라스트패스 “무단 액세스로 고객 데이터 일부 도난” 인정

암호 관리 툴인 라스트패스(LastPass) 개발 모회사인 고투(GoTo)가 고객 데이터 암호화 백업을 보존한 클라우드 스토리지 무단 액세스가 2022년 11월 발생한 건에 대해 이 무단 액세스로 원격 컴퓨터 관리 소프트웨어인 로그미인 센트럴(LogMeIn Central)과 로그미인 프로(LogMeIn Pro) 같은 고객 데이터 일부가 도난당했다고 발표했다.

발단은 2022년 8월 공격자가 개발자 계정을 통해 라스트패스 소스 코드와 기술 정보 일부를 부정하게 입수한 것에 있다. 이어 11월말 이 도난당한 소스코드에서 얻은 정보를 이용해 고투나 라스트패스 고객 데이터 암호화 백업이 저장된 타사 클라우드 스토리지에 공격자가 침입해 고객 데이터 특정 요소에 대한 액세스에 성공한 것으로 밝혀졌다.

클라우드 스토리지 침입이 밝혀졌을 때 고객 데이터에 미치는 영향은 아직 알려지지 않았으며 고투는 사이버 보안 기업 맨디언트(Mandiant) 도움으로 조사를 수행했다.

무단 액세스가 발각되면서 라스트패스 측은 라스트패스 암호가 도난당한 증거는 없으며 고객 암호는 자사 제로지식증명기술에 의해 안전하게 암호화된 상태로 남아 있다고 발표했다. 하지만 2022년 12월말에는 결국 라스트패스 고객 데이터에 대한 무단 액세스가 발생했다는 게 밝혀졌다.

추가 조사 결과 로그미인 센트럴과 로그미인 프로, 온라인 콘퍼런스 소프트웨어인 조인미(join.me), P2P형 VPN 툴인 하마치(Hamachi), 리모트 조작 툴인 리모틀리애니웨어(RemotelyAnywhere)에 관련한 고객 데이터 백업도 도난당했다고 한다. 제품에 따라 영향은 다르지만 도난당한 데이터 중에는 계정 사용자명, 해시화된 암호, 이메일과 전화번호, 청구처 주소, 신용카드 번호 4자리 등 개인 정보, 다요소 인증 설정 일부, 제품 설정과 라이선스 정보가 포함되어 있는 경우가 있다.

고투는 영향을 받는 사용자에게 직접 연락해 해당 사용자 비밀번호를 재설정하거나 다중 요소 인증을 다시 승인한다고 밝혔다. 실제로 고투에서 사용자에게 보낸 알림을 보면 고투는 공격자가 프로덕션 시스템에 액세스했다는 증거는 아직 없다고 말하며 TLS 1.2에 의한 암호화와 P2P 기술이 유효하기 때문에 이번 공격이 클라이언트에 영향을 미칠 가능성은 없다고 밝혔다.

고투 측은 이번 사건에 대해 아직 조사 중이라며 조사를 신속하게 완료할 수 있도록 노력할 것이라고 밝혔다. 관련 내용은 이곳에서 확인할 수 있다.