일본과 대만에서 각각 발생한 두 건의 별개 보안 사고가 이번 주 확인되었습니다. 코믹 CMoa 데이터 유출 사건은 일본 최대 전자책 서점 중 하나에 영향을 미쳤으며, 이메일 주소와 비밀번호 해시가 유출된 것으로 보고되었습니다. 별도로, ACCESS는 CROS에서 1,305개의 카드 계정이 도난당했음을 확인했습니다. 두 사건은 서로 무관하지만, 함께 살펴보면 로그인 자격 증명과 결제 카드 데이터라는 두 가지 흔한 유형의 노출을 보여줍니다.

현재까지 확인된 세부 사항은 제한적이므로, 이 글은 보도된 내용에만 근거하며 그것이 실제로 어떤 의미인지 설명합니다.

코믹 CMoa 및 ACCESS 유출 사고에서 무엇이 유출되었나

보도에 따르면, 코믹 CMoa 데이터 유출 사건은 일본의 인기 전자책 서점과 관련되어 있으며, 유출된 데이터에는 사용자 이메일 주소와 비밀번호 해시가 포함됩니다. 비밀번호 해시는 비밀번호 자체가 아니라 비밀번호를 뒤섞은 버전입니다. 기업은 서버에 평문 비밀번호를 보관하지 않기 위해 해시를 저장합니다.

두 번째 사건은 별개입니다. ACCESS는 CROS에서 1,305개의 카드 계정이 도난당했음을 확인했습니다. 출처는 규모를 1,305개의 카드 계정으로 설명하며, 우리가 검토한 자료에서는 추가 세부 사항을 제공하지 않습니다. 우리는 어떤 필드가 유출되었는지, 공격자가 어떻게 침입했는지, 또는 두 사건 중 어느 쪽의 배후에 누가 있는지 추측하지 않을 것입니다.

이것은 서로 다른 두 회사, 서로 다른 두 시스템, 서로 다른 두 유형의 데이터라는 점을 강조할 필요가 있습니다. 독자들은 한 사건이 다른 사건과 연결되어 있다고 가정해서는 안 됩니다.

해시된 비밀번호가 여전히 사용자를 위험에 빠뜨리는 이유

해시만 유출되었다고 들으면 안심이 될 수 있지만, 그것으로 누구도 긴장을 풀어서는 안 됩니다. 해시는 보호 계층이지 보장이 아닙니다. 해시된 비밀번호가 얼마나 안전한지는 원래 비밀번호가 얼마나 강력했는지와 서비스가 그것을 어떻게 해시했는지에 달려 있습니다.

공격자가 해시 집합을 입수하면, 흔한 비밀번호를 추측하고, 각 추측을 해시하고, 결과를 비교함으로써 역으로 추적을 시도할 수 있습니다. 짧고 예측 가능하거나 흔히 사용되는 비밀번호는 먼저 무너지는 경향이 있습니다. 강력하고 고유한 패스프레이즈는 훨씬 복구하기 어렵습니다.

이메일 주소도 중요합니다. 비밀번호가 전혀 없더라도, 특정 서비스와 연결된 이메일 목록은 표적 피싱에 사용될 수 있습니다. 예를 들어 전자책 서점에서 보낸 것처럼 가장하여 다시 로그인하도록 요청하는 가짜 메시지 등입니다.

가장 큰 실질적 위험은 비밀번호 재사용입니다. 코믹 CMoa 비밀번호를 다른 사이트에서 사용했다면, 그 해시를 크래킹한 사람이 같은 이메일과 비밀번호 조합을 다른 곳에서 시도할 수 있습니다. 이것은 자격 증명 스터핑(credential stuffing)으로 알려져 있으며, 사람들이 비밀번호를 재사용할 때만 통합니다.

