0913 보안뉴스

원래는 최근 동향을 살피기 위해 뉴스를 정리했는데, 오늘은 조사하고 싶은게 있어서 관련 뉴스를 정리하고자 한다.

 

1. 틱톡, 계정 탈취 공격으로 이어지는 고위험군 취약점 빠르게 패치

틱톡, 계정 탈취 공격으로 이어지는 고위험군 취약점 빠르게 패치

요약 : 마이크로소프트가 틱톡의 안드로이드 애플리케이션에서 사용자 계정 탈취로 이어지는 취약점을 발견했다고 한다. 이 취약점은 CVE-2022-28799이며, 피해자의 클릭 한 번만 유도하는데 성공하면 피해자의 계정을 공격자가 탈취할 수 있다. 이를 통해 피해자의 프로파일을 고치고 비밀정보(비공개 영상, 채팅 기록 등)을 열람할 수 있게 된다. MS는 2월에 이 문제를 틱톡 측에 제보했고, 취약점이 실제 상황에서 익스플로잇 된 사례는 아직 발견되지 않았다.

 

느낀점 : 일단 내가 조사하고 싶었던건 바로 틱톡의 계정정보 유출이였다!! 커뮤니티 사이트에선 틱톡으로 인해 20억명의 계정이 털렸다 이런식으로 글이 올라온적 있어서 과연 사실인지, 어떤 원리인지, 패치는 어떻게 했는지 궁금했다. 근데 이 뉴스를 보니 실제로 공격자가 계정을 털어서 화제된게 아니고 MS사에서 제보한 거였다니. 실제로 악용되었는지는 틱톡 내부관계자만 알겠지.. 최종 목표는 틱톡에서 발생한 취약점의 원리를 적용한 앱을 만들어서 익스플로잇 해보는 거다! MS사에서 개념증명용 익스플로잇을 공개했다고 하니 찾아보고 할 수 있으면 해봐야겠다!!! 

 

 

2. 틱톡, 20억 건의 사용자 민감 정보 유출 사고 부인

틱톡, 20억 건의 사용자 민감 정보 유출 사고 부인

요약 : 보안 외신 해커뉴스에 의하면 틱톡에서 해킹 사고가 발생했고, 이 때문에 20억 건의 사용자 정보가 유출됐다고 한다. 공격자들은 내부 클라우드에 접근하는데 성공했다고 주장하는데, 틱톡 측은 내부 조사를 통해 이것은 사실이 아님을 밝혀냈다고 반박했다.

 

느낀점 : 오.. 커뮤니티에서 돌던 글은 1번 기사에서 찾은 취약점과 다른 거인가 보다. 뭐 같은거일 수도 있는데 클릭을 유도하고 그런게 아니라 해킹 그룹이 20억명의 계정정보를 탈취했다고 주장한거였다. 이런건 외부사람이 침해 경로나 취약점을 알 수가 없어 따라해보긴 어려울거 같다. 위의 CVE-2022-28799를 공부하는 걸로~ 그리고 앱이든 웹이든 기타 장비든 보안 취약점이 끊임없이 나오는 거 같다. 아무리 잘 만들어졌다고 해도 제로데이 취약점이 나올 수도 있고, 원데이 취약점이지만 아직 발견되지 않앗을 수도 있다. 이런 취약점들은 기업의 이미지에 타격을 줄 수 밖에 없는데 결국 그 기업이 어떻게 대처하는지, 이후 행보가 어떠한지가 중요하지 않을까 그냥 생각이 들었다