[기타] 국내 악성코드 논란 버스앱 개발자 해명

[사순이실렌]

타 커뮤니티에 개발 당사자가 해명글을 올렸습니다.

출처 : https://www.clien.net/service/board/park/13142907

[게데베데]

ㅋ

[s_nighttt]

말이야 방구야 ㅋㅋㅋ
안드로이드는 그럼 개발자도 모르게 언제라도 털린빌드로 앱업로드가 된다는거임?

[JuliaHart]

개발자 입장에서 솔직히 납득하기 어려운 해명

[RogueMaster]

마법의 단어 '계정해킹'

[청색별]

뭔가 웃기는데. 개발자가 저정도 수준 일수가 없는데. 변명하느라 애 썻다.

[국방위원장]

다행이다 그나마 농협같이 북한 소행이라고는 안해서

[LIFULman]

클리앙에서 봤는데 계정에 2차인증도 안해놨었고 계정연동을 다 해놓는바람에 싸그리 다털린것.

개발자로서 기본보안의식의 부족으로 안일하게 해오다가 벌어진 일.

물론 해킹이라는게 작정하고 털면 안털릴수야 없겠지만 2차 인증도 안걸어 놨었다는게 이해가 안가는 부분이긴 하네요.

[MaskoffBuu]

본인잘못이긴한데
충분히 납득될만함.. 무조건 변명이라고 까네;;

[청색별]

개발 보안은 기본 입니다.
그걸 안하는 개발자는 없음.
저정도면 개발자라고 말하기도 아까움.

[DCat1]

보안의식 0인 개발자 많이 있어요... ㅡㅡ

[MaskoffBuu]

기본인건 저 본인도 알고 누구나 알죠
개인프로젝트였던데다 앱이 배포되어버렸다고 말한거보면 피해자일 확률이높습니다

[abyssinian]

학생때 개인개발로 시작한거라고 하잖아요. 보안관련 개발자가 아닌 이상 보안 전문적으로 챙기기 어려워요.

[게데베데]

구글 계정 2차 인증을 안해서 털렸다는데
그게 전문적인 보안은 아니잖아요..

[abyssinian]

그부분은 그러하긴 하네요.ㅋㅋ;; 저도 비교적 최근에서야 하긴 했는데.. 여간 귀찮은게 아니라..

[DCat1]

개발용 pc 자체가 탈탈 털린건가 봐요.

[인생은그런거_]

윈도우10에도 해킹툴이 있었다네요
작정을 하고 한듯

포맷은 했지만 불안해서 개발장비도 새로 구매하셨다는군요

개인 부주의가 있었겠지만 본업도 아니고 학생때 개인개발로 한거고 신경을 잘 안쓰고 있었다고 하니 뭐...

[루리웹-4670062078]

클리앙 같은 개발자라고 우쭈쭈 ~ ㅋㅋ

[미역메소]

저따위 마인드나 보안의식 가진 사람이 개발자라구?

[kofluvs]

개발자라는게 뭐 철저한 교육과 시험으로 이루어지는게 아니라...

[abyssinian]

보안이 무슨 하루이틀이면 숙달하는것만큼 난이도 낮은게 아니에요. 하루종일 해킹만 하는 숙련된 해커들 막으려면 자신도 하루종일 보안만 연구해야 합니다. 그럼 다른개발 연구할 시간이 없지요.

[Qoosm]

해킹기술을 막으라는게 아니죠
백신프로그램, 이상한 웹사이트, 모르는 설치파일 설치안함, 이메일등 이런거에 대한 인식이죠

[kofluvs]

그래서 무슨 앱이에여

[DCat1]

버스앱요

[JuliaHart]

https://play.google.com/store/apps/developer?id=BusExpert

[대추아가씨]

글 읽어보면 학생때 개인프로젝트로 만든거라고 쓰여있음.
루리웹 사람들은 얼마나 잘나서 학생때 어플 만들때도 보안 다 신경쓰고 하는지 모르겠지만 충분히 저런 일 생길 수도 있음.

