.
잠재적 피해자들이 구체적으로 무엇을 근거로 소송을 낼 수 있습니까? 법적 논리가 뭔가요? 주정부가 어떤 법을 어겼고, 원고들은 주권면제를 어떻게 피해 갈 겁니까? 관련 법령과 판례의 출처를 제시해 주시기 바랍니다.
제 계정에 로그인한 상태에서 가족에게 전달된 이메일을 클릭했더니 그 가족의 혈액 검사 결과가 보인 적이 있어요. 메일을 보냈습니다. 답은 없었지만, 제 기억으론 몇 주 뒤에 고쳐졌어요.
원글이 사람들에게 심어 줄 수 있는 무력감에 균형을 맞추려는 일화일 뿐입니다. 시스템이 어떻든 옳은 일을 하세요.
수정이 안 돼서 전체 답변으로 남깁니다. 여러분 참 냉소적이시네요. 아이가 유괴당할 확률이 0.0001%라는 이유로 걸어서 등교도 못 하게 하는 부모 같아요. 여러분의 냉소 때문에 세상이 더 나빠지는 겁니다. 물론 그 일로 곤란해질 가능성이 아주 없진 않죠. 하지만 내일 아침 차에 치일 가능성도 있잖아요. 그래도 침대에서 일어나잖아요.
제발 직접 변화가 되세요. 하다못해 남을 주저앉히지는 말아야죠. 정말 답답하네요.
그건 아주 특권층다운 시각이라고 생각합니다. 대부분의 사람에게 체포되고 정부가 사기와 남용 혐의로 기소하려 드는 일은 인생이 바뀌는 사건이니, 사람들이 더 몸을 사리는 건 자연스러운 일입니다.
옳은 일이 쉬운 일이라면 그걸로 인격이 드러나지도 않겠죠.
기소되는 게 인생이 바뀌는 사건이라는 데는 동의합니다. 다만 참고로 말하면 Chan Tsz-yan도, Josh Renaud도 체포되지는 않았고, 두 경우 모두 혐의가 취하됐습니다. https://pressfreedomtracker.us/all-incidents/missouri-governor-labels-reporter-a-hacker-threatens-criminal-prosecution/ https://missouriindependent.com/2022/02/11/prosecutor-isnt-pressing-charges-against-reporter-who-found-flaw-in-state-website/
이 시스템은 형편없고, 앞으로도 계속 그럴 겁니다.
수많은 CVE와 보안 사고 제보 중에 이 두 건뿐인데 이 정도 확률이면 위험이 너무 크다며 얼굴을 가리고 등을 돌려도 된다고 생각하신다면, 거친 말이라 미안하지만 솔직히 좀 겁쟁이 같습니다.
이 정도 확률도 자기 가치관대로 살기에 충분하지 않다면, 대체 뭐가 충분하다는 겁니까?
당신은 나한테 답글을 쓸 배짱도 없었고, 당신이 답글을 단 그 사람이 한 말을 제대로 인정하지도 않았어요. 당신이 하는 말이 정말 맞을 수도 있지만, 나를 겁쟁이라고 부르면서 정작 본인이 그러고 있으니 하나도 받아들이고 싶지 않네요. 목표가 손가락질이었어요, 아니면 다른 사람들에게 변화를 불러일으키는 거였어요? 오늘 일어난 건 그중 하나뿐이에요. 이쯤 되면 평범한 사람이라면 이미 머리를 꺼 버렸겠죠. 혹시 다를 수도 있으니 하는 말인데, 이제 도둑이 제 발 저린 줄 알 때예요.
썼는데요? 그래서 당신이 여기 있는 거 아닌가요?
인정했는데요? "이 정도 확률도 자기 가치관대로 살기에 충분하지 않다면, 대체 뭐가 충분하다는 겁니까?"는 진심으로 던진 질문입니다. 당신은 그 질문에 답하지 않았고요.
그리고 앞에서 한 말은 전부 특권에 대한 답이었어요. 좀 더 분명히 말하자면, 취약점을 발견할 수 있는 _특권_이 있고 그것의 크기와 다른 사람들에게 미칠 영향을 알아볼 기술적 지식까지 있는 사람이 모른 척한다면, 그 특권을 나쁜 데 쓰고 있는 건 바로 당신 아닌가요? "선한 사람들의 무관심이..." 같은 말도 있잖아요.
들어 보세요. 우리는 모두 겁쟁이고 졸장부예요. 저도 마찬가지고요. 우리 모두 결함이 있고, 모두 쉬운 길을 택하고, 모두 더 잘할 수 있어요. 특히 저는 그렇습니다. 저는 자랑스럽지 못한 과거가 있고, 제 인격도 누구 못지않게 결함투성이예요. 거친 말을 쓴 점은 다시 한번 사과드립니다. 너그럽게 봐주실 수 있다면 더 적절하다고 느끼시는 말로 바꿔 읽어 주세요. 안타깝게도 다른 표현을 찾아도 여전히 부정적으로 읽힐 테니 말을 아끼겠습니다.
