삼성 앱 개발자 토큰, 무방비로 노출돼 있었다

공급망 공격 우려

삼성전자의 앱과 서비스에 관련된 소스 코드, 자격증명, 개인 키 등 민감한 정보가 외부에 무방비로 노출돼 있던 사실이 알려졌다. Mossab Hussein(모사브 후세인)이라는 전문가에 의해 밝혀졌다.

삼성의 엔지니어들은 자사 도메인인 Vandev Lab에 호스팅된 GitLab(깃랩, 저장소 관리 프로그램)을 통해 코드를 공유하고 협업을 한다. 그런데 깃랩에 있는 프로젝트들이 암호도 없이 공개로 설정돼 있어서, 아무나 각종 프로젝트의 자료를 보고 다운로드할 수 있었다.

후세인은 그 중 하나의 프로젝트에서 AWS(아마존 웹 서비스) 계정에 대한 credentials(자격증명)을 발견했다. 이 계정은 S3(Simple Storage Service, 클라우드 저장소) bucket(저장소 단위, 폴더처럼 자료를 그룹화하는 역할을 한다) 100개 이상을 갖고 있는데, 여기에는 SmartThings와 Bixby에 관한 로그와 분석 데이터가 대량으로 들어있었다.

게다가 깃랩의 몇몇 개인 프로젝트들(위에서 말한 협업용이 아닌)의 개인 토큰들이 암호화되지 않은 채 저장돼 있었다. 후세인은 이 토큰들을 이용해 추가로 170여 개의 프로젝트에 접근할 수 있었다. 디지털 인증서도 노출됐으므로, 악의적인 해커였다면, 삼성 앱을 수정해 악성코드를 삽입할 수도 있었던 것이다.

삼성은 후세인에게, 그것들은 테스트용 파일일 뿐이라고 해명했지만, 후세인은 이를 반박했다. 그가 얻은 스마트씽스 앱은 4.10일에 구글 플레이에 등록된 것과 동일한 코드라는 것이다.

후세인이 삼성에 이 사실을 알린 건 4.10일이었는데, 삼성이 관련 토큰들을 무효 처리한 것은 4.30일이나 돼서 였다. 또한 삼성은 여전히 이 사건을 조사 중이며, 실제 외부에서 접근이 있었는지 증거를 찾고 있다고 밝혔다.

후세인은 이전에도 데이터 유출 건을 여럿 발견했는데, 이만한 규모의 기업에서 인프라를 이렇게 엉성하게 관리하는 것은 처음 봤다고 덧붙였다.


참고 자료

• Samsung spilled SmartThings app source code and secret keys