[보안] 토와샵 개인정보보호 및 서버보안정책에 관하여..

ㆍ홈페이지

http://www.3.co.kr

[보안] 토와샵 개인정보보호 및 서버보안정책에 관하여..
옥션(http://www.auction.co.kr) 의 회원정보 대량 해킹사건 이후
회원등록/비번찾기 형식을 갖춘 사이트들에 대해 전체적으로
원격 로봇에 의해 이름/주민번호 대입 공격이 잦아 지고 있습니다.

공격자는 이미 확보된 해킹자료에 있는 이름/주민번호 정보를 이용해 비번찾기 서비스에
무작위로 연속 대입을 시도하여 아이디,비번을 알아 내려는 시도를 지속적으로 행하는데,
근 며칠사이에 이런 접속이 엄청나게 증가한 것으로 보아 옥션 해킹과 관련있다라고 보고 있습니다.
이로 인하여 서비스가 불가능할 정도로 시스템이 느려지거나 서버다운 사태까지있는 것으로 알려졌습니다.
비번찾기 페이지에서 비번을 직접 보여 주는 방식의, 안전은 도외시하고 편의만 추구한 사이트가 주 먹잇감입니다.

제3도예 토와샵을 이용하시는 고객님들은 회원 비밀번호가 역변환 불가능한 상태로 암호화되어 저장되며
비번 찾기를 한다해도 원래 암호를 추출해 보여 주는게 아니라
회원등록 내용 일부만 추출하여 회원등록한 이메일 주소로 통보하는
방식이기 때문에 암호가 직접 노출 될 가능성은 전혀 없습니다.
비번 찾기 서비스에 이메일,아이디,주민번호,이름 을 정확히 넣었다 해도
회원등록한 메일로만 회원등록정보를 통보하게 되어 있으니 안심해도 됩니다.

그러나 만약,
이름,주민번호를 넘어 [아이디+비번] 리스트 까지 공격자가 대량 확보하고 있는 상황에선 애기가 달라집니다.
이 경우 비번찾기 방식이 아니라 직접 회원 로그인을 시도하는 방식으로 무작위 대입을 시도 하게 되므로
2차 해킹 위험성이 상당히 높아 집니다. 짐작컨데, 이름/주민번호를 사용한 비번찾기 대입 방식으로
이미 다량의 아이디/비번을 확보한 단계까지 진행되어 있지 않을까 생각됩니다.
2차 해킹으로 당장 직접적인 해를 끼치는게 아니라 공통 아이디/비번으로 확인된
여러 사이트에서 회원정보를 취합하여 아주 구체적인 신상정보를 완성시키는 것입니다.
아이디/비번/주민번호/계좌번호/계좌비밀번호/전화번호/주소/생년월일 등.... 구체적 신상정보를 조합,
체계화 하여 값비싼 자료로 만들어 내는 것이 공격자의 1차적 목표일 것입니다.

옥션에 회원등록 하신 분은 이번 해킹 사건에 자기 정보가 유출되었는지 꼭 확인하시고
본 홈을 포함한 다른 사이트에도 같은 아이디,비번으로 회원등록한 것이 있으면
만약을 대비해 필히 비번변경 하십시오. (옥션 4월 17일 공지 참조)