아이클라우드도 데이터 유출 버그 있었다

실시간 트래픽 노출

작년 4분기 쯤, 애플의 클라우드 서비스인 iCloud에 다른 사용자의 자료를 볼 수 있는 버그가 있었다. 애플은 이 사실을 공개적으로 알리지 않고 조용히 해결했다. 이 사실은 Melih라는 보안 연구자가 The Hacker News에 제보함으로써 알려졌다.

버그 내용은, 아이폰의 설정에서 지불 수단에 연결된 전화번호를 수정하기만 하면, 그 전화번호를 실제로 사용 중인 사람의 아이클라우드 파일 일부(특히 노트)를 볼 수 있다는 것이다. 저장된 파일 아무거나 볼 수 있는 것은 아니다. 버그를 이용 중일 때, 상대방이 보거나 작성 중인 즉 애플 서버와 교환 중인 데이터를 몰래 엿볼 수 있는 것이다.

예를 들어보자. 내 계정은 jj@icloud.com이고 전번은 12345이다. 혜린의 계정은 hh@icloud.com이고 전번은 56789이다. 내 아이폰 지불 수단 설정에서 전화번호를 56789로 설정하면, 혜린이 아이클라우드 노트에서 작성 중인 메모, 암호, 일기 등을 볼 수 있다.

더 심각한 것은, 전화번호를 입력하는 텍스트 박스는 입력 내용을 검증하지 않는다. 달랑 숫자 하나만 입력해도 된다. 그러면 그와 부분적으로 일치하는 무수한 전화번호 사용자의 데이터를 볼 수 있다.

애플은 이 사실을 Melih와 The Hacker News에 인정했지만, 버그의 존재 기간, 실제 피해 사례 발생 여부, 영향 받은 범위 등 세부 내용을 일체 밝히지 않고 있다. 사건이 너무 사소하든가 너무 크든가 둘 중 하나일 것이다.

클라우드 서비스 신뢰의 문제

근래 페이스북, 트위터 등 SNS에서 개인 정보와 비밀 포스트가 노출되는 등 정보 노출 사고가 많았다. 그러나 SNS는 기본적으로 가벼운 서비스다. 일부 비공개 포스트도 있지만, 기본적으로는 타인과 공개적으로 공유하며 즐기는 것이다.

반면 구글 드라이브, 아이클라우드 등 클라우드 서비스는 기본적으로 나만의 저장 공간이다. 일부 공유 기능은 부수적인 것이다. 고급 업무 데이터를 저장할 수도 있다. 이런 데이터가 유출된다는 것은 SNS에서의 유출과는 차원이 다르다. 우려되는 부분이다.


참고 자료

• iCloud Possibly Suffered A Privacy Breach Last Year That Apple Kept a Secret