RedDoorz 운영사, 오래된 앱에 클라우드 키를 남겨 590만 고객 데이터 유출

RedDoorz 호텔 예약 사이트를 운영하는 싱가포르 기업 Commeasure는 2020년 9월 19일 미국의 사이버 보안 업체로부터 고객 데이터가 유출되었다는 사실을 통보받았다. 주로 인도네시아에서 온 동남아시아 고객 약 590만 명(싱가포르 고객 약 9,000명 포함)의 개인정보에는 이름, 연락처, 이메일, 생년월일, 암호화된 계정 비밀번호, 예약 정보가 포함되어 있었다. 해당 데이터는 해커 포럼에서 판매용으로 올라왔다. 마스킹 처리된 신용카드 번호는 접근되지 않았다.

싱가포르 개인정보보호위원회(PDPC)는 해커들이 Commeasure가 2015년에 만든 안드로이드 애플리케이션 패키지(APK)에 내장된 AWS 액세스 키를 이용해 회사의 아마존 클라우드 데이터베이스에 접근했을 가능성이 높다고 판단했다. 코드에 키를 내장하는 것은 AWS의 권고에 어긋나는 행위였고, 해당 키는 '테스트 키'로 잘못 표기되어 있었으며, 더 이상 사용되지 않는 것으로 간주된 APK는 유출 사실이 발견될 때까지 구글 플레이에서 계속 다운로드할 수 있었다.

APK가 폐기된 것으로 간주되었기 때문에, 2019년 9월부터 12월까지 Commeasure가 의뢰한 보안 검토 및 테스트에서 제외되었고, 해당 키가 발견되는 것을 막을 수 있었던 보안 도구에서도 빠져 있었다. PDPC는 이를 운영 중인 IT 자산 목록을 유지하는 데 있어서의 과실로 귀속시키고, 검토가 충분히 엄격하지 않았다고 밝혔다. PDPC는 2021년 11월 11일 판결에서 Commeasure에 S$74,000의 과징금을 부과했다.

약 590만 고객의 데이터가 유출되었고, PDPC는 2021년 11월 PDPA 사상 싱가포르 최대 데이터 유출 사건으로 Commeasure에 S$74,000의 과징금을 부과했다.

AWS 액세스 키가 앱 패키지에 직접 내장되어 있었으며, 이는 키를 코드에 넣지 말라는 AWS 자체의 권고에 어긋났다.

해당 키는 '테스트 키'로 잘못 표기되어 무해해 보이게 했다.

APK가 폐기된 것으로 간주되어 IT 자산 목록에 포함되지 않았고 2019년 보안 검토에서 제외되었다.

PDPC는 해당 APK가 검토 범위에 포함된 적이 없었기 때문에 정기 보안 검토가 이 취약점에 대해 무용지물이었다고 판단했다.

잊힌 자산도 여전히 공격 표면이다. '폐기된' 앱이나 키가 IT 목록에 없으면 모든 보안 검토의 범위 밖에 있게 되며, 공격자는 한 번만 찾아내면 된다.

PDPC는 S$74,000의 과징금을 정할 때 팬데믹이 호텔 업계에 초래한 어려움과 회사의 시정 조치를 고려했으며, 이는 당시 시행 중이던 최대 S$100만보다 훨씬 낮고 2018년 유출 사건으로 SingHealth와 IHiS에 부과된 합산 S$100만보다도 낮다. 사건 이후 Commeasure는 실시간 데이터베이스 접근을 화이트리스트 IP 주소로 제한하고 개발자 도구에 2단계 인증을 추가했다. 판결 시점까지 공동 창업자 한 명과 최고기술책임자를 제외한 모든 개발자가 회사를 떠났다.