GMO 클라우드 침해, 공격자의 자료 공개 확인…이용자 PC 조사 계속

회사가 인정한 보안 문제와 아직 공개하지 않은 기술적 침입 경로를 나누어 봐야 합니다. GMO는 24일 제4보에서 서비스 시스템에 보안 문제가 있었고, 무단 접속과 고객 정보의 외부 반출을 확인했다고 밝혔습니다. 단순한 장애나 의심 단계보다 더 나아간 확인입니다. 제4보

25일에는 그룹 대표 구마가이 마사토시가, 보안 취약점을 찾아 알리는 사내 전문가들이 사전에 개선 과제를 지적했다고 설명했습니다. 서비스 중단의 영향과 다른 과제의 우선순위를 고려하며 대응했으나 충분한 깊이와 속도로 조치하지 못했다는 회사 책임자의 설명입니다. 어떤 제품의 어떤 결함을 어떤 순서로 악용했는지 보여 주는 기술 조사 보고서까지 공개한 것은 아닙니다. 대표의 10월 25일 설명

확인한 제12보까지는 이 빈칸을 채울 기술적 경로가 공개돼 있지 않습니다. 따라서 이번 사건을 특정 원격 접속 프로그램의 결함이나 최근 PHP 취약점 때문이라고 연결할 근거도 이 원문들에서는 확인하지 못했습니다. 대표 글의 AI 공격에 관한 설명도 이번 침입에 특정 AI 도구가 쓰였다는 분석 결과와 구별해야 합니다.

이 서비스는 FX, 즉 외환거래 프로그램을 계속 실행하는 데 쓰는 가상 서버(VPS)를 제공합니다. 고객이 자기 컴퓨터를 계속 켜 두는 대신 제공자의 설비에 있는 실행 환경을 빌리는 방식입니다. 이용자는 자기 PC나 다른 기기에서 원격으로 접속합니다. 거래를 수행하는 증권·FX 회사의 계좌는 이 원격 서버를 빌리는 계약과 별도로 존재합니다. 공식 서비스 설명과 현재 중단 안내

원격 서버에는 거래를 계속 실행하기 위한 로그인 정보가 저장돼 있을 수 있습니다. 제3보는 이런 정보가 취득·악용됐을 가능성을 설명하며, 개별 정보의 취득·부정 사용 여부와 범위는 조사 중이라고 했습니다. 제4보는 모르는 거래에 관한 고객 보고도 접수했다고 밝혔습니다. 금융회사 시스템 자체가 뚫렸다는 발표와는 구분해야 합니다. 제3보

가령 한 이용자가 집 PC로 원격 서버에 접속해 거래 프로그램의 자동 로그인을 설정했다고 해 봅시다. 이는 구조를 이해하기 위한 가상 예시입니다. 이때 원격 서버에 있던 계좌 정보가 악용된다면 집 PC에 악성코드가 없어도 다른 접속에서 계좌에 접근할 위험이 생깁니다. 모르는 주문은 원치 않는 거래와 손실로 이어질 수 있으므로, 잔고뿐 아니라 주문·체결 내역을 금융회사에서 확인해야 합니다. 체결은 주문이 성립한 것을 뜻합니다.

세션은 로그인한 뒤 서버가 유지해 주는 접속 상태입니다. 공연장 입장권으로 비유하면, 비밀번호 변경은 앞으로 입장할 때 쓸 열쇠를 바꾸는 일이고 전체 세션 종료는 이미 입장해 있는 접속도 내보내는 일입니다. 실제 효과는 거래 회사의 방식에 따라 다릅니다. GMO 제3보는 비밀번호 변경 뒤에도 기존 접속이 일정 기간 유지돼 거래가 계속될 수 있다며, 이미 비밀번호를 바꾼 고객에게도 전체 세션 종료를 요청했습니다.

%% 비밀번호 변경만으로 끝내지 않는 이유 · GMO 제3보의 이용자 대응 안내
flowchart TD
  A["다른 안전한 기기에서<br/>거래 회사 공식 창구 접속"] --> B["비밀번호 변경<br/>향후 로그인 보호"]
  B --> C["전체 세션 종료 요청<br/>거래 회사의 기능·창구 이용"]
  C --> D["접속 목록·거래 회사 답변으로<br/>종료 완료 확인"]
  D --> E["주문·체결·잔고 확인<br/>모르는 거래는 신고"]

원격 서버와 집 PC는 서로 다른 컴퓨터입니다. 원격 화면을 봤다는 사실만으로 악성코드가 집 PC에 복제됐다고 결론낼 수는 없습니다. GMO 제3보는 고객 단말의 영향도 조사 중이며, 전체 검사와 백업은 2차 피해를 막기 위한 예방 조치라고 명시했습니다.

