미확인 주장에 1,900만 계정 노출 거론된 가운데 Pathao, 개인정보 탈취 확인

정보 탈취 확인됐지만 규모는 아직 미상

Pathao는 10월 4일 방글라데시와 네팔에서 운영을 차질을 빚게 한 사이버 보안 사고로 공격자들이 일부 사용자의 이름, 이메일 주소, 전화번호를 입수했다고 확인했다. 다만 범죄자들이 19,063,918개 계정의 정보 133기가바이트를 탈취하고 공개를 막는 대가로 400,000 USDT를 요구했다는 훨씬 큰 규모의 주장은 확인하지 않았다.

이 구분은 중요하다. 일부 개인정보가 탈취된 사실은 Pathao가 인정했지만, 신원 확인 기록과 금융 거래, 비밀번호, 위치 데이터가 유출됐다는 주장은 여전히 확인되지 않았다. 회사는 피해자가 몇 명인지, 공격자들이 어떤 경로로 시스템에 침입했는지, 얼마나 오래 접근했는지 공개하지 않았다.

Pathao는 10월 7일 인증된 페이스북 페이지에 올린 성명에서 개인정보가 입수됐다는 사실을 처음으로 공개 확인했다. 회사는 공격자들에게 넘어간 것으로 파악한 정보를 다음과 같이 설명했다.

이름, 이메일 주소, 전화번호 등 특정 개인정보가 악의적인 행위자들에게 입수된 것으로 파악하고 있습니다.

Pathao는 사고를 감지한 뒤 주요 시스템을 일시적으로 오프라인 상태로 전환했고, 얼마 지나지 않아 서비스를 복구했으며 외부 사이버 보안 전문가들을 투입했다고 밝혔다. 플랫폼 안정화 작업이 이어지는 동안 일부 사용자는 간헐적인 문제를 겪을 수 있다고 덧붙였다.

이번 사고의 영향은 단일 서비스에 그치지 않는다. Pathao는 운송 및 배달 서비스와 함께 디지털 지갑 Pathao Pay, 후불 결제 서비스 Pathao Pay Later 등 금융 상품도 운영한다. 따라서 어떤 시스템과 기록이 영향을 받았는지 확인하는 일이 중요하지만, 금융 상품을 운영한다는 사실만으로 결제 정보가 탈취됐다고 볼 수는 없다.

10월 9일 현재 회사는 더 큰 규모의 데이터 유출 주장에 대해 계속 조사하고 있었다. 양국에서 운영 차질이 발생한 사실은 확인했지만, 피해 사용자나 기록을 국가별로 나눈 수치는 공개하지 않았다.

사고 경과

공개된 설명에는 최초의 운영 차질과 회사의 인정, 그리고 주장된 데이터셋에 대한 후속 대응이 담겼다. 날짜는 사고가 감지되고 공개적으로 언급된 시점을 보여줄 뿐, 공격자의 전체 접근 기간을 나타내지는 않는다.

• 10월 4일: Pathao가 사이버 보안 사고를 감지하고 서비스 차질을 겪었다. 예방 조치로 주요 시스템을 일시적으로 오프라인 상태로 전환했다.
• 10월 7일: Pathao가 일부 개인정보가 입수됐다고 공개 인정했다. 이와 함께 훨씬 큰 규모의 정보 탈취와 몸값 요구를 주장하는 범죄 포럼 게시물의 캡처 이미지가 X에서 확산됐다.
• 10월 9일: 회사의 추가 답변을 통해 방글라데시와 네팔에서 운영 차질이 발생한 사실이 확인됐다. 주장된 데이터 규모와 기록 수, 민감 정보 범주는 계속 조사 중이었다.

Pathao는 서비스 중단 후 얼마 지나지 않아 서비스가 재개됐다고 밝혔다. 다만 중단이 정확히 얼마나 지속됐는지, 복구가 기술적으로 어떻게 이뤄졌는지는 공개하지 않았다. 앱 접속을 복구하는 일과 침해 조사를 마치는 일은 별개다. 서비스가 재개된 뒤에도 조사관들은 어떤 정보가 탈취됐는지 확인할 수 있다.