나를 직접 상대해 주고 내가 낸 우려에 답해 주는 존중을 보이면, 나도 기꺼이 당신 주장을 읽고 인정할게요. 나는 토론하러 여기 온 거고, 그런 일들은 우리가 원하지 않는 한 우리 개인과 직접 이어져 있지 않아요. 당신은 감정을 자극하는 말로 많은 사람의 개인적인 연결 고리를 건드리려 한 것 같은데, 그 기법은 이해해요. 다만 하필 모욕이라는 감정을 골랐고, 모욕은 다른 감정처럼 되돌아오기 마련이죠. 당신의 마지막 요점이 틀렸다는 걸 어떻게 증명해야 할지 모르겠어요. 앞에서 당신이 아마 맞을 거라고 이미 말했으니까요... 다만 그 표현은 당신 요점을 제대로 전달하지 못한다는 겁니다. 기분 나빠하지 마세요, 당신의 반론은 다루고 싶지도 않아요. 기껏해야 뜬구름이거든요. "수사적으로 던진 내 질문에 답하지 않았다"는 것도 그렇고, 간접적인 답이 직접적인 답과 같은 효과를 낸다고 우기는 것도 그래요. 감정에 호소해서 다른 사람을 설득하려면 정말 탄탄한 논증이 바탕에 있어야 합니다. 분명히 해 두자면, 나는 당신이 전하려는 생각에 전적으로 동의해요.
선의로 말씀하신 거라고 생각해서 개인적으로 공격할 생각은 없습니다. 다만 옳은 일을 했다가 체포된 사람은 앞으로 옳은 일을 할 가능성이 낮아질 수 있다는 말씀을 드리고 싶었어요. 그러니 옳은 일을 할 때는 신중함이 필요할 수 있고, 그래야 장기적으로 옳은 일이 계속 이루어질 가능성이 높아지겠죠. 기업이 자기 방어를 위해 법 조항을 들이대지 않을 논리적인 이유는 없어 보이는데요, 그 방어가 아무리 옳든 그르든 말이죠?
억제 효과는 개인 차원에서만 작동하는 게 아닙니다. 옳은 일을 한 무고한 사람이 부당하게 기소됐다는 뉴스를 읽는 사람은 누구나 다음에는 옳은 일을 하지 말고 그냥 가만히 있도록(그편이 더 안전하니까) 길들여집니다.
글쎄요, 저는 그런 기사들을 읽고도 도망치지 않고 위의 댓글을 썼는데요. '누구나'라는 전제가 저한테는 해당되지 않는데 그 전제에 기댄 결론을 믿을 수 있을지 모르겠네요.
anyone !== everyone
제 몸뚱이가 뭔가 특별한 걸 이뤄 낸 건 없다고 장담해요. 저는 확실히 대단한 사람이 아니라 그냥 흔한 사람이에요. 시스템의 목적은 그 시스템이 하는 일이라고들 하잖아요. 억지스러운 트집 말고는 우리가 이견을 보일 게 없으니, 이만 작별 인사를 하는 게 좋겠네요!
맞아요, 저도 경험했습니다. 체포까지는 아니었지만, 사용자 입력이 제대로 걸러지지 않아 아마 모든 사용자의 보호된 데이터에 임의로 접근할 수 있다는 걸 책임감 있게 공개했더니 소송 위협을 받았고 제 고용주에게도 연락이 갔습니다. URL 쿼리 파라미터 값을 true에서 false로 바꾸기만 하면 됐어요. 사용자 ID도 정수를 1씩 올리는 방식이라 열거는 식은 죽 먹기였고, 응답 페이로드가 JSON이라 따로 손댈 필요도 없었습니다.
웹 개발 경험이 있는 평범한 관찰자가 개발자 도구만 열어 봐도 얼마나 많은 것이 보이는지 놀라울 정도예요. 그 뒤로 지키고 싶은 내 데이터는 어떤 서비스에도 주기 싫다는 깊은 거부감이 생겼습니다.
개인적인 위험을 감수하지 않고 이런 문제를 신고할 수 있는 익명 기관이 있어야 합니다. 일종의 "무고한 관찰자" 보호 장치가 처음부터 마련돼 있어야 해요...
시스템에 구멍이 있는 건, 그걸 발견한 내 잘못이 아니라는 식으로요.
안타깝게도 익명 기관은 익명이라는 이유로 악의적인 사람들이 악용할 테고, 결국 지금 같은 상황으로 돌아오겠죠.
아주 오래전에는 익명 리메일러가 있었죠.
그때는 시대가 달랐어요. 지금은 사실상 제로데이를 전달해 주려고 만든 중개자가, 짭짤한 취약점을 쥐고 가만히 잠자코 있지 않으리라고 믿지 못하겠습니다.
그게 암호화폐와 비트코인, 또는 적어도 비슷한 커뮤니티의 기원이기도 하지 않았나요?
예전에 리메일러 이야기를 읽은 곳이 거기였던 것 같아요. 비트코인을 초기에 채굴한 사람들이 이런 것에도 관심이 있었다고요.
왜 우리가 대기업을 위해 무급으로 일해야 하는지 모르겠어요. 취약점을 찾는다면, 사용법을 알아낼 수만 있다면 다크넷에 풀어 버리는 걸 진지하게 고려할 겁니다. 팔려고 하는 것도 아니고, 그냥 공짜로 주는 거예요. 저는 주주들에게도, 거기 다니는 회사 부품 같은 직원들에게도 동정심이 없습니다. 실제로 피해를 보는 사람이 누구인데요?
안타깝지만 피해는 대개 정보가 유출된 개인들이 봅니다.
그 사람들도 "무료 신용 모니터링"이나 18개월 뒤에 날아오는 12.83달러짜리 수표를 받는다고 보상이 되는 건 아니죠. 기업이 물어야 하는 손해배상액을 늘릴 필요가 있는 게 아닐까요?
그건 항공사보다 법체계에 대해 훨씬 많은 걸 말해 주네요.
아마 항공사가 신고했겠죠.