2013년 10월의 개인 정보 보안 문제

2013년 10월 1일, 위키미디어 재단은 사용자 약 37,000명의 개인 정보(전자 우편 주소, 비밀번호 해시값, 세션값, 최종 로그인 시각)가 LabsDB의 오류로 인해 LabsDB에 계정을 가진 모든 자원봉사자들에게 공개된 오류를 발견하였습니다.

2013년 5월에 만들어진 LabsDB는 자원봉사자들이 새 도구를 만들고 검토 보고서를 만들 때 위키미디어 재단의 DB 자료를 실시간으로 열람할 수 있도록 생겨났습니다. 이것은 위키미디어 공동체의 세부적인 것부터 정하고 가는 형태의 제안을 현실화하는 데 도움을 줍니다. 이 과정에서 개인정보는 LabsDB 봉사자들이 보기 전에 자동으로 바뀝니다. 불행하게도, 몇몇 위키미디어 위키에서는, 데이터베이스의 개인정보 치환 기능에 오류(DB 자료구조와 호환되지 않음)가 생겨 특정 위키들의 개인정보만 바뀌지 않았습니다. 10월 1일에 228명의 사용자들이 LabsDB에 접속할 권한을 갖고 있었는데, 이 바뀌지 않은 개인정보를 열람할 수 있었던 기간은 2013년 5월 29일부터 10월 1일까지입니다.

이 사건은 신뢰를 받는 봉사자에 의해 발견되고 신고되었으며, 신고 후 15분이 지나고 바로 정보의 열람이 차단되었습니다. 재단에서는 누가 이 정보를 열람했는지, 혹은 열람한 사람이 있긴 한지 등을 알 수 없습니다. 현재까지는 개인정보가 대량으로 다운로드되었다고 단정할 수는 없으나, 반대로 그런 적이 없다고 할 수도 없습니다. 보안상 재단에서는 연루된 모든 사용자들의 계정의 비밀번호 변경을 강제하였으며, 계정이 잠겼기 때문에 비밀번호를 바꾸지 않으면 로그인되지 않습니다.

또한 재단에서는 이 사건에 영향을 받는 사용자들에게는 확인된 전자 우편 주소로 이메일을 보냈습니다.

저희는 이 실수를 후회합니다. LabsDB는 저희의 인프라이며 저희는 LabsDB의 편집 과정을 전수 감사하여 이런 실수가 또 일어나지 않고, 일어나더라도 최소화 할 것입니다.

진심을 담아,
Erik Moeller
기술 & 제품 개발 부장

연락 방법

질문이 있으시다면 여기로 이메일을 보내세요:

accountsecuritywikimedia.org

귀하는 위키미디어 재단을 방문할 수도 있습니다:

Wikimedia Foundation, Inc.
149 New Montgomery Street
Floor 6
San Francisco, CA 94105
United States
전화 번호: +1-415-839-6885
팩스: +1-415-882-0495

질문과 답변

무슨 일인가요?

2013년 10월 1일자로 위키미디어 재단은 사용자 약 37,000명의 개인 정보(전자 우편 주소, 비밀번호 해시값, 세션값, 최종 로그인 시각)가 LabsDB의 오류로 인해 LabsDB에 계정을 가진 모든 자원봉사자들에게 공개된 오류를 발견하였습니다.

LabsDB가 뭔가요?

2013년 5월에 시작한 LabsDB는 자원봉사자들이 도구를 만들고 검토하고 보고할 때 위키미디어 DB를 실시간으로 열람할 수 있도록 돕는 데 목적이 있습니다. 이것은 위키미디어 공동체에서 나온 세부적인 것부터 시작하는 형태의 제안의 현실화를 돕습니다.

누가 이 사건을 발견했나요?

이 사건은 믿을 수 있는 자원봉사자에 의해 알려졌으며, 신고 후 몇 분 이내에 추가 정보 접근은 정지되었습니다.

버그들은 여기에서 찾아볼 수 있습니다.

LabsDB에서 확인 가능한 정보는 무엇이 있나요?

열람 가능했던 정보는 네 가지가 있었습니다. 사용자 메일 주소, 비밀번호 해시값, 세션 식별값(로그인 유지에 사용), 최근 로그인 시간입니다.

