[보안이슈] 방탄소년단 (BTS) 위버스 앱 회원 개인정보 유출

얼마전엔 네이처리퍼블릭 개인정보 유출이 있었는데, 이번엔 방탄소년단 팬 커뮤니티 앱인 위버스의 개인정보가 유출됐는 소식이다.  어떻게 유출됐는지 경위와 빅히트엔터테인먼트의 입장, 유출된 항목 등에 대해 살펴본다.

 

방탄소년단(BTS) 위버스 앱 개인정보 유출 사고

 

 

위버스(Weverse)란?

위버스는 빅히트엔터테인먼트의 자회사 비엔덱스가 제체 제작하고 운영중인 빅히트엔터테인먼트 소속 아티스트들의 팬 커뮤니트 앱이다. 방탄소년단(BTS), 투모로우바이투게더(TXT), 여자친구가 속해있다.

 

방탄소년단(BTS) (원본 출처: 구글 무료 이미지)

투모로우바이투게더(TXT) (출처: 구글 무료 이미지)

여자친구 (출처: 구글 무료 이미지)

 

 

방탄소년단(BTS) 팬 커뮤니티 위버스 개인정보 유출사건 개요

방탄소년단(BTS), 투모로우바이투게더(TXT), 여자친구 팬 커뮤니티 앱인 위버스(Weverse) 일부 회원들의 개인정보가 유출됐다. 일부 회원들 각자가 위버스 측으로부터 사과문을 받은 듯 해보이는데 공지사항에 올라온 것이 아니라 개인적으로 문의한 사람에게만 따로 메일이 간 것 같다.

 

이미지를 함부로 쓸 수 없어, 사과문을 요약하자면 아래와 같다.

 

---

2020년 1월 28일 오후 5시 40분부터 오후 9시까지 발생한 로그인 오류로 인해 타계정으로 로그인 됨

로그인된 타계정의 멤버십 정보페이지에서 개인정보가 노출됨

노출 항목은 이름, 이메일, 성별, 폰번호, 멤버십 회원번호, 멤버십 유효기간 총 6개

원인은 로그인 시스템 오류

오류를 확인한 직후 수정코드를 즉시 배포해 조치

1월 28일 9시부터 상황이 복구됨

로그인 오류로 인해 개인정보가 유출된 사실을 인지한 1월 30일부터 추가적으로 취약점 점검과 보완조치를 진행

2차 피해가 없는지 모니터링 중

KISA에 개인정보 유출 사실을 신고함

2차 피해가 있을 수 있으니 비밀번호를 변경해달라

기타 사항은 위버스 고객센터로 문의

 

 

개인정보 유출 경위

 

"로그인 시스템 오류로 인한 개인정보 유출?"

 

 

1월 28일 오후 5시 40분부터 오후 9시까지 발생한 로그인 시스템 오류로 인한 개인정보 유출이라고 한다. 개인정보가 유출됐다길래 앱이 해킹이라도 된건가 싶었는데 그게 아니라 단순 로그인 오류라고 한다. 

기사에는 따로 이전 상황에 대한 언급이 없어서 위버스 커뮤니티나 기타 커뮤니티를 찾아보니, 로그인 하려고 본인 계정을 입력했는데 내 계정이 보이지 않고 다른 계정으로 로그인이 되어 다른 사람의 닉네임, 이름, 이메일 주소 등등을 봤다는 것이다. 아니면 로그인이 아예 안됐다는 사람도 있다.

 

 

 

해킹 사건이라고 하기엔 일단 APK 자체가 리패키징된 것은 당연히 아니고 모바일 앱 해킹에서 가장 흔히 사용되는 수법인 인젝션이나 세션하이제킹도 아닌 것 같은게 보통 DB에 접근해서 개인정보만 빼가거나 탈취한 세션으로 로그인해서 개인정보만 빼가거나 이렇치 다른 사람 계정으로 로그인되는 상황이 발생했다는 건 들어보지도 못했다.

 

근데 갑자기 취약점 점검을 했다는건 마치 해킹을 당했다고 말하는 것 같은데 그게 아니라 앞으로 또 발생할 수 있는 추가적인 개인정보 유출 사고를 미연에 방지하기 위해 그런 것이겠... 것일 것 같다.

 

 

로그인 시스템 오류? 공식 사과문?

정리하면 "로그인 시스템 오류 -> 회원이 위버스 측해 문의 -> 위버스 오류로 인한 개인정보 유출 인지 -> 공지로 알리지 않고 일부 회원에게만 알림 -> ... >"인데 여기서 개인적으로 이상하게 생각되는 점이 있다.

 

옛~날에 넥슨에서 마비노기 계정 통합을 추진할 때 통합된 계정이 이상하게 분리된 것이나 인스타그램이 로그인하려는 사용자를 봇으로 인식하고 튕겨내버린 사건은 있는데 위버스의 경우 애초에 정상 작동하던 앱의 로그인 부분 코드를 갑자기 수정했을리도 없고, 어쩌다가 다른사람 계정으로 로그인이 되는 사고가 발생했는지에 대한 부분은 밝혀진 바가 없다.

 

 

웹/앱전문가는 아니지만, 보통 로그인 시스템은 "계정 입력 -> post 형태로 서버로 넘어감 -> 서버는 받은 계정의 id가 존재하는지 연동된 DB에 쿼리를 날려 확인, 존재하면 해당 id의 비밀번호가 일치하는지 DB에 쿼리를 날려 확인 -> 맞으면 로그인 정상 세션을 사용자에게 돌려줌" 의 형태로 진행된다.

 

여기서 다른 사람 계정으로 로그인이 되려면 세션을 잘못 날리는 것밖에 생각이 안나는데 이건 아닌 것 같고 로그인 부분이 아니라 다른 부분을 수정하거나 서비스 추가 등을 작업하다가 어찌어찌... 꼬인게 아닐까.... 추측해본다.

 

 

 

마치며

알려진 사실이 없어 자세한 개인정보 유출 경위는 알 수 없다. 2차 피해가 발생할 수 있으니 유출 사실을 지금이라도 인지한 위버스 회원분들은 신속히 비밀번호를 변경하길 권해드리면서 이번 포스팅을 마친다.

 

---

관련포스팅

[보안이슈] 네이처리퍼블릭 해킹! 유출된 회원 개인정보

[보안이슈] 네이처리퍼블릭 해킹! 유출된 회원 개인정보