[김정원1]

와 이런 정상적인 반응이 하나뿐이라는 게 놀랍다

[raptor]

돈도 몇푼 안벌리는 개인프로젝트 버스앱을 누가 해킹할거라고 생각합니까
다만 근근웹에서 힘빼봐야 아무 이득 없는거 아니까 그냥 조용히 지나가는거죠ㅋㅋ

[Qoosm]

그때 만들고 쫑낼거였으면 스토어에서 내렸어야죠

[발없는말이 슬퍼]

학생때 시민들의 편의를 위해서 만들었고 7년째 운영 중이었다 라는데 뒤에는 쏙 빼고
마피 학생때 만든 연습용 앱을 누가 터트려서 이렇게 됐다라고 둔갑시켰네

[부들부들4]

이게 답인데 ㅋㅋㅋ

[김정원1]

진짜 루리웹은 정보만 보러와야지 댓글좀 보면 어떻게 이런 인간들만 모아놨을까 신기할정도;;;ㅋㅋ 어디 나오지 말고 평생 게임이나 해줬으면..

[하코자키 세리카♪]

여기 원래 이런곳이에요. 저도 정보게시판은 글내용만 정독하고 가거나, 게임정보글만 올리고 갑니다. 오죽하면 제가 올리는 글도 댓글 잘 안봅니다.

[김정원1]

괜히 최근에 한 번 의식하기 시작하니까 엄청 신경쓰이더라고요..ㅋㅋ 저도 오지랖좀 줄여야겠어요 ...

[아리아 스타크]

특히 개발자입장에서 라고 들먹이는 놈 보면 나때는 들먹이는 꼰대들 보는거 같아서 젤 토악질남 ㅋㅋ 얼마나 잘난걸 만들길래 그런소릴하나 ㅋㅋㅋ

[리제]

진짜 여기는 정보만 봐야됨 여기있는애들 열등감에 사로잡힌애들많고. 되게 공격적임. 그리고 비난하는걸 좋아함. 아무튼 뭐 이것저것 물고와서 까는게 일상인애들이라. 진짜 부정적인 에너지가 가득한곳입니다.

[윤씨]

실제로 안나감

[게데베데]

구글 계정 2차 인증을 왜 안하지

[Exclusive]

개인 개발자 환경에서 충분히 그럴수 있을것같네요 기본적인 계정 보안도 안해놓은것은 안일했던게 맞고요.
그리고 이런게 배포되는데 걸러내지도 못하는 무능한 구글 능력도 욕먹어야죠.

[風影]

...? 구글 입장에선 멀쩡한 인증정보로 올라온 앱을 승인해 준거 뿐인데요?
인증서도 정상. 암호도 정상. 제출된 계정도 본인계정.
신규앱도 아니고 멀쩡하게 운영되던 앱의 업데이트(신규앱인 쪽이 좀더 심사가 까다롭게 진행됨)
그렇다고 겉보기에 확하고 달라진것도 아니었고... 단순히 다운로드 기능은 버스앱이면 데이터베이스 업데이트 때문에 인터넷 억세스 권한은 원래부터 있었을거고.. 실제로 돌아간 악성 코드는 별개로 존재하는거고 그 악성코드를 다운하게끔 수정이 되었던건데

공인인증서와 암호 OTP까지 다 털린 상태에서 인터넷뱅킹으로 돈 빼가면 본인도 아닌데 공인인증서와 OTP까지 다 가졌다고 해서 그 정도도 못걸러내는 무능한 은행은 욕먹어야 하는건가 보군요.

[알면용취^^]

그런데 경쟁플랫폼이라고 할 수 있는 애플 앱스토어는 계정이 다 털려서 재업해도 모든 앱을 심사하거든요.

이 부분은 어떤 방식의 ESD 운영정책을 선호하냐의 문제인 것 같습니다.

제 주관적 관점에서는 자유롭게 풀어둘거면 소프트웨어적인 검열기준이라도 높여야 하는데 플레이스토어 자체 검열 장치인 플레이 프로텍트 성능이 똥망이라(...) 좀 개선은 필요하다고 생각합니다.

https://www.clien.net/service/board/news/13134403?po=0&sk=content&sv=%EB%B0%B1%EC%8B%A0&groupCd=&pt=0

[風影]

애플도 심사 과정이 4-5년 전에나 엄청 깐깐했지 지금은 그때에 비하면 비교적 느슨한 편입니다.
겉으로 드러나지 않는 문제는 자동 체크에 의해 체크하는건 구글이나 애플이나 마찬가지구요.
정확하게 차이나는건 어느쪽이 앱에서 어느정도 권한을 취득이 가능하냐가 더 크게 작용하죠.
애플은 시스템적으로 많은 기능을 사용할 수 없도록 막기 때문에 비교적 안전할 수 있는것이고, 안드로이드는 제약이 느슨한 편이라 꼼수로 이것저것 회피가 가능해서 그런면이 더 크다고 봐야 합니다.
구글도 한계를 느낀건지 업데이트 올라갈수록 점점 막는게 늘어나고 있는거 같더군요.

