비밀번호는 어떻게 유출되는가: 해킹의 실제 경로들

당신의 이메일 계정에 낯선 나라에서 로그인 시도가 일어났다는 알림을 받았다고 상상해 봅시다. 첫 번째 생각은 보통 같습니다: "누군가 내 비밀번호를 해킹했다." 하지만 현실은 더 복잡합니다. 실제로 비밀번호가 유출되는 경로의 대부분은 "고급 해킹"과는 무관합니다. 대신 더 일반적이고, 더 효율적이며, 종종 당신의 행동과 직결된 경로들입니다. 이 글에서는 비밀번호가 실제로 어떻게 유출되는지, 그리고 각 경로에서 자신을 어떻게 보호할 수 있는지 살펴봅시다.

데이터베이스 침해: 서비스 제공자의 약점

대규모 비밀번호 유출의 가장 흔한 원인은 "데이터베이스 침해"입니다. 이는 공격자가 온라인 서비스(이메일, 소셜 미디어, 뉴스 사이트 등)의 서버에 접근하여 사용자 정보를 훔치는 경우입니다. 당신이 한 서비스에 가입할 때, 그 서비스는 당신의 비밀번호를 저장합니다. 문제는 그들이 어떻게 저장하느냐입니다.

책임감 있는 서비스는 비밀번호를 "해시"(hash)라고 부르는 것으로 변환하여 저장합니다. 이는 일방향 수학 함수입니다. 마치 계란을 계란 스크램블로 만드는 것처럼, 한 번 변환되면 원래 형태로 되돌릴 수 없습니다. 따라서 누군가가 서버에 접근하더라도, 그들이 얻는 것은 당신의 실제 비밀번호가 아닙니다. 하지만 일부 서비스는 비밀번호를 암호화(encrypt)하거나 심지어 평문(plain text)으로 저장하기도 합니다. 이 경우 침해는 직접적으로 비밀번호를 노출시킵니다.

여기서 중요한 점: 당신은 이 침해를 막을 수 없습니다. 서비스 제공자의 기술 선택입니다. 당신이 할 수 있는 일은 비밀번호 재사용을 피하는 것뿐입니다. 그것에 대해서는 곧 다루겠습니다.

피싱: 위장된 함정

비밀번호 유출의 두 번째로 흔한 경로는 "피싱"입니다. 공격자는 실제 서비스처럼 보이는 가짜 웹사이트를 만들고, 그 웹사이트로 당신을 유도합니다. 당신이 로그인하면, 당신의 자격 증명(username과 password)이 공격자에게 직접 전달됩니다.

전형적인 피싱 시나리오를 생각해 봅시다. 당신은 메일을 받습니다: "계정 확인이 필요합니다. 여기를 클릭하세요." 링크를 클릭하면, 당신이 아는 서비스의 로그인 페이지처럼 보이는 페이지가 나타납니다. 몇 초 안에 당신은 당신의 이메일과 비밀번호를 입력하고, "로그인"을 누릅니다. 당신은 원래 사이트로 리디렉트되지만 (혼란을 주지 않기 위해), 당신의 자격 증명은 이미 공격자의 손에 있습니다.

피싱은 높은 성공률을 가집니다. 왜냐하면 그것은 기술에 의존하지 않고, 심리에 의존하기 때문입니다. 당신이 할 수 있는 것: (1) 링크를 클릭하기 전에 URL을 확인하기, (2) 민감한 작업 (특히 비밀번호 입력)을 하기 전에 혼자 서비스에 접속하기 (메일의 링크를 통해서가 아니라), (3) 서비스에서 실제로 비밀번호를 요청하는지 확인하기 (신뢰할 수 있는 서비스는 보통 당신의 비밀번호를 요청하지 않습니다).

악성코드: 당신의 기기 내

악성코드(malware)는 당신의 컴퓨터나 휴대폰에 설치되어 당신의 활동을 추적하거나 당신의 데이터를 훔치도록 설계된 프로그램입니다. 특정 유형의 악성코드 ("키로거"라고 불림)는 당신이 타이핑하는 모든 것을 기록합니다. 당신이 비밀번호를 입력할 때, 이 악성코드는 그것을 캡처합니다.

악성코드는 일반적으로 의심스러운 첨부 파일을 다운로드하거나, 신뢰할 수 없는 소프트웨어를 설치하거나, 또는 당신의 운영 체제나 응용 프로그램의 알려진 취약점을 통해 침입합니다. 예방: (1) 운영 체제와 응용 프로그램을 최신 상태로 유지하기, (2) 신뢰할 수 없는 출처에서 소프트웨어를 다운로드하지 않기, (3) 의심스러운 첨부 파일을 열지 않기.

비밀번호 재사용과 자격 증명 채우기

위의 경로들 중 많은 것이 효율적인 이유는 "비밀번호 재사용" 때문입니다. 많은 사람들은 여러 서비스에서 동일한 비밀번호를 사용합니다. 한 서비스가 침해되거나 피싱이 성공하면, 공격자는 당신의 비밀번호를 가집니다. 그들은 이제 그 비밀번호를 자신의 손에 있는 다른 서비스들 (이메일, 은행, 소셜 미디어)과 시도할 수 있습니다. 이를 "자격 증명 채우기"(credential stuffing)라고 합니다. 자동화된 도구를 사용하여, 공격자는 분당 수천 개의 로그인 시도를 실행할 수 있습니다.

이것이 비밀번호 관리자(password manager)가 중요한 이유입니다. 비밀번호 관리자는 각 서비스마다 고유하고 복잡한 비밀번호를 생성하고 저장하도록 도와줍니다. 당신이 기억해야 할 유일한 비밀번호는 관리자 자체의 "마스터" 비밀번호입니다.

다중 요소 인증: 마지막 방어선

비밀번호 유출을 완전히 방지할 수는 없습니다. 하지만 "다중 요소 인증"(multi-factor authentication, 또는 MFA)을 사용하면, 비밀번호만으로는 충분하지 않습니다. 공격자는 추가 요소도 필요합니다. 가장 일반적인 유형은 당신의 휴대폰으로 보내진 코드이거나, 당신이 소유한 특정 기기입니다.

가장 강력한 형태는 "하드웨어 보안 키"(hardware security key)입니다. 이는 당신이 소유한 작은 기기 (대개 USB 스틱처럼 보임)입니다. 로그인할 때, 당신은 비밀번호를 입력하고 기기를 연결하거나 터치합니다. 공격자가 당신의 비밀번호를 가지고 있더라도, 그들은 당신의 키를 가지지 않습니다. 피싱이나 악성코드로도 이를 우회할 수 없습니다. 단점은, 당신이 기기를 잃어버리면 당신은 접근할 수 없게 된다는 것입니다. (좋은 서비스는 백업 옵션을 제공합니다.)

요약하자면, 당신의 비밀번호는 보통 "해킹"이라는 인상적인 것이 아니라, 데이터베이스 침해, 피싱, 악성코드, 또는 비밀번호 재사용의 결과로 유출됩니다. 당신이 할 수 있는 일은: 고유한 비밀번호를 사용하기 (비밀번호 관리자 사용), 피싱 링크를 피하기, 당신의 기기를 안전하게 유지하기, 그리고 가능하면 MFA를 활성화하기입니다. 이것들은 완벽한 보호는 아니지만, 당신을 훨씬 더 안전하게 만듭니다.