LastPass는 두 번 뚫렸다. 표적은 당신의 '금고' 그 자체였다

2022년 12월 22일 — 크리스마스 사흘 전, 나쁜 소식을 묻기에 좋은 계절이었습니다. LastPass는 8월에 처음 공개했던 보안 사고의 후속 소식을 세상에 알렸습니다. 8월 버전은 안심시키는 내용이었다. 누군가 회사의 개발 환경에 슬그머니 들어와 소스 코드와 기술 정보를 가져갔다고 했다. 고객 데이터에는 손대지 않았다고, 금고에는 닿지 않았다고 회사는 말했다.

12월 버전은 달랐습니다. 침입자들은 알고 보니 8월에 배운 것을 이용해 돌아왔고 — 이번에는 고객 금고 데이터의 백업을 복사해 갔다. 메일링 리스트도, 결제 데이터베이스도 아니었다. 금고. 애초에 남의 손에 넘어가지 않기 위해 존재했던, 그 제품 그 자체였다.

첫 침해는 정찰이었다

2022년 8월, 공격자는 개발자의 인증 정보를 손에 넣고 며칠 동안 LastPass 개발 환경 안에서 지내며 회사 소스 코드와 기술 정보의 일부를 가져갔다. LastPass는 외부 조사관을 들였고, 침입을 차단했으며, 고객 데이터와 금고에는 접근되지 않았다고 설명했다. 알려진 바로는 그건 사실이었다 — 그리고 요점도 아니었다.

첫 사건에서 얻은 기술 정보를 손에 쥔 공격자는 다른 직원을 노렸고, 인증 정보를 얻었으며, LastPass가 백업을 두던 외부 클라우드 저장소에 도달했다. 거기서 고객 계정 정보와 금고 백업의 사본이 빠져나갔다. 8월의 침해가 진짜 사건이었던 적은 없다. 그건 정찰이었다. 12월이 본작업이었다.

우리가 종종 보아온 패턴이라, 뒤돌아보면 이름 붙일 만하다. 첫 사건이 재앙인 경우는 드물다. 대개는 두 번째 사건을 위한 지도를 그리는 작업이다.

내용물은 암호화했다. 지도는 평문으로 남겨 두었다

암호에 대한 공정한 평가를 하자면, LastPass 금고 안의 민감한 항목들 — 사용자 이름, 비밀번호, 보안 메모, 자동입력 데이터 — 은 각 사용자의 마스터 비밀번호에서 유도한 키로 256비트 AES로 암호화되어 있었다. LastPass도 읽을 수 없었다. 그 설계는 건전했고, 공개 보도에 따르면 암호 자체가 깨진 적은 없다.

하지만 금고 백업에는 전혀 암호화되지 않은 데이터도 함께 있었다. 저장된 각 로그인에 붙은 웹사이트 URL은 고객의 이름, 이메일 주소, 청구지 주소, 전화번호, 접속했던 IP 주소와 함께 평문 그대로 있었다.

이게 무슨 뜻인지 생각해 보십시오. 공격자는 두 가지를 받았다. 잠긴 상자들과 — 별도로, 평문으로 — 무엇이 어디에 잠겨 있는지 적은 완전한 목차를. 사람의 금고 URL은 그 사람의 인생 지도다. 은행, 이메일 업체, 증권사와 암호화폐 거래소, 회사의 시스템, 다니는 병원의 환자 포털, 말하고 싶지 않은 계정들. 금고를 하나도 열지 않아도 그 지도는 충분히 가치 있다. 피싱범에게는 표적이 어떤 기관을 쓰는지, 어떤 위장 메일이 설득력 있을지 정확히 알려준다. LastPass 스스로 고객에게 바로 그 피싱을 조심하라고 경고했다.

일기는 암호화했다. 목차는 공개해 버렸다.

비밀번호 하나, 그리고 무한한 시간

암호화된 내용물에 대해서는 모든 것이 마스터 비밀번호에 달려 있었다 — 설계상 그렇다. 12월이 바꾼 것은 추측이 어디에서 일어나는가다. 도난당한 백업은 이제 오프라인 문제다. 사본은 공격자의 하드웨어 위에 있다. 로그인 화면이 실패 횟수를 세지도, 열 번 틀렸다고 잠그지도, 누구의 수신함에 경고가 떨어지지도 않는다. 모든 추측은 무료로, 조용히, 서두르지 않고 — 영원히 계속된다.

길고 유일무이한 마스터 비밀번호를 쓰는 최신 계정이라면, 금고는 진짜로 만만치 않은 표적이다. 수학은 성립한다. 짧고, 외우기 쉽고, 돌려 쓰는 것이라면 이야기가 다르다 — 연산 능력과 인내심의 문제가 된다. 그리고 계정 설정은 들쭉날쭉했다. 오래된 계정은 회사의 나중 권고보다 훨씬 약한 키 유도 설정을 달고 있는 경우가 많았고, 같은 비밀번호를 써도 고객마다 보호 수준이 크게 달랐으며, 그걸 알 방법도 없었다.

이렇게 아카이브 전체의 안전은 고객이 들여다볼 수 없는 두 가지에 달렸다. 외운 한 문장의 강도, 그리고 그 해에 이미 개발 환경 침입을 허용했던 회사의 운영 규율. 한 점에 이토록 무거운 무게가 실려 있었다. 시스템이 무너질 때 무너지는 곳은 언제나 한 점이다.

진정으로 당신의 손에 달린 것

세네카의 편지는 번번이 소박한 구분으로 돌아온다. 우리에게 달린 것과 달리지 않은 것이 있다는 것. 그리고 고요한 마음은 어느 쪽이 어느 쪽인지 아는 데서 온다는 것. 당신은 벤더의 개발 환경을 다스릴 수 없다. 직원을 검증할 수도, 저장소 업체를 감사할 수도, 12월의 공표 일정을 미룰 수도 없다. 가장 민감한 것이 남의 제품 안에 산다면, 그 안전의 일부는 만날 일 없는 사람들의 역량에 달린다 — 당신이 볼 일 없는 시스템에서 일하는 사람들의.

당신의 손에 달린 건 그 밑의 결정이다. 무엇을 어디에 두는가. 비밀번호 관리자는 일상의 로그인에는 합리적인 도구이고, 일상의 대부분은 그 위험을 감당할 수 있다. 하지만 로그인 아래의 아카이브 — 일기, 사진, 누구에게도 주고 싶지 않은 기록 — 는 누군가의 플랫폼 기능일 필요가 없다. 그들의 백업 저장소에 복제되어, 그들의 나쁜 12월을 기다릴 필요가 없다.

당신이 직접 암호화한 드라이브에는 벤더 클라우드의 사본도 없고, 평문의 목차도 없다. 거기 있는 건 보관 장소와 봉인과 당신의 머릿속에만 존재하는 열쇠다. 우리가 배운 건, 사람들이 안전하다고 말할 때 실제로 뜻하는 게 이거라는 것이다. 더 큰 회사의 더 강한 약속이 아니라, 자신과 되돌릴 수 없는 것들 사이에 서 있는 낯선 사람들을 줄이는 것.

Everkeep은 고객 본인이 소유하고 직접 암호화한 드라이브를 오프라인으로 보관하는 서비스입니다. 번호를 매기고, 봉인하고, 사진으로 기록하며, 두 개의 사본을 두 곳에 보관합니다. 안을 들여다보는 일은 결코 없습니다. 기기 슬롯당 연 199달러입니다.