[風影]

그리고 애플 심사는 좋게말해 깐깐한거지 해주고 싶으면 해주는거고 아니면 안되는거고 식으로 지들 맘대로에 가깝습니다.

개인적으로 개발하면서 애플에서 받은 제일 어처구니 없는 리젝 사유는 '이러한 종류의 앱은 이미 앱 스토어에 충분히 많이 있기 때문에 더 이상 승인을 하지 않습니다.' 였습니다.
기능도 이상없고 선례가 없는것도 아니고 이미 앱 스토어에 비슷한게 많다는 이유로 개발자 계정으로 돈까지 받으면서도 허가해 주지 않는 심사가 과연 정당한 건가 싶네요.

[알면용취^^]

좋은 말씀 감사합니다. 특히 애플이 최근 느슨해졌다는 건 전혀 몰랐던 사실이네요~

다만 역시 이 경우 플러그인을 다운받는 과정이 있었고, 이게 맥아피가 공개한 자료에 따르면 패키지 형태로 다운받아진지라... 요즘은 구글플레이가 외부 앱도 감시한 다음에 설치를 승인하니 좀 아쉽게 느껴지긴 하네요 ㅠ

[호불호]

글 올린 클리앙도 랜섬웨어 터졌잖아요

[POCKET INFINITY]

괜히 애플이 까다로운게 아니네 ㄷ ㄷ

[엘사아렌델]

초기엔 카메라 플래시를 전등으로 쓰게 해주는 어플등에도 악성코드가 담겨있곤 했는데 아직도 이런게 터지네요

[윤씨]

클라우드는털린건 좀 다른이야기일텐대

[진구야힘이넘쳐]

루리웹 정게 사람들만 모아다가 앱이나 웹 개발 시키면 절대 안 털리는 앱 나올 듯

근데 루리웹은 사제 앱도 제대로 된게 없는데 이 어찌된 일이요

[람파루도]

어찌됐든 본인이 만든 앱이 털려서 이용자들 피해본건데

그게 학생이건 어쩌건 신분이 뭔 상관임

왜 저런식으로 쉴드치는지 이해안가네;

[리비아의 게롤트]

진짜 앱같은건 걸러서 받아야지 개인이나 소규모로 만든 앱 같은건 불안 요소가 너무 많음

[로잼]

플레이 스토어에 있는거라고 믿을 수 있는게 아니네
앱 개발자든 구글이든 누구든 앱 사용자에 대한 응분의 대가를 치러야 합니다
경찰에서 제대로 수사해줬으면 좋겠네요

[제조사들은각성해라]

이미 사이버이수사대가 방문해서 파일복사 떠갔는데
글 읽은거 맞음?

[로잼]

댓글만 읽음

[작전세력]

뭔 소리야 이게
소싯적에 한 일이었고, 미필적이었으니 괜찬다?
아니 이게 지금 말이라고?!

[김정원1]

그럼 뭐 어쩔까요 감옥보낼까요

[알면용취^^]

소싯적에 악성코드를 심었다는 게 아니라

아주 옛날에 만들어놓고 자연스럽게 업데이트가 제대로 안되던 앱에 누가 그 사이에 악성코드를 심은건데

도의적 책임은 있을 수 있어도 문제될 건 없죠;

[알면용취^^]

그리고 그 도의적인 책임이란 것도 악성코드가 있다는 걸 알자마자 제거한 버전을 재업하고, 삭제 권유한 시점에서 어느정도 다 하지 않았나 하고 생각합니다.

[와다다닷]

그럼 님은 저사람을 어떻게 했으면 하는데요? 말씀좀

[고유]

여기댓글 재밌네요
콜라마시면서 구경해야지ㅋㅋ

[알면용취^^]

이 일은 좀 무서운 게...

해명문을 보면 단순히 개발자 계정이 털렸다...를 넘어서 정말 계획적으로 턴 흔적이 있더라고요 ㄷㄷ

물론 2차인증을 하지 않은 잘못은 까일만하지만 저정도로 들이대면 정말 외부와 분리된 otp가 아니면 버틸 재간이 있나 싶습니다. 저정도면... otp 걸어놨어도 예비키 프린트를 컴퓨터에 보관했어도 털렸을 것 같고.

