eMudhra는 8개 인증기관(CA)과 관련된 취약한 개인 키가 발견된 뒤 글로벌 웹사이트 인증서 사업에서 철수했다. 공동창업자 카우식 스리니바산(Kaushik Srinivasan)은 스크립트 오류와 사람의 실수가 원인이었다고 인정했으며, 회사는 독립 감사를 진행하겠다고 밝혔다.

익명의 연구자 ‘Wayne’이 취약점을 알린 뒤 구글 크롬과 모질라 파이어폭스는 해당 인증서를 차단했다. 취약점은 약 18개월간, 두 차례의 외부 감사에서도 발견되지 않았다. 스리니바산은 문제가 된 사업이 매출의 1%를 차지했다고 설명했다.

스리니바산에 따르면 문제는 2025년 4월 30일 인증기관에 사용할 키를 생성하는 과정에서 발생했다. 북미 사업용 인프라를 준비하며 내보내기 절차를 추가했고, 이 과정에서 스크립트 오류와 사람의 실수가 겹쳐 약한 키가 발급됐다. 키는 정책을 따랐지만 강도가 충분하지 않았다는 설명이다.

모질라는 공격자가 키를 확보하면 해당 인증서를 여전히 신뢰하는 소프트웨어에서 웹사이트를 사칭할 수 있고, 사용자의 연결을 가로챌 경우 트래픽을 읽거나 바꿀 가능성이 있다고 경고했다. 스리니바산은 고객 데이터 유출은 없었고 인도 내 디지털 서명 및 eSign 서비스도 영향을 받지 않았다고 주장했다. 인도 서비스는 별도의 인프라에서 운영되며, 회사는 주요 고객에게 개별적으로 상황을 알렸다고 밝혔다.

회사는 인증서 사업을 접는 이유가 브라우저의 신뢰 철회가 임박해서가 아니라 이사회가 경쟁 상황과 예상 투자 수익을 검토한 결과라고 설명했다. 스리니바산은 브라우저가 회사의 G1 루트 인증서를 계속 신뢰하고 있다고 말했다. G1은 브라우저가 eMudhra가 발급한 웹사이트 보안 인증서를 확인할 때 신뢰하는 회사의 첫 번째 마스터 인증서다.

eMudhra는 사건 경위와 절차·기록을 살펴보고 전체 암호화 자산도 평가할 독립 감사인을 선임할 계획이다. 회사는 감사 보고서를 공개하겠다고 밝혔다. 신용평가사 ICRA는 10월 23일 업데이트에서 글로벌 웹사이트 인증서 사업의 철수와 해당 사업의 제한적인 매출 기여를 언급하면서도 eMudhra의 등급을 유지했다.

스리니바산은 AI로 공격자가 취약점을 찾는 방식이 바뀌고 있다며, 키 생성부터 사용 종료까지 지속적으로 점검하고 독립 감사와 내부 보안 테스트를 병행해야 한다고 말했다.

사건을 설명한 eMudhra 공동창업자 인터뷰 영상