프레임워크, 전체 고객에 유출 통지…결제정보는 지켰다

모듈형 수리형 노트북으로 유명한 프레임워크(Framework)가 전체 고객을 대상으로 데이터 유출 사고를 알렸다. 프레임워크는 8월 6일(현지시각) 늦게 발송한 이메일에서 고객의 이름, 로그인 IP, 주소, 전화번호, 이메일이 유출됐다고 밝혔다. 결제 정보는 이번 유출에 포함되지 않았다. 이번 사고는 프레임워크가 직접 관리하는 시스템이 아니라 회사가 이용하는 비즈니스 데이터베이스 제공업체 메타베이스(Metabase)가 해킹당하면서 발생했다. 프레임워크는 하드웨어 가격 인상과 램(RAM) 공급 부족 문제로 어려움을 겪고 있던 와중에 또 하나의 악재를 만난 셈이다.

메타베이스의 제로데이, 어떻게 뚫렸나

프레임워크는 고객에게 보낸 이메일에 메타베이스가 보낸 설명을 그대로 첨부했다. 메타베이스는 자사 블로그에서 누군가 “알려지지 않은(0-day) 취약점”을 이용해 데이터에 접근했다고 밝혔다. 메타베이스는 이 취약점을 이미 식별해 패치를 완료했다고 설명했다. 다만 현재까지 나온 조사 결과와 보안 권고는 “예비적(preliminary)” 단계라는 점도 함께 명시했다.

메타베이스는 프레임워크에 보낸 이메일에서 “현재 제3자 포렌식 조사업체와 협력해 이번 사건의 전체 성격과 범위를 파악하고 있다”고 밝혔다. 메타베이스는 공격자가 이 취약점을 악용해 자사 클라우드 서버에 저장된 고객들의 데이터베이스에 접근할 수 있는 권한을 얻었다고 설명했다. 메타베이스가 언급한 8월 3일(현지시각)은 공격을 처음 식별한 날짜다. 프레임워크에 보낸 이메일에서 메타베이스는 해커가 프레임워크의 클라우드 인스턴스에 접근했다고 확인했다. 테크크런치(TechCrunch)에 따르면 메타베이스는 관련 취재 요청에 응답하지 않았다.

프레임워크의 후속 조치

프레임워크는 사고 통지를 받은 직후 자격 증명(credential)을 모두 교체(rotate)했다고 밝혔다. 회사는 “관리자 접근 권한이나 메타베이스 외부 시스템에 대한 접근에는 변화가 없었음을 확인했다”고 설명했다. 아울러 “외부 데이터베이스 업체에 데이터를 저장하는 방식에 대한 방법론을 검토하고 개선하고 있다”고 덧붙였다.

프레임워크는 자체 조사를 통해 해커가 고객의 개인정보를 탈취한 사실을 확인했지만 결제 정보는 포함되지 않았다고 재차 강조했다. 소셜미디어상에서는 목요일부터 여러 고객이 프레임워크로부터 유출 통지 이메일을 받았다는 글을 올리기 시작했다. 프레임워크 대변인 에릭 슈마허(Eric Schumacher)는 테크크런치에 이번 유출이 “전체 고객(all customers)”에 영향을 미쳤다고 확인했지만 구체적인 피해 규모는 밝히지 않았다. 프레임워크 제품은 상대적으로 니치(niche) 시장 제품이지만, 일부 추정에 따르면 회사는 지금까지 수십만 대의 기기를 판매한 것으로 알려졌다.

하필 이 시점에, 메모리 파동과 겹친 악재

엔가젯(Engadget)은 이번 데이터 유출이 프레임워크에게 “최악의 시점”에 벌어졌다고 짚었다. 프레임워크는 올해 초 흥미로운 신제품 라인업을 발표했지만, 이후 지속된 메모리 공급 부족 사태로 다른 어느 제조사보다도 큰 타격을 받았다. 프레임워크는 1월에 처음 가격 인상을 발표했고 3월에 또 한 차례 가격을 올렸다.

신제품 프레임워크 랩탑 프로(Framework Laptop Pro)의 사전 주문을 받은 지 얼마 되지 않아, 회사는 부품 비용 상승을 이유로 일부 사전 주문 제품에 광고했던 용량보다 적은 램을 탑재해야 했다. 이 과정에서 추가 비용을 지불하지 않으려는 고객에게는 전액 환불을 제공하기도 했다. 하드웨어 공급망 문제로 이미 신뢰도에 타격을 입은 상황에서 이번 데이터 유출 사고가 겹치며, 회사로서는 연이은 악재를 마주하게 됐다.

결제정보는 지켜졌지만, 신뢰 회복은 과제

이번 사고에서 결제 정보가 빠져나가지 않은 점은 다행스러운 부분이다. 다만 이름과 주소, 전화번호, 이메일, 로그인 IP 등이 유출된 만큼 피싱이나 스팸 등 2차 피해 우려는 남아 있다. 프레임워크는 관리자 접근 권한이나 메타베이스 외부 시스템으로의 침투는 없었다고 밝혔지만, 외부 데이터베이스 업체를 통한 데이터 관리 방식 자체를 재검토하겠다고 밝힌 점은 이번 사고의 근본 원인이 협력사 보안 체계에 있었음을 시사한다.

메타베이스 측 조사 결과가 아직 “예비적” 단계에 머물러 있는 만큼, 사고의 전체 규모와 정확한 침해 경로에 대한 추가 발표가 이어질 가능성이 있다. 프레임워크가 밝힌 “전체 고객”이라는 표현이 구체적으로 몇 명을 의미하는지도 아직 명확하지 않다. 수리 가능성과 개방성을 앞세워온 프레임워크가 이번 사고를 계기로 데이터 보안 측면에서도 신뢰를 얼마나 회복할 수 있을지가 관심사로 남았다.