[디지서트] 인터넷 노출된 고객정보 아카이브 시스템 무단 접근으로 기업 고객 정보·신원확인 문서 유출

[디지서트] 인터넷 노출된 고객정보 아카이브 시스템 무단 접근으로 기업 고객 정보·신원확인 문서 유출_2026년 11월

경험한사람 2026. 11. 8. 15:01

글로벌 디지털 인증서 발급기관(CA) 디지서트(DigiCert)의 고객정보 아카이브용 사내 업무 시스템이 2025년 2월 네트워크 이전 과정에서 실수로 인터넷에 노출돼 16개월 넘게 방치됐다. 공격자는 MFA 없이 쓸 수 있는 셀프 회원가입 기능으로 계정을 만들어, 2026년 6월 27일부터 7월 2일까지 기업 고객의 이름·이메일·전화번호·사업장 주소와 일부 여권·운전면허증 등 신원확인 문서를 열람했다. 인증서 발급 시스템은 영향을 받지 않았다.

□ 개요

디지서트는 2026년 11월 6일(현지시간) Mozilla Bugzilla 사고 보고와 고객 안내 이메일로 기업 고객 정보 유출 사실을 공개했다. 고객정보를 보관하는 사내 업무 시스템이 인터넷에 노출돼, 외부인이 만든 계정으로 아카이브 기록 일부를 열람했다는 내용이다.
사고의 출발점은 2025년 2월이다. 디지서트는 VPN으로 보호되던 고객정보 아카이브 시스템을 다른 네트워크 구역(가용 영역)으로 옮겼는데, 이 과정에서 보안 검토를 거치지 않아 시스템이 인터넷에 그대로 노출됐다. 이 시스템은 고객용 제품과 같은 계정관리 플랫폼을 쓰고 있었다. 그 때문에 원래 이 시스템에 있어서는 안 될 셀프 회원가입 기능이 켜져 있었고, 관리자 승인이나 MFA 없이 누구나 계정을 만들 수 있었다. 여기에 권한 설정 결함까지 겹쳐, 새로 만든 계정으로 아카이브된 고객 기록을 열람할 수 있었다.
디지서트는 2026년 6월 18일 무단 계정을 처음 발견했다. 하지만 애플리케이션과 연결되지 않았다는 이유로 무해하다고 판단했고, 6월 21일경 보안 연구자가 계정 생성 문제를 제보했다. 그 사이 6월 27일부터 7월 2일까지 무단 계정 하나가 아카이브 기록 일부에 접근했고, 디지서트는 제보 약 2주 뒤인 7월 2일에야 계정 생성 문제를 막았다. 10월 12일 이 계정이 실제로 고객 데이터를 열람했을 가능성을 의심해 조사에 착수했고, 10월 19일 무단 접근을 확정했다. 유출 정보는 고객 이름, 업무용 이메일, 전화번호, 사업장 주소이며, 인증서 발급 심사용으로 제출된 여권·운전면허증·공과금 고지서 등 신원확인 문서도 일부 포함됐다. 피해 고객 수는 공개되지 않았고, 디지서트는 “아카이브 중 적은 비율”이라고만 밝혔다. 무단 계정은 읽기 전용이어서 기록 수정, 검증 승인, 인증서 발급은 불가능했다. CA 시스템, CertCentral, DigiCert ONE은 별도 보안망에서 운영돼 영향이 없었다고 디지서트는 밝혔다.

□ 사고내용 요약

1. 회사명 : 디지서트(DigiCert, 미국)
2. 사고유형
- 설정 오류 : 네트워크 이전 시 보안 검토 누락으로 고객정보 아카이브 시스템 인터넷 노출(2025년 2월~)
- 해킹 : MFA 없는 셀프 회원가입 기능으로 계정 생성, 권한 결함을 이용해 아카이브 기록 열람
3. 유출규모
- 미공개(“아카이브 중 적은 비율”)

4. 유출항목
- 고객 이름, 업무용 이메일 주소, 전화번호, 사업장 주소
- 일부 고객 제출 신원확인 문서(여권, 운전면허증, 공과금 고지서 등)
※ 인증서 개인키·발급 기능은 영향 없음

5. 특이사항
- 16개월 이상 인터넷 노출 상태를 인지하지 못함
- 무단 계정을 6월 18일 발견했으나 ‘무해’로 오판, 보안 연구자 제보 후에도 약 2주 뒤 차단
- 무단 열람(7월 2일 종료)부터 유출 확정(10월 19일)까지 약 3개월 반 소요
- 디지서트가 사후 분석에서 서버 이전 시 보안 검토 누락, 모니터링 탐지 실패를 인정
- 인증서 신뢰의 기반인 CA의 사고로, 유출된 신원 문서가 인증기관 사칭·피싱에 악용될 우려(추정)

