"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것" 요즘 들어, 하루가 멀다 하고 해커들의 사이버 공격이 때를 가르지 않고 밤낮없이 발생하고 있다. 방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다. 더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다. 처음부터 완전한 보안 시스템은 없으며, 느슨한 구성에서 시작해서 더 견고한 보안 시스템으로 진화하는 것이 매우 중요하다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 한국인터넷진흥원(KISA, 원장 이상중)은 과학기술정보통신부(장관 이종호)와 함께 최근 자동 로그인 기능을..

"무엇보다도 인증키는 본인이 소유하고 있는 인증키 생성매체를 사용해서 본인이 직접 인증키를 생성하여 본인이 직접 입력해야 그나마 정보보안 사고를 예방할 수 있는 최선책" 한 곳 털리니 딴 곳도 털렸다. 다른 사이트에서 수집한 사용자 계정정보를 무작위로 대입해 로그인을 시도해 보는 '크리덴셜 스터핑'으로 올해 확인된 개인정보 유출 건수만 100만건을 넘어선 것으로 나타났다. 국내 기업과 기관들을 대상으로 하는 계정정보 무작위 대입 공격인 크리덴셜 스터핑(Credential Stuffing) 공격도 연이어 발생했다. 인터파크 78만건, 한국고용정보원(워크넷) 23만건의 개인정보가 유출됐으며, 지마켓의 상품권 번호 도용, 스타벅스의 카드 충전금 도용 등 금전적 피해를 입히는 공격으로 확산됐다. 특히 최근 침해..

"스마트 워크, 재택근무(WFA), 모바일 가상화(VMI), MS Azure, 클리우드 환경 등에 보안강화를 위한 다중인증 체계 도입 절실!" 클라우드 서비스 제공 업체들은 일반 기업들보다 더 강력한 보안 기능을 제공할 것이라는 기대감이 사용자들 사이에 존재한다. 보기에 따라 맞는 말일 수도, 틀린 말일 수도 있다. 분명한 건 클라우드 서비스를 제공하는 대기업들이라고 하더라도 완전하지는 않다는 것이다. 이제는 클라우드가 온라인 생활의 필수 요소가 되었다. 애플리케이션과 DB를 사용해서 하는 모든 일들이 이런 저런 방법으로 클라우드와 엮이게 되어 있다. 또한, 최근 DB가 설정 오류와 관리 부실로 고스란히 노출되는 사건이 너무나 많이 일어나고 있고, 이 때문에 다크웹에서는 추가 범죄에 활용할 수 있는 자원..

"정보자산의 로그인-ID/비밀번호가 유출이 되어도 대안이 있느냐?" 사람이 만든 소프트웨어가 완전하지 않다는 건 멀웨어에도 적용된다. 랜섬웨어는 주로 취약한 원격 데스크톱이나 VPN 등을 통해 최초 침투한다고 한다. 다른 데서 훔친 로그인 크리덴셜 스터핑을 활용하는 경우다. 크리덴셜 스터핑은 기존에 다른 곳에서 유출된 아이디(ID)와 패스워드(Password)를 여러 웹사이트나 앱에 대입해 로그인이 될 경우 개인정보나 자료를 유출하는 방법이다. 복잡한 것을 싫어하는 많은 사람들이 모든 웹사이트나 앱에서 같은 아이디와 패스워드를 사용하는 것을 노린 방법으로, 최근 홈플러스나 스타벅스 등에서 크리덴셜 스터핑을 이용한 공격으로 실제 피해를 입은 사건이 늘고 있다. 크리덴셜 스터핑에 당하지 않으려면 우선 사용하..

사이버 범죄자는 크리덴셜 스터핑(Credential Stuffing)을 통해 유출된 계정을 여러 가지 방식으로 활용한다. 실제로 2020년 게임 업계에서 발생한 스터핑 공격은 2019년 대비 224% 증가했다. 게다가 2020년에는 크리덴셜 스터핑 공격이 흔하게 발생해 사용자 이름과 비밀번호로 구성된 대규모 리스트가 불법 웹 사이트에서 겨우 5달러(한화 약 6,700원)에 판매되기도 했다. 사이버 범죄자들은 코로나19 기간 중, 이전에 확보한 계정 목록을 재활용하기도 했으며, 새로운 공격 목표를 대상으로 탈취한 목록을 시험하기도 했다. 이런 활동은 2020년 초에 시작돼 1년간 지속됐다 게임 업계를 대상으로 한 공격 증가의 또 다른 원인은 한층 발전하고 정교해진 범죄자들의 공격 기법 때문이라고 할 수 있..

해킹, 피싱뿐만 아니라 무작위로 입력하는 방식으로 비밀번호 탈취 시도 복잡하고 긴 비밀번호 생성하고 관리 도구 이용...2단계 인증 설정 등으로 보호해야 [보안뉴스 이상우 기자] 우리 주변에서 자신의 ID와 비밀번호가 도용됐다는 사례를 흔히 찾아볼 수 있다. 가령, 자신이 하지도 않는 모바일 게임에서 미리 등록해둔 간편결제수단을 이용해 게임 내 재화를 구매했다거나, 오랜 기간 접속하지 않았던 포털 사이트 계정이 스팸 메일 및 광고 쪽지 발송에 쓰였다는 사례도 쉽게 볼 수 있다. 또한, 소셜 미디어 로그인 시에도 간혹 해외에서 접속 시도가 발생해 차단했다는 알림 메시지를 받기도 한다. [이미지=utoimage] 해킹에 의한 유출 ID와 비밀번호가 유출되는 대표 사례는 해킹으로, SQL 삽입(SQL Inje..