주장된 데이터셋에 포함된 정보

범죄자 측 주장은 591개 테이블에 걸쳐 약 2억5,000만 개의 데이터베이스 행이 있으며, 기본 계정 데이터셋에는 19,063,918개 기록이 포함됐다는 것이다. 데이터베이스 행은 개별 항목이고, 테이블은 특정 유형의 항목을 모아 둔 것이다. 여러 행이 한 사람과 관련될 수 있으므로 2억5,000만 개의 행이 곧 피해 사용자 2억5,000만 명을 뜻하지는 않는다.

주장된 계정 정보에는 이름, 전화번호, 이메일 주소, 비밀번호 데이터, GPS 정보, 페이스북 식별자, 액세스 토큰이 포함된다. 액세스 토큰은 비밀번호를 반복해서 요청하지 않고도 애플리케이션이 계정이나 서비스에 접근하도록 허용할 수 있는 디지털 인증 정보다.

보도마다 주장의 일부를 설명하는 방식은 다르다. 한 보도는 해시 처리된 비밀번호라고 구체적으로 밝혔고, 다른 보도는 단순히 비밀번호라고 했다. 해싱은 비밀번호를 읽을 수 있는 원문으로 저장하지 않고 변환된 형태로 저장하는 방식이다. 다만 보호 방식에 따라 정보가 노출되면 여전히 위험이 생길 수 있다. Pathao는 어느 형태의 비밀번호가 탈취됐는지도 확인하지 않았다.

데이터 구조에 대한 설명도 일치하지 않는다. 일부 계정은 591개 단위를 데이터베이스 테이블이라고 부르는 반면, 다른 계정은 데이터베이스나 데이터 저장소라고 부른다. 이 용어들은 서로 바꿔 쓸 수 없다. 검증된 데이터셋이나 기술적 조사 결과가 없으면 정확한 구조를 확정할 수 없다.

주장된 신원 확인 기록에는 국민 신분증 번호 19,059,387건과 운전면허 기록 19,046,583건이 포함된다. 약 570만 건의 자택 주소와 일부 주장에 따르면 약 1,900만 장의 사용자 사진도 포함돼 있다. Pathao는 이들 정보 범주 가운데 어느 것도 확인하지 않았다.

정확한 계정 수조차 실제 인원수를 입증하지는 않는다. 조사관들은 해당 수치를 피해 사용자 수로 보기 전에 기록이 진짜인지, 최신인지, 중복된 것은 아닌지 확인해야 한다.

직원·가맹점·거래 기록도 포함됐다는 주장

주장된 탈취 정보는 고객 프로필에 그치지 않는다. 데이터셋에는 국민 신분 정보, 급여, 종교, 비상 연락처 번호를 포함한 직원 549명의 기록도 들어 있다는 주장이 제기됐다. 이외에도 관리자 접근 기록, 배달 장소, 운전자의 이동 경로 기록이 포함됐다는 주장이 있다.

금융 정보 관련 주장에는 가맹점 은행 계좌 및 라우팅 기록 17,943건과 자동이체 거래 기록 845,872건이 포함된다. 은행 라우팅 정보는 결제에 관여한 금융기관이나 지점을 식별한다. 거래 기록은 결제 내역을 문서화하지만, 그 기록이 있다고 해서 공격자가 돈을 옮길 수 있었다는 뜻은 아니다.

이 수치는 서로 다른 유형의 기록을 나타내며, 피해자 수를 합산해 계산할 수 있는 단일 수치가 아니다. 직원 정보와 가맹점 계좌, 반복된 거래는 주장된 데이터셋의 다른 항목과 중복될 수 있다.

Pathao의 파트너십·홍보 담당 매니저 Md. Foyej는 민감 정보 범주에 관한 주장을 회사가 확인하지 않았다고 말했다. 그는 이메일 답변에서 다음과 같이 밝혔다.

NID, 운전면허증, 위치, 주소 또는 금융 데이터에 관한 주장은 현 단계에서 확인되지 않았습니다. 추가로 확인되는 정보가 있으면 Pathao 공식 채널을 통해 전달하겠습니다.

