BackNine, 아마존 클라우드에 711,000건의 보험 파일을 공개 방치하고 경고도 무시해

테크크런치는 2021년 7월 16일, 캘리포니아의 보험 기술 스타트업 BackNine이 잘못 구성된 아마존 스토리지 버킷을 통해 누구나 711,000개의 파일에 접근할 수 있었다고 보도했다. BackNine은 생명 및 장애 보험을 판매하는 보험사들을 위한 백오피스 소프트웨어를 만들고 화이트라벨 견적 양식을 제공한다. 해당 파일에는 이름, 주소, 전화번호, 주민등록번호, 진단명, 복용 약물, 건강 설문지, 혈액 검사와 심전도 같은 검사 및 시험 결과, 그리고 서명 이미지가 포함된 작성 완료된 신청서들이 있었다. 어떤 데이터도 암호화되지 않았다.

문서들은 2015년부터 보도가 있던 달까지의 것이었다. 보안 연구원 밥 디아첸코는 6월 초에 회사에 이메일을 보냈고 처음에는 응답을 받았지만 그 후 아무 소식도 듣지 못했으며 버킷은 계속 열려 있었다. 테크크런치도 BackNine의 부사장 리드 태터솔에게 연락했지만 무시당했다. 테크크런치가 태터솔에게만 버킷 이름을 알려준 지 몇 분 만에 데이터는 잠겼다.

신청서 중 상당수는 AIG, 트랜스아메리카, 존 핸콕, 링컨 파이낸셜 그룹, 푸르덴셜 등 대형 보험사를 위한 것이었으며, 이들 회사는 논평하지 않았다. BackNine은 주(州)의 유출 통지법에 따라 당국에 알렸는지, 영향을 받은 개인들에게 통지할 것인지에 대해 답하지 않았다.

2015년 이후 711,000개의 파일이 노출되었으며 주민등록번호와 의료 데이터가 포함되었다. 영향을 받은 사람들이나 당국에 통지가 이루어졌다는 확인은 없다.

아마존 버킷은 기본적으로 비공개이기 때문에 BackNine의 누군가가 권한을 공개로 변경해야 했다.

파일들은 암호화되지 않은 채 저장되어 있었으므로, 공개 접근은 민감한 개인 및 의료 데이터에 대한 완전한 접근을 의미했다.

회사는 연구원의 6월 초 경고에 대해 7월에 기자가 버킷 이름을 언급할 때까지 조치를 취하지 않았다.

기본적으로 비공개인 스토리지는 누군가가 공개로 만들어야 한다. 신청자들의 건강 데이터를 공개 방치하고 경고한 연구원을 무시한 것은 설정 오류를 유출 실패로 바꾼 것이다.

버킷은 테크크런치가 태터솔에게 이메일을 보낸 지 몇 분 만에 잠겼다. 보도 시점까지 BackNine은 유출 통지에 관한 테크크런치의 질문에 응답하지 않았으며, 테크크런치는 기업이 사이버 보안 사고를 공개하지 않을 경우 엄중한 처벌을 받을 수 있다고 언급했다.