인터넷 역사 속 한구석에 잠들어 있는 마이스페이스(MySpace)는 사실상 최초의 대형 소셜 네트워크 서비스였습니다. 수백만 명의 활성 사용자를 보유하며 문화적으로도 지대한 영향을 미쳤죠. 릴리 앨런(Lily Allen), 캘빈 해리스(Calvin Harris), 아델(Adele)처럼 이곳에서 팔로워와 커리어의 발판을 마련한 사람도 있었지만, 대부분의 사용자는 재미있는 배경화면을 고르고 개성 넘치는 자기소개를 작성하는 것으로 만족했던 기억이 납니다.
마이스페이스는 이제 거의 잊혔습니다. 즉, 대중의 관심사 중심에서 한 걸음 물러난 상태라는 뜻입니다. 페이스북과 트위터에 그 자리를 내주었지만, 놀랍게도 서비스는 여전히 운영 중입니다.
그런데 더 심각한 문제는, 마이스페이스가 당신을 잊지 않았다는 사실입니다. 그리고 당신의 모든 개인 정보를 유출하고 있을지도 모릅니다.
무엇이 되돌아와 당신을 괴롭히는가?
요즘 주요 웹사이트들의 보안 점검은 대체로 꽤 탄탄합니다. 비밀번호를 안전하게 보호하고 개인 데이터를 철저히 숨기기 위한 적절한 조치들이 갖춰져 있으니까요. 원래 그래야 하는 것이죠.
그러나 마이스페이스 전성기 이후로 해커가 오래된 계정에 접근해 통제권을 빼앗기 위해 필요했던 것은 단 세 가지뿐이었습니다. 바로 실명, 사용자 이름(아이디), 생년월일입니다. 비밀번호는 물론이고 이메일 주소를 통한 본인 확인조차 필요하지 않았습니다.
이 보안 취약점은 '계정 복구(Account Recovery)' 페이지에서 비롯되었습니다. 회사 입장에서는 구직자들을 끌어모으기 위한 리브랜딩을 진행하는 중이라 예전 사용자들의 계정 복구가 필수적인 만큼, 이 부분에 훨씬 더 많은 고민이 필요했습니다.
복구 요청이 접수되면 최소한 해당 이메일 주소로 인증 메일을 발송한 뒤 접근을 허용해야 하는 것 아닌가요? 하지만 실제로는 누구나 쉽게 알아낼 수 있는 정보만으로 충분했습니다.
이름은 말할 것도 없이 찾기 쉽고, 사용자 이름 역시 프로필 URL에 그대로 노출되어 있습니다. 물론 본인조차 이미 잊어버렸겠지만요! 생년월일 역시 각종 데이터 유출 사건(뒤에서 다시 언급하겠습니다)이나 페이스북을 통해 알려질 수 있습니다. 후자는 소셜 네트워크에 어떤 정보를 제공했는지, 그리고 프라이버시 설정을 어떻게 해두었는지에 따라 좌우됩니다.
그렇다면 무엇이 문제인가?
더욱 분노할 일은, 마이스페이스는 이 문제를 몇 달 동안 알고 있으면서도 아무런 조치를 취하지 않았다는 점입니다. 주요 언론에서 악재성 보도가 나오기 전까지는요. 현재 해당 URL은 로그인 페이지로 리다이렉트되고 있지만, 이것으로 결코 이상적이라고 할 수는 없습니다.
그리고 그 자체로도 주목할 가치가 있는 대목입니다.
이 취약점을 폭로한 공신은 포지티브 테크놀로지스(Positive Technologies)의 리앤 갤러웨이(Leigh-Anne Galloway)에게 돌아갑니다. 그녀는 지난 4월 처음 이 문제를 발견하고 마이스페이스에 신고했습니다. 그러나 받은 답변이라곤 자동 응답 이메일 한 통이 전부였죠. 3개월이 지난 후 그녀는 "세상이 알 권리가 있다"며 문제를 공개했고, 그제야 마이스페이스는 실질적인 조치에 나섰습니다.
