모바일 / 보안 / 애플리케이션 / 오피스ㆍ협업 / 클라우드

'해킹 피해' 에버노트 "원인과 배후 조사중 ··· SW 결함은 없었다"

John P. Mello Jr. | PCWorld 2013.03.05


해킹에 노출돼 에버노트 서비스 사용자 50만명에게 패스워드를 강제로 재설정하도록 한 에버노트가 자사의 모든 제품군을 업데이트했다. 
 
에버노트 대변인 론다 스콧은 "우리 제품 전반에 걸쳐 업데이트 버전을 발표했다"며 "보안이 강화된 계정 비밀번호로 변경하도록 알리는 메시지를 추가했고 이러한 프로세서를 더 간소화한 것이 주요 업데이트 사항"이라고 설명했다. 그는 "이번 해킹 공격의 사후 조치 관련해 사용자들이 해야 할 작업은 이것이 전부"라고 덧붙였다.
 
이번에 업데이트된 제품은 에버노트와 스키치(Skitch), 패널티미트(Penultimate), 에버노트 푸드, 에버노트 헬로, 에버노트 웹 클리퍼, 에버노트 클리어리, 에버노트 피크 등이다.
 
에버노트는 지난 2월 28일 자사 네트워크에 대한 해킹을 공식 확인했지만 3월 2일까지 이 사실을 사용자들에게 알리지 않았다. 에버노트의 CTO인 데이브 잉그버그는 블로그와 이메일을 통해 "에버노트의 운영&보안팀은 에버노트 네트워크에서의 수상한 움직임을 발견해 차단했다"며 "에버노트 서비스의 보안 영역에 침입하기 위한 조직적인 시도로 보인다"고 밝혔다. 이어 "사용자 데이터를 보호하기 위한 예방조치로 패스워드를 재설정하기로 결정했다"고 설명했다.
 
현재까지 에버노트는 이번 해킹 공격의 배후에 대해 어떤 정보도 공개하지 않고 있다. 스콧은 "아직은 아무것도 확실한 것이 없다"며 "내부 운영&보안 팀은 그 배후를 포함해 이번 공격에 대해 계속해서 조사하고 있다"고 말했다. 이어 "현재 조사가 진행중이기 때문에 더 자세하게 언급하는 것은 너무 이른 것"이라고 덧붙였다.

그러나 스콧은 이번 해킹이 자사 제품의 보안 취약점 때문에 발생한 것은 아니라는 것은 분명히 했다. 
그는 "이번 해킹은 에버노트 애플리케이션들이나 클라이언트 프로그램을 통해 이뤄지지 않았다"고 말했다.
 
현 시점에서 에버노트의 보안 정책 변화에 대해 이야기하는 것은 시기상조인 것으로 보인다. 스콧 역시 "여전히 분석을 진행하고 있기 때문에 향후 계획과 보안 정책 변화에 대해 밝힐 만한 것이 없다"고 말했다.
 
에버노트는 비정상적인 행동 패턴에 대한 지속적인 모니터링 이외에 사용자명과 패스워드 정보를 이른바 '솔티드 해시'(salted hash)로 알려진 암호 스키마로 보호하고 있다. 그러나 일부에서는 이러한 암호 스키마가 해킹에 대비하기에는 부족하다고 지적한다.

보안 전문가인 브라이언 크랩스는 "패스워드 해싱과 솔팅은 해커가 패스워드를 해독하는 것을 막는데는 효과적일 수 있지만 믿을 수 있는 보호 방안이라고 할 수는 없다"고 지적했다. 이어 "에버노트 측은 패스워드를 해싱하는데 어떤 스키마를 사용하는지 밝히지 않았지만 계에서 일반적으로 사용하는 방식은 눈깜짝할 사이에 해킹당할 수 있을 만큼 매우 취약하다"고 덧붙였다.
 
한편 에버노트 측은 사용자들에게 복잡한 구성의 패스워드를 사용하고 여러 사이트에서 이를 함께 사용하지 말도록 권유하고 있다. 패스워드를 일일이 관리하기 번거로울 수 있는데 이 때는 원ID, 키패스(KeePass), 로보폼 같은 프로그램을 이용하면 훨씬 간편하게 패스워드를 관리할 수 있다. editor@idg.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.