CyberStation의 새 보고서에 따르면 다크웹에서 유통되는 방글라데시 기록 180만 건을 발견했다. 이번 발견은 방글라데시의 다크웹 데이터 노출이 단일한 극적 사건의 결과인 경우가 드물다는 점을 상기시켜 주는 유용한 사례다. 더 자주 발생하는 것은 사라지지 않는 여러 작은 유출이 서서히 축적되는 현상이다.

원문 기사는 짧기 때문에, 이 글은 보도된 내용에만 초점을 맞추고 그것이 일반 사람들에게 시사하는 바를 설명한다.

CyberStation이 다크웹에서 발견한 것

보고서에 따르면, 정부 서비스가 노출된 시민 기록에서 가장 큰 비중을 차지했다. 기술 및 통신 부문은 노출 비율이 가장 높았으며, 이는 해당 부문이 CyberStation이 검토한 데이터에 가장 많이 나타났다는 것을 의미한다.

헤드라인 수치는 180만 건이다. 이는 큰 숫자이지만, 더 중요한 세부 사항은 그것이 어떻게 집계되었는가이다. CyberStation은 유출된 데이터베이스 하나를 조사한 것이 아니다. 다크웹 전반에 유통되는 데이터를 살펴보고 이를 다양한 출처에 귀속시켰다.

보고서는 구체적인 유출 출처를 확인하지 않았다. 어떤 단일 기업, 기관, 사건도 해당 기록의 출처로 지목되지 않았다.

데이터가 하나가 아닌 여러 유출에서 비롯된 이유

보고서에 따르면, 유력한 설명은 해당 기록이 시간에 걸친 여러 제3자 유출에서 비롯되었다는 것이다. 다시 말해, 이것은 사람들이 지목하고 대응할 수 있는 새로운 유출이 아니다. 이전 사건들로부터 축적된 데이터의 풀이다.

이 점이 중요한 이유는 도난당한 개인 데이터는 유출 사건이 잊혀져도 만료되지 않기 때문이다. 기록이 복사되면 재판매되고, 다른 데이터셋과 병합되며, 수년간 재사용될 수 있다. 한 사건에서 나온 이름과 전화번호가 다른 사건에서 나온 이메일 주소와 결합되어, 어떤 단일 유출보다도 더 완전한 프로필을 만들어낼 수 있다.

또한 이것은 사람들이 자신이 영향을 받았는지 알기 위해 단일 유출 통지에 의존할 수 없는 이유를 설명한다. 노출이 여러 무관한 제3자로부터 비롯된 경우, 당신에게 알려줄 책임이 있는 단일 조직이 없을 수 있다. 당신의 정보가 유통되고 있음에도 불구하고 통지를 전혀 받지 못할 수도 있다.

이러한 패턴은 다른 곳에서도 익숙하다. 통신 및 정부가 보유한 신원 데이터는 최근 다른 사례들에서도 표적이 되었다. 예를 들어 네덜란드의 650만 고객에게 영향을 미친 Odido 유출과 프랑스의 1800만 건 규모의 ANTS ID 유출이 그러하다. 이들은 별개의 사건이며, CyberStation 보고서에는 이들을 방글라데시와 연결하는 내용이 없다. 이들은 단지 동일한 종류의 조직이 공격자들이 가치 있다고 여기는 데이터를 보유하고 있음을 보여줄 뿐이다.

180만 건이라는 수치가 과소 집계일 수 있는 이유

CyberStation은 자사의 수치를 보수적이라고 설명하며 실제 노출은 더 클 수 있다고 말한다. 보고서 자체가 자체 방법론에 대한 권위로 취급되어야 하지만, 그럴 만한 이유는 몇 가지 있다.

다크웹 데이터의 어떤 집계든 연구자들이 찾아내고 접근할 수 있는 것에 달려 있다. 비공개 포럼, 비공개 판매, 구매자 간에 직접 거래되는 데이터셋은 측정하기가 더 어렵다. 여러 유출에서 중복되는 기록 또한 동일인이 하나 이상의 출처에 나타날 수 있기 때문에 집계를 복잡하게 만든다.

실질적인 시사점은 180만 건이 상한이 아니라 하한으로 읽혀야 한다는 것이다. 그것은 확인된 것의 스냅샷일 뿐, 노출된 모든 것에 대한 완전한 집계가 아니다.

이것이 당신에게 의미하는 것

방글라데시에 거주하거나 방글라데시 정부, 통신, 기술 서비스를 이용한 적이 있다면, 당신의 정보 일부가 이미 유출되었을 수 있다고 가정하라. 이것이 공황에 빠질 이유는 아니지만, 자기 자신을 보호하는 방식을 바꿔야 한다.

이런 종류의 노출에서 비롯되는 주요 위험은 피싱, 문자 사기, 계정 탈취 시도다. 당신의 이름, 전화번호, 이메일을 아는 공격자는 특히 통신사나 정부 기관에서 온 것처럼 보이는 설득력 있는 메시지를 만들 수 있다.

데이터가 오래되었고 흩어져 있기 때문에, 가장 효과적인 방어는 당신의 정보가 어느 유출에서 나왔든 관계없이 작동하는 것들이다.

노출 여부를 확인하고 위험을 줄이는 방법

먼저 당신의 이메일 주소와 전화번호가 알려진 유출에 나타나는지 확인하라. 평판이 좋은 유출 알림 도구를 사용하면 이메일로 검색할 수 있으며, 일부는 전화번호도 지원한다. 적중했다고 해서 오늘 해킹당했다는 의미는 아니지만, 어떤 계정에 주의를 기울여야 하는지 알려준다.

다음으로 계정을 강화하라:

  • 모든 계정에 고유한 비밀번호를 사용하고, 이상적으로는 비밀번호 관리자에 저장하여 오래된 유출 하나가 다른 계정을 풀지 못하게 하라.
  • 다단계 인증(MFA)을 활성화하고, 가능하면 SMS보다 인증 앱을 사용하라.
  • 당신의 이름, 번호, 계정 세부 정보를 언급하는 예상치 못한 메시지에 회의적이 되라. 답장하지 말고 공식 채널을 통해 해당 조직에 연락하라.
  • 정부 및 통신 서비스에 개인 데이터를 덜 제공하라. 필요한 것만 제공하고, 조직이 당신에 대해 보유하는 데이터를 늘리는 선택적 필드는 피하라.

또한 노출이 한 부문에 국한되지 않는다는 점을 기억할 가치가 있다. United Personnel에 대한 유출 주장에서 볼 수 있듯이 인력 공급 및 공공요금 회사조차 공격에 직면했으므로, 제공하는 것을 제한하는 습관은 폭넓게 적용된다.

핵심 요점

CyberStation 보고서는 방글라데시의 다크웹 데이터 노출이 명확한 시작과 끝이 있는 단일 사건이 아니라 지속적인 상태임을 보여준다. 180만 건의 기록이 여러 과거 제3자 유출과 연결되어 있고, 수치가 실제 총계를 과소평가할 수 있으므로, 통지를 기다리는 것은 신뢰할 수 있는 전략이 아니다.

당신의 이메일과 전화번호가 알려진 유출에 나타나는지 확인하고, MFA와 함께 고유한 비밀번호로 전환하며, 정부 및 통신 서비스에 개인 데이터를 덜 제공하라. Odido와 ANTS 사례는 통신사와 공공 기관이 보유한 신원 데이터가 어떻게 노출될 수 있는지 보여주므로, 제공하는 것을 줄이는 것은 당신이 완전히 통제할 수 있는 몇 안 되는 조치 중 하나다.