몸값 요구도 확인되지 않아

범죄자 측 게시물은 400,000 USDT를 요구했으며, 보도에서는 약 40만 달러로 설명했다. 테더라고도 불리는 USDT는 미국 달러 가치 추종을 목표로 설계된 암호화폐다. 보도에 따르면 해당 그룹은 Pathao에 24시간 안에 돈을 지불하라고 요구하며 정보를 단계적으로 공개하겠다고 위협했다.

공개하겠다고 위협한 정보에는 신원 확인, 은행, 직원, 관리자 정보가 포함된 것으로 전해졌다. 이 주장과 시한은 독립적으로 검증되지 않았다. 보도된 내용만으로는 시한이 언제부터 시작됐는지, 회사가 지불을 결정했는지, 이후 정보가 공개됐는지 확인되지 않는다.

Pathao를 대표해 답변한 Foyej는 주장된 몸값 요구를 확인하지 않았다.

Pathao는 몸값 요구에 관한 확인되지 않은 주장에 대해 논평하지 않으려 합니다.

탈취 정보를 공개하겠다는 위협은 데이터 갈취의 한 형태다. 공격자들이 시스템을 암호화했거나 회사가 자체 파일에 접근하지 못하게 했다는 뜻은 아니다. Pathao는 암호화의 증거를 공개하지 않았으며, 운영 차질을 일으킨 기술적 방식도 설명하지 않았다.

Pathao가 밝힌 대응

Pathao가 발표한 대응은 크게 세 가지다. 주요 시스템을 오프라인으로 전환하고, 외부 사이버 보안 전문가를 투입하며, 관련 당국에 알리는 것이다. 회사는 관련 규정에 따라 법 집행기관이나 정부 기관에 통보했다고 밝혔지만, 기관명이나 구체적인 법 조항은 공개하지 않았다.

Pathao는 공개 성명에서 즉각적인 대응과 전문가들의 역할을 다음과 같이 설명했다.

즉각적인 차단 조치를 취했으며, 보안 통제를 강화하고 Pathao 시스템의 보안과 안정성을 유지하기 위해 외부 사이버 보안 전문가들을 투입했습니다.

회사는 조사가 진행되는 동안 당국에 협조하고 있다고 밝혔다. 또 사용자와 운전자, 가맹점, 파트너에게 사고와 운영 차질에 대해 사과하고, 맡겨진 정보를 보호할 책임이 있음을 인정했다.

Foyej는 예방 조치로 일부 사용자 계정에서 자동 로그아웃이 이뤄졌을 수 있다고도 밝혔다. 해당 사용자는 다시 로그인해 서비스를 이용할 수 있다. 자동 로그아웃만으로 특정 사용자의 정보가 탈취됐다고 볼 수는 없다.

연락처 정보만으로도 위험이 생기는 이유

이름과 이메일 주소, 전화번호가 노출된 사실이 확인되면서 공격자들은 사기성 연락을 그럴듯하게 꾸미는 데 쓸 수 있는 정보를 얻었다. 이름을 부르고 이용 중인 서비스를 언급하는 메시지는 익명의 요청보다 더 믿을 만하게 보일 수 있다.

피싱은 신뢰받는 기관이나 사람을 사칭해 정보를 공개하거나 악성 링크를 누르거나 특정 행위를 승인하도록 유도하는 수법이다. Pathao는 이런 가능성을 경고했지만, 이번 침해와 관련된 피싱이나 사칭 공격이 이미 발생했다고 밝히지는 않았다.

정보기술 전문가 Suman Ahmed Sabir는 더 광범위한 주장이 사실로 확인될 경우 발생할 수 있는 위험으로 신원 도용, 은행 사기, 피싱, 협박, 소셜 미디어 계정 침해를 들었다. 그의 평가는 잠재적 결과에 관한 것이며, Pathao 사용자를 대상으로 한 범죄가 확인됐다는 뜻은 아니다.

노출된 정보의 유형에 따라 위험도 달라진다. 연락처 정보는 표적형 사기에 활용될 수 있고, 신분증은 사칭 시도에 악용될 수 있으며, 위치 및 이동 경로 기록은 사적인 동선을 드러낼 수 있다. 액세스 토큰은 권한과 유효성 여부에 따라 계정 보안 위험을 초래할 수 있다. Pathao는 이처럼 민감한 정보 범주의 노출을 확인하지 않았다.

