💳 Equifax 대유출 (2017) — '패치 한 줄'이 1억 4,700만 명의 신용정보를 넘겼다

1. 배경/역사 — '신용의 심판자'가 무너지다

Equifax(에퀴팩스)는 미국 3대 신용평가사(CB) 중 하나로, 수억 명의 신용점수·대출·카드 이력을 들고 있는 사실상의 데이터 독점 기업이었다. 이름·주민번호(SSN)·생년월일·주소는 물론, 소비자가 제기한 신용 분쟁 문서까지 한 곳에 모여 있었다. 이 회사를 뚫는다는 건 '신용의 심판자'를 통째로 복제하는 것과 같았다.

무대는 2017년 3월이었다. 오픈소스 웹 프레임워크 Apache Struts 2에서 치명적 제로데이가 공개됐다(CVE-2017-5638). Struts는 수많은 대기업·정부 웹 애플리케이션의 뼈대였고, 패치는 2017년 3월 6일 공개됐다. 그런데 Equifax의 온라인 분쟁(dispute) 포털은 이 프레임워크로 만들어져 있었고 — 패치는 적용되지 않았다.

• 왜 유명한가: 단일 취약점(CVE 한 건) 하나로 1억 명대 개인정보가 유출된, 역사상 가장 비용이 큰 침해 사고 중 하나다. '기술 결함'보다 패치 관리 실패가 참사의 본질이라는 점에서 모든 보안 교육의 교과서적 사례가 됐다.
• 아이러니: Equifax는 정보보호 기업의 모회사에 대한 유료 모니터링 서비스를 팔던 회사였다. 사고 후 그 서비스의 약관이 '소송 시 배상 청구를 포기한다'는 조항을 포함해 여론의 역풍을 맞았다(이후 조항 삭제).
• 구조적 문제: 의회·GAO 조사는 만료된 스캐너 인증서, 방치된 자산 인벤토리, 미적용 패치가 겹친 '관리 실패의 함수'였음을 드러냈다. 어떤 도구를 샀느냐가 아니라 운영이 되고 있었느냐가 문제였다.
• 법·제도 파장: 미국 최초로 개인정보 유출을 은폐·내부자 거래까지 다툰 사건이 됐다. 최고정보책임자(CIO)가 사고 공개 전 주식을 팔아 SEC가 내부자 거래로 기소했고, FTC·CFPB·50개 주가 공동으로 5억 7,500만 달러 합의를 이끌어냈다.

2. 침해·전파 경로 — 4단계 공격 체인

Equifax 사고는 '취약점 하나'가 아니라 공격 체인(attack chain)이다. 각 단계는 이전 단계 없이는 성립하지 않았고, 어느 한 고리에서도 막을 수 있었다.

• ① 진입(Exploit): 공격자가 온라인 분쟁 포털에 조작된 Content-Type 헤더를 보낸다. Struts가 요청 파싱에 실패하면서 그 헤더 값이 OGNL 표현식으로 평가되어 결국 원격 코드 실행(RCE)으로 이어진다. 로그인·비밀번호가 필요 없다 — 그냥 HTTP 요청 한 번이면 됐다.
• ② 발판(Webshell): 실행 권한을 얻은 공격자는 웹서버에 간결한 JSP 웹셸(이른바 'China Chopper' 계열)을 심는다. 이후부터는 정상 웹 요청에 명령을 실어 조용히 제어한다 — 방화벽 관점에서는 '웹 트래픽'으로 보인다.
• ③ 횡적 이동(Lateral Movement): 웹서버는 인터넷 경계에 있지만 내부 DB와 연결돼 있었다. 공격자는 웹셸 → 내부 자격증명 → 51개의 데이터베이스로 이동하며 접근 범위를 넓혔다. 한 대의 웹서버가 내부망의 '열린 문'이 된 셈이다.
• ④ 유출(Exfiltration): 약 76일 동안 데이터를 나눠 빼냈다. 대량 단일 전송이 아니라 정상 조회 트래픽에 섞어 느리게 유출했기 때문에 당시 DLP·이상탐지가 끝내 잡지 못했다.

핵심 교훈은 '웹서버 = 신뢰 경계'라는 착각이다. 공격자는 인터넷에 열린 낡은 웹앱을 발판 삼아 내부 데이터베이스까지 걸어 들어갔다. 진입점은 하나였고, 방어선은 여러 개였는데, 전부 뚫렸다.