CROS 카드 도난이 영향을 받은 고객에게 의미하는 것

카드 데이터는 다른 문제입니다. CROS에서 1,305개의 카드 계정이 도난당한 것으로 보고된 만큼, 영향을 받은 고객의 주요 우려는 무단 청구와 사기 시도입니다. 카드 발급사는 일반적으로 침해된 카드를 교체하고 사기 거래에 이의를 제기하는 절차를 갖추고 있지만, 고객이 문제를 인지하거나 통지를 받아야만 조치할 수 있습니다.

ACCESS나 카드 발급사로부터 이 사건에 관해 연락을 받는다면, 그 통지를 진지하게 받아들이되 먼저 확인하십시오. 유출 사고 후에는 영향을 받은 회사를 모방한 사기 메시지가 뒤따르는 경우가 많습니다. 예상치 못한 이메일이나 문자에 포함된 링크가 아니라, 카드에 인쇄된 연락처 정보나 회사 공식 웹사이트에서 직접 가져온 연락처 정보를 사용하십시오.

소액 테스트 결제는 카드 오용의 흔한 징후이므로, 인식하지 못하는 사소한 거래라도 발급사에 전화할 가치가 있습니다.

유출 사고 후 계정을 보호하는 단계

공황에 빠질 필요는 없지만, 몇 가지 빠른 조치가 큰 도움이 됩니다:

  • 재사용된 비밀번호를 변경하십시오. 코믹 CMoa 비밀번호를 다른 곳에서 사용했다면, 다른 모든 계정에서 그것을 교체하십시오. 각각을 고유하게 만드십시오.
  • 2단계 인증(2FA)을 켜십시오. 누군가 비밀번호를 가지고 있더라도, 두 번째 인증 요소는 침입을 훨씬 어렵게 만듭니다. 앱 기반 코드나 하드웨어 키는 일반적으로 SMS보다 강력합니다.
  • 비밀번호 관리자를 사용하십시오. 길고 무작위한 비밀번호를 생성하고 기억해 주므로, 재사용하려는 유혹을 없애줍니다.
  • 카드 명세서를 모니터링하십시오. 계정을 정기적으로 확인하고, 은행이 제공한다면 거래 알림을 설정하며, 낯선 것이 있으면 즉시 신고하십시오.
  • 후속 메시지를 경계하십시오. 두 사건 중 어느 것에 관한 예상치 못한 이메일의 링크를 클릭하지 마십시오.

같은 습관은 어떤 유출 사고 후에도 적용됩니다. 범죄자들이 피해자를 직접 방해하려는 공격의 경우도 마찬가지입니다. 예를 들어 공격이 역효과를 낸 아키라 랜섬웨어 계열 조직의 사례처럼 말입니다. 공격자들은 실수를 하지만, 그것이 데이터를 보호해 줄 것이라고 기대해서는 안 됩니다.

이것이 당신에게 의미하는 것

코믹 CMoa 계정이 있다면, 이메일 주소가 제3자의 손에 있을 수 있으며 비밀번호 해시가 결국 크래킹될 수 있다고 가정하십시오. 특히 비밀번호가 약했다면 더욱 그렇습니다. 비밀번호를 변경하고, 그것을 사용한 다른 모든 곳에서도 변경하십시오. CROS나 ACCESS 카드 계정과 연결되어 있다면, 명세서를 주의 깊게 지켜보고 모든 커뮤니케이션을 공식 채널을 통해 확인하십시오.

두 그룹 어디에도 속하지 않더라도, 이 사건들은 여전히 유용한 경고입니다. 유출 사고로 인한 대부분의 피해는 나중에 발생합니다. 도난당한 세부 정보가 습관을 바꾸지 않은 사람들을 상대로 재사용될 때 말입니다.

핵심 요점

코믹 CMoa 데이터 유출과 ACCESS CROS 카드 도난은 별개의 사건이지만, 조언은 같습니다: 일찍 행동하십시오. 재사용된 비밀번호를 고유한 비밀번호로 교체하고, 2FA를 활성화하고, 자격 증명을 비밀번호 관리자에 저장하고, 카드 활동을 정기적으로 검토하십시오. 지금 10분의 정리가 나중에 계정 탈취나 사기 청구를 처리하는 것보다 훨씬 쉽습니다.