Careem의 급속한 성장으로 1,400만 사용자의 데이터가 해커에게 노출됐다

Careem은 중동판 우버라 불린 두바이 기반의 차량 호출 앱으로, 걸프 지역에서 북아프리카, 파키스탄, 터키에 이르기까지 12개국 이상에서 빠르게 성장했다. 다른 플랫폼과 마찬가지로 수백만 고객과 그들을 태우는 운전기사의 개인 데이터를 보유하고 있었다.

2018년 1월 14일, Careem은 자사 시스템이 침해당한 것을 탐지했다. 해커들은 탑승객과 운전기사를 포함해 약 1,400만 명의 계정 데이터에 접근하여 이름, 이메일 주소, 전화번호, 운행 기록을 탈취했다. 이는 해당 지역에서 보고된 가장 큰 데이터 침해 사건 중 하나였다.

Careem은 침해 사실을 즉시 발표하지 않았다. 탐지 후 약 3개월이 지난 2018년 4월 23일에야 공개했으며, 조사에 시간이 필요했고 법 집행 기관 및 보안 전문가들과 협력했다고 밝혔다. 이 공백은 기업이 사용자에게 얼마나 빨리 알려야 하는지에 대한 통상적인 의문을 불러일으켰다.

이 사건은 빠르게 성장하는 플랫폼이 무엇보다도 먼저 데이터 표적이 된다는 점을 상기시킨다. Careem은 도시와 사용자를 늘리는 데 속도를 냈고, 그 성장과 함께 따라온 개인 정보는 공격자들에게 자산이 되었다. 교훈은 보안이 사용자 기반만큼 빠르게 확장되어야 하며, 공개 시점 자체가 대응의 일부라는 것이다.

Careem은 도시와 사용자를 늘리는 데 속도를 내며 방어 체계를 강화하는 속도보다 빠르게 개인 데이터를 축적했고, 침해를 탐지한 후 3개월 뒤에야 공개했다.

Careem이 여러 국가에 걸쳐 급속히 확장하면서 수백만 탑승객과 운전기사의 개인 데이터를 축적한 속도가 공격자에 대한 방어 체계를 강화하는 속도보다 빨랐다.

차량 호출 플랫폼은 풍부한 표적이다. 지리적으로 널리 분산된 대규모 사용자 기반의 이름, 연락처, 이동 데이터를 한곳에 보관하기 때문이다.

침해는 1월에 탐지되었지만 4월에야 공개되어, 영향을 받은 사용자들이 자신의 데이터가 탈취된 사실을 모른 채 지낸 3개월의 공백이 있었다.

탑승객과 운전자 모두의 데이터를 보유한 것은 노출 범위를 두 배로 늘렸고, 침해가 단순한 고객뿐 아니라 플랫폼을 통해 생계를 유지하는 사람들에게까지 미쳤음을 의미했다.

사용자를 늘리는 데 속도를 내는 플랫폼은 비즈니스만큼 빠르게 표적을 만들어 가고 있다. 개인 데이터는 성장 속도에 맞춰 보호되어야 하며, 침해가 발생했을 때 사용자에게 신속히 알리는 것도 해결의 일부다.

Careem은 계속 운영되었고 이후 우버에 인수되어 해당 지역 전반에 걸친 우버 사업의 핵심이 되었다. 이 침해 사건은 사용자 수가 마땅히 따라야 할 보안 및 공개 관행을 앞지를 수 있는 신흥 시장의 고성장 기술 기업들의 데이터 보안 논의에서 인용된다.