보안
Okta 고객 액세스 토큰이 지원 시스템을 통해 도난당했다는 주장은 2023년 사건과 일치…2026년 확인은 찾지 못함
Okta 고객 토큰이 지원 시스템으로 도난당했다는 주장은 2023년 10월 사건과 일치한다. 2026년 확인은 없고 Okta는 DHS 유출설도 부인한다.
Okta의 새 침해는 확인하지 못했다. 해커가 Okta 지원 시스템을 통해 고객 액세스 토큰을 훔쳤다는 주장은 2023년 10월 Okta 공지의 제목과 글자 그대로 같고, 보도의 근거가 된 단일 애그리게이터가 이를 재활용하고 있을 수 있다. 2026년 11월 7일 기준 2026년 Okta의 성명도, 고객 통지도, 두 번째 매체도 찾지 못했다. 별개의 2026년 이야기로 Okta 싱글 사인온을 미국 국토안보부(DHS) 유출과 연결하는 주장이 있으나, 이는 해커의 주장이며 Okta는 부인한다.
핵심 요약
- 확인된 것(2023년): Okta는 해커가 도난 자격 증명으로 지원 케이스 시스템과 고객이 올린 파일에 접근했다고 밝혔다. 이런 파일에는 세션 토큰이 들어 있을 수 있다고 TechCrunch가 2023년 10월 보도했다.
- 당시 규모: 134개 고객의 파일에 접근했고, 이후 Okta는 모든 지원 시스템 사용자의 이름과 이메일이 내려받아졌다고 밝혔다(BleepingComputer).
- 찾지 못한 것: 2026년 Okta의 성명, 피해자, 지원 시스템을 통한 새 토큰 도난을 설명하는 두 번째 출처.
- 2026년 DHS 주장: 해커는 Okta 싱글 사인온을 통해 DHS 데이터에 도달했다고 주장한다. DHS는 잠재적 침해라고 하고, Okta는 자사 시스템이 침해됐다는 증거가 없다고 한다.
왜 재활용된 기사일 수 있나
지원 부서와 고객 액세스 토큰이라는 표현은 2023년 10월 제목과 정확히 같다. 애그리게이터가 오래된 기사를 새 날짜로 다시 올리는 경우가 있다. 이번에 그랬다고 입증할 수는 없고, 우리가 찾은 범위에서 독립적 확인이 없다는 것만 말할 수 있다.
무엇이 새 사건을 확인해 주나
Okta의 권고문이나 블로그 글, 피해 고객 통지, 실명이 밝혀진 고객의 성명, 자체 취재원이 있는 두 번째 매체. 그때까지 2026년 토큰 도난은 미검증으로 봐야 하며, 지원 파일 속 세션 토큰은 비밀번호 없이도 악용될 수 있다는 점도 염두에 둘 만하다.
확립되지 않은 점
- 2026년에 Okta 지원 시스템의 새 침해가 있었는지: 확인되지 않았다.
- 어떤 애그리게이터가 주장을 게재했고 출처가 무엇인지: 전달받은 항목은 하나만 거론한다.
- DHS 유출에 Okta가 관여했는지: 미확인. Okta는 증거가 없다고 한다.
- 2023년과 2026년 보고가 같은 사건인지: 가능성이 높지만 입증되지 않았다.
비교 표
| 항목 | 2026년 11월 7일 기준 공표 내용 | 출처 |
|---|---|---|
| 주장 | 해커가 Okta 지원 시스템으로 고객 액세스 토큰을 훔쳤다 | TechCrunch |
| 2023년 사실 | 도난 자격 증명으로 지원 시스템과 업로드 파일에 접근 | TechCrunch |
| 2023년 규모 | 134개 고객 파일, 이후 모든 지원 사용자의 이름과 이메일 | BleepingComputer |
| 2026년 확인 | 우리 검색에서는 찾지 못함 | 자체 검색 |
| 관련 2026년 주장 | Okta SSO를 통한 DHS 유출이 주장됨, Okta는 증거 없음 | Breached.Company |
자주 묻는 질문
Okta가 2026년에 다시 해킹당했나
확인은 찾지 못했다. 보도는 2023년 10월 사건과 일치한다.
2023년에 무엇이 도난당했나
고객이 업로드한 지원 파일(세션 토큰 포함 가능)과 이후 지원 사용자의 이름과 이메일.
DHS 유출도 같은 이야기인가
아니다. Okta 싱글 사인온을 통한 접근을 주장하는 별개의 2026년 이야기이며 Okta는 부인한다.
방법과 한계
출처는 2026년 11월 7일에 확인했다. Okta 주장에 대한 2026년 원보도는 찾지도 읽지도 못했다. 결론은 검색에서 확인이 없다는 점에 근거하며 새 출처를 놓쳤을 수 있다. 2023년 사실은 TechCrunch와 BleepingComputer에서 가져왔다. 보안 조언이 아니다.
