유비퀴티의 '치명적 침해'는 자사 엔지니어의 50비트코인 갈취 음모였다

2021년 1월 10~11일, 유비퀴티는 고객들에게 이메일을 보내 무단 제3자가 '제3자 클라우드 제공업체가 호스팅하는 정보기술 시스템'에 접근했으며, 고객 데이터(이름, 이메일, 단방향 암호화된 비밀번호, 주소, 전화번호)가 노출되지 않았다고 확신할 수 없다고 밝혔다. 이 이메일에는 오타가 있어 많은 수신자가 피싱으로 여겼고, 회사는 커뮤니티 포럼에서 진위를 확인해야 했다. 주가는 하락했고, 독일 BSI는 사용자들에게 자격 증명을 변경하라고 권고했다.

2021년 3월 30일, 유비퀴티는 후속 조치를 내놓았다. 공격자가 소스 코드와 IT 자격 증명을 보관한 자사의 AWS 호스팅 서버에 접근했지만 고객 데이터는 '표적이 아니었다'는 것이었다. 모든 사용자에게 비밀번호 재설정과 2단계 인증 활성화를 촉구했다. 같은 주에 익명의 '내부고발자'가 보안 기자들에게 이 침해가 치명적이며 은폐되고 있다고 말했다. 유비퀴티의 주가는 이틀 만에 376.78달러에서 298.30달러로 약 20% 하락했다.

이 음모는 2021년 12월 1일 맨해튼 연방 검찰이 유비퀴티 엔지니어 니콜라스 샤프를 기소하면서 드러났다. 2020년 12월 다른 직장에 지원한 후, 그는 자신의 관리자 VPN 자격 증명을 사용해 회사의 AWS 및 GitHub 계정에서 기가바이트 단위의 데이터를 내려받고, 로깅을 제한하는 AWS 정책을 적용하고, 자신의 VPN 세션 기록을 삭제한 것으로 알려졌다. 그러나 순간적인 연결 끊김이 그의 가정용 IP 주소를 유출했다. 그는 2021년 1월 10일까지 50비트코인을 요구한 익명의 '해커'였으며, 거절당하자 데이터를 유출하고 내부고발자로 위장했다.

주가는 이틀 만에 377달러에서 298달러로 하락했고, 독일 BSI는 고객들에게 비밀번호를 변경하라고 권고했으며, 명예훼손 소송과 언론 정정이 뒤따랐다.

한 엔지니어의 정당한 관리자 자격 증명이 소스 코드, 클라우드 저장소, 보안 설정 등 모든 것에 접근할 수 있었고, 직원과 핵심 자산 사이에 내부자 보호 장치가 없었다.

로깅은 불변이 아니었다. 샤프는 AWS 정책으로 로깅을 제한하고 자신의 VPN 기록을 지웠기 때문에 회사는 실제로 무슨 일이 있었는지 확인할 수 없었다.

회사는 사건을 규명하기 전에 공개했고, 오타투성이의 '접근되었을 수 있다'는 이메일은 피싱처럼 읽혔다. 그 공백이 공격자의 주장을 불러들였다.

관리자 자격 증명을 가진 내부자는 어떤 해커보다 큰 위협이다. 로그를 불변으로 유지하고, 관리자 접근을 차단하며, 공개 전에 사실을 확립하라. 공백은 가장 크게 거짓말하는 자에 의해 채워진다.

샤프는 2021년 12월 1일 체포되어 데이터 절취와 자사 고용주 갈취 혐의로 기소되었으며, 검찰은 그의 언론 보도 조작이 회사의 시가총액에서 수십억 달러를 날려버렸다고 밝혔다. 2022년 8월, 보안 블로거 브라이언 크렙스는 정정 기사와 사과를 게재했다. 그의 '내부고발자' 출처가 바로 범인이었던 것이다. 유비퀴티의 그에 대한 명예훼손 소송은 그해 9월 법정 밖에서 합의되었다. 이 사건은 어떤 보안 프로그램도 건너뛰어서는 안 되는 두 가지 통제, 즉 불변 감사 로깅과 내부자에 대한 특권 접근 제한의 표준 참고 사례가 되었다.