Blackstone 소유 부동산 회사, GraphQL 결함으로 신청자 SSN·생년월일·주소 노출
A Blackstone real estate company exposed SSN digits, DOBs, addresses and more
뉴욕에서 주택을 구하는 것은 어렵다. 하지만 어떤 사람의 사회보장번호(SSN) 마지막 4자리를 아파트보다 쉽게 찾을 수 있다는 사실을 아는 사람은 많지 않다. 보안 연구자 알렉스 샤피로는 Blackstone 계열사인 Beam Living의 임대 신청 과정에서 GraphQL API의 인가 결함을 발견했다. 이메일 주소만 알면 신청자의 SSN 마지막 4자리, 생년월일, 주소, IP, 전화번호 등 민감 정보를 조회할 수 있었다. Beam Living은 여러 커뮤니티에서 공유 포털을 사용해 광범위한 데이터 노출이 발생했다. 연구자는 취약점을 신고했지만, Beam Living은 수차례 연락 끝에 7월 9일 조용히 패치했다. 공개 후에도 책임 있는 공개 절차를 따르지 않은 점을 지적했다.
뉴욕에서 주택을 구하는 것은 어렵다. 하지만 어떤 사람의 사회보장번호 마지막 4자리를 아파트보다 쉽게 찾을 수 있다는 사실을 아는 사람은 많지 않다.
HN 토론
53- tptacek
Beam Living은 그냥 Blackstone이 뉴욕에서 소유한 건물들을 관리하는 부동산 관리 회사일 뿐입니다. 이런 회사는 전국에 수천 개가 있고, 그중 아무 데나 찔러보면 이런 걸 찾을 수 있습니다.
이런 식으로 기사를 쓰는 게 잘못된 건 아니지만, 맥락을 보자면, 이 연구원의 기록을 보면 기본적으로 다 '대기업 뭔가에서 취약점을 찾았다'는 식입니다. 여기서 뉴스거리는 말 그대로 'GraphQL 버그를 찾았다'는 것뿐입니다. 이건 Alex Schapiro의 가장 흥미로운 첫 페이지 기사가 아닙니다 (그가 전에 정말 흥미로운 것들을 올린 적이 있다는 뜻입니다).
- jjice
저는 부동산 관련 소프트웨어를 만드는 회사에서 일하며 주요 부동산 관리 시스템과 대형(및 소형) 프로프테크 회사들과의 연동 작업을 해왔습니다. 적어도 그중 90%는 당신이 본 적 없는 최악의 보안 관행을 가지고 있다고 말할 수 있습니다. 많은 대형 부동산 관리 시스템은 제3자 공급업체가 주민의 사회보장번호와 생년월일을 내보낼 수 있게 허용하며, 제가 본 대부분의 부동산 관리자들은 공급업체가 요청하는 정보(보통 필요하지 않은 정보)를 주는 데 주저하지 않습니다.
부동산은 매우 폐쇄적인 전통적인 비즈니스 그룹으로, 이 데이터를 안전하게 보호해야 할 책임을 아직 이해하기 시작하지 못했습니다.
추가 설명: 이어서 말하자면, 우리 모두 잘 아는 상황입니다. 경영진은 무언가가 제대로 만들어지는지 신경 쓰지 않고 그냥 만들어지기만을 원합니다. 게다가 경영진은 보통 기술적 배경이 없습니다. 또한 좋은 소프트웨어를 작성하는 데 열정적인 엔지니어는 이런 회사에 오래 남고 싶어 하지 않습니다. 정말 악몽 같은 업계입니다.
당신에게 믿음을 주는 회사도 있지만, 그것들은 보안 관련 소송에 겁에 질린 대형 부동산 관리자(저는 좋게 봅니다)이거나 업계를 '파괴'하는 프로프테크로, 18개월 안에 큰 기업에 인수되어 서서히 무너질 것입니다.
- walrus01
제가 이 기사에서 얻은 가장 큰 교훈은 특정 보안 취약점에 관한 것이 아니라, 부동산 업계 사람들이 아무 조사나 실사 없이 SaaS 제품을 산다는 것입니다.
저는 부동산 업계 사람들이 유행하는 새로운 앱 기반 인터콤이나 출입문 전화 시스템을 사서 건물 앞에 붙이고 모든 주민들이 그것을 사용하도록 요구하는 것을 직접 본 적이 있습니다...
- toomuchtodo
Beam Living
- josefritzishere
정말 형편없는 회사네요. 이런 무모한 행동에 대한 법적 처벌은 어디에 있나요?