인터넷 아카이브 3100만 계정 해킹·DDoS 공격 사태 (2024)

인터넷 아카이브의 소스코드 저장소인 깃랩에 거의 2년간 방치돼 있던 인증 토큰을 공격자가 발견해 백엔드 시스템에 침투했다. 이를 통해 이용자 계정 데이터베이스 전체가 빠져나갔으며, 탈취된 파일에 남은 타임스탬프는 유출이 9월 28일경 이뤄졌음을 보여준다. 유출된 정보에는 이용자명과 이메일 주소, 솔트가 적용된 배크립트 해시 비밀번호가 포함됐다. 조직은 침해 사실을 몇 주가 지난 10월에야 뒤늦게 인지했다. 이는 인증 정보 관리 소홀이 대규모 개인정보 유출로 이어진 전형적 사례로 지적됐다.

인터넷 아카이브 설립자 브루스터 케일이 자신의 X(트위터) 계정을 통해 인터넷 아카이브 사이트가 분산서비스거부(DDoS) 공격을 받고 있다고 공식 확인했다. 사이트는 공격 여파로 한동안 접속이 불안정했으나 몇 시간 뒤 정상화됐다고 밝혔다. 이 시점에는 앞서 발생한 데이터 유출 사실이 아직 공개되지 않은 상태였다. 이후 이 DDoS 공격과 데이터 유출이 서로 다른 공격자에 의한 별개 사건이라는 점이 뒤늦게 드러났다. 두 사건이 같은 시기에 겹치면서 조직의 대응은 더욱 혼란스러워졌다.

인터넷 아카이브 방문자들은 사이트에서 해킹당했다는 팝업 경고 메시지를 마주했고, 조직은 곧 3100만 개 이상의 계정이 유출됐다고 공식 확인했다. 유출 정보는 향후 'Have I Been Pwned' 데이터베이스에도 등록돼 이용자들이 자신의 피해 여부를 확인할 수 있게 됐다. 같은 날 해킹티비스트 그룹 블랙메타(BlackMeta)가 DDoS 공격의 배후를 자처하며 2차 공격을 예고했다. 조직 측은 성명을 통해 DDoS 공격은 일단 막아냈지만 이용자명·이메일·암호화된 비밀번호 유출은 사실이라고 인정했다. 이로써 인터넷 아카이브는 데이터 유출과 DDoS라는 이중 위기에 동시에 직면하게 됐다.

블랙메타가 예고한 대로 두 번째 DDoS 공격을 감행하면서 인터넷 아카이브 사이트와 웨이백 머신 접속이 다시 불안정해졌다. 공격자는 웹사이트의 자바스크립트 라이브러리를 변조해 방문자에게 해킹 경고 팝업을 노출시키는 방식도 병행했다. 인터넷 아카이브는 성명에서 DDoS는 일단 방어했으나 웹사이트 변조와 이용자 정보 유출은 실제 발생했다고 확인했다. 반복되는 공격으로 이용자들은 서비스 접속에 지속적인 어려움을 겪었다. 조직은 클라우드플레어 등 외부 보안업체와 협력해 공격 완화에 나섰다.

공격자가 회전되지 않은 채 방치된 젠데스크 API 토큰을 이용해 인터넷 아카이브의 고객지원 플랫폼에 침투하는 2차 침해가 발생했다. 이를 통해 2018년 이후 info@인터넷 아카이브 사이트로 접수된 80만 건 이상의 지원 티켓에 접근할 수 있게 됐으며, 일부에는 신원 확인 서류 등 민감한 개인정보가 포함돼 있었다. 해커는 자신이 2주 전에 이미 취약점을 경고했음에도 조직이 키를 회전시키지 않았다고 비판했다. 젠데스크 측은 자사 플랫폼 자체가 침해된 것은 아니라고 선을 그었다. 이는 한 달 새 세 번째로 확인된 인터넷 아카이브에 대한 사이버공격이었다.

탈취한 젠데스크 계정 권한을 이용해 공격자가 수백 명의 지원 티켓 문의자에게 조롱성 답장 이메일을 무더기로 발송했다. 이메일에는 '당신의 데이터는 이제 어떤 임의의 사람 손에 있다'는 식의 도발적 문구가 담겼다. 맬웨어바이츠 등 보안 전문가들은 이번 사태가 인증 토큰 관리 실패라는 근본 원인이 반복적으로 드러난 사례라고 지적했다. 인터넷 아카이브는 뒤늦게 모든 API 토큰과 자격증명을 전면 교체하는 작업에 착수했다. 일련의 공격은 비영리 기관의 보안 투자 부족 문제를 다시 한번 부각시켰다.

보안 업계는 이번 인터넷 아카이브 유출을 2024년 발생한 비영리·공공성 기관 대상 사고 가운데 최대 규모로 평가했다. 3100만 개 계정이라는 피해 규모는 유사 시기 발생한 다른 기술기업 유출 사고들과 비교해도 상위권에 속했다. 전문가들은 방대한 트래픽을 감당하면서도 상업적 수익 기반이 약한 비영리 기관의 구조적 보안 취약성을 문제로 지적했다. 인터넷 아카이브는 이후 외부 보안 컨설팅을 도입하고 인증 체계를 전면 재점검하겠다고 밝혔다. 이번 사건은 전 세계 디지털 아카이빙 서비스 전반의 보안 기준을 재점검하는 계기가 됐다.

인터넷 아카이브는 공식 블로그를 통해 일련의 침해 사고에 대한 진행 상황을 알리는 서비스 업데이트를 게시했다. 조직은 웨이백 머신 열람 기능을 우선 복구하는 한편 저장 기능(Save Page Now)은 보안 점검이 끝날 때까지 잠정 중단한다고 밝혔다. 이용자 비밀번호는 안전을 위해 전면 초기화하도록 안내했다. 이 발표는 한 달 가까이 이어진 혼란 속에서 조직이 처음으로 내놓은 구체적 복구 계획이었다. 비영리 기관 특성상 대규모 보안 인력을 갖추기 어려웠던 점이 대응 지연의 배경으로 거론됐다.

사이버공격 발생 한 달여 만에 인터넷 아카이브가 웨이백 머신의 핵심 기능인 '페이지 저장(Save Page Now)' 서비스를 복구했다고 발표했다. 10월 9일 이후 이용자들이 저장을 시도했던 페이지들이 순차적으로 아카이빙되기 시작했으며, 완전한 정상화 시점은 특정되지 않았다. 이번 복구로 열람과 저장 기능이 모두 재가동되면서 서비스는 사실상 정상 궤도에 올랐다는 평가를 받았다. 그러나 조직은 근본적인 보안 체계 재정비 작업을 계속 이어갔다. 이 사건은 방대한 인류 디지털 기록을 보관하는 비영리 기관의 보안 취약성을 국제사회에 경고하는 계기가 됐다.