3. 동작 원리 상세 분석 — CVE-2017-5638, 왜 10.0인가

결함은 Struts 2의 Jakarta Multipart 파서(JakartaMultiPartRequest)에 있었다. 웹 요청이 멀티파트(multipart/form-data, 파일 업로드 형식)인데 파싱에 실패하면, 파서는 예외 메시지를 만든다. 문제는 이때 에러 메시지에 Content-Type 헤더 값을 그대로 끼워 넣고, 그 결과를 LocalizedTextUtil.findText()가 OGNL로 평가했다는 점이다.

• OGNL(Object-Graph Navigation Language)이란: 자바 객체 그래프를 탐색·호출하는 표현식 언어다. Struts는 화면 값을 객체에 바인딩하려고 OGNL을 폭넓게 쓴다. 즉 사용자가 넣은 문자열이 '평가 대상'이 되는 표면이 원래부터 넓었다.
• 치명적 결합: '헤더 값 → 예외 메시지 문자열 → OGNL 평가'라는 경로가 이어지면서, 공격자는 Content-Type 안에 OGNL 식을 넣을 수 있게 됐다. OGNL은 단순 산술을 넘어 임의 Java 메서드 호출이 가능하므로, 식 하나가 곧 원격 코드 실행이 된다. 이것이 CVSS 10.0(최고 위험)인 이유다 — 인증 불필요 · 원격 · 즉시 코드 실행.
• 패치 방식: 수정판(2.3.32·2.5.10.1)은 예외 메시지에 사용자 입력을 문자열로만 다루고 평가하지 않도록 바꿨다. '데이터'와 '코드'를 분리하는 가장 고전적인 처방이다.
• 전형적 익스플로잇 형태: 공격자는 Content-Type 값에 %{...} 로 감싼 OGNL 식을 넣는다. 식 안에서는 기본 멤버 접근 제한을 해제하고 (#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS), 프로세스 실행 객체를 얻어 명령을 실행한다. 여기서는 구조 이해를 위해 식을 축약해 설명하며, 구체적 실행 페이로드는 다루지 않는다.

항목	내용
취약점 유형	OGNL 인젝션 → 원격 코드 실행(RCE)
공격 벡터	HTTP Content-Type 헤더 (멀티파트 파싱 실패 경로)
인증 필요?	불필요 (미인증 원격)
공개 → 악용	공개(3/6) 직후 수 시간 내 악용 관측, 전 세계 스캐닝 폭증
패치	Struts 2.3.32 / 2.5.10.1 (2017-03-06)
연쇄 취약점	같은 해 CVE-2017-9805(REST 플러그인 XStream 역직렬화) 등 Struts 결함 잇따라 공개

4. 피해 규모/영향 — 숫자로 보는 참사

• 개인정보: 미국 소비자 1억 4,790만 명 — 사실상 미국 성인 인구의 절반 이상. 이름·주민번호·생년월일·주소가 유출됐다. 초기 발표는 1억 4,300만 명이었고 이후 상향됐다.
• 금융정보: 신용카드번호 20만 9천 건, 신용 분쟁 관련 문서 18만 2천 건. 영국 약 1,520만 명, 캐나다 약 1만 9천 명도 영향권에 들었다.
• 기간: 침해는 2017년 5월 중순부터 약 76일 이어졌고, 7월 29일에야 발견됐다. 발견 다음 날인 7월 30일 Equifax는 그제야 패치를 적용했다 — 이미 4개월 이상 늦은 시점이었다.
• 경제적 비용: 2019년 FTC·CFPB·50개 주 합의로 5억 7,500만 달러 (조건 충족 시 최대 7억 달러)를 지급하기로 했다. 보안·소송·평판 손실을 합친 전체 비용은 14억 달러 이상으로 추정된다.
• 인적·조직 영향: CEO가 의회에 출석해 사과했고, CIO·CSO가 물러났다. 사고 공개 전 주식을 매도한 임원은 내부자 거래로 기소됐다. 2020년 미 법무부는 중국 인민해방군 54연구소 소속 4명을 이 침해 등에 연루돼 기소했다.
• 사회적 신뢰: '신용 점수를 매기던 회사'가 신용정보를 지키지 못했다는 사실은 개인정보 보호 규제(각 주 프라이버시법, 이후 연방 논의)를 앞당기는 촉매가 됐다.

5. PoC (개념 증명) — 교육용 모의 재현 4종

아래 코드는 실제 공격 코드가 아니라, 위에서 설명한 메커니즘을 안전한 모의 객체로 재현한 것입니다. 실제 Struts 취약 서버·실제 OGNL 실행·실제 웹셸은 포함하지 않습니다. 격리된 랩 환경(인터넷 차단 VM)에서만 실행하세요.

