GMO 트러스트 로그인, 4만5천 명 정보 유출 공개 저장소 문제

GMO글로벌사인은 10월 30일 싱글사인온 서비스 'GMO 트러스트 로그인'의 설정 불備로 이용 기업 2492곳, 4만5030명의 이름과 이메일 주소 등이 유출 대상이 됐다고 발표했습니다.

약 9년간 외부 접근 가능

원인은 고객 정보가 담긴 임시 파일 등을 로고 이미지와 같은 공개 영역에 저장하도록 설계한 것입니다. 2017년 11월경 로고 이미지 전송 부하 대책으로 저장소를 공개 영역으로 바꾸면서, 관리자의 일괄 작업으로 생성된 파일과 계약 정보 파일도 같은 곳에 보관됐습니다. 파일 목록을 보면 개별 파일을 받을 수 있었고, 링크에는 서명도 유효기간도 없었습니다.

문제는 9월 14일 취약점 신고 제도를 통해 외부 보안 연구자가 알리면서 드러났습니다. 외부 접근은 같은 날 밤부터 다음 날 저녁까지 모두 차단됐습니다. 제3자의 취득이 로그로 확인된 것은 2021년 6월 8일 이후이며, 그 이전은 로그가 없지만 대상에 포함했습니다. 정기 진단은 애플리케이션과 서버만 대상으로 해 저장소는 빠져 있었다고 합니다.

유출된 정보

일괄 작업 시 생성된 양식·오류 파일에는 이메일, 이름, 연동 서비스명, 사번 등이 들어 있었고 2184개사 4만4836명이 해당합니다. 계약 정보 파일에는 기업 ID, 라이선스 수, 청구서 수신 담당자의 이름·주소·전화번호 등이 있었으며 217개사 194명(중복 제외)입니다. 비밀번호, 다중 인증 정보, 결제 정보는 포함되지 않았다고 회사는 밝혔습니다.

이번 발표는 세 번째 보고로, 9월 16일 잠정치보다 건수가 늘었습니다. 첫 조사에서 대상 파일 누락과 판정 조건 오류가 확인돼 추가 조사를 했기 때문입니다. 조사는 같은 그룹의 GMO사이버시큐리티 byイエラエ가 맡았습니다.

회사는 다운로드 링크를 서명형·유효기간 1시간으로 바꾸고 파일 목록 조회를 막았습니다. 공개 자료는 전송 전용 방식으로 제한하고, 데이터별 보관 기간 설정과 자동 삭제, 클라우드 전체로 넓힌 연 2회 외부 진단을 시행할 계획입니다.