Latest Posts Recent Comments 문의사항 신고하기 이용안내 이벤트 포인트 리스트 공지사항 관리자문의

공지사항

고정공지

(자유게시판에서 질문 금지) 질문하신 유저는 통보 없이 "계정정리" 될수 있습니다.

놀이터 일간 추천 베스트

놀이터 일간 조회 베스트


페이스북의 View As 기능 통해 접근한 해커들, 토큰 훔쳐내
영향을 입은 5천만 명만이 아니라 View As 기능 사용한 4천만 명에도 조치

[보안뉴스 문가용 기자] 페이스북이 현지 시각으로 9월 28일, 대단위 해킹 사고가 발생했다고 발표했다. 이 때문에 약 5천만 명이 피해를 본 것으로 밝혀졌다.


829555954_2269.jpg

[이미지 = iclickart]


해커들이 공격한 오류는 페이스북의 View As 기능에 있었다. View As 기능은, 페이스북 사용자들이 자신의 페이스북 프로파일이 타인의 눈에 어떻게 보이는지 확인할 수 있게 해주는 것이다. 하지만 여기서 버그를 발견한 해커들은 페이스북의 접근 토큰을 훔쳐내는 데 성공했다. 이 토큰이 있으면 계정을 장악하는 게 가능하다. 접근 토큰은 사용자들의 로그인 상태를 유지하는 데 있어 ‘디지털 열쇠’의 역할을 한다. 이게 있기 때문에 사용자들은 페이스북을 켤 때마다 로그인을 하지 않아도 된다.


페이스북은 이 취약점을 수정하고, 유관기관에 해킹 사실을 보고했다. 문제를 더 파악하는 동안 View As 기능을 잠시 중단시키기도 했다.


수사는 아직까지도 진행 중이다. 페이스북은 “여태까지 분석된 바에 의하면 작년 7월에 변경된 영상 업로딩 기능에서부터 공격이 시작된 것으로 보인다”고 설명했다. 이 변경 때문에 View As 기능에도 영향이 있었다고 한다. “공격자들은 먼저 이 버그를 발견하고, 이 버그를 통해 접근 토큰 하나를 훔친 후, 해당 계정을 중심으로 추가적인 공격을 펼쳐 다른 계정의 토큰들도 훔쳐낸 것으로 보입니다.”


페이스북의 제품 관리 부문 부회장인 가이 로젠(Guy Rosen)은 블로그를 통해 “이것 때문에 사용자들이 비밀번호를 변경할 필요는 없다”고 말했다. 페이스북이 이번 사건을 통해 영향을 받은 5천만 명의 페이스북 계정의 보안 토큰을 리셋시켰기 때문이다. 뿐만 아니라 View As 기능을 통해 프로파일을 열람한 경험이 있는 사용자 4천만 명의 계정에도 같은 조치를 취했다.


그러므로 20억에 달하는 페이스북 사용자들 중 약 9천만 명이 계정 로그인을 새롭게 해야 한다. 페이스북 계정을 가지고 로그인을 하는 모든 웹 서비스와 앱들도 마찬가지다. 새로 로그인을 하면 이번 해킹 사고와 관련된 공지 사항이 나타나는 걸 볼 수 있을 것이다.


로젠은 “앞으로의 조사 과정에서 페이스북이 더 많은 피해 계정을 발견할 경우, 접근 토큰을 곧바로 리셋시킬 것”이라고 약속했다. 혹시나 하는 마음에 로그아웃을 하고자 한다면, 페이스북의 Security and Login 옵션을 통해 로그인 되어 있는 모든 웹 서비스와 장비들을 확인할 수 있다. 


아직 이 사건에 대한 수사는 초기 과정에 있다. 그러므로 페이스북은 “아직 이 공격을 실시한 자가 누구인지 파악하지 못하고 있다”고 한다. 하지만 페이스북의 사용자 5천만 명이 해킹을 당했다는 소식은 다른 산업의 전문가들을 놀라게 하고 있는 듯하다. 특히 View As 기능에서의 버그를 진작 발견하지 못한 것을 이해할 수 없다는 반응이다.


보안 업체 콤패리테크(Comparitech)의 프라이버시 고문인 폴 비쇼프(Paul Bischoff)는 “페이스북처럼 인기가 높은 서비스도 없는데, 페이스북 내부 보안 전문가들은 물론이고 외부의 수많은 화이트 해커들이 이 문제를 한 번도 발견한 적 없다는 게 놀라울 뿐”이라고 말했다. 그러면서 “이 문제가 얼마나 오래된 것인지, 해커들은 어느 시점에 이 버그를 발견한 것인지가 궁금하다”고 덧붙였다



3줄 요약
1. 페이스북 해킹 당해 5천만 명 사용자가 피해 입다.
2. 해커들은 View As 기능에서 오류 발견해 계정 접근 토큰을 훔쳐냈다.
3. 아직 수사는 초기 단계. 공격 배후에 대해서는 아직 알려지지 않음.


