클라우드 쓰시나요? ‘이것’만 노출되면 해킹에 무방비

애플의 아이클라우드 해킹과 관련한 원인으로 해커들이 사용자 계정의 비밀번호를 뚫는 방법인 일명 '브루트 포스' 공격을 사용한 것으로 알려지고 있다.

미국 IT 전문매체들에 따르면 지난달 말 오픈소스 개발자 커뮤니티 '깃허브'에 애플의 내 아이폰 찾기 서비스를 공격하는 도구 '아이브루트'가 올라왔다.

아이브루트라는 도구는 가장 원시적이고 초보적인 해킹 방법으로 알려져 있는데 계정 사용자들의 비밀번호를 무작위로 만들어 대입하는 방식이다.

즉, 클라우드 서버 자체가 해킹당한 것이 아니라 클라우드 사용자의 아이디와 비밀번호를 알아내 당사자가 저장해 놓은 문서나 이미지, 동영상 등을 빼내갔다는 것.

◆ 아이디, 비밀번호 어떻게 알 수 있나?

가장 단순한 방법은 특정 사용자의 지인이 아이디와 비밀번호를 의도적으로 빼내가는 경우다. 이번 애플 아이클라우드 해킹 역시 유출된 정보가 유명 연예인의 사진이었다는 점을 감안하면 의도성을 배제할 수 없다.

또 다른 방법은 원시적인 해킹 도구를 사용하는 것. 사용자의 아이디와 비밀번호는 철저히 개인이 관리해야 하는 영역이다. 은행이나 증권 등 보안이 중요시되는 사이트에서는 보통 아이디와 비밀번호에 대한 가이드라인을 제공하고 있지만 대부분의 사이트에서는 특별한 가이드라인을 두지 않는다.

따라서 보통의 경우 사용자가 기억하기 쉬운 아이디와 비밀번호를 설정하게 된다. 대개의 경우 사용자가 자신의 이메일 주소나 이름으로 아이디를 사용하기때문에 해킹에 취약한 특징이 있다.

비밀번호 역시 사용자 개인이 자유롭게 설정할 수 있다. 이 역시 쉽게 기억하기 위해서 영문과 숫자 조합으로 구성된 비밀번호를 사용하는 경우가 많다. 이런 경우 모든 경우의 수를 차례로 대입해보는 무차별 공격 방식을 사용하면 뚫릴 가능성이 높다.

최근 일부 사이트에 한해 비밀번호를 특정 횟수 이상 틀리면 다시 발급받는 경우도 있지만 애플의 경우 이 방식을 사용하지 않는다.

◆ 클라우드 서비스, 안전한가? '복불복'

클라우드, 즉 구름에 나의 공간을 만들어 언제 어디서나 접근할 수 있다는 개념은 사용자에게 편리함을 제공해주고 있다.

많이 알려진 애플의 '아이클라우드', 구글의 '구글 드라이브'를 비롯해 국내도 네이버의 'N드라이브', 다음 클라우드 등을 비롯해 통신사들도 클라우드 서비스를 제공하고 있다.

이번 애플 아이클라우드처럼 사용자 계정이 해킹되지 않고 클라우드 서버 자체가 뚫릴 가능성은 없을까? 클라우드 서비스의 핵심은 서버 용량이 문제가 아니라 서비스를 제공하는 업체의 보안성 여부가 중요하다.

따라서 클라우드 서비스 제공 사업자의 보안이 취약하다면 얼마든지 해커들이 뚫어낼 수 있다. 미국의 유명 클라우드 업체인 드롭박스나 에버노트의 경우도 수차례 해킹 시도가 포착된 바 있었다.

이와 관련 국내 보안업체인 라온시큐어의 신동휘 박사는 "어떤 서비스든 사용자 스스로 철저한 비밀번호 관리가 중요하다"면서도 "클라우드 서비스를 제공하는 업체들은 해킹에 대비할 수 있는 구조화된 사용자 계정의 가이드라인을 제공해야 할 필요가 있다"고 말했다.