당신의 카페라떼가 해킹 된다…’스타벅스 버튼’ 다양한 API 공격 가능성 시사
<편집자주> 이 기사는 아카마이코리아에서 기획·운영 중인 ‘보안늬우스’를 기반으로 구성됐습니다. 아카마이 안준수 상무와 인승진 이사가 진행 중인 보안늬우스는 일반인부터 보안업계 관계자까지 보안소식을 빠르게 돌아볼 수 있는 콘텐츠로, 국내외에서 발생한 보안 관련 사건사고가 소개됩니다. 기사 내에 삽입된 동영상을 통해 보안늬우스 전체영상도 보실 수 있습니다.
[CCTV뉴스=최진영 기자] 프랑스가 부재자투표에서 전자투표기계를 배제하며 ‘선거 해킹’ 우려에 대비해 종이 투표와 수개표로 회귀하는 그룹에 이름을 올렸다.
□편리함보다 투명성이 중요
프랑스는 국회의원 선거 등에서 2012년부터 해외에 있는 유권자들을 위해 부재자투표에 전자투표기계를 도입했다. 그러나 3월 6일 르몽드지에 따르면 프랑스는 보안상의 이유로 재외국민을 위한 전자투표를 중단할 예정이다.
이는 국가정보시스템보안기관(ANSSI)에서 사이버 공격의 위협이 크게 증가하고 있는 점을 우려해 프랑스 정부에 권고한 사항을 귀 기울인 조치로, 6월에 실시되는 프랑스 총선에서는 인터넷투표가 인정되던 11개(총 577개) 선거구 유권자들도 종이와 펜을 들어야 한다.
앞서 네덜란드도 같은 이유에서 3월에 열린 총선부터 전자투표를 배제했다. 네덜란드에서는 직접적으로 전자 개표 과정에서 득표 수를 합산하는 소프트웨어가 논란이 된 바 있다.
독일의 경우 2009년 연방헌법재판소에서 일반 시민이 전문 지식이 없더라도 선거과정 전체를 감시 및 감독할 수 있어야 한다는 취지의 판단을 내린 바 있다. 이후 독일의 투표장에서 전자투표 기계는 자취를 감췄다.
우리나라를 포함한 일부 국가가 개표 속도와 업무 효율을 위해 전자 시스템을 사용하고 있지만, 이처럼 대부분의 선진국들이 전자 투개표 시스템에서 다시 종이 투표와 수개표로 회귀하고 있는 추세라는 점이 전 세계 유권자들의 큰 관심사가 되는 상황이다.
아카마이 인승진 이사는 “트럼프 선거의 영향이 가장 컸을 것이라고 생각한다. 사이버 공격이 계속되는 상황이 주권을 행사하는 부분에 대한 방해로 영향을 미칠 것이라는 우려에서 나온 판단이라고 본다”라고 설명했다.
인 이사가 말한 트럼프 선거는 “러시아가 트럼프 당선을 도왔다”라는 CIA 조사결과가 가져온 파장을 말한다. 지난해 12월 9일(현지시각) 워싱턴포스트는 러시아와 폭로 전문 웹사이트인 위키리크스가 트럼프 승리를 위해 비밀리에 협력한 정황을 CIA가 확인했다고 전했다. 당시 트럼프 측은 황당무계한 주장이라고 일축했다.
□스타벅스용 아마존 대시…API 취약점 드러난 사례
하프 디카프, 하프 설탕, 노 위핑, 노 아이스…기나긴 대기줄은 싫지만 기나긴 주문을 해야 하는 이들에게 ‘사이렌오더’는 꽤나 멋진 경험이다. 그러나 이마저도 귀찮은 이들은 스타벅스용 ‘AWS IoT 버튼’을 이미 알고 있을지도 모른다.
아카마이 안준수 상무는 “기존에 있는 스타벅스 ‘사이렌오더’와 ‘AWS IoT’를 접목한 기술로 버튼 한번으로 주문을 모바일에서 확인하는 것까지 가능하다”라고 해당 기술을 소개했다.
그러나 안 상무에 따르면 이 기술이 꽤나 위험한 발상이다. 안 상무는 “고객이 실제 주문한 것이 아니지만 서버쪽에서는 고객의 모바일앱에서 주문한 것처럼 인지하게 만들 수 있는 가능성이 있다”라고 설명했다.
또한 “해당 버튼을 만든 개발자 사이트를 보면 API 콜을 어떤 방식으로 보안요소를 뚫고 들어갈 수 있었는지 상세한 기록이 있다”며 “이처럼 비공개된 API에 대한 접근도 쉽게 일어나는 상황에서 공개된 API의 경우 공격가능성이 더 높다고 본다”라고 지적했다.
아울러 인 이사는 “최근에는 DDoS를 비롯한 API에 대한 공격이 일어나고 이를 방어하기 위한 솔루션도 많이 나오는 상황이다. 흥미로운 소식이지만 보안측면에서는 많은 점을 시사한다”라고 덧붙였다.
