독일어에 '샤덴프로이데(Schadenfreude)'라는 재미있는 단어가 있습니다. 영어로 직역하기 어려운 독특한 단어로, 대략 '타인의 불행에서 느끼는 기쁨'을 뜻합니다. 최근 애슐리 매디슨(Ashley Madison)에 벌어진 일들을 보며 느끼는 감정을 딱 이 단어 하나로 요약할 수 있겠습니다.
모르시는 분들을 위해 설명하자면, 애슐리 매디슨은 부부 외도를 중개하는 데 특화된 데이팅 사이트입니다. 3,700만 명이 넘는 회원이 등록된, 이른바 '바람기의 페이스북'이라 할 수 있죠. 다른 데이팅 사이트와 마찬가지로, 회원의 압도적 다수(90~95%)가 남성이었습니다.
해커 집단 '임팩트 팀'의 공격
여기서부터 샤덴프로이데가 시작됩니다. 애슐리 매디슨은 얼마 전 '임팩트 팀(Impact Team)'이라는 정체불명의 해커 그룹에게 해킹당했습니다. 이들은 부정행위 웹사이트(그리고 자매 사이트인 Established Men과 Cougar Life)를 폐쇄하지 않으면 전체 데이터베이스를 유출하겠다고 협박했습니다.
애슐리 매디슨의 운영사인 에이비드 라이프 미디어(Avid Life Media)는 이 요구를 거부했습니다. 그리고 그날 오전, 사이트의 데이터 9GB가 토르(Tor) 다크넷 사이트에 통째로 공개되었습니다. 여기에는 사용자 이름과 이메일은 물론, 내부 이메일, 회사 문서, 성적 취향, 신상 정보, 심지어 GPS 위치까지 모든 것이 담겨 있었습니다. 아찔하죠.
애슐리 매디슨 유출 사건에 휘말렸다면, 진심 어린... 넬슨 먼츠(Nelson Muntz) 스타일의 "하하!"를 보내드립니다. 솔직히 말해 저는 크게 동정심이 들지 않습니다. 하지만 그래도 보안 칼럼니스트로서 몇 가지 알려드려야 할 것이 있습니다.
비밀번호를 즉시 변경하세요
애슐리 매디슨은 철저하게, 완벽하게 해킹당했습니다. 이건 부정할 수 없는 사실입니다. 하지만 그들이 상당히 합리적인 보안 절차를 갖추고 있었다는 점은 인정해야 합니다.
특히 비밀번호는 bcrypt로 난독화되어 있었습니다. bcrypt는 가장 안전한 단방향 해싱 알고리즘 중 하나입니다. 비밀번호를 평문으로 저장하거나, 사실상 무용지물인 MD5 해싱 알고리즘을 사용하지 않은 점은 다행스러운 일입니다.
bcrypt 비밀번호를 해독하는 데 필요한 연산 능력은 어마어마합니다. 즉, 안전하고 복잡한 비밀번호를 사용했다면 해독될 가능성은 상대적으로 낮습니다. 하지만 흔하거나 취약한 비밀번호를 사용했다면, 곧 비밀번호가 공개될 것이라 예상해야 합니다.
어느 쪽이든, 애슐리 매디슨에서 사용했던 비밀번호를 다른 사이트에서도 사용했다면 즉시 변경하고 다시는 사용하지 않는 것이 좋습니다.
신용카드 문제를 생각하세요
유출된 데이터에는 2007년까지 거슬러 올라가는 금융 거래 기록이 포함되어 있었습니다. 여기에는 이름, 주소, 이메일, 결제 금액이 포함되었지만, 신용카드 번호 전체는 없었습니다. 각 기록에는 4자리 숫자가 있는데, 이는 거래 코드이거나 신용카드 마지막 4자리로 추정됩니다.
이것 자체는 큰 문제가 아닙니다. 카드 번호 마지막 4자리만으로 할 수 있는 일은 많지 않으니까요. 하지만 일부 업체는 실제로 이 4자리 숫자로 본인 인증을 허용합니다.
2012년에 Wired 칼럼니스트 맷 호넌(Mat Honan)이 디지털 생활 전체가 초토화된 사건을 기억하시나요? Apple 메일부터 구글 계정까지 모든 것이 해킹당했고, 맥북과 아이폰조차 원격으로 초기화되었습니다.
이것이 가능했던 이유는 Apple이 청구지 주소와 등록된 신용카드 마지막 4자리만으로 본인 인증을 허용했기 때문입니다.
다소 편집증적일 수 있습니다. 뭐, 저는 종종 그렇다는 소리를 듣곤 합니다. 하지만 제가 애슐리 매디슨 해킹에 휘말렸다면, 즉시 카드를 정지하고 온라인 계정에서 연결을 해제할 겁니다.
