최근 SNS로 인기를 얻고 있는 트위터(Twitter)가 크래커의 공격을 받고 있는데, 이 시점에 트위터 웹사이트의 관리자 계정이 침해되어 특정 사용자의 계정을 미리보기할 수 있는 것이 알려졌으며 최소한 10개의 개인 계정이 노출되었다고 공식적으로 확인되었습니다.

Korben이라는 블로그를 운영하는 Manuel Dorne는 크래커가 트위터의 제품 관리 책임자인 Jason Goldman의 계정에 접근할 수 있는 권한을 가진 해커의 소식과 이에 관련된 스크린샷을 공개했습니다. 스크린샷에는 트위터 관리자를 포함하는 계정들의 민감한 정보인 IP 주소와 메일 주소를 보이지 않게 처리했습니다만 손쉽게 Jason Goldman의 계정을 검색할 수 있었습니다.

13 장의 스크린샷을 통해 트위터에 관련된 계정을 보여 주었으며 특히 필요한 경우 트위터 계정을 추가할 때 새로운 구성원을 제안할 수 있돌고 하는 즉 관련된 사용자를 추가하거나 삭제할 수 있다는 점을 보여 주었습니다.

스크린샷에는 페레스 힐튼의 가십 블로그에 차단된 사용자를 보여 주었으며 특히 미 대통령인 버락 오바마의 홈페이지에는 96 명의 트위터 유저가 차단되었습니다. 게다가 누출된 페이지에는 차단된 사용자의 목록과 사이트에 대한 설정 값을 포함하고 있습니다.

(주: 트위터 홈페이지 관리자는 악성 댓글을 다는 등의 피해가 발생할 경우에는 방문자를 차단할 수 있습니다. 원래 차단한 내역은 관리자 이외에는 알기 어려우며 특히 차단된 사용자는 홈페이지의 컨텐트를 볼 수 없어 꽤 높은 차단 성능을 제공한다고 알려져 있었습니다.)

트위터 대표인 Biz Stone은 이러한 보안 침해 사고에 대해 "비밀번호에 관련된 정보와 개인끼리 주고 받은 메시지는 노출되거나 변조되지 않았으며 트위터는 이 사건을 통해 보다 진지하게 보안적 측면을 검토하고 있습니다. 또한 모든 내부 시스템의 독립적인 보안 감사 시스템 구축 뿐만 아니라 사용자의 데이터를 보호하기 위해 침입 방지에 관련된 수단을 마련 중"이라고 밝혔습니다.

트위터는  이들 사용자의 연락처는 모두 침해되었다고 언급했습니다.

이 사건을 처음 알린 Dorne은 admin.twitter.com을 사용하여 트위터 관리자 계정에 로그온할 수 있는 웹페이지가 노출되어 있어 트위터의 보안은 아주 형편없다고 느꼈다고 합니다. 트위터의 사용자ID는 다른 사람이 공개적으로 획득할 수 있어 이를 통해 비밀번호를 손쉽게 추측할 수 있습니다.

크래커는 먼저 트위터 관리자인 Goldman의 야후 계정을 해킹하여 트위터 계정에 접근할 수 있었다고 주장했습니다. 즉, 야휴의 계정이 바로 트위터의 관리자 계정이라는 의미로 비밀번호 찾기 질문에 응답함으로써 비밀번호를 초기화하였으며 메일 박스에 온 메일을 통해 비밀번호를 획득했다고 밝혔습니다. 크래커는 익스플로잇이나 XSS, 백도어, SQL 인젝션과 같이 최근 유행하는 공격 기법이 아닌 단순한 사회 공학적(Social engineering) 기법만으로 공격에 성공했으며 이러한 사항은 트위터의 공식 네트워킹 사이트를 통해 GOldman이 공식적으로 확인했다고 합니다.

아래는 노출된 스크린샷의 일부입니다.



트위터에서 Goldman의 계정이 복구된 화면입니다.

이러한 해킹 공격과 더불어 트위터는 사이트의 웹 프로그래밍 취약점을 이용하는 다단계의 웜 공격이 있었다고 밝혔습니다. 이에 대한 소식은 따로 하나의 기사로 나눠서 올릴 예정입니다.

http://www.tgdaily.com/content/view/42279/108/

reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus

    댓글을 달아 주세요



    Web Analytics Blogs Directory