개발자 여러분, 해킹당해본 적 있나요? 무슨 일이 있었나요?

네, 몇 년 전에 구직 중일 때 겪었습니다. 링크드인에서 만난 사람과 개발 직군 면접을 봤는데, 기술 테스트를 보내주면서 CTO와 2차 면접을 보게 될 거라고 하더군요.

알고 보니 그 기술 테스트에 악성 코드가 심어져 있었고, 제 노트북에서 실행하자마자 바로 알아챘습니다. 악성 코드는 브라우저에 저장된 제 모든 신용카드, 비밀번호, 암호화폐 데이터를 1시간마다 중국 서버로 전송하도록 설정되어 있었죠.

다행히 거의 즉시 발견했지만 이미 데이터는 업로드된 뒤였습니다. 링크드인에서 그 사람에게 따지니 계정이 사라져 버리더군요.

결국 모든 걸 바꾸고 카드도 전부 정지해야 했습니다. 크롬에 정보를 직접 저장하지 않고 비밀번호 관리자를 썼더라면 아무 문제 없었을 일이라, 지금은 비밀번호 관리자를 엄청나게 옹호하는 사람이 됐습니다.

카드 정보까지요? 진짜 최악이네요.

전 VPS 서버를 운영하면서 고객 웹사이트와 이메일을 호스팅하고 있습니다. 웹사이트 중 하나에 파일(PDF, 워드 등)을 첨부하는 필드가 있었는데, 개발자 한 명이 그 필드에 검증 로직을 넣는 걸 깜빡했죠. 누군가 그 필드를 통해 .php 파일을 올렸고, 제 이메일 중 하나에 접근해서 수천 통의 스팸 메일을 보내기 시작했습니다. 구글이 제 도메인을 블랙리스트에 올렸고, 그거 해결하느라 엄청나게 고생했습니다.

계정 전체가 털린 적은 없지만, 내부 시스템에서 유출된 자격 증명으로 인한 뒷수습은 해본 적 있습니다. 극적인 해킹보다 조용한 사건들이 더 무섭더군요. 아무도 기억하지 못하는 권한이 부여된 키나 서비스 계정이 있었는데, 몇 달 뒤 누군가 이상한 API 사용량이나 의문의 기록, 혹은 맞지 않는 보고서를 발견하는 식이죠.

가장 기억에 남는 건 초기 실수가 보통 아주 지루한 것들이었다는 점입니다. 스크립트에 박힌 토큰, 아무도 바꾸려 하지 않는 공유 관리자 계정, 평범해 보여서 믿었던 패키지 같은 것들이죠. 피해가 항상 데이터 도난인 건 아닙니다. 때로는 비즈니스 시스템에 잘못된 데이터가 기록되어, 뭐가 진짜인지 아무도 알 수 없게 되어 엄청난 정리 작업을 해야 하는 경우도 있죠. 다들 이걸 어떻게 처음 발견했는지 궁금하네요. 수정보다 탐지가 항상 더 어렵게 느껴졌거든요.

링크드인 가짜 면접 테스트는 진짜 악몽 그 자체네요. 모르는 사람의 코드를 메인 노트북에서 실행하는 게 화근이죠. 제 지금 규칙은 이렇습니다. 절대 VM이나 컨테이너 밖에서는 아무것도 실행하지 않고, 비밀번호는 크롬이 아니라 관리자에 저장합니다. 그래도 조용한 유출이 극적인 해킹보다 더 무서운 건 맞아요. 몇 달 뒤에 발견되는 의문의 API 사용량은 정말 공포죠. 지금 샌드박스 환경은 어떻게 구성하시나요? 여전히 베어메탈인가요, 아니면 전환하셨나요?