□ 사고대응 타임라인

- 2025년 02월
. 고객정보 아카이브 시스템을 VPN 보호 구역에서 다른 가용 영역으로 이전, 인터넷에 노출
- 2026년 06월 18일(목)
. 무단 계정 발견, 애플리케이션 미연결을 이유로 무해 판단
- 2026년 06월 21일(일)경
. 보안 연구자가 계정 생성 문제 제보
- 2026년 06월 27일(토) ~ 07월 02일(목)
. 무단 계정이 아카이브 기록 일부 열람
- 2026년 07월 02일(목)
. 무단 계정 차단, 셀프 회원가입 문제 조치
- 2026년 10월 12일(월)
. 무단 계정의 데이터 열람 가능성 의심, 조사 착수
- 2026년 10월 19일(월)
. 고객 데이터 무단 접근 확정
- 2026년 11월 06일(금, 현지시간)
. Mozilla Bugzilla 사고 보고 공개, 피해 고객 이메일 통지 시작
- 진행 중
. 신원확인 문서 검토로 대상 개인 특정, 특정 완료 후 개별 통지 예정

□ 디지서트 사고 보고·고객 안내 요지

< 사고 원인(사후 분석) >
· 2025년 2월 고객정보 아카이브 시스템을 다른 네트워크 구역으로 옮기면서 적절한 보안 검토가 이뤄지지 않아 인터넷에 노출됨
· 고객용 제품과 같은 계정관리 플랫폼을 사용해, 해당 시스템에 필요 없는 셀프 회원가입 기능이 활성화돼 있었음(MFA 미적용)
· 권한 결함으로 새로 만든 계정이 아카이브된 고객 기록을 열람할 수 있었음
· 모니터링에서 의심 활동을 탐지하지 못함

< 영향 범위 >
· 읽기 전용 무단 계정 1개가 2026년 6월 27일~7월 2일 아카이브 기록 일부에 접근
· 이름, 업무용 이메일, 전화번호, 사업장 주소, 일부 신원확인 문서(여권·운전면허증·공과금 고지서 등)
· 해당 계정은 기록 수정, 검증 승인, 인증서 발급·폐기 불가
· CA 운영, CertCentral, DigiCert ONE은 별도 보안망에서 운영돼 영향 없음

< 조치 >
· 셀프 회원가입 기능 비활성화, 네트워크 접근 강화, 모니터링 추가
· 피해 고객 이메일 통지 시작
· 고객 안내 메일 문구 : “We are completing a review of identification documents to determine the specific individuals involved.”(대상 개인을 특정하기 위해 신원확인 문서 검토를 마무리하고 있음)
· 신원확인 문서가 포함된 개인은 검토 완료 후 개별 통지 예정

※ 디지서트 Mozilla Bugzilla 사고 보고(bug 2084460)와 고객 안내 이메일의 주요 내용을 요약함

□ 대응내역

- (디지서트) 무단 계정 차단, 셀프 회원가입 비활성화, 네트워크 접근통제 강화, 모니터링 추가
- (디지서트) Mozilla Bugzilla에 사고 보고 공개(CA 투명성 절차), 사후 분석 보고
- (디지서트) 피해 고객 이메일 통지, 신원확인 문서 관련 개인 특정 후 개별 통지 예정
※ 피해 고객 수, 공격자 정체, 국가별 피해 현황(국내 고객 포함 여부), 규제기관 신고 내역은 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 시스템 이전·네트워크 변경 후 외부 노출 여부 자동 점검(외부 공격표면 관리, ASM)
- 내부 시스템의 불필요한 셀프 회원가입 기능 제거와 계정 생성 시 관리자 승인·MFA 필수화
- 신규 계정 생성·아카이브 대량 열람 등 이상행위 탐지 룰 적용
- 인증 심사용 신원확인 문서는 심사 후 최소 보관 또는 별도 암호화 저장

2. 관리적 조치
- 인프라 변경 시 보안성 검토를 필수 절차로 통제
- 외부 보안 연구자 제보의 접수·분류·조치 기한(SLA) 운영
- (인증서 이용 기업) 디지서트 사칭 인증서 갱신·검증 요청 메일 주의, CertCentral 계정 MFA·접근 이력 점검

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)