대규모 해킹 사태에 아파치 재단이 직접 밝힌 해명과 팩트체크

요약 2017년 발생한 미국 대형 신용평가사 에퀴팩스(Equifax)의 대규모 개인정보 유출 사태와 관련해, 공격 통로로 지목된 아파치 스트럿츠(Apache Struts) 프로젝트 관리 위원회가 공식 입장을 발표했습니다. 당시 일부 외신(Quartz 등)은 이번 유출 사고가 발표된 지 얼마 되지 않은 'CVE-2017-9805' 취약점과 연관되어 있으며, 해당 결함이 무려 9년 동안 방치되어 있었다는 식의 주장을 제기했습니다. 그러나 아파치 측 설명에 따르면 에퀴팩스의 침해 사실은 이미 7월에 감지되었기 때문에, 9월에 공개된 해당 취약점과 관련이 있다면 당시 기준으로는 제로데이(알려지지 않은 취약점) 공격이었거나, 혹은 에퀴팩스 측이 이미 패치가 나온 기존의 다른 취약점을 제때 업데이트하지 않아 발생했을 가능성이 높다고 지적했습니다. 또한 아파치 측은 '9년 동안 존재했던 취약점'이라는 프레임에 대해 강력하게 반박했습니다. 보안 결함이 코드 속에 9년간 숨겨져 있다가 뒤늦게 발견된 것과, 결함을 알고도 수년간 방치한 것은 완전히 다른 문제라는 것입니다. 개발팀은 해당 취약점에 대한 제보를 받자마자 즉각 패치를 개발해 새 버전을 배포했으며, 소프트웨어 엔지니어링 과정에서 발생할 수 있는 원치 않는 부작용을 인지하는 즉시 해결하기 위해 최선을 다하고 있다고 강조했습니다. 아파치 위원회는 이번 사태를 계기로 소프트웨어를 운영하는 기업들에게 현실적인 보안 수칙도 제시했습니다. 사내에서 사용하는 프레임워크와 오픈소스 라이브러리의 버전과 보안 공지를 철저히 파악하고, 보안 패치가 나오면 몇 주나 몇 달이 아니라 '수 시간 혹은 며칠 내'에 즉시 적용하는 프로세스를 구축해야 한다고 조언했습니다. 실제로 발생한 대다수 침해 사고는 수개월 혹은 수년간 방치된 컴포넌트 미패치에서 비롯된다는 설명입니다. 아울러 웹 프레젠테이션 계층이 뚫리더라도 백엔드 핵심 정보까지 한 번에 털리지 않도록 보안 계층(Layer)을 다중화하고 비정상적인 접근 패턴을 실시간으로 감시해야 한다고 당부했습니다.