비디오: ìí´ë¡ ì§ê¸ë²¨ë½ (십월 2024)
암호의 길이와 복잡성은 중요하지 않습니다. 여러 사이트에서 동일한 암호를 사용하면 공격 위험이 높아집니다.
지난달 Trustwave 연구원들은 네덜란드에 위치한 명령 및 제어 서버에서 약 2 백만 개의 사용자 이름과 비밀번호를 발견했습니다. Trustwave의 Daniel Chechik은 포니 봇넷의 일부인 서버는 전자 메일, FTP, RDP (원격 데스크톱) 및 SSH (Secure Shell) 계정뿐만 아니라 다양한 웹 사이트에 대한 자격 증명을 수집했습니다. 수집 된 2 백만 건의 자격 증명 중 약 150 만 건은 Facebook, Google, Yahoo, Twitter, LinkedIn 및 온라인 급여 공급 업체 ADP를 포함한 웹 사이트에 대한 것입니다.
비밀번호 목록에 대한 심층 분석 결과 여러 소셜 미디어 계정에 계정을 보유한 사용자의 30 %가 비밀번호를 재사용 한 것으로 나타났습니다. 이러한 각 계정은 암호 재사용 공격에 취약합니다.
Miller는 "작은 노력과 약간의 영리한 Google 쿼리를 통해 공격자가 손상된 사용자가 비슷한 암호를 사용한 추가 온라인 서비스를 찾은 다음 해당 계정에도 액세스 할 수 있습니다"라고 Security Watch 는 말했습니다.
"그냥"소셜 미디어
공격자가 피해자의 FTP 서버와 전자 메일 계정에 액세스 한 것은 분명 나쁜 일이지만 Facebook 또는 LinkedIn 암호를 사용하는 것이 큰 이유는 분명하지 않을 수 있습니다. 공격자들은이 목록을 자주 사용하여 2 차 공격을 시작한다는 점을 명심해야합니다. 공격자가 소셜 미디어 비밀번호를 "그냥"훔치더라도 사용자 이름과 비밀번호가 소셜 미디어 계정에있는 것과 동일하기 때문에 VPN을 통해 회사 네트워크에 침입하거나 회사 네트워크에 침입 할 수 있습니다..
Security Watch 는 암호 재사용의 위험에 대해 자주 경고하므로 Trustwave에이 암호 목록을 분석하여 문제의 범위를 수량화하도록 요청했습니다. 결과 수치는 놀랍습니다.
Miller는 소셜 미디어 계정과 관련된 1, 480 만 개의 사용자 이름 / 암호 중 둘 이상의 소셜 미디어 계정을 가진 228, 718 명의 개별 사용자를 식별했습니다. 밀러는 이러한 사용자 이름 중 30 %가 여러 계정에서 동일한 암호를 사용했다고 밝혔다.
궁금한 점이 있다면 사이버 범죄자는 수동으로 또는 스크립트를 통해 프로세스를 자동화하기 위해 임의의 사이트에서 동일한 조합을 시도합니다.
약한 암호만큼 나쁜 것으로 재사용
암호는 기억하기 어려울 수 있으며 대부분의 사람들이 강력하게 생각하는 암호의 경우 특히 그렇습니다. 이 사용자는 "admin", "123456"및 "password"(이 그룹에서 여전히 문제가 됨)와 같은 취약한 암호를 사용하지 않는 것으로 추천되어야하지만 복잡한 암호라도 유효하지 않으면 효과가 떨어집니다. 독특한.
Miller는 또 다른 재사용 문제를 확인했습니다. 많은 사이트에서 사용자가 전자 메일 주소로 로그인하는 반면 다른 사이트에서는 사용자가 자신의 사용자 이름을 만들 수 있습니다. 148 만 개의 사용자 이름 / 암호 조합 목록에는 사용자가 일반적인 단어를 사용했기 때문에 실제로 829, 484 개의 고유 한 사용자 이름이있었습니다. 실제로 "admin"은 사용자 이름으로 4, 341 회 나타납니다. "약한"사용자 이름의 절반도 암호가 약하여 공격자가 여러 계정을 가로 질러 무차별 공격을 할 가능성이 훨씬 높습니다.
안전 유지
안전한 비밀번호는 우리의 데이터와 신원을 온라인에서 안전하게 유지하는 데 중요하지만, 사용자는 종종 보안보다 편의를 선택합니다. 따라서 암호 관리자를 사용하여 사용하는 모든 사이트 나 서비스에 대해 고유하고 복잡한 암호를 만들어 저장하는 것이 좋습니다. 이러한 응용 프로그램은 자동으로 로그인하기 때문에 키로거가 정보를 포착하기가 훨씬 어렵습니다. 암호 관리 부문에서 편집자 선정 상을 수상한 Dashlane 2.0 또는 LastPass 3.0을 사용해보십시오.
지난 달에 언급했듯이 Pony 봇넷은 키로거 및 피싱 공격을 통해 로그인 정보를 수집했습니다. 먼저 보안 소프트웨어를 업데이트하여 Webroot SecureAnywhere AntiVirus (2014) 또는 Bitdefender Antivirus Plus (2014)에 감염되지 않도록하고 피싱 공격 탐지 지침을 따르십시오.
