Have I Been Pwned & 1Password

데이터 유출 101: 해커가 비밀번호를 도용하는 방법

거의 매주 데이터 유출 사고가 뉴스에 나오거나 자신의 계정이 해킹당했다는 지인의 소식을 듣게 됩니다.

이런 일이 일어나면 자연스럽게 "왜 이런 일이 계속 일어날까?"라는 의문이 생깁니다. 범죄자들은 계정 인증 정보를 도용하기 위해 어떤 기술을 사용할까요? 비밀번호 도용으로부터 자신을 보호하려면 어떻게 해야 할까요?

이 두 가지 질문에 대한 답부터 알아보겠습니다. 해커가 가장 일반적으로 사용하는 기술은 다음과 같습니다.

사회공학 및 피싱

소셜 엔지니어링은 사용자를 속여 비밀번호나 전화번호와 같은 개인 데이터를 공유하도록 유도합니다. 공격자는 사용자가 알고 있거나 신뢰하는 사람(직장 상사, 은행 직원, 대학 시절 오랜 친구 등)으로 사칭하고 정보를 공유해야 하는 그럴듯한 이유를 제시하여 사용자를 속이려 합니다.

해커는 이런 행위로 정보를 '피싱'합니다. 소셜 엔지니어링은 이메일, 문자 메시지 또는 전화 통화(일명 '비싱(vishing)')의 형태를 취할 수 있습니다. 공격자는 종종 큰 그물을 던지고 누군가가 이 그물에 걸리기를 바라면서 수백 또는 수천 명의 사람들에게 대량으로 피싱 공격을 보냅니다.

비밀번호 유출 및 크리덴셜 스터핑

해커가 PC 앞에 앉아 여러 다른 비밀번호를 대입해보며 계정에 침입하는 경우는 거의 없습니다. 시간이 너무 많이 걸리고 몇 번 실패하면 자동으로 계정이 잠길 가능성이 높기 때문입니다. 대신 이전 보안 침해 사고에서 유출된 자격 증명을 사용합니다.

공격자들은 일반인이 여러 다른 비밀번호를 사용하는 경우가 거의 없다는 것을 알고 있습니다. 따라서 이들이 이전 Microsoft 계정의 사용자 이름과 비밀번호를 알고 있다면 동일한 자격 증명이 소유자의 이메일 계정에서도 작동할 가능성이 높습니다. 실제로 해커들은 특수 소프트웨어를 사용하여 웹에서 대량으로 도난한 자격 증명을 테스트합니다. 이러한 유형의 공격을 크리덴셜 스터핑이라고 합니다.

사전 공격 및 해시된 비밀번호 해독

공격자가 비밀번호 데이터베이스를 발견했다고 상상해 보세요. 한 가지 문제가 있습니다. 모든 자격 증명 정보는 보호를 위해 해싱 알고리즘에 의해 뒤섞여 있다는 점입니다. 공격자는 일반적으로 사용되는 해싱 알고리즘을 통해 가능한 모든 비밀번호를 실행한 다음 그 결과가 데이터베이스의 내용과 일치하는지 확인할 수 있습니다. 하지만 이 방법은 효율적이지 않습니다.

대신 공격자는 미리 정의된 목록에서 일반적인 단어, 구문 또는 이전에 유출된 비밀번호를 사용해 봅니다. 해커가 일치하는 비밀번호를 찾으면 해독된 비밀번호를 사용해 연관된 계정에 액세스해 보거나, 소유자의 다른 온라인 계정에서도 작동하는지 확인할 수 있습니다.

지금까지 해커가 비밀번호를 도용하는 방법에 대해 알아보았습니다. 그렇다면 일반적으로 이러한 수법과 데이터 유출로부터 자신을 방어하기 위해 무엇을 할 수 있을까요?

각 서비스마다 고유한 비밀번호를 사용하여 보호하기

온라인에서 자신을 보호하는 가장 좋은 방법은 모든 계정에 강력하고 고유한 비밀번호를 사용하는 것입니다. 이렇게 하면 한 사이트의 데이터가 손상되더라도 다른 사이트의 데이터는 안전하게 보호할 수 있습니다. 여러분은 수백 가지의 비밀번호를 만들거나 기억할 수는 없지만, 비밀번호 관리자라면 가능합니다. 1Password에 내장된 비밀번호 생성기를 사용해 Amazon, Instagram, Gmail을 비롯한 모든 웹사이트와 서비스에서 안전한 비밀번호를 생성하여 시간을 절약하세요.

다단계 인증 사용

다중 인증은 온라인 계정의 보안을 한층 더 강화해 줍니다. 이 기능을 활성화하면 사용자 이름과 비밀번호 외에 두 번째 요소(일반적으로 시간 제한 코드)를 입력해야 로그인할 수 있습니다. 1Password는 다중 인증을 지원하는 웹사이트를 알려주고, 고유한 일회용 코드를 복사하고 자동 완성하는 인증자 역할을 합니다.

Watchtower로 보안 위협 파악

Watchtower는 1Password에 저장된 항목과 관련된 데이터 유출 및 기타 보안 문제에 대해 알려줍니다. 여기에는 현재 비밀번호가 취약하거나 재사용된 웹사이트와 아직 패스키를 사용하지 않는 서비스가 포함됩니다. Watchtower의 알림에 주의를 기울이며 적절히 조치하면 보안을 강화하고 개인 정보가 다크 웹에 표시될 가능성을 확실히 줄일 수 있습니다.