대가를 치를 각오를 하세요
여기서 강조하고 싶은 것이 있습니다. 애슐리 매디슨 해킹에 휘말렸다면, 당신의 삶과 성적 취향에 관한 사적이고 친밀한 세부 정보가 공개되었다는 사실을 받아들여야 합니다. 한때 개인적인 것이었던 정보가 이제 전 세계가 볼 수 있게 된 것입니다. 이건 감수해야 할 현실입니다.
과거 데이팅 사이트가 해킹당했을 때, 사용자들이 끊임없이 괴롭힘을 당하고 디지털 생활이 완전히 뒤엉킨 사례가 있었다는 점도 짚고 넘어갈 가치가 있습니다.
2009년 4chan 이용자들이 익명의 기독교 소셜 네트워크를 해킹했을 때, 이메일과 비밀번호를 탈취했습니다. 이를 통해 페이스북 계정에 접근해 소유주를 곤란하게 만들기 위해 외설적이거나 인종차별적인 메시지를 게시했습니다.
저는 그때도 그랬고 지금도 그런 행위에 동의하지 않습니다. 하지만 이번에도 비슷한 일이 벌어지더라도 전혀 놀라지 않을 겁니다.
CSO Online에 따르면, 유출 데이터에서 미국 정부 및 군 이메일 약 14,000건이 발견되었습니다. 영국 일간지 더 텔레그래프(The Telegraph)는 수십 건의 .gov.uk 이메일이 있다고 보도했습니다. 해당 목록에 있다면 직장에서 곤란한 처지에 놓일 수 있다는 점을 각오하세요.
지금쯤이면 SQL을 다룰 줄 아는 누군가의 도움을 받아 유출된 데이터를 샅샅이 뒤지는 타블로이드 기자들이 있을 가능성이 높습니다. 그들은 연예인과 정치인을 찾고 있을 겁니다. 공인이면서 애슐리 매디슨을 사용했다면, 철저하고 공개적으로 망신을 당할 것을 각오해야 합니다.
비록 최근 Gawker에서 본 것처럼, 그게 좋은 일은 아닐 겁니다.
존 론슨(Jon Ronson)의 훌륭한 저서 『So You've Been Publicly Shamed』(혹은 그의 최근 TED 강연)를 읽어본 사람이라면 누구나 알겠지만, 우리 모두는 집단적 분노와 공개적 망신에 놀라운 역량을 지니고 있습니다.
관계 회복을 시작하세요
애슐리 매디슨 회원이었다면, 집에서 곤란한 처지에 놓였을 가능성이 높습니다. 당신에게는 나쁜 소식이지만, 몇몇 사람들에게는 좋은 소식입니다:
첫째, 사과해야 합니다. 배우자가 말을 하지 않는다면, 이메일로 사의를 표하는 것도 방법입니다. 아니면 로빈 시크(Robin Thicke)처럼 앨범 한 장을 통째로 바칠 수도 있겠죠.
꽃다발도 무난한 선택입니다. 1-800 Flowers의 '애슐리 매디슨 패키지'를 살 여유는 없겠지만, 아이폰으로 정성 어린 꽃다발과 카드를 보낼 수는 있습니다.
그래도 안 되고 며칠간 집을 나가야 한다면, 호텔 검색 엔진 10곳을 확인해보세요.
상황은 더 복잡해질 겁니다
글을 쓰는 시점 기준으로, 애슐리 매디슨 유출 데이터가 온라인에 올라온 지 약 12시간이 지났습니다. 아직 초입입니다. 앞으로 한 주 동안 더 많은 공개적 망신, 더 많은 파혼과 경력 단절이 있을 것으로 예상합니다. 정말로 지저분해질 겁니다.
이미 유출된 데이터에 접근을 돕는 사이트들이 등장했습니다. ashmadlookup.com은 이메일이 데이터베이스에 있는지 간단히 확인해줍니다.
haveibeenpwned.com도 있습니다. 이곳은 조금 다른 접근 방식을 취합니다. 데이터가 지나치게 민감하기 때문에, 이메일 주소를 인증한 사람만 데이터에 접근할 수 있습니다.
그렇다면 임팩트 팀이 당신에게 하는 충고는 무엇일까요?
"여기에 자신이 있습니까? 당신을 배신하고 속인 것은 ALM입니다. 그들을 고소하고 손해배상을 청구하세요. 그리고 삶을 계속 나아가세요. 교훈을 얻고 잘못을 만회하세요. 지금은 창피하지만, 곧 극복할 수 있을 겁니다."
반박할 수 없는 말입니다. 애슐리 매디슨은 고객을 보호하는 데 체계적으로 실패했습니다. 몇 달 내로 법정에 서게 될 것이라 의심하지 않습니다.
여러분의 이야기를 들려주세요
애슐리 매디슨 유출 사건의 피해자이신가요? 피해를 입은 지인이 있으신가요? 이야기하고 싶으신가요? 아래 댓글로 의견을 남겨주세요.
사진 출처: Keys on Keyboard (Intel Free Press), How Many Credit Cards Should I Have? (Mighty Travels)