[유머] 해킹으로 3억원 청구된 개발자....jpg

[마마에요]

요약

1. 서버 대여해주는 플랫폼인 aws계정 해킹당함

2. 해커가 가상서버를 열은 다음 비트코인 채굴 존나해서 3억원 청구됨

3. Aws측에서는 3억원 전부는 안되고 6400만원만 내라고 함.. 개발자 오열

[포풍저그가간다]

aws 해킹 글 찾아보니까
개많네 ㅋㅋㅋㅋ
그것도 액수가 최소 1000만원 이상인게 많더라
그런데
이정도면 aws 보안이 문제인가

[그냥번호-6285598117]

ㄴㄴ 글 쓴 사람이 패스워드 유출한거
메일로 경고내용 보내주는데 그거 씹어버리면 저렇게 된다고 함
저렇게 청구 되더라도 aws측에서 자체적으로 구제되는 사람도 많은데 구제 못받는 사람도 있음

[TopSpoiler]

아니 키 관리 못한 사용자 잘못

[Ad Hoc2675]

대기업 보안은 워낙에 짱짱해서 aws 보안이 문제인 경우는 거의 없음
이런류의 해킹은 보통 사용자가 아이디 비번을 털려서 발생함.
쉽게 말해, 자물쇠는 엄청나게 단단해서 사실상 자물쇠를 부수고 들어갈 순 없지만
집주인에게서 슬쩍한 키가 있으면 제아무리 단단한 자물쇠라해도 열리는거랑 똑같음.

특히 AWS는 그 특성상 개발자들이 많이 사용하고
그 과정에서 연습용으로 가볍게 짠 코드가 있을 수 있는데
이걸 깃허브같은 오픈 소스 공유 사이트에다 업로드해버리면 코드에 있는 AWS 계정의 엑세스 키도 같이 올려짐
유게 게시판에 내 구글 계정 아이디 비밀번호를 올린거나 마찬가지

[루리웹-2367303544]

워.. 엄청나게 무섭구나

[요긩]

업계 1위인데 과실 영향이 크지않을까?

[PTLimA]

헐... 코드 배꼈다고 ㅎㄷㄷ 꼼곰하지 않으면 순식간에 패가망신하는거네....

[루리웹-831280034]

허락도안받고 결제된거보면 저기가 문제아닌가?

[TopSpoiler]

모든 유료 클라우드 서비스는 무료티어를 쓰더라도 일단 결제수단을 등록해야 사용 가능

[룬나이츠]

단체소송빼곤 노우답

[죄수번호출가]

소송걸어봤자 기각당하겠지
100% 사용자책임이라

[불고양이]

또 코인충

[네디언]

진짜 코인은 사회악인듯.

[Ledax]

와............
난데없이 3억 내라고 하면 아무 생각도 안들겠다
줄어든게 6천만원 돈이면 슈바알;;;

[루리웹-0053706477]

와씨 피눈물나겠다

[루리웹-0053706477]

기간을 널널해게줘도 4년정도 걸리겟네

[루리웹-8329133273]

가상서버 저거 해킹되어 이용되면 비용 청구 어마무시 하구나.

[루리웹-54057344]

aws가 돈버는 방법인감

[핥쨗]

aws는 아마존에서 운영하는 클라우드 서버 운영 플랫폼이고
애미 애비도 채굴해서 팔아버린 씹인충들이 죶지-랄해서 생긴 문제임.

[뷰포리아]

aws는 저런 쪼잔한 걸로 돈을 벌기엔 너무 큰 곳이지

[요긩]

쟤네는 저정도 규모로 버는데가 아니니까..

[태양별왕자]

저런 사건이 많은거 보니
aws 업체가 그냥 방관하는 수준이네
어차피 돈은 들어오니

[그냥번호-6285598117]

설정한 메일로 사용상태 이상하다고 메일 계속 보내주고 그거 씹어도 어느정도 구제는 해주더라

[펄끼요오옷펄끼룩끼룩펄끼야아악]

핵을 안막고 계정밴만 하니 게임이 더 잘 팔리는 유료 시절의 PUBG랑 같은 원리인가

[nodejsdeno]

저거 메일이나 그런 거 계속 보냄. 애초에 저런 곳은 저런거 감지된다고 바로 꺼버리면 우리 서비스 멈췄어! 하고 따지는 경우 핸들링이 문제라 님이 한거 맞음? 제발 맞음? 이렇게 보내서 처리하는 거임. 어떤 서비스 돌리는지는 결국 사용자 선택이니 갑자기 돌리는 서비스가 바뀔수도 있거든

[차돌박이]

[고어띵]

클라우드에 비용이나 사용량 제한같은거 안되나? 될 것 같은뎅

[나오]

걸어둘 수 있음
문제는 AwS 계정이 털리면 그 모든게 말짱 도루묵임

[루리웹-9653264731]

그렇게 할 수도 있고
아니면 깔끔하게 선불로 얼마 넣어놓고 사용하는 방식도 가능하고(그러면 해킹당해도 넣어둔 금액 안에서 손해보고 끝나겠지)

그런데 지속적으로 문제가 일어난다는 건... 그냥 본사가 어차피 돈되는 구석인데 돈들여 막을 필요 없다는 견가...

[나오]

VM 안쓰면 꺼두고
보안 경고만 제때 봐주면 되긴 한데
사실 이렇게 얘기해두고도
나도 안털린다는 보장은 없음
그 누구도 마찬가지지만 ㅠㅠ

[고어띵]

아 맞다 그러네
근데 AWS면 MFA같은걸로 2차인증 있지 않나. 그것도 털리는건가.. 쩝

[데스피그]

난 오라클 프리티어로 굴리고 있는데, 프리티어 용량 안넘기게 제한 걸어놓기는 했음 월10기가였나

[나오]

안쓰는 VM은 닫아놓도록 하자

[루리웹-2706108262]

저걸 청구한다고 내느니 그냥 내가 한거 아니니까 못내겠다고 하고 법정싸움을 하는게 낫겠네

[루리웹-2551564845]

패해서 변호사비 6천 추가되고,
아마존 측 변호비용 6천도 부담해야 할 지도.

