메타베이스 비밀번호 재설정 취약점을 나흘간 방치한 매스스페이스가 호주·뉴질랜드 108만 명의 개인정보를 유출한 사건의 전개와 탐지 관점.
2026년 8월 10일, 호주 수학 학습 플랫폼 매스스페이스의 내부 분석 도구가 조용히 뚫렸다. 나흘 전 오픈소스 BI(비즈니스 인텔리전스) 툴 메타베이스가 내놓은 패치를 미처 적용하지 못한 사이였다. 학생과 학부모, 교사를 포함해 108만 명 가까운 사람들의 개인정보가 이 나흘의 공백을 타고 빠져나갔다.
매스스페이스는 호주·뉴질랜드에서 널리 쓰이는 온라인 수학 학습 플랫폼이다. 학생들의 문제 풀이 데이터를 학교와 학부모에게 보고서 형태로 보여주기 위해, 회사는 내부적으로 오픈소스 BI 도구인 메타베이스를 데이터 분석용으로 운영해왔다. 메타베이스는 깃허브 기준 스타 4만 개를 넘는 인기 오픈소스 프로젝트로, 많은 기업이 사내 데이터 시각화 용도로 채택하고 있다.
문제는 메타베이스 자체에서 터졌다. 2026년 8월 6일, 메타베이스 개발팀은 비밀번호 재설정 API(POST /api/session/reset_password)에서 심각한 취약점()을 발견해 패치를 배포했다. 이 API가 요청 본문에 담긴 값을 제대로 걸러내지 않아, 인증 없이도 데이터베이스 조회 조건에 임의 값을 끼워 넣을 수 있는 구조였다. CVSS 점수는 만점인 10.0, 로그인 없이도 데이터베이스를 조작할 수 있는 수준이었다.
매스스페이스는 이 패치 소식을 놓쳤다. 공식 발표에 따르면 공격자의 무단 접근은 패치 발표 나흘 뒤인 8월 10일 시작됐다. 이후 별다른 저지 없이 시스템에 머무르다가, 8월 27일에는 호주 리포팅 데이터베이스에서 데이터를 통째로 내려받았다. 회사가 메타베이스 인스턴스를 업데이트해 문을 잠근 건 이틀 뒤인 8월 29일이다.
정작 침해 사실이 확인된 건 그로부터도 닷새가 더 지난 9월 3일이다. 데이터가 빠져나간 지 약 3주 만이었다. 매스스페이스는 다음날인 9월 4일 학교와 규제당국에 통보했다. 통보 대상은 호주 OAIC, 호주 사이버보안센터(ASD's ACSC), 뉴질랜드 개인정보보호위원회, 뉴질랜드 NCSC다. 9월 6일부터는 개인 통보를 시작해 9월 7일 공개 발표로 이어졌다.
호주·뉴질랜드의 학생, 학부모·보호자, 학교 교직원, 매스스페이스 직원을 합쳐 107만9819명의 정보가 유출됐다. 유출 항목은 사용자 ID, 사용자명, 실명, 이메일, 국가, 시간대, 사용자 유형, 이메일 인증 여부, 마지막 로그인일, 가입일이다. 일부 이메일 주소는 도메인만으로 소속 학교를 짐작할 수 있는 상태였다.
회사는 비밀번호 해시·SSO 토큰·API 자격증명은 유출되지 않았고, 학습 성적이나 문제 풀이 기록 같은 학업 데이터도 이번 유출 범위에 포함되지 않았다고 밝혔다. 일부 보안 매체는 이번 공격을 대규모 소매·기술기업 침해로 이름을 알린 ShinyHunters 소행으로 추정했지만, 매스스페이스나 수사기관의 공식 귀속 발표는 아직 나오지 않았다.
이번 사건은 정상적인 API 호출처럼 보이는 요청 안에 인증 우회 조건이 숨어 있었다는 점에서 탐지가 까다롭다. 메타베이스 같은 내부 분석 도구는 로그인 화면 뒤에 있다는 이유로 상대적으로 감시가 느슨한 경우가 많다.
비밀번호 재설정 엔드포인트로 향하는 비정상적인 반복 요청이 대표적이다. 평소와 다른 시간대에 몰리는 대량 조회 쿼리, 서비스 계정이 아닌데도 리포팅 데이터베이스 전체를 훑는 접근 패턴도 공통적으로 남는 흔적이다. 무엇보다 회사가 패치 발표 후 방치했던 나흘이 실제 침입으로 이어졌다. 오픈소스 구성요소의 보안 공지를 추적하는 체계 자체가 첫 번째 탐지 지점인 셈이다.
이 사건은 화려한 해킹 기술이 아니라 패치 관리의 공백에서 시작됐다. 벤더가 이미 패치를 내놓은 취약점인데도 나흘의 틈을 노려 침입이 이뤄졌고, 회사가 그 침입을 알아차리기까지 다시 3주가 걸렸다. 한국 기업도 사내 데이터 분석용으로 메타베이스나 리대시(Redash) 같은 오픈소스 BI 도구를 운영하는 경우가 흔한데, 이런 도구는 외부 서비스보다 보안 공지 확인 주기가 느슨해지기 쉽다. 이번 사건은 그 틈이 실제로 얼마나 빨리, 얼마나 크게 악용될 수 있는지 보여주는 사례다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.