마스터카드 DNS 설정 오류를 발견한 보안 연구원은 ‘잘라내기-붙여넣기’ 문제임이 거의 확실하다고 말했다. 마스터카드의 DNS 기록에는 거의 5년 동안 누락된 문자가 있었다. 이 오류로 서브도메인을 장악하고, 마스터카드 공식 사이트를 모방한 가짜 웹사이트를 만들어 고객을 속이고 민감한 개인정보를 빼돌리는 공격이 발생할 가능성이 있었다.

마스터카드는 크렙스온시큐리티(KrebsOnSecurity)에 보낸 성명서를 통해 DNS 결함을 확인하고 “문제를 확인한 후 시스템에 위험이 없음을 확인했다. 문자 누락 문제는 수정되었다”라고 밝혔다.

그러나 이 오류를 발견한 보안 연구원은 문자 누락보다는 잘라내기-붙여넣기 오류에 더 가깝다고 말했다.

보안 업체 서럴리스(Seralys) 최고 해킹 책임자 필리프 카터리글리는 DNS 기록에서 “.net”으로 끝나야 할 주소가 “.ne”으로 끝난다는 점이 문제라고 지적했다.

카터리글리는 DNS 문자열의 특성과 길이로 인해 데이터를 전송할 때 잘라내기-붙여넣기 기능을 사용했을 가능성이 높다고 말했다. 데이터를 옮기는 사람이 조심하지 않으면 잘라내기-붙여넣기 기능으로 문자열의 끝이나 시작 부분에 한 글자가 누락되는 경우가 종종 있다.

사이버보안 문제를 일으키는 것으로 알려진 여러 가지 요인이 결합해 문제는 더욱 복잡해졌다. 서드파티 위험과 마스터카드의 서브도메인이 아니었던 서브도메인 때문이다. 문제는 인터넷 서비스 업체 아카마이의 공유 DNS 서버 다섯 개 중 하나를 잘못 지정한 것이었는데, 마스터카드 네트워크의 일부에 대한 트래픽을 지시하고 잘못된 주소로 요청을 전송한다.

카터리글리에 따르면, 키 입력과 붙여넣기는 또 다른 서드파티인 CSC라는 회사가 처리하고 있었다. 아이러니하게도 CSC는 “도메인 이름 및 DNS 하이재킹 등 사이버 위협과 관련된 사이버보안 위험을 관리하고 완화하는 회사”라고 소개하고 있다.

또 다른 보안 책임자인 CIP CEO 앤디 젠킨슨은 마스터카드의 문제를 검토한 후 “끔찍하다”라고 평가했다.

젠킨슨은 “마스터카드의 보안팀이 무엇을 하는지 잘 모르겠지만, 기본적인 보안 수준은 확실히 아니라고 생각한다. 지난 5년 동안 이 문제가 발견되지 않았던 것은 품질 관리가 제대로 이루어지지 않았음을 의미한다. 인적 오류와 감독이 원인이다. 확인해야 한다고 생각하는 사람조차 없었던 것”이라고 말했다.

CSO는 마스터카드에 의견을 구했지만, 마스터카드는 기한 내에 답변하지 않았다.

카터리글리는 링크드인 게시물에서 조사 결과를 공개하며 CISO와 IT 리더에게 “DNS 레코드를 다시 한번 확인하라(오타 하나로 중간자 공격, 피싱, 데이터 가로채기 등의 위험에 노출될 수 있기 때문). 네임서버가 지정하는 도메인을 통제하지 않으면 공격자가 악용할 수 있다”라고 요청했다.

마스터카드 DNS 설정의 특성상 사이트 방문자가 가짜 주소로 이동하는 것은 5번 중 1번 정도에 불과할 것이라는 것이 카터리글리의 설명이다. 그러나 마스터카드가 끌어들이는 트래픽의 양을 고려할 때, 20%만 되어도 피해자 규모가 적지 않음을 의미한다.

카터리글리는 “솔직히 말해 단지 하위 도메인에 불과했다. 확인한 바로는 애저 서비스에 사용된 그 하위 도메인에는 메일 서버가 없었다”라고 말했다. 그러나 “최종 사용자는 무엇이 어디로 가는지 알 수 없다. 단순히 DNS를 신뢰할 뿐”이라고 강조했다.

문제는 이런 종류의 잘라내기-붙여넣기 오류는 매우 쉽게 발생하고, 문자열의 특성상 오류를 감지하기 어렵다는 것이다. 더 나쁜 것은, 즉시 감지되지 않으면 오류는 장기간 그대로 남아 있을 수 있다는 것이다. 마스터카드가 경험했다.

카터리글리는 “구성에 명백한 실수가 있는지 지속적으로 확인해야 한다. 그러나 DNS의 경우, 일단 구성되면 오류가 발생하지 않아서 구성을 확인해야 문제를 알 수 있다. 도구에 의존할 수만도 없다. 도구에도 오류를 보여주는 로그가 없을 것이고 문제가 나타나지 않을 것이기 때문”이라고 강조했다.
dl-itworldkorea@foundryco.com