반응형 보안뉴스6 클라우드에 저장된 데이터를 기업이 확인할 수 있을까? 최근 네이버 클라우드의 서비스인 마이박스(MYBOX)에서 사용자 및 컨텐츠 통계자료를 공개했었습니다. 그런데 여기서 네이버 클라우드가 사진이나 이미지 등과 같이 마이박스에 저장된 사용자 데이터를 마음대로 본 것이 아니냐라는 논란이 되었는데요. 이런 통계 자료를 내기 위해서는 사용자가 찍은 사진을 직접 확인해야만 가능합니다. 특히 마이박스 캠페인 페이지에서 공개한 자료 속에 개인이 촬영한 듯한 사진이 올라오면서 커뮤니티에는 클라우드에 사진을 올리면 안된다는 글까지 올라오고 있는데요. 그래서 이번 글에서는 기업이 클라우드 데이터를 정말 확인할 수 있는지에 대해 말씀드리도록 하겠습니다. 우선 결론부터 이야기하면 기업에서 데이터를 들여다본다는 의혹은 사실이 아니라고 하는데요. 솔직히 마이박스와 같이 사용자가 데.. 2023. 3. 18. OLE 개체 기능 악용한 APT 한글 문서 사례 얼마 전에 MS 오피스에서 발견된 취약점을 이용하여 만든 문서를 열기만 해도 악성코드에 감염될 수 있다는 내용을 "MS 오피스 제로데이 취약점 사례"에 대해서 설명드린적이 있었습니다. 이런 공격들은 이전까지 발견하지 못한 공격이기 때문에 패치가 나오기 전까지는 대응을 할 수 없다고 말씀드렸는데요. 그런데 최근 유행하고 있는 문서형 악성코드가 꼭 새로운 취약점만 가지고 만들어지는 건 아니죠. 기존에 문서에서 제공하는 기능들을 가지고 악성 행위를 할 수 있는데, 오늘은 한글 문서가 제공하는 OLE 개체 연결 삽입 기능을 이용한 문서형 악성코드에 대해 설명드리도록 하겠습니다. 여러분들도 익숙하게 알고있는 한컴에서 만든 한글이라는 프로그램은 굉장히 오래전부터 사용되어 왔죠. 지금도 학교에서 과제를 하거나 대.. 2022. 7. 6. 윈도우 정품인증 툴로 위장한 악성코드 사례 제가 학생이었던 10년 전쯤에는 P2P와 같은 파일 공유 사이트를 상당히 많이 이용했었던 것 같습니다. 사실 인터넷에 떠돌아다니는 자료 외에도 저작권과 같이 법적으로 공유하면 안되는 프로그램을 싸고 쉽게 구할 수 있다는 생각에 저도 꽤 많이 이용했었죠. 지금은 직장인이기에 필요한 프로그램이 있으면 돈을 주고 사서 쓰지만, 그 보다도 파일 공유 사이트에는 악성코드로 위장한 프로그램들이 워낙 많이 떠돌아 다니기에 어느 순간부터 자연스럽게 사용하지 않았던 것 같기도 합니다. 지금도 파일 공유 사이트를 사용하는 분들이 있을거라 생각하는데, 경각심을 가지실 수 있도록 오늘은 파일 공유 사이트에서 윈도우 정품인증 툴로 위장한 악성코드 사례에 대해서 살펴보도록 하죠. 파일 공유 사이트에서 보통 많이 찾는 것은 보.. 2022. 3. 26. 정상 소프트웨어로 위장한 랜섬웨어 감염 사례 오늘은 랜섬웨어에 대한 내용을 간단하게 정리해보려고 합니다. 이번에 참고한 기사는 최근이 아닌 2018년 쯤 올라온건데, 처음부터 어려운 내용을 말씀드리면 읽다가 싫증이 나실꺼 같아서 쉬운 내용부터 시작해서 차차 어려운 내용을 설명드리도록 하겠습니다. 새로운 내용을 공부하거나 강의를 듣는 것처럼 기본, 중급, 심화.. 이런식으로 넘어가보도록 하죠. 먼저 랜섬웨어(Ransomware)라는게 뭔지 간단하게 설명드리면.. 랜섬(Ransom)은 인질의 몸값이라는 뜻이고, 웨어(ware)는 소프트웨어(Software)나 멀웨어(Malware)의 줄임말이라고 보시면 됩니다. 그래서 랜섬웨어는 "데이터를 인질로 삼아 몸값을 요구하는 일종의 악성코드" 정도로 생각하시면 무리가 없으실 것 같습니다. 그럼 여기서 '어.. 2021. 5. 11. 권한 문제로 일어나는 해킹 사례 이번에 다뤄볼 주제는 해킹 사고가 날 때 빈번하게 원인이 되는 "권한"에 대한 내용으로, 생각보다 많은 해킹 사례가 발생하지만 이상하리만큼 잘 대응이 되지 않는 문제에 대해 소개드려볼까 합니다. 권한으로 인해 발생하는 해킹 시나리오를 말씀드리기 전에 먼저 권한의 개념부터 간단하게 설명드리고 넘어가보죠. 처음 리눅스를 공부하면서 권한에 대한 내용을 배우시면, 파일의 퍼미션(Permission, 허가권)인 'rwx' 즉, 읽기, 쓰기, 실행 권한 그리고 그 파일의 소유권에 대해 들어보셨을 겁니다. 예를 들어 'a.txt라는 파일의 소유권은 userA의 것이며 userA는 읽기, 쓰기, 실행을 모두 할 수 있고, 그 외의 유저는 실행만 할 수 있다'라는 내용을 리눅스 상에서 "ls -l"이라는 명령어를 쳐.. 2021. 5. 10. 악성 앱을 사용한 스마트폰 해킹 오늘부터 이 "Security Essay" 카테고리에서는 보안 이슈에 대한 기사를 일반인도 이해할 수 있도록 쉽게 풀어서 설명드리고, 더불어 개인적인 견해를 적어보는 말 그대로 보안 에세이를 진행하려고 합니다. 원래 네이버 블로그에서 진행하고 있었으나 티스토리를 갑작스럽게 만든 이유는, 네이버가 검색 엔진에 노출이 너무 안되고 있는 것 같기도 하고, 개발자들이 보통 티스토리를 이용하기 때문에 저도 하나 만들어야 겠다고 느꼈기 때문이죠. 물론 저는 순수 개발자는 아니지만 현재는 개발에 종사하고 있는 한 사람으로서 개발과 더불어 보안에 대한 지식을 공유하고자 합니다. 이 글에 쓰는 대부분의 내용은 네이버 블로그에 1차적으로 적은 글을 다시 탈고하여 쓰는 방식으로 진행된다는 점 알아두셨으면 합니다. 자.. 그.. 2021. 5. 9. 이전 1 다음 반응형
