드롭박스 2012년 해킹 은폐 논란, 4년 만에 드러난 6,800만 계정 이메일·비밀번호 해시 유출

2012년 7월 드롭박스 이용자들이 평소 드롭박스에 등록했던 이메일 주소로 스팸을 받는다는 불만을 잇달아 제기했다. 회사는 조사에 착수했고, 일부 이용자 계정이 다른 사이트에서 유출된 계정 정보로 접근당했다고 밝혔다. 이후 직원 계정 하나가 침해되었고 그 계정 안의 문서에 이용자 이메일 주소 목록이 들어 있었다는 사실이 확인됐다. 당시 회사는 이 이메일 목록이 스팸의 원인이라고 설명했으나, 비밀번호 정보가 함께 빠져나갔는지는 구체적으로 알리지 않았다.

드롭박스는 당시 조사 결과를 통해 공격자가 다른 웹사이트에서 유출된 비밀번호를 이용해 일부 계정에 접근했으며, 이를 통해 직원 계정과 문서에까지 도달했다고 설명했다. 비밀번호 재사용이 대형 서비스의 내부 계정까지 위협한 전형적인 사례였다. 회사는 이후 보안 강화와 추가 인증 수단 도입을 약속했다. 그러나 당시 공개된 정보로는 해시된 비밀번호까지 포함해 대규모로 반출됐다는 점은 드러나지 않아, 피해 규모는 이후 4년간 미확인 상태로 남았다.

2016년 8월 IT 매체 마더보드는 데이터베이스 거래 커뮤니티 소식통을 통해 드롭박스 이용자의 이메일 주소와 해시된 비밀번호가 담긴 파일들을 입수했다고 보도했다. 파일은 네 개로 합계 약 5GB였고 계정 수는 68,680,741개에 이르렀다. 해시의 절반가량은 SHA-1, 나머지 절반은 bcrypt 방식이었으며 약 3,200만 개는 강한 해시인 bcrypt로 보호되고 있었다. 이는 2012년 사건이 단순한 이메일 목록 유출이 아니라 인증 정보 대규모 유출이었음을 4년 만에 보여준 것이었다.

마더보드 보도 무렵 드롭박스는 2012년 중반 이전에 가입했고 그 뒤 비밀번호를 바꾸지 않은 이용자들에게 비밀번호 재설정을 강제하는 조치를 시행했다고 밝혔다. 회사는 이번 조치가 유출 가능성이 있는 이용자를 모두 포함한다고 설명했다. 드롭박스 보안 책임자 패트릭 하임은 재설정 조치가 잠재적 영향을 받은 모든 이용자를 대상으로 했다고 확인했다. 회사는 이용자들에게 같은 비밀번호를 쓰는 다른 서비스의 비밀번호도 바꾸고 2단계 인증을 켜라고 권고했다.

보안 연구자 트로이 헌트는 유출 데이터를 검증한 뒤 이를 자신이 운영하는 Have I Been Pwned 데이터베이스에 8월 31일 추가했다. 그는 이 데이터에 실제 드롭박스 비밀번호가 담겨 있음은 의심의 여지가 없다고 밝혔다. 드롭박스 직원도 데이터가 진짜라고 확인한 것으로 보도됐다. 이로써 이용자들은 자신의 이메일이 유출 목록에 포함됐는지 직접 조회할 수 있게 되었고, 사건은 4년 만에 사실상 마무리 국면에 들어갔다.