역사상 최대 비밀번호 유출: 우리가 알고 있는 것과 자신을 보호하는 방법

사이버 보안 세계에 충격을 안겨준 폭로에서 연구원들은 역사상 가장 큰 규모의 손상된 자격 증명 모음으로 보이는 것을 발견했습니다. 이 전례 없는 데이터 덤프에는 100억 개 이상의 고유한 사용자 이름, 이메일 주소 및 비밀번호 조합이 포함되어 있어 규모와 잠재적 영향 모두에서 이전의 주요 침해 사례를 압도합니다.

발견: 디지털 재앙의 발견

이 발견은 "RockYou2024"라는 이름이 포함된 공개적으로 액세스 가능한 Elasticsearch 데이터베이스를 확인한 보안 연구원 Bob Diachenko에 의해 이루어졌습니다. 검색 엔진에 의해 색인된 데이터베이스에는 약 15테라바이트의 데이터가 포함되어 있었습니다. 이는 중복 항목을 제거하면 약 84억 개의 고유 항목에 해당합니다.

대규모 데이터 노출을 발견한 이력이 있는 Diachenko는 2024년 2월 2일에 보안되지 않은 데이터베이스를 발견하자마자 관련 당국에 즉시 알렸습니다. 데이터베이스는 발견 후 24시간 이내에 보호되었지만 악의적인 행위자가 잠재적으로 액세스하기 전에는 보안되지 않았습니다.

이 누출이 다른 점은 무엇입니까?

Yahoo(30억 개의 계정) 및 Aadhaar(11억 개의 기록)에 영향을 미치는 것과 같은 주요 침해 사건이 헤드라인을 장식했지만 RockYou2024 유출은 여러 면에서 독특합니다.

• 규모: 100억 개가 넘는 자격증명 조합을 통해 이전의 대규모 침해 사례를 훨씬 능가합니다.
• 집계: 단일 회사의 위반과 달리 이는 여러 소스의 데이터를 편집한 것으로 보입니다.
• 접근성: 데이터가 발견되기 전 알 수 없는 기간 동안 공개적으로 접근 가능했습니다.
• 검증: 데이터베이스에는 일반 텍스트 및 해시된 비밀번호가 모두 포함되어 있으며 알려진 위반에 대해 검증된 많은 항목이 있습니다.

데이터: 침해 내부에는 무엇이 있나요?

RockYou2024 데이터베이스에는 다음을 포함한 다양한 소스의 자격 증명이 혼합되어 포함되어 있습니다.

• LinkedIn, MySpace, Twitter 등의 플랫폼에서 이전에 알려진 침해
• 잘 알려지지 않은 웹사이트 및 서비스에서 손상된 자격 증명
• 피싱 캠페인을 통해 수집된 것으로 보이는 조합
• 보안 테스트에 사용되는 테스트 계정 및 더미 자격 증명

흥미롭게도 데이터베이스에는 기존의 사용자 이름-비밀번호 조합뿐만 아니라 이메일 주소, 전화번호, 신원 도용 및 사회 공학 공격에 사용될 수 있는 기타 개인 식별 정보도 포함되어 있습니다.

영향을 받는 서비스 샘플

영향 평가: 파급 효과

이번 유출로 인한 영향은 전 세계의 개인과 조직에 광범위하고 잠재적으로 파괴적입니다. 보안 전문가들은 이번 침해의 엄청난 규모로 인해 사이버 범죄자들이 다음과 같은 전례 없는 기회를 얻게 된다고 경고합니다.

• 다른 웹사이트를 대상으로 대규모 크리덴셜 스터핑 공격 개시
• 검증된 이메일 주소를 사용하여 정교한 피싱 캠페인 수행
• 대규모 신원 도용
• 비밀번호 재사용을 통해 금융 계좌에 액세스
• 직원 자격 증명을 통한 비즈니스 네트워크 침해

사이버 보안 분석가인 Sarah Jenkins 박사는 "이것은 단순한 데이터 침해가 아니라 디지털 ID 인프라의 근본적인 붕괴입니다."라고 말했습니다. "악의적인 행위자의 손에 검증된 자격 증명이 너무 많아 앞으로 몇 달 안에 계정 탈취 및 관련 사이버 범죄가 크게 증가할 가능성이 높습니다."

보호 조치: 지금 해야 할 일

이번 침해의 규모와 성격을 고려하여 개인과 조직은 스스로를 보호하기 위해 즉각적인 조치를 취해야 합니다.

개인의 경우:

조직의 경우:

비밀번호 보안의 미래: 자격 증명을 넘어서

이 대규모 침해는 기존 비밀번호 기반 인증 시스템의 본질적인 약점을 극명하게 상기시켜줍니다. 업계 전문가들은 점점 더 안전한 인증 방법으로의 전환을 요구하고 있습니다.

• 다단계 인증(MFA):strong> 비밀번호 이상의 확인 단계 추가
• 생체인식 인증: 지문, 얼굴 인식 또는 기타 고유한 생물학적 특성을 사용합니다.
• 하드웨어 보안 키: 암호화 인증을 제공하는 물리적 장치
• 제로 트러스트 아키텍처: 기본적으로 신뢰할 수 있는 사용자나 장치가 없다고 가정
• 피싱 방지 MFA: 피싱 공격에 강한 인증 방법