대형 게임·커뮤니티 디스코드 서버에서 널리 쓰이는 관리 봇 '더블카운터(Double Counter)'를 운영하는 프랑스 업체 텔터(Tellter)가 지난 4일(UTC) 표적 공격을 받아 약 12기가바이트(GB) 분량의 이용자 데이터가 빠져나갔다고 5일 공식 보고서로 밝혔다. 일본 게임 매체들이 8일 이 사실을 전하면서 서버 운영자들 사이에서 파장이 커졌다.
더블카운터는 부계정(알트) 탐지와 가상사설망(VPN) 사용 확인, 다수 계정을 동원한 조직적 난입(레이드) 차단에 쓰이는 방어용 봇이다. 차단당한 이용자가 다른 계정으로 다시 들어오지 못하게 막는 용도로, 유비소프트·마이크로소프트 관련 서버를 비롯한 대형 커뮤니티가 도입해 왔다. 서버를 지키라고 들인 봇이 거꾸로 공격 통로가 됐다는 점에서 운영자들의 불안이 번졌다.
게임와이가 텔터의 사고 보고서를 확인한 결과, 유출 대상으로 간주된 데이터는 디스코드 아이디·이용자명 약 2천800만 계정, 아이피(IP) 주소와 대략적 위치정보 약 2천700만 계정, 도시·국가 정보가 담긴 이용자 환경(유저에이전트) 해시값 약 2천500만 건에 이른다. 중복을 제거한 이메일 주소는 약 100만 건으로, 이 가운데 약 84만 건이 텔터의 별도 서비스 계정, 약 24만 건이 대시보드·서버 관리자·고객·광고주 연락처다. 텔터는 "영향을 받은 모든 분께 진심으로 사과드린다"고 했다.
디스코드 비밀번호와 결제 카드 정보는 유출되지 않았다. 텔터는 디스코드 비밀번호를 애초에 넘겨받지 않아 보관하지 않으며, 카드 정보도 결제대행사가 들고 있어 이번 유출 데이터에 포함되지 않았다고 설명했다. 다만 공격자가 봇 토큰과 데이터베이스 비밀번호, 서명 키 등 내부 비밀값을 열람했고, 텔터는 해당 자격증명을 전부 교체했다.
옛 서버에 남은 분석 도구 취약점이 입구
침투 경로는 현재 서비스와 분리돼 방치돼 있던 구형 서버였다. 이 서버에서 외부로 열려 있던 자체 분석 도구(메타베이스)의 취약점을 이용해 공격자가 관리자 세션을 위조했고, 서버에 남아 있던 서비스 계정 키와 관리자의 명령줄 접속 기록을 그대로 써서 클라우드 환경으로 넘어갔다. 텔터는 소스코드에 비밀번호가 들어 있지 않아 코드 유출로 뚫린 것은 아니라고 밝혔다.
보고서에 담긴 분 단위 기록을 보면, 공격자는 3일 새벽부터 방치된 옛 서버를 들쑤셨고 4일 0시47분 로그인에 성공했다. 낮 12시26분 봇 토큰을 손에 넣은 공격자는 13시30분부터 약 50개 대형 서버에 자신의 디스코드 서버로 유도하는 초대 링크를 더블카운터 명의로 뿌렸다. 가장 규모가 큰 표적은 로블록스 인기 게임을 다루는 'Steal a Brainrot' 서버였다. 텔터가 13시39분 토큰을 무효화하면서 공격자는 봇 통제권을 잃었다.
봇에서 손을 뗀 뒤에도 공격자는 15시9분부터 25분가량 데이터베이스 표를 복사했고, 관리자 비밀번호를 바꿔 서비스 접근을 막은 뒤 백업을 삭제했다. 텔터는 별도 결제 서비스 '아티스(Atis)'의 결제 키가 도용돼 회사 카드에 7천316달러 상당의 시험 결제가 일어났고, 고객 카드 2건(각 3달러·15달러)이 결제됐다가 전액 환불됐다고 밝혔다. 실제 결제가 발생한 카드는 3장뿐이며 고객 자금은 안전하다고 덧붙였다.
프랑스 당국에 신고하고 형사 고소 준비
텔터는 공격 당일 19시19분 새 자격증명으로 서비스를 복구했다. 탈취된 키와 세션을 폐기하고 공격자의 접속 키를 제거했으며, 데이터베이스를 외부 인터넷에서 차단하고 과도한 권한을 가진 서비스 계정을 비활성화했다. 봇 토큰과 데이터베이스·캐시 비밀번호, 서명 키, 결제 키를 모두 바꾸면서 전체 이용자가 한 차례 로그아웃됐다. 클라우드 프로젝트 14곳을 점검한 결과 공격자가 심어 둔 흔적은 없었다고 밝혔다.
텔터는 5일 프랑스 데이터보호당국(CNIL)에 사고를 신고했고, 법률 자문을 거쳐 형사 고소를 준비 중이다. 이메일이 노출된 이용자에게는 피싱 시도를 주의하라며, 비밀번호나 토큰·결제 정보를 이메일이나 개인 메시지로 요구하는 일은 없다고 안내했다. 서버 관리자에게는 4일 낮 12시부터 16시30분(UTC) 사이 봇이 보낸 초대 메시지를 삭제하고 해당 시간대 봇 활동 기록을 확인하라고 권고했다.
Copyright ⓒ 게임와이 무단 전재 및 재배포 금지