사용자에게 권고된 사항

Pathao의 핵심 안내는 회사를 사칭하는 사람이 보낸 예상치 못한 메시지와 전화, 링크에 주의하라는 것이다. 회사는 이런 연락에 대응해 비밀번호와 PIN, 일회용 비밀번호를 공유하지 말라고 사용자에게 당부했다.

OTP는 로그인이나 거래를 승인하는 데 쓰이는 임시 코드다. 계정의 일반 비밀번호를 모르더라도 이 코드를 공유하면 다른 사람이 코드가 보호하는 작업을 완료할 수 있다.

회사는 검증된 소식을 확인하려면 공식 소통 채널을 이용하라고 권고했다. 이번 사고와 관련해 나온 보안 조언에는 낯선 링크를 피하고 페이스북 등 다른 계정에서 2단계 인증을 활성화하는 것도 포함됐다. 2단계 인증은 비밀번호 외에 추가 확인 절차를 둔다.

이러한 예방 조치는 모든 주장이 사실이라고 전제하지 않고 정보의 오용 가능성에 대응하기 위한 것이다. 이번 사고로 페이스북 계정이 침해되거나 사기 거래, 신원 도용이 발생한 건수는 확인되지 않았다.

조사에서 밝혀야 할 점

사이버 보안 전문가 Tanvir Hassan Zoha는 독립적인 디지털 포렌식 조사와 관련 서버 및 접근 로그 보존, 관련 법에 따른 규제기관 및 법 집행기관 통보를 권고했다. 디지털 포렌식은 시스템에 어떤 접근이 이뤄졌고 어떤 작업이 수행됐는지 등 기술적 증거를 활용해 사건을 재구성하는 조사다.

로그를 보존하면 침입 경로와 무단 접근 기간, 공격자가 접근한 기록을 파악하는 데 도움이 될 수 있다. Pathao는 외부 전문가를 투입했다고 발표했지만, 이들이 독립적인 포렌식 조사를 수행하는지 또는 조사 결과를 발표했는지는 공개하지 않았다.

Sabir는 방글라데시의 사이버 보안 감독 체계가 사고 대응 기관을 포함해 인력과 자원 부족 문제를 겪고 있다고도 지적했다. 피해를 본 고객에게 배상하기 위한 법적 체계를 마련해야 한다고 촉구했다. 이는 그의 평가와 권고이며, Pathao를 조사하는 당국의 조사 결과는 아니다.

아직 풀리지 않은 즉각적인 의문은 더 구체적이다. 피해 사용자가 몇 명인지, 어떤 정보 범주가 탈취됐는지, 양국의 기록이 모두 노출됐는지, 주장된 금융 정보나 계정 인증 정보가 실제인지가 밝혀져야 한다. Pathao는 조사를 마칠 시점이나 결과 발표, 다음 업데이트 일정을 발표하지 않았다.

검증된 정보를 전달하겠다는 회사의 약속에 따라 사용자들이 유념해야 할 구분이 있다. 일부 개인정보가 탈취된 사실은 확인됐다. 그러나 1,900만 개가 넘는 계정과 광범위한 신원 확인 정보, 금융 정보가 담긴 133기가바이트 데이터셋이라는 주장은 확인되지 않았다.

핵심 내용

• Pathao는 10월 4일 사고 당시 공격자들이 일부 사용자의 이름, 이메일 주소, 전화번호를 입수했다고 확인했다.
• 방글라데시와 네팔에서 운영이 차질을 빚었으며, 안정화 작업 중 일부 사용자는 간헐적인 문제를 겪을 수 있다.
• 133기가바이트, 19,063,918개 계정, 약 2억5,000만 개 데이터베이스 행에 관한 주장은 확인되지 않았다.
• Pathao는 비밀번호와 신원 확인 기록, 위치 데이터, 금융 정보가 노출됐다는 주장을 확인하지 않았다.
• 400,000 USDT와 24시간 시한을 요구했다는 보도는 회사가 확인하지 않았다.
• 외부 사이버 보안 전문가가 조사에 참여하고 관련 당국에 통보했으며, 조사 완료 시점은 발표되지 않았다.
• 사용자들은 원치 않는 연락에 주의하고 비밀번호, PIN, OTP를 절대 공유하지 말라는 안내를 받았다.