그렇다고 원격 서버만 조사하면 개인 기기까지 안전하다고 말할 수 있는 것도 아닙니다. 새 비밀번호를 입력할 기기 자체에 문제가 없는지, 계정에 모르는 접근 경로가 남아 있지 않은지 따로 확인해야 합니다. 그룹의 26일 안내는 악성코드 전체 검사뿐 아니라 계정의 연동 앱, 메일 전달 설정, 브라우저 확장 기능, 등록 기기와 동기화도 점검 대상으로 꼽았습니다. 아래는 그 안내의 목적을 풀어 쓴 것이며, 각 문제가 이번 고객 PC에서 발견됐다는 목록은 아닙니다. 이용자 보호 안내

예를 들어 모르는 메일 전달 규칙이 있다면, PC 검사 결과와 별도로 계정 설정에서 확인해야 합니다. 이는 점검 목적을 설명하는 가상 사례이며 이번 사건에서 그 규칙이 발견됐다는 뜻은 아닙니다. PC 검사, 계정 설정 점검, 금융회사의 거래 확인은 보는 장소가 달라 서로를 대신하지 못합니다.

랜섬웨어는 파일을 암호화하거나 이용을 방해하며 돈을 요구하는 악성 프로그램입니다. 정보를 밖으로 공개하겠다는 협박과, PC에서 이런 프로그램이 실제로 동작했는지는 따로 조사할 사실입니다.

제9보의 분석 대상은 조사에 협조해 제공된 단말 중 분석을 마친 일부입니다. 이 결과를 모든 고객 PC로 확대해서 읽으면 안 됩니다. 제9보

GMO는 해당 서비스에 접속했던 고객의 기기에 전체 악성코드 검사를 요청했습니다. 계정 보호는 다른 안전한 기기에서 공식 사이트로 직접 접속해 하도록 안내했습니다. 그룹의 이용자 보호 안내

비밀번호 변경은 거래 회사뿐 아니라 원격 서버에 저장했거나 같은 비밀번호를 재사용한 다른 서비스도 대상으로 봅니다. 메일 계정은 여러 서비스의 알림·계정 복구를 받는 곳이므로 함께 보호합니다. 다중요소인증은 비밀번호 외에 추가 확인을 요구하는 기능으로, 제공되는 서비스에서 설정합니다.

단말 검사에는 전원이 필요하고, 제10보에는 백업·네트워크 분리·전원 종료 요청도 있습니다. 이 안내들을 보고 의심 기기를 반복해서 켜거나 새 비밀번호를 입력하며 시험하지 말고, 별도 안전한 기기로 공식 창구에 접속해 현재 상태에 맞는 점검 순서를 확인해야 합니다. 백업 파일도 검사 전 다른 기기에 무심코 실행하지 않도록 주의합니다.

제10보에는 백업 후 해당 고객 PC의 네트워크를 끊고 전원을 내리라는 요청도 남아 있습니다. 이는 이 사건의 대상 이용자에게 제시한 예방 조치입니다. 다른 GMO 서비스를 이용한다는 이유만으로 모든 PC에 똑같이 적용할 지시는 아니며, 자신의 서비스와 기기가 대상인지 최신 공식 안내에서 먼저 봐야 합니다.

제12보의 특별 위로금은 GMO가 공개 정보에 해당 고객의 정보가 포함됐음을 확인한 경우의 제도입니다. 앞서 안내한 일률 위로금·부정 거래 손실 보상과 별도이며, 종류별 지급 조건은 공식 안내를 봐야 합니다. 발표가 개별 지급 완료를 뜻하지는 않습니다.

회사는 범인 특정·검거와 사건 해명에 기여하는 검증 가능한 정보를 받는 포상금 제도도 발표했습니다. 100만 달러는 제도 전체의 총상한이고 1인당 지급액이 아닙니다. 접수 개시는 28일 12:00 JST 예정으로 안내돼 있어, 이 원고 확인 시점에는 아직 시작 전입니다. 회사는 합법적으로 확보한 정보를 대상으로 하며, 독자적인 침입 조사나 범인 접촉을 요청하는 제도가 아니라고 밝혔습니다.

정부의 능동적 사이버 방어 조치에 관해서는 제4보에서 회사가 요청 방침을 밝혔습니다. 회사의 요청과 정부의 발동 결정·실행은 같은 사실로 바꾸어 쓸 수 없습니다. 제4보