https://www.boannews.com/media/view.asp?idx=73331

자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
­

의견쓰기::  상업광고, 인신공격,비방, 욕설, 아주강한음담패설등의 코멘트는 예고없이 삭제될수 있습니다. 회원정리 게시판

profile

강글레리

2018.10.01 09:19
가입일: 2016:06.22
총 게시물수: 1186
총 댓글수: 2868

토큰을 오매에서 다시 볼줄은 몰랐습니다^^;

갈색 빛깔나는 토큰도 있었는데 말이죠^^

profile

누룽지

2018.10.01 16:18
가입일: 2018:06.27
총 게시물수: 6
총 댓글수: 187

역시 이런것들은 아예 사용하지 않는게 정답인지도...

profile

anfy

2018.10.02 00:18
가입일:
총 게시물수: 6
총 댓글수: 673

저는 바로 페이스북 계정 삭제했습니다.

토큰이...ㅋㅋ

profile

무심

2018.10.07 00:27
가입일: 2018:10.04
총 게시물수: 12
총 댓글수: 1882

이제는 잘 사용안해서~

profile

강파치노

2018.10.11 09:47
가입일: 2018:10.11
총 게시물수: 28
총 댓글수: 620

저도 강글레리님과 같이 버스 토큰에 눈이가네요 ㅋㅋ

오래된 짐들속에 저 버스 토큰과 종이 버스표가 남았을테니 한번 찾아봐야겠네요 

List of Articles
번호 제목 글쓴이 날짜 조회 수sort
공지 보안 게시판 신설 file + 8 Op 2016-10-16 565
470 보안 소식 금융시장 불안에 살아난 비트코인, 1년만에 1000만원 탈환 돌까루 05-28 25
469 보안 소식 [3.30 버그리포트] CVE-2017-7320 外 + 3 ordo 04-01 29
468 보안 소식 "삼성 스마트폰은 디지털 금고" 돌까루 05-27 29
467 보안 소식 유니클로 모회사, 사이버공격당해 46만명 이상 고객 데이터 유출 kargans 05-27 30
466 보안 소식 새로운 인텔 부채널 보안취약점, 좀비로드에 대한 리눅스 진영의 대응 kargans 05-27 32
465 보안 소식 해커들 귀가 쫑긋! DNS 하이재킹 선호도가 높아지는 이유 + 5 ordo 03-30 33
464 보안 소식 “올해도 여전히…” 새해 벽두부터 찾아오는 ‘악성코드’ 주의 + 6 크로커스 01-03 35
463 보안 소식 신년, 간략히 짚어보는 버그바운티의 역사와 미래 file + 7 따봉 01-02 37
462 보안 소식 실수든 고의든, 해결책 묘연한 내부자 위협 + 4 ordo 04-01 37
461 보안 소식 2017년 보안 분야에서 주목해야 할 5가지 file + 7 따봉 01-02 39
460 보안 소식 방글라데시 은행 해킹 용의자 ‘Lazarus’가 북한? + 4 ordo 04-05 39
459 보안 소식 어수선한 연말연시! 국내 웹사이트 휘젓는 청소년·외국 해커들 file + 8 따봉 12-23 40
458 보안 소식 “2017년, CCTV통합관제센터의 지능화 구현에 역점” file + 7 따봉 12-30 42
457 보안 소식 토픽브리핑 | IoT의 성장과 분화된 시장, 그리고 보안 루시드림 03-18 42
456 보안 소식 크리스마스에도 못 쉬는 사람들, 내년엔 좀 나아질까? file + 8 따봉 12-26 43
455 보안 소식 中, 연말 보안취약점 57% 급증...바이러스 감염기기 15% 늘어 file + 7 따봉 12-26 43
454 보안 소식 2017년 사이버 보안, 대담한 예측 6가지 file + 6 따봉 01-02 43
453 보안 소식 英 국가 사이버보안 센터, 설립 첫 달에 총 86번 공격 당해 file + 6 따봉 01-04 43
452 보안 소식 TA505 해킹조직, 피싱 메일 살포해 악성 설치파일 유포중...주의 kargans 05-27 43
451 보안 소식 2017년 3大 보안 키워드: 랜섬웨어와 IoT, 그리고 클라우드 file + 7 따봉 01-02 44
450 보안 소식 2016년 보안관제 시장 결산 키워드: 인력양성·지능형 file + 10 따봉 12-19 45
449 보안 소식 보안’은 쏙 빠진 ‘웹 호환성 우수 사이트’ 이대로 괜찮나 file + 7 따봉 01-02 45
448 보안 소식 올 하반기 보안업계 M&A와 MOU 보니...2017년 트렌드 보인다 file + 7 따봉 12-27 46
447 보안 소식 글로벌 보안 솔루션 웹사이트 통한 악성코드 유포 정황 포착 + 3 ordo 04-09 46
446 보안 소식 물리보안업계 M&A, 신성장 동력 마련 위한 결단인가 file + 6 따봉 12-27 47