"그래서 뭐가 큰일이라고"라고 생각하실 수도 있습니다. 굳이 지금 와서 그곳에 남아 있는 게 있을까요?
본질적으로 사이버 범죄자는 마이스페이스에 등록된 이메일 주소와 비밀번호를 변경함으로써 프로필에 대한 완전한 통제권을 장악할 수 있습니다. 이것이 바로 신원 도용(identity theft)입니다.
물론 그곳에 남아 있는 정보의 양이 방대하지는 않지만, 결코 무시할 수준은 아닙니다.
완전한 낯선 사람이 당신의 젊은 시절, 아마도 10대 시절의 사진을 열람할 수 있다면 어떤 기분이 드시겠습니까? 소름 돋지 않습니까? 거기에 불편한 자료가 하나라도 있다면, 그것이 당신을 공격하는 데 쓰인다면 어떨까요? 요즘은 연예인들의 과거 소셜 미디어 계정을 언론을 포함한 여러 업계가 샅샅이 뒤지는 일이 흔해졌습니다. 즉, 마이스페이스를 사람을 공격하는 데 활용할 선례는 이미 만들어진 셈입니다.
실제로 이 사이트는 목요일마다 특히 좋은 트래픽 수치를 기록합니다. 과거의 디지털 사진들이 '추억의 목요일(Throwback Thursday)' 명목으로 다시 소환되기 때문입니다.
여기에 더해, 생일·이메일 주소·전화번호 같은 개인 식별 정보(PII) 자체가 사기꾼들에게는 현금과 다름없는 가치를 지닙니다.
그럼 희망적인 소식은 없는가?
네, 다행스러운 소식이 분명 존재합니다. 다만 그마저도 단서가 붙어 있습니다.
당신의 옛 마이스페이스 계정은 이제 거의 알아볼 수 없는 모습일 겁니다.
리브랜딩 때문입니다. 마이스페이스는 음악 중심의 소셜 사이트로 완전히 탈바꿈했고, 모든 프로필의 개인화 설정은 사라졌습니다. 그러니 예전에 설정했던 그 민망한 배경화면이 무엇이었는지 추억하고 싶어도 이제는 불가능합니다. 좋아하는 책, TV 프로그램, 영화, 노래를 나열하던 'Top X' 리스트 같은 세부 정보들도 상당수 증발했습니다.
문제는, 그렇다고 프로필이 완전히 백지가 된 것은 아니라는 점입니다. 모든 개인 정보가 사라진 것은 아니며, 개인 식별 정보의 가치를 다시 한번 과소평가해서는 안 됩니다.
게다가 기본적인 정보만으로도 상당량의 데이터를 추론해낼 수 있습니다. 페이스북을 예로 들어보죠. 이 서비스는 당신이 활동적인 회원이든 아니든 당신에 대해 많은 것을 알고 있습니다. 따라서 해커는 그 정보만으로도 당신에 대한 꽤 정확한 평가를 내릴 수 있습니다. '디지털 섀도우(Digital Shadow)'는 비교적 적은 데이터만으로 당신에 대해 무엇을 추측할 수 있는지 보여주는 좋은 사례입니다.
그리고 마이스페이스는 생각했던 것만큼 죽어 있지도 않습니다. 2015년 11월 기준 미국 내에서만 5,060만 명의 고유 방문자를 기록했고, 4억 6,500만 개가 넘는 이메일 주소를 처리하고 있었습니다. 잠재적으로 노출될 수 있는 데이터가 어마어마한 규모인 셈입니다.
잠깐, 마이스페이스 최근에 곤란한 처지였던 적이 있지 않았나?
이것만으로도 충분히 나쁜데, 2016년의 또 다른 충격적인 사건—정확히는 2008년으로 거슬러 올라가는 사건—까지 겹치면서 마이스페이스의 이미지는 더욱 나빠졌습니다.