PoC ① 헤더 문자열이 '평가'되는 순간 (OGNL 인젝션의 핵심)

import re
# 실제 OGNL이 아니다. '문자열이 평가 대상이 되는' 구조만 모의한다.
class MockOgnl:
    ALLOWED = re.compile(r'^[0-9+\-*/(). ]+$')   # 안전한 산술식만 허용
    def getValue(self, expr):
        if self.ALLOWED.match(expr):
            return eval(expr, {'__builtins__': {}}, {})   # 교육용 모의, 실제 샌드박스 아님
        return "차단: 리터럴(산술식) 아님"

def build_error_message(content_type):   # 취약 패턴(모의): 헤더 값을 예외 메시지에 '그대로' 붙임
    return "the request was rejected because no multipart boundary was found (%s)" % content_type

def vulnerable_parse(content_type):
    m = re.search(r'%\{(.+?)\}', content_type)   # 헤더에 %{...} 가 있으면 '평가' 시도
    return MockOgnl().getValue(m.group(1)) if m else None

print(vulnerable_parse("multipart/form-data; boundary=----abc"))   # 정상 요청
print(vulnerable_parse("multipart/form-data boundary=%{7*6}"))     # 헤더에 식이 들어온 경우

실행 결과(이번 실행 실제 출력):

None
42

헤더 값이 문자열로만 처리되면 None이지만, 평가되면 42가 나온다. 실제 OGNL은 산술을 넘어 임의 메서드 호출이 가능하므로, 이 '평가'가 곧 원격 코드 실행으로 이어진다.

PoC ② 취약 vs 패치 — 파서 동작 비교

VULN_MAX = "2.5.10"     # 2.5.10 이하 취약, 2.5.10.1 부터 패치
def parse_multipart(content_type, version):
    if "boundary=" not in content_type:          # 파싱 실패 경로
        if version <= VULN_MAX:
            return "취약: Content-Type 값이 예외 메시지로 '평가'됨"
        return "안전: 예외 메시지 이스케이프(평가 안 함)"
    return "정상 파싱"
for v in ("2.3.31", "2.5.10", "2.5.10.1", "2.5.13"):
    print(v, "→", parse_multipart("multipart/form-data", v))

실행 결과(이번 실행 실제 출력):

2.3.31   → 취약: Content-Type 값이 예외 메시지로 '평가'됨
2.5.10   → 취약: Content-Type 값이 예외 메시지로 '평가'됨
2.5.10.1 → 안전: 예외 메시지 이스케이프(평가 안 함)
2.5.13   → 안전: 예외 메시지 이스케이프(평가 안 함)

수정의 본질은 단 한 줄 — 사용자 입력을 '평가'하지 않고 '이스케이프'한다. 데이터와 코드를 분리하는 것, 이것이 인젝션 계열 취약점의 보편적 처방이다.

PoC ③ 웹셸 업로드 정적 탐지 (방어 관점)

JSP_SHELL_SIGNS = [b"Runtime.getRuntime().exec", b"ProcessBuilder",
                   b"request.getParameter(", b"Class.forName"]
def scan_jsp(buf):
    hits = [s.decode() for s in JSP_SHELL_SIGNS if s in buf]
    return ("⚠ 웹셸 의심: " + ",".join(hits)) if hits else "정상"
files = {
    "invoice.jsp":  b"<html>hello</html>",
    "logo.png.jsp": b'<%@ page import="java.util.*" %>' + b'<% Runtime.getRuntime().exec(request.getParameter("c")); %>',
}
for n, b in files.items():
    print(n, "→", scan_jsp(b))

실행 결과(이번 실행 실제 출력):

invoice.jsp  → 정상
logo.png.jsp → ⚠ 웹셸 의심: Runtime.getRuntime().exec,request.getParameter(

주목할 신호는 두 가지다. (1) 이중 확장자 logo.png.jsp — '이미지인 척 하는 스크립트'. (2) 프로세스 실행·요청 파라미터 API의 등장. 업로드 디렉터리에 실행 가능 확장자가 떨어지지 않게 하고, 업로드 파일을 정적으로 검사하는 것이 2차 방어선이다.

PoC ④ 로그에서 OGNL 페이로드 탐지 (탐지 룰 모의)

def log_anomaly(content_type):
    bad = any(t in content_type for t in ("%{", "#dm=", "ognl.", "@java.lang"))
    return "🚨 OGNL 페이로드 의심" if bad else "정상"
for ct in ["multipart/form-data; boundary=----x",
           "multipart/form-data; boundary=x%{(#_='multipart/form-data')}"]:
    print(log_anomaly(ct), "|", ct[:48])

실행 결과(이번 실행 실제 출력):

정상 | multipart/form-data; boundary=----x
🚨 OGNL 페이로드 의심 | multipart/form-data; boundary=x%{(#_='multipart/

정상 요청의 Content-Type에는 %{·ognl. 같은 토큰이 없다. WAF·웹서버 로그에 이런 패턴이 보이면 '무언가를 평가하려는 시도'다. 규칙 하나로도 대량 스캐닝의 물결을 1차로 걸러낼 수 있다 — Equifax가 놓친 것은 이 단순한 이상 신호였다.

