수상한 링크만 누르지 않으면 안전할까. 보안업체 아이베리파이와 리포트URI가 10월 21일 공개한 조사에서는 광고가 화면에 뜨는 것만으로 취약한 아이폰을 공격하는 수법이 확인됐다. 인터넷을 보다가 광고를 지나치는 순간에도 공격이 시작될 수 있다는 뜻이다.
연구진은 고객사 직원이 인스타그램 게시물을 넘겨보던 중 악성 광고를 통해 공격받은 사례를 발견했다. 공격 도구는 휴대전화에 저장된 비밀번호나 가상자산 지갑 정보 등을 노렸다. 공동 조사 보고서
공격자들이 활용한 또 다른 통로는 오래된 웹사이트 부품이었다. 쇼핑몰 등은 방문자 수를 세거나 광고를 띄우기 위해 외부 업체의 프로그램을 불러온다. 그런데 서비스를 중단한 업체의 인터넷 주소가 사이트 안에 그대로 남아 있는 경우가 있었다.
범죄자들은 이런 주소를 사들였다. 겉으로는 평소 이용하던 사이트에 들어갔지만, 그 안에서 불러온 프로그램은 이미 공격자의 손에 넘어가 있는 구조다. 이용자가 낯선 사이트를 직접 찾거나 파일을 내려받지 않아도 공격에 노출될 수 있었다.
연구진은 수천 개 사이트에서 악용되는 연결고리를 찾았다고 밝혔다. 다만 관련 사이트의 방문 횟수가 곧 감염자 수는 아니다. 공격이 성공하려면 운영체제 버전 등 조건이 맞아야 한다.
특히 이번에 확인된 도구들은 오래된 아이폰 운영체제의 보안 약점을 노린다.
모든 아이폰이 광고만 보면 뚫린다는 의미는 아니다. 연구진은 최신 운영체제와 보안 업데이트를 적용하는 것을 주요 대응책으로 제시했다. 수상한 링크를 피하는 습관에 더해, 미뤄둔 업데이트도 확인해야 하는 이유다.
미국 대형 검사기관, 환자기록 침해 확인
병원 검사를 위해 맡긴 개인정보와 환자기록이 외부인의 무단 접근에 노출됐다. 미국 진단검사기관 퀘스트 다이애그노스틱스가 의료진용 검사 관리 시스템에서 발생한 보안 사고를 조사하고 있다.
회사는 10월 21일 무단 접근 사실을 파악했고, 다음 날 이를 공시했다. 문제가 생긴 곳은 의료기관이 검사를 주문하고 결과를 받아보는 ‘콰넘 검사 관리 시스템’이다. 단순한 회사 소개 홈페이지가 아니라 환자 정보를 다루는 업무용 서비스였다. 사건 발견·공시 보도
퀘스트는 공식 안내에서 개인정보와 환자기록이 영향을 받았다고 인정했다. 다만 어떤 정보가 얼마나 노출됐는지, 피해 환자가 몇 명인지는 계속 확인 중이라고 밝혔다. 검사를 받은 적이 있다는 이유만으로 모든 이용자의 정보가 유출됐다고 단정할 수는 없다.
회사는 미국 동부시간 10월 23일 오후 7시 기준으로 무단 접근을 차단하고 해당 시스템을 복구했다고 설명했다. 예방 차원에서 잠시 멈췄던 다른 시스템도 다시 가동했으며, 핵심 사업 운영은 영향을 받지 않았다는 입장이다.
서비스 복구와 정보 피해 확인은 별개의 문제다. 시스템이 정상으로 돌아왔어도 이미 접근당한 기록의 범위는 추가 조사가 필요하다. 회사는 피해가 확인된 환자와 의료기관에 통지하고, 대상 환자에게 신용·신원 모니터링 등 지원 내용을 안내하겠다고 밝혔다.
의료기록은 비밀번호처럼 바꿀 수 없다. 그래서 이번 사건에서 남은 핵심은 접속 장애가 끝났는지에 그치지 않는다. 누구의 어떤 기록이 노출됐는지, 당사자에게 언제 알려주는지가 중요하다. 10월 25일 한국 시간에 확인한 공식 안내에서는 이 조사가 여전히 진행 중이다.
#지식토스트, #지식토스트_모닝브리핑, #일분톡