“우리 회사 하이웍스 메일 쓰는데...” 가비아 , 고객 2998명 개인정보 유출

검증 요청 검증 미흡 취약점 악용, 외부 공격자 비인가 접근

가비아에서 외부 해킹 공격으로 개인정보가 유출되는 사고가 발생했다.

가비아는 21일 외부 공격자의 비인가 접근이 일어나 고객 2998명의 개인정보가 유출된 사실을 확인했다고 밝혔다. 

유출된 개인정보는 이름과 아이디, 이메일 주소, 휴대폰 번호 등이다. 비밀번호는 유출되지 않았다고 밝혔다. 피해 인원과 항목은 향후 조사 결과에 따라 달라질 수 있다. 

공격자는 가비아 웹서비스 일부 기능에서 외부 검증 요청 검증이 충분하지 않았던 점을 이용해 내부 시스템에 접근, 고객 개인정보를 빼낸 것으로 회사측은 파악했다. 

가비아는 유출이 확인된 고객에게 이메일이나 문자로 개별 안내할 예정이다.

가비아는 유출 사실을 인지한 후 공격에 이용된 외부 접근 경로와 관련 계정을 차단했다. 또 사고 분석에 필요한 로그와 증거자료를 보전하고 문제의 시스템에 대한 접근 통제를 강화했다. 추가 유입도 차단했다. 사고 원인이 된 취약점을 조치하고 같은 유형 취약점 전수 조사에 나섰다. 

한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고하고 관계 기관과 사고 원인을 조사 중이다.

가비아 사용자는 가비아를 사칭해 비밀번호나 인증번호 등을 요구하는 피싱에 주의하고, 출처가 불분명한 링크는 클릭하지 말아야 한다. 가비아는 비밀번호 변경도 요청했다. 유출된 아이디에 다른 경로로 알려진 비밀번호를 대입하는 크리덴셜 스터핑 공격이 일어날 수 있기 때문이다. 

가비아는 "고객 정보 보호를 최우선 목표로 삼아야 할 회사로서, 이번 유출로 큰 불편을 끼친 데 대해 임직원 모두 깊은 책임을 통감하고 있다"며 "같은 일이 반복되지 않도록 보안 체계를 근본적으로 재점검하겠다"고 밝혔다.

가비아는 기업에 클라우드, 그룹웨어, 보안, 도메인, 호스팅 등 통합 IT 인프라 서비스를 제공하는 클라우드 전문 기업이다.