[루리웹-2706108262]

부담 시키라고 해 ㅋㅋㅋ 없는걸 어떻게 내냐?

[윤희.J]

압류들어가면 어쩌지

[루리웹-8456065185]

이야 엄청 무섭구만;;;

[무작위인생]

무섭네.. Azure도 사례가 있나?

[nodejsdeno]

애초에 클라우드 인증키 이상한데 올려서 문제되는 사례는 계속 나옴. 오죽하면 깃헙에서 그런거 탐지하는 알고리즘 만들어서 못 올리게 막는 서비스 베타 시작하더라

[Akrid]

나도 해킹당해서 600만원 청구된 적 있었는데 문의하니까 한 번 봐줬음. 찾아보면 개인은 그냥 등록한 카드 정지하고 ↗까버리는 것도 방법이더라. 아마존이 귀찮아서 일일히 소송 걸지는 않는다는 듯

[배고픈호랑이와코인츙]

이런 글이 베스트지.

[Akrid]

놀랍게도 없음. 개발자들이 만들어달라고 계속 말하는데 듣지도 않음. 나도 한번 당하고 나서는 걍 아이디 삭제함

[ShadowLink]

돈 벌이 수단이니 절대 안걸듯

[네디언]

그럼 아마존 이새끼들 100% 일부러 방지대책 안만들어주는거네 ㅋㅋㅋㅋ 코인충들과 아마존만 이득보고 애꿎은 개발자는 피눈물흘리고 ㅋㅋㅋ

[백만번산고양이]

적어도 우리 법에는 신의의 원칙이 있고 충분히 탕감 가능하다고 생가이 됨
근데 해외업체 해외 법이랑 물려 있으니 참.. 잘 해결되기를...

[멸치칼국수]

가입할때 otp없으면 졸라위험함 안함? 진짜? 물어보고 나중에 이상한데서 로그인알때도 알림옴
그거 다 씹은 결과가 저거

[코스모스창고]

otp가 있는데 안한겨??? 그건 미쳤는데..

[Chikorita]

저러면 걍 카드 정지하고 아디 버리는게 낫겠다

[멸치칼국수]

해킹당바는 경우 보면 개발자들이 aws계정 sa키를 올려버리는 경우가 많더라

[멸치칼국수]

저 본문 내용도 보면 온갖 리전을 다 열어놨는데 마스터 키 관리 못하고 그게 유출된거임 이건 명백하게 사용자 잘못이네

[나는강아지가좋다]

저 놈의 비트코인.. 아무 역할도 못하고 그냥 도박일 뿐인데 여럿 잡네 뜻

[막장발컨2]

와씨 우리회사 게임스파크 쓰는데 그거도 저렇게 걸릴 수 있는건가?

[ABC_22110]

안갚아 못갚아 배째 하면 어떻게 되는거야? 일단 해외업체고 저쪽에서 법적으로 대응하긴 쉽지 않을텐데

[멸치칼국수]

약관에 다 명시를 해놔서 환불 불가가 원칙인데 대부분은 근시일 내 인지하고 문의하면 다 환불해줌
근데 저렇게 강제로 닫아버릴정도면 최소 3달은 지난건데 저정도면 몇천은 내게 될거임

[하트를노렸었다]

답답하겠네..

[\(@_@)/]

잘 모르는데 위에 댓글보니까... EC2에 자동으로 IAM 같은거 되서 연동 쉽던데(정작 외부 서버에 S3랑 SES만 연동만 사용해서 써본적은 없는데), 그거 이용해서 ssh 보안설정 안하고 그냥 열어둔거 들어가서 그 크레덴셜 들고 aws api로 생성 스크립트 돌려서 쓰는건가? 이러면 얼추 아다리가 맞는거같은데 흠...

나도 예전에 ec2로 좀 오래 연적 있는데 보안그룹 설정같은거 안해뒀는데 안털린건 비밀키 로그인써서 안털린건가...

[바사루모스]

6400만원짜리 수업료네

[얼룩몰랑]

AWS의 흔한 해킹 피해 사례입니다. AWS나 이런 거를 열어두는 순간부터는 메일 알람 노티 무조건 켜놓고 전부 확인해야하며, aws를 사용할 때마다 ima 들어가서 필요한 권한만 가진 키를 새로 발급해서 사용 할 때만 키는 방식으로 관리해야 하고, 월 크레딧 사용제한도 전부 걸어놓아야 합니다.

다만 6천4백은 좀 금액이 많이 크네요.....

[nodejsdeno]

카드를 등록해두면 사용 요금제랑 성능, 사용량에 따라 단위시간당 계산해서 매달 결제되는 거야

[nodejsdeno]

근데 저거 털린 비번이라는 게 그냥 비번 수준도 아니고 나는 이 계정에서 관리하는 모든 요금제를 관리하오 이런 키라 털리는 순간 하드웨어 구성부터 모든걸 관리하는 키라 ㅈ 된거임

[dkdltm]

나도 이거 해둔거 같은데 확ㄷ인하러 가야겠구만

[nodejsdeno]

근데 저런 경우는 아마존도 1. 제발 키 이상한데 올리지 마라. 2. 제발 키 관련된 메일 받아라 계속 강조하는 거라 책임 따지면 질 가능성이 높음