클로드 기업계정 유출 조사, 관리자 점검 순서

지금 관리자가 할 일은 경로 추측이 아니다

앤트로픽이 10월 31일 국내 기업용 클로드 계정 정보가 유출됐다고 개인정보보호위원회에 신고했고, 위원회는 사전 검토를 거쳐 정식 조사에 들어갔다. 현재까지 유출 신고된 계정은 100여 개로 파악된다. 일부 고객사에는 기업용 클로드 계정과 이름, 이메일 주소가 노출됐을 가능성이 있다는 안내문이 전달된 것으로 전해진다.

회사에서 클로드 팀이나 엔터프라이즈 계정을 관리한다면, 지금 필요한 것은 "어쩌다 뚫렸나"를 추측하는 일이 아니다. 노출됐을 수 있는 정보가 이름과 이메일이라는 사실을 전제로 계정을 점검하는 쪽이 훨씬 빠르고 실질적이다.

확인된 사실과 아직 모르는 것을 나누면

Photo by Walls.io on Unsplash

확인된 것은 세 가지다. 앤트로픽이 규제기관에 유출을 직접 신고했다는 점, 개인정보위가 조사에 착수했다는 점, 그리고 신고 규모가 100여 개 계정이라는 점이다. 노출 항목으로 거론되는 것은 계정 정보와 이름, 이메일이다.

아직 확정되지 않은 것이 더 많다. 유출 경로를 두고 외부 보안업체가 앤트로픽 내부 시스템에 무단 접근했다는 지목이 나오지만, 출처가 분명치 않고 앤트로픽이 자사 시스템 해킹을 공식 확인한 것도 아니다. 최종 피해 범위도 조사 결과가 나와야 한다. 참고로 지난 8월 불거진 계정 탈취 사고는 이용자 PC를 감염시킨 악성코드가 로그인 세션을 훔친 건으로, 앤트로픽은 당시 자사 서버가 아닌 이용자 PC가 원인이라고 설명했다. 이번 건은 그와 별개로 앤트로픽이 직접 유출을 신고한 사안이라는 점에서 성격이 다르다.

경로가 무엇이든 관리자 입장에서 대비는 같다. 이름과 이메일이 노출됐다면 이환수 단국대 교수가 지적했듯 피싱이나 계정 탈취 같은 2차 공격이 현실적인 위험이기 때문이다.

멤버, API 키, 연동, 로그 순서로 점검한다

점검은 피해가 번질 수 있는 입구부터 순서대로 보는 것이 효율적이다.

먼저 멤버 목록이다. 관리자 콘솔에서 현재 소속된 멤버와 각자의 권한을 확인하고, 모르는 계정이나 이미 퇴사한 사람, 불필요하게 관리자 권한을 가진 계정을 정리한다. 유출된 이메일로 가입을 시도하는 경우를 막기 위해 초대 승인 방식도 함께 점검한다.

다음은 API 키다. 클로드 API 키는 앤트로픽 콘솔에서 별도로 관리되며, 한 번 노출되면 사용량과 비용이 그대로 새어 나간다. 어디에 쓰이는지 설명되지 않는 키가 있다면 폐기하고 재발급한다.

그다음 연동 권한이다. 외부 앱 연동이나 OAuth, 업무 도구와의 통합 설정을 열어 현재 어떤 서비스가 계정에 접근할 수 있는지 확인하고, 쓰지 않는 연동은 해제한다. 노출된 계정 정보가 연동된 다른 서비스로 번지는 경로를 끊는 단계다.

마지막으로 사용 로그다. 접속 시간과 지역, 사용량에서 평소와 다른 급증이나 낯선 접속이 있는지 본다. 이상 징후가 보이면 해당 계정의 세션을 끊고 비밀번호를 바꾸게 한다.

공급사 공지를 받았다면 체크리스트

안내문이나 보안 공지를 받았을 때는 다음을 차례로 처리한다.

• 공지의 진위를 공식 경로로 확인한다. 유출 사고를 빌미로 한 사칭 피싱이 뒤따르는 경우가 많으므로, 메일 링크를 바로 누르지 말고 공식 사이트나 알려진 담당 채널로 확인한다.
• 노출 가능성이 있는 계정의 비밀번호를 바꾸고, 가능하면 2단계 인증이나 SSO를 적용한다.
• API 키를 재발급하고 이전 키를 폐기한다.
• 구성원 전체에 피싱 메일 주의를 공지한다. 노출된 이메일 주소로 그럴듯한 사칭 메일이 올 수 있다는 점을 알린다.
• 일정 기간 사용 로그를 모니터링하고, 개인정보위 조사 경과와 앤트로픽의 추가 안내를 확인한다.

조사 결과가 나오기 전까지는 경로를 단정하기 어렵다. 그래도 노출 정보를 전제로 입구를 하나씩 막아두면, 어떤 경로였든 2차 피해는 줄일 수 있다.

출처

1. 앤트로픽도 뚫렸다...국내 기업 계정 100여 개 유출