때로는 기업이 데이터 유출 사고에 대해 침묵하는 것이 오히려 나은 선택일 수도 있습니다. 하지만 마이스페이스는 대규모 유출을 당하고도, 우리는 그 사실을 해킹 발생 후 최소 3년이 지나서야 알게 되었습니다. 2016년, 이 소셜 네트워크를 통해 유출된 3억 6,000만 개가 넘는 이메일 주소와 4억 2,700만 개가 넘는 비밀번호가 판매에 나오면서 처음 세상에 알려진 것입니다.
원래 해킹은 2008년부터 2013년 사이 어느 시점에든 일어났을 가능성이 있습니다.
마이스페이스를 사용한 적이 있다면 haveibeenpwned.com에 방문해 보세요. 이 사이트는 내 데이터가 유출 사고에 포함되어 있는지 알려줍니다. 그때 마이스페이스 가입에 사용했던 이메일 주소가 기억난다면 직접 입력해 보세요. 결과에 깜짝 놀라실지도 모릅니다.
당시 타임사(Time Inc.)의 부사장 겸 최고재무책임자였던 제프 베어스토우(Jeff Bairstow)는 사용자들을 이렇게 안심시켰습니다.
"우리는 고객 데이터와 정보의 보안 및 프라이버시를 극도로 중요하게 생각합니다. 특히 악의적인 해커들이 날로 정교해지고 모든 산업군에서 유출 사고가 너무나 흔해진 이 시대에는 더욱 그렇습니다. 저희 정보 보안 및 프라이버시 팀은 마이스페이스 팀을 지원하기 위해 할 수 있는 모든 것을 다하고 있습니다."
개인 정보가 소중하게 다뤄지고 있다고 들어왔습니다. 그런데 정작 이번 보안 취약점은 그 유출 사건 이후로도 그대로 방치되어 있었습니다.
유출된 비밀번호는 SHA-1(Secure Hashing Algorithm) 해시로 저장되어 있었습니다. 이 방식은 비밀번호를 다른 숫자 값으로 변환해 주지만, 실제로는 안전성이 떨어집니다. 솔팅(salting)과 느린 해시(slow hash)를 조합하는 것이 비밀번호 보호에 훨씬 우수한 방법입니다. 물론 완벽한 방법은 아니지만, 현재로서는 가장 좋은 수준입니다.
그러나 지금 와서 보면, 설령 마이스페이스가 더 강력한 비밀번호 보호 체계를 갖추었더라도 허술한 계정 복구 절차 하나면 모든 노력이 무의미해졌을 것입니다.
그래서, 지금 무엇을 해야 하는가?
이 모든 일은 인터넷 보안에 대해 무엇을 말해주고 있을까요?
마이스페이스는 대중에게 잊힌 대형 기업이 사용자 정보를 제대로 관리하지 않는 최신 사례일 뿐입니다. 이건 명백히 부족한 수준입니다. 사이트의 전성기가 지났는지 여부와 관계없이, 보안 조치는 항상 최신 상태로 유지되어야 합니다.
그렇다면 우리는 무엇을 할 수 있을까요? 우선 마이스페이스는 해당 페이지를 내린 상태이므로, 현재로서는 로그인 정보를 기억하지 못하는 한 네트워크에 접속할 수 없습니다. 사이트가 보안을 강화해 주기를 바랄 뿐입니다.
하지만 아직까지 신뢰하기 어려운 상황입니다. 마이스페이스 입장에서는 억울할 수 있지만, 계정 삭제를 권하는 것이 맞다고 판단했습니다. 실제로 리앤 갤러웨이 본인도 그렇게 했습니다. 그 이유는 충분히 납득할 만합니다. 어차피 마이스페이스로 돌아갈 생각이 없다면, 그곳에 남아 있는 모든 개인 정보를 삭제하는 것이 당연한 매너이자 자기 보호입니다.
이미 계정을 삭제하셨나요? 추가 유출이 걱정되시나요? 아니면 수많은 보안 사고를 겪은 지금, 이미 밖으로 나간 정보를 삭제한다고 해서 무슨 의미가 있을까요?