비밀번호 해시값이 실제 비밀번호처럼 확실한 것은 아니라는 것을 알아두세요. 제3자가 이 값을 성공적으로 빼내 갔다 하더라도 그들이 악의적인 목적으로 이 해시값에서 비밀번호 값을 알아내려면 무작위 대입 공격을 해야 합니다. 이 때, 간단하고 보안에 취약한 비밀번호들은 빨리 뚫립니다. 비밀번호는 MD5 알고리즘으로 암호화되었습니다.

이 설정 오류는 어떠한 기부자 자료에도 영향을 끼치지 않았으며 그 외의 개인 자료는 공개되지 않았습니다.

정보는 얼마 간 볼 수 있었나요?

2013년 5월 29일부터 10월 1일까지 열람되었습니다.

문제 발견에 왜 그리 오래 걸렸습니까?

재단의 공개 위키 일부만이 이번 자료 문제에 영향을 받았으며 개인 자료 일부만이 공개되었습니다. 이 자료 공개 체제는 시험을 거쳤고 의도대로 작동하는 것처럼 보였습니다. 그러나 데이터베이스 스키마가 조금 다른 일련의 새로운 위키가 추가되었는데 이 때문에 자료 공개 체제가 부분적으로 오작동했고 한 자원봉사자가 이 문제를 보고하여 재단에서 이 문제를 알게 되었습니다.

관련 정보에 접근할 수 있었던 사람들은 누구지요?

LabsDB 사용자들은 모두 접근이 가능했지만, 재단에서는 그들이 접근했다는 정보나 증거를 가지고 있지 않습니다.

10월 1일 기준으로, LabsDB 이용자가 228명이었습니다.

사용자 정보를 지키기 위해 어떤 프로토콜을 썼나요?

이 체제의 일환으로 개인 자료는 자원봉사자가 그 자료를 보기에 앞서 자동으로 검열됩니다. 위키미디어 위키 일부에서 불행하게도 개인 자료를 검열하기 위한 데이터베이스 트리거가 작동하지 않았고 LabsDB 사용자가 이 특정 위키 데이터베이스의 일부 사용자 개인 자료를 볼 수 있었습니다.

개인정보를 열람한 사람이 있나요?

제삼자가 실제로 이 정보를 열람했다는 어떠한 징후도 없으며 단지 LabsDB 계정 보유자가 잠재적으로 열람할 수 있을 뿐입니다. 재단에서는 최선을 다해 그러한 증거를 찾았지만 문제의 개인 자료가 대량으로 유출되었거나 불순한 목적으로 사용되었다고 암시할 어떠한 증거도 발견하지 못했습니다. 하지만 그 가능성을 확실히 배제할 수는 없습니다.

영향을 받은 데이터베이스는 어디죠?

• aswikisource
• bewikisource
• dewikivoyage
• elwikivoyage
• enwikivoyage
• eswikivoyage
• frwikivoyage
• guwikisource
• hewikivoyage
• itwikivoyage
• kowikiversity
• lezwiki
• loginwiki
• minwiki
• nlwikivoyage
• plwikivoyage
• ptwikivoyage
• rowikivoyage
• ruwikivoyage
• sawikiquote
• slwikiversity
• svwikivoyage
• testwikidatawiki
• tyvwiki
• ukwikivoyage
• vecwiktionary
• votewiki
• wikidatawiki
• wikimania2013wiki
• wikimania2014wiki

이런 개인정보 오류를 해결하기 위해 무엇을 했나요?

신고 후 15분만에 정보 접근이 차단되었습니다. 일단 혹시 모를 보안을 위해 재단에서는 모든 관련된 계정의 비밀번호를 바꾸도록 조치하여, 로그인시 바꾸지 않으면 로그인할 수 없도록 하였습니다. 또한 이에 연루된 사용자들에게는 확인된 전자 우편 주소로 이메일을 보냈습니다.

우리는 LabsDB 편집 과정을 전수 조사하여 추후 사태의 반복을 막을 것입니다.

다른 사이트에서도 같은 비밀번호를 사용하는데, 같이 바꿔야 할까요?

만약 비밀번호 해시값이 잠재적으로 제3자들에게 넘어갔다면, 또한 그들이 악의적 공격을 하기 위해 그 비밀번호로 다른 사이트에서 시도하려고 한다면, 그리고 비밀번호가 취약하다면 정말 위험합니다. 재단은 당신이 다른 사이트의 비밀번호를 위키미디어 재단과 다르게 설정할 것을 권고합니다.