가장 인기 있는 소셜 미디어 앱 중 하나는 10억 명 이상의 사용자에게 영향을 미칠 수 있는 TikTok 보안 위반 가능성이 발견되면서 데이터 유출에 대한 더 강력한 조사에 직면해 있습니다.
월요일에 여러 사이버 보안 전문가들이 개인 사용자 데이터를 보유하고 있다고 생각하는 TikTok의 저장소에 대한 액세스를 허용하는 보호되지 않은 서버 취약점의 발견에 대해 트윗했습니다. 불과 며칠 전 Microsoft Corp.은 “공격자가 클릭 한 번으로 사용자 계정을 손상시킬 수 있는” Android 앱에서 TikTok 위반을 유발할 수 있는 “심각도가 높은 취약점”의 발견을 발표했습니다.
ByteDance Ltd.의 TikTok은 1년 전 월간 사용자 수가 10억 명을 돌파했으며 현재 많은 젊은이들이 즐겨 사용하는 앱입니다. 결과적으로 인기 있는 계정을 훔치거나 중요한 정보를 재판매하려는 해커에게 매력적인 대상입니다. 트럼프 행정부는 2020년에 이를 개인 정보 보호 위험으로 분류하고 베이징에 본사를 둔 모기업과 중국 정부 간의 잠재적 연결 가능성에 대한 우려 때문에 거의 금지했습니다.
TikTok의 보안 침해는 회사에 의해 경시되었습니다.
TikTok은 주말 동안 발견된 침해에 대한 보고는 거짓이라고 밝혔습니다. 관계자에 따르면 “보안팀이 이 진술을 조사한 결과 문제의 코드가 틱톡의 백엔드 소스 코드와 전혀 관련이 없는 것으로 확인됐다”고 말했다.
오스트레일리아의 온라인 보안 분석가인 Troy Hunt는 도난당한 데이터 샘플 중 일부를 조사하고 해당 ID로 제출된 사용자 프로필과 영화 간의 유사성을 발견했습니다. 그러나 유출된 정보의 일부는 “위반 없이 구성될 수 있는 공개적으로 액세스 가능한 데이터”였습니다. 그 게시 트위터에서:
“이것은 지금까지 매우 결정적이지 않습니다. 공개적으로 액세스할 수 있는 정보이기는 하지만 일부 데이터는 프로덕션 정보와 일치합니다. 일부 데이터는 정크이지만 비프로덕션 또는 테스트 데이터일 수 있습니다. 지금까지는 약간 엇갈린 상태입니다.”
Microsoft는 Android 기반 휴대폰에 영향을 줄 수 있는 보다 좁은 범위의 취약점을 발견했습니다. 마이크로소프트 365 디펜더 리서치 팀의 디미트리오스 발사마라스(Dimitrios Valsamaras)는 공격자가 “비공개 동영상 공개, 메시지 전송, 사용자 대신 동영상 업로드 등 틱톡 프로필과 민감한 정보”에 접근하고 수정할 수 있다고 말했다. TikTok 대변인에 따르면 이 회사는 Microsoft의 조사 결과에 즉시 대응했으며 “일부 Android 앱의 이전 버전에서” 발견된 보안 취약점을 수정했습니다.
TikTok으로 인한 데이터 유출은 미국에 심각한 우려입니다.
결함이 얼마나 결정적이지 않거나 사소한지에 관계없이 미국이 중국과 관련된 기업에 대한 제재를 강화할 수 있는 시기에 TikTok과 모회사는 면밀히 조사될 것입니다. 6월에 9명의 미국 상원의원은 공개 서한에서 TikTok의 CEO에게 알려진 보안 결함에 대해 설명할 것을 요구했습니다.
조 바이든 대통령이 중국 기술 사업에 대한 미국의 투자를 제한하는 행정명령에 서명할 예정이며, 미 행정부는 중국 정부가 미국 사용자 데이터에 접근할 수 있는지 여부를 예의주시하면서 틱톡을 겨냥한 별도의 조치가 가능하다. 회사는 Oracle Corp.와의 거래를 통해 그러한 데이터를 보호하기 위한 예방 조치를 취했다고 미 의회에 알렸습니다.
호주-미국 사이버 보안 비즈니스 Internet 2.0 Inc.의 공동 CEO인 Robert Potter는 “TikTok이 작동하는 방식에 대해 많은 관심이 집중되고 있으며 작동 방식과 작동 방식 사이에는 큰 차이가 있습니다.”라고 말했습니다. 7월에 Potter의 팀은 TikTok이 사용자 장치에서 “과도한 데이터 수집”을 발견했으며 앱이 한 시간에 한 번 이상 장치 위치를 확인하며 장치와 SIM 카드의 일련 번호를 수집하는 코드가 포함되어 있다고 밝혔습니다. TikTok은 “우리가 수집하는 데이터의 양을 잘못 기술하고 있다”고 주장하며 조사 결과를 일축했습니다.
3/ Internet2.0은 우리가 수집하는 데이터의 양을 잘못 표시합니다. 예를 들어 사용자 장치 IMEI, SIM 일련 번호, 활성 가입 정보 또는 집적 회로 카드 식별 번호를 수집하지 않으며 정확한 GPS 위치를 수집하지 않습니다.
