美 Accenture 社, 고객의 민감 데이터 노출

개요

 

미국의 컨설팅 전문 기업인 Accenture 社, 대량의 고객 정보를 아마존 웹 서비스 S3 클라우드 서버에 저장하여 고객정보 노출(2017. 10. 11)

 

<그림1. 고객정보를 노출한 Accenture 社>

출처 : gbhackers (10.11)

   

주요내용

 

Accenture, 대량의 고객 데이터 노출 및 위험성

- Accenture는 고객 데이터를 보안되지 않은 상태로 4개의 아마존 웹 서비스 S3 클라우드 서버에 저장

- 보안 업체 UpGuard의 사이버 위험 분석가인 Chris Vickery는 Accenture 클라어드 서버에 회사 및 고객에 상당한 피해를 입힐 수 있는 보안 API 데이터, 인증서와 암호 해독키 등이 포함돼 있음을 밝힘

- 공격자가 KMS(Key Management System)의 암호키를 탈취하면 아마존 서버에 저장된 Accenture의 암호화된 데이터에 접근 가능

- 보안 전문가인 Kenneth White는 KMS의 암호키로 암호화되었던 자산이나 인프라는 손상된 것으로 봐야한다고 주장

 

<그림2. 노출된 고객명과 비밀번호>

출처 : Security Affairs(10.11)

Accenture는 고객 정보 노출로 인한 피해가 없다는 입장 고수

- 해당 이슈가 보고된 직후, 아마존 웹 서비스 S3에 노출된 데이터에 접근 차단

- 클라우드 서버에 민감한 고객정보는 없었으며 다중 계층 보안 모델로 데이터를 보호하기 때문에 손상이 없었을 것이라고 주장

- 해당 서버에 저장된 고객의 이메일과 비밀번호는 2년 반 이상이 된 자료로 폐기된 시스템의 데이터라고 밝힘

  

 

시사점

 

공격자는 노출된 키를 이용해 APT 공격을 수행하여 더 많은 정보를 수집이 가능하며, 이로 인해 2차 피해가 발생할 수 있음

기업은 데이터 암호화, 서버 접근 통제를 통해 고객 정보를 노출로부터 보호할 의무를 충실히 이행해야 함

[출처]

1. ZDNet, “Accenture left a huge trove of highly sensitive data on exposed servers”, 2017.10.10.

2. Security Affairs, “Accenture – Embarrassing data leak business data in a public Amazon S3 bucket”, 2017.10.11.

3. UpGuard, “System Shock: How A Cloud Leak Exposed Accenture's Business”, 2017.10.16.