6. 방어 방법/교훈 — 무엇을 배우나

• 패치는 '결정'이 아니라 '완료'로 관리하라(최우선): Equifax는 패치를 지시하는 내부 메일까지 주고받았지만, 실제 적용은 침해를 발견한 다음 날(7월 30일)이었다. 패치 SLA · 자산 인벤토리 · 예외 승인 절차가 없으면 '지시'는 '완료'가 되지 않는다.
• 인터넷 노출 자산을 최우선으로 패치하라: 경계에 열린 웹앱은 공격자에게 전면문이다. 외부 노출 자산의 취약점은 내부 자산보다 훨씬 짧은 SLA로 처리한다.
• 탐지 인프라를 '살아 있게' 유지하라: 만료된 스캐너 인증서, 방치된 자산 목록, 꺼진 경보는 없는 것과 같다. 보안 도구는 사는 것이 아니라 운영하는 것이다.
• 웹서버를 신뢰 경계로 두지 말라(네트워크 분리): DMZ의 웹서버가 내부 DB의 51개에 직접 닿으면, 한 대가 뚫릴 때 내부 전체가 무너진다. 최소 권한 · 세그멘테이션으로 횡적 이동을 막는다.
• 대량 유출을 '느린 유출'로 탐지하라: 76일간 정상 조회에 섞여 나간 데이터는 정적 룰로 안 잡힌다. 사용자·시간대·볼륨 기반 이상탐지(UEBA)가 필요하다.
• 업로드 = 실행 표면으로 취급하라: 웹셸은 '업로드 취약점'이 아니라 '설계 문제'다. 업로드 디렉터리에서 스크립트 실행을 금지하고, 파일을 정적으로 검사한다.
• 오픈소스 의존성은 '내 코드'처럼 추적하라(SBOM): Struts는 직접 짠 코드가 아니지만, 취약점이 나오면 책임은 내 서비스에 남는다. 컴포넌트 목록(SBOM)과 취약점 모니터링이 필수다.
• 사고 대응·투명성도 통제 대상이다: 공개 전 내부자 거래, 늑장 공지, 소송 포기 약관은 기술적 피해보다 큰 신뢰의 붕괴를 낳았다. 대응 계획에는 법무·홍보·윤리가 포함돼야 한다.

7. 출처

• U.S. House Committee on Oversight and Government Reform — The Equifax Data Breach (2018-12, Majority Staff Report; 미적용 패치·만료 인증서·76일 침해 타임라인) — oversight.house.gov (Equifax Report, PDF)
• Federal Trade Commission — Equifax to Pay $575 Million as Part of Settlement (2019-07-22 보도자료; FTC·CFPB·50개주 합의) — ftc.gov
• U.S. Department of Justice — Chinese Military Personnel Charged with Computer Fraud, Economic Espionage and Wire Fraud (2020-02-10; PLA 54연구소 4명 기소) — justice.gov
• Apache Software Foundation — S2-045: RCE when using Jakarta Multipart parser (CVE-2017-5638) (2017-03-06 보안 공지·영향 버전·수정판) — cwiki.apache.org (S2-045)
• NIST NVD — CVE-2017-5638 (CVSS 3.0 10.0, 공격 벡터 기술) — nvd.nist.gov/vuln/detail/CVE-2017-5638
• SEC — SEC Charges Former Equifax Chief Information Officer With Insider Trading (2020-06; 내부자 거래 기소) — sec.gov
• Wikipedia — 2017 Equifax data breach (규모·타임라인·합의·후속 조치 개요) — en.wikipedia.org/wiki/2017_Equifax_data_breach

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 취약한 Struts 서버·실제 OGNL 페이로드·실제 웹셸·실제 데이터 유출 절차는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 하며, 실제 시스템·타인 자산에 대한 실행은 불법입니다.

함께 읽기: 🌐 Log4Shell (2021) — 오픈소스 라이브러리 한 줄이 공급망을 흔든 제로데이 체인 · 🦅 SolarWinds SUNBURST (2020) — 공급망을 무기로 신뢰를 뚫은 백도어 · Malware Deep-Dive: MOVEit / Cl0p (CVE-2023-34362) — 웹 취약점 하나로 2,700개 조직 대량 유출 · 🟥 Code Red (2001) — '요청 하나'가 서버를 삼킨 대량 감염