— TikTokComms(@TikTokComms) 2022년 7월 18일
이 소식은 호주에서 널리 알려졌고, 클레어 오닐(Clare O’Neil) 신임 내무부 장관은 월요일 TikTok이 수집하는 데이터와 해당 데이터에 액세스할 수 있는 사람을 조사하도록 자신의 기관에 지시했다고 밝혔습니다. O’Neil은 이메일을 통해 다음과 같이 말했습니다.
“민간 부문에 대해 보다 권위적인 접근 방식을 취하는 국가에 기반을 둔 기술 회사가 있다는 기본적인 문제가 있습니다. 틱톡은 이것의 시작도 끝도 아닙니다. 이것은 매우 지배적인 기술 회사와 우리 삶에서 그들이 수행하는 역할에 의해 발생하는 매우 많은 문제 중 하나입니다.”
TikTok은 데이터 유출을 일으킬 수 있는 “키로깅”일 수 있습니다.
지난달 또 다른 연구에서는 WebView에서 프로그램이 수행하는 작업을 확인하는 도구를 만든 보안 연구원 Felix Krause의 인앱 브라우저에 중점을 두었습니다. 인앱 브라우저를 사용하는 모바일 앱의 취약점에 초점을 맞춘 이 연구는 가장 인기 있는 iOS 앱 약 25개를 조사했으며 TikTok이 인앱 브라우저에서 키로깅 접근 방식을 사용했음을 발견했습니다. Krause에 따르면 “TikTok iOS는 TikTok 앱 내부에서 렌더링되는 타사 웹 사이트에서 발생하는 모든 키 입력(텍스트 입력)을 구독합니다. 여기에는 암호, 신용 카드 정보 및 기타 민감한 사용자 데이터가 포함될 수 있습니다.”
그는 또한 TikTok의 iOS 버전이 사용자가 클릭한 것을 분석하기 위해 JavaScript 코드를 사용하는 것을 관찰했습니다. Krause는 TikTok이 구독으로 무엇을 하는지 모른다고 인정했지만 Forbes 기사에서 TikTok의 응답은 키로깅 기능이 있음을 보여주었다고 주장했습니다. TikTok은 보고서의 결과가 부정확하고 오해의 소지가 있다는 성명서에서 TechTarget에 응답했습니다. 수집합니다. 보고서 주장과 달리 우리는 디버깅, 문제 해결 및 성능 모니터링에만 사용되는 이 코드를 통해 키 입력이나 텍스트 입력을 수집하지 않습니다.”
그러나 정보 보안 전문가들은 디버깅을 위한 틱톡의 키로깅 사용이 제한적이라고 생각한다. 예를 들어, Sophos의 수석 연구원인 Chester Wisniewski에 따르면 문제 해결은 종종 소프트웨어가 아닌 운영 체제에서 제공됩니다. 예를 들어 Apple은 iPhone 문제에 대해, Android 문제에는 Google이 각각 Safari와 Chrome을 사용하기 때문에 책임이 있습니다.
사이버 보안 및 개인 정보 보호를 전문으로 하는 컨설팅 회사 DGC의 파트너인 Nick DeLena에 따르면 키로깅은 종종 개인 정보 보호 위반으로 간주되며 앱이나 서비스에서 이를 사용하는 것으로 밝혀지면 일반적으로 다른 디버깅 수단을 사용하게 됩니다. . DeLena에 따르면 TikTok 소프트웨어의 위험은 중국 정부가 TikTok의 모회사인 ByteDance에 대한 지분을 가지고 있기 때문에 특히 큽니다.
TikTok이 디버깅 용량을 단독으로 사용하는지 여부에 관계없이 여전히 조직에 보안 위험을 나타낼 수 있습니다. Synopsys의 수석 보안 전략가인 Tim Mackey에 따르면 이 프로그램을 직장에서 사용할 경우 키로깅 데이터 패킷에 민감한 기업 정보가 포함될 수 있습니다. 많은 회사에서 특정 앱이나 서비스가 업무용 장치에 다운로드되는 것을 방지하지만 증가하는 원격 인력을 관리하는 데 문제가 있을 수 있습니다. 전환은 일과 개인 생활 사이의 격차를 심화시켰습니다.
Wisniewski는 사람들이 업무 관련 작업을 위해 개인용 휴대폰이나 태블릿을 점점 더 많이 사용하고 있으며 잠재적인 위험을 인식하지 못할 수 있다고 강조했습니다. 우연히 인앱 TikTok 브라우저에 들어가서 회사 일을 시작하면 데이터 유출 위험이 큽니다.”
TikTok 침해 가능성에 대한 이 기사가 도움이 되었기를 바랍니다. 이 기사는 데이터 유출 및 보안에 대한 질문을 제기합니다. 그렇다면 제로 데이 버그에 대한 Apple iPhone 보안 결함 수정이 릴리스되었거나 Zoom Mac 취약점으로 인해 해커가 원격 액세스 권한을 얻을 수 있는 것과 같은 다른 기사도 재미있게 읽으실 수 있을 것입니다.