[trueheart]

작정하고 달려들면 otp걸린 계정도 털어버리더군요

[헤드크랩]

누가 남의 집에 들어가서 총을 훔쳐다가 그 총으로 사람을 쐈으면
총을 훔친 사람이 잘못이 큰가
그 총을 금고에 보관하지 않은 사람의 잘못이 큰가

[JP89]

근데 요즘은 지도앱에서 버스 실시간정보 알람 다 되니까.. 카카오지도에서도되고
해서 예전처럼 별도로 버스앱을 깔 필요가 없어짐

[라이넥]

학생시절 공부나 실력향상을 위해서 1인개발을 할수도 있음

다만 그걸 배포해 버리는건 별개의 문제

[llzweill]

보통 이러면 훔친놈이 욕먹어야하는거 아닌가
왜 도둑맞은놈을 욕함?
훔치는놈들만 있나

[SSHSSH]

게임 빼고 다 훔쳐서 쓰거든요

[윤씨]

사고방식이 다릅니다

[루리웹-0083755493]

추하다 진짜
피규어 팬티 올린 사진에 추천박는놈들이 진짜 뭔 마인드 운운하면서 고고한척은 다하고있네 ㅋㅋㅋ

까일 껀덕지만 있으면 진짜 비평하기 바빠죽죠 진짜
가서 하던 씹덕겜이나 마저할것이지

[세럿]

앱호환 안되면 다운안되지 않나? 계속 업데이트는 햇단 소리일텐데..

[나태한자]

쓰라고 배포한 앱쓰다가 자기 폰 잘못되도 좋다고 옹호할건가?

[루리웹-3401914086]

해킹하는것들이 잘못된건데 걔네들은 이제 죄인취급도 받지못하고있네

[野良猫]

APT사례로 들어갈수있겠네
pc가 해킹당한 이후 아주 치밀하게 계획한거 같은데
조사 결과가 궁금해지네

[메이드엘르]

앱 배포할 때는 원래 많은것을 신경써야함.
저 개발자뿐만아니라 많은 사람들이 독학을 하든 어디 학원이나 학교에서 배우든
앱 만들고 스토어에 어떻게 올리는지 정도만 하지 그 외에 보안관련, 그리고 유지보수에 대해서는 매우 비흡한게 현실임.
그리고 build.gradle에 signing key 정보 하드코딩해서 올린건 너무 무책임했음.
물론 뚫은수는 있지만 이런 행위는 어서옵쇼 하고 문 활짝열어주는 꼴임.
더군다나 관리도 제대로 안 된거 같은데 생업이 바쁘면 그렇게 방치할게 아니라 앱을 내리던지 아니면 보안관련 유지보수라도 했어야 했음.

[김샌디]

?? 뭔가 좀 이상한데 개발자라라면 보안에 대해서 당연히 신경썼어야함
그리고 개발한다음 손떼놓고 있던거라 책임이 없다? 그게 말이야 방귀야
돈을 받고 작업을 했던 취미로 만들었던 재미로 만들었던 당연히 개발자는 자신이 개발한 앱에 책임을 져야하는거임
개인프로젝트때 만든거라고 어쩔수 없다는 논리는 어디서 나오는건지 당최 모르겠네 ㅋㅋㅋ
그리고 뒤늦게 앱 내리고 사과문 올렸다고 할 조치 다 취한거면 기업들 개인정보 털렸을때도 사과문 올리면 조치 다 취한게 되는거임?? 그런거엔 맨날 이번에도 털렸네 어쩌니 하면서 욕하면서 이건 뭐...

[Vintorez.]

남에게는 그 누구보다 엄격하면서
자신에게는 누구보다도 관대하신 분들...

[-Stereotype-]

7년을 넘게 서비스해줘도 실수때문에 욕을 먹는게 안타깝네.

[Kahffu]

저거 초반에 혹시 직원 공고 볼 수 있을까요?

[냠냠12]

저러니깐 싫던 좋던 개발하면 검수해줄 사람이 있어야 되..

혼자서 하니깐 지 맘대로지..

[천원짜리샤프]

댓글 왤케 공격적이냐
내가보기엔 일반적인 개발자가 보안의식이 조금 약했다 정도인가 같은데
그리고 추가적으로 윈도우도 해킹당한거보면 단순히 2차인증으로 막힐지도 의문이고

왜 다들 질알을 못해서 난리들이냐

[Starvros]

보안 이슈인데 이렇게 옹호하는 것도 처음 보네