infoQ 설문 사이트 침해 사고(894,082건): 유출된 정보와 회원이 해야 할 일

회사는 비밀번호가 암호화되어 있었다고 말하지만, 다른 서비스에서 같거나 비슷한 비밀번호를 쓰는 회원은 그 서비스에서 비밀번호를 변경하고 알 수 없는 로그인 기록이 있는지 확인하라고 요청합니다. 10월 6일부터 회사는 모든 회원에게 차례로 이메일을 보내 이를 요청하고 있습니다. 암호화 방식은 공개되지 않았습니다.

이메일과 비밀번호 조합이 알려지면 다른 사이트에서 시도될 수 있습니다. 이메일, 온라인 쇼핑, 포인트 서비스부터 시작하고, 서비스마다 다른 비밀번호를 사용하십시오. 사용 중인 비밀번호를 정리하는 데는 비밀번호 관리자가 현실적인 방법입니다.

infoQ 비밀번호 자체는 회사가 10월 7일 모든 회원의 비밀번호를 무효화했습니다. 서비스 재개 시 절차를 다시 안내하겠다고 밝혔습니다.

infoQ에 등록한 이메일 주소는 다른 많은 서비스의 비밀번호 재설정 주소일 가능성이 높습니다. 누군가 그 이메일 계정을 장악하면 다른 곳의 비밀번호도 재설정할 수 있습니다.

Gmail, Outlook 같은 주요 이메일 서비스는 2단계 인증을 제공합니다. 설정 방법과 인증 수단 선택은 다요소 인증 시작하기에서 확인하십시오.

회사는 회사 또는 infoQ를 사칭한 의심스러운 이메일, 문자, 전화에 대해 경고합니다. 회사도 10월 5일부터 영향받은 회원에게 개별 이메일을 보내고 있어, 진짜 메시지와 가짜 메시지가 같은 시기에 도착하게 됩니다.

"포인트 보상 절차", "사과 기프트 코드", "본인 확인"과 같은 메시지를 받으면 링크를 열지 마시고, 대신 회사 공식 웹사이트의 공지를 확인하십시오(피싱이란? 참고).

회사는 부정 교환된 포인트를 전액 보상하겠다고 말합니다. 10월 14일 2차 보고에 따르면 보상금은 서비스 재개 시 영향을 받은 회원의 계정에 적립되며, 완료되면 회원에게 개별 이메일로 알립니다. 공지에는 회원이 계좌번호나 이와 비슷한 정보를 제공하는 절차가 언급되어 있지 않습니다.

정확한 이름, 주소, 생년월일을 알고 있는 발신자라고 해서 진짜라는 증거는 되지 않습니다. 바로 그런 정보가 유출되었습니다. 보상이나 환불을 명목으로 계좌, 카드번호나 비밀번호를 요구하면 어떤 행동도 하기 전에 공식 웹사이트에서 절차를 확인하십시오.

infoQ는 10월 3일부터 중단되었고 10월 15일 기준 재개되지 않았으므로 이용 내역을 확인할 수 없을 수 있습니다. 직접 하지 않은 포인트 교환을 발견하면 회사가 안내한 infoQ 고객지원센터(infoq-support@gmo-research.ai; 이메일은 24시간 접수, 평일 일본 시간 10:00–18:00 처리)로 문의하십시오.

받은 메시지에 있는 연락처가 아니라 회사 공식 웹사이트의 문의처를 이용하십시오. 서비스가 재개되면 직접 로그인하여 포인트 잔액과 교환 내역을 확인하십시오.

첫 단계로 기프트 코드나 다른 회사의 포인트로 교환된 건수와 금액을 시간별로 기록하고, 평소 수준의 여러 배를 넘으면 담당자에게 알리십시오.

또한 한 계정과 한 출처에서 할 수 있는 교환 횟수를 제한하십시오. 한도 설정과 경고는 요청 제한과 남용 방지에서 다룹니다.

사이트 전체를 중단하기 전에 교환 기능만 멈출 수 있으면 피해를 더 빨리 줄일 수 있습니다. 누가 결정하고 어떻게 전환할지 미리 정하고, 1년에 한 번 실제로 전환해 작동을 확인하십시오.

회사는 원인을 사이트에서 사용하는 소프트웨어의 취약점 악용으로 설명합니다. 소프트웨어 이름은 밝혀지지 않았으므로 이 항목은 일반적인 내용입니다.

사이트에서 실행 중인 제품과 라이브러리를 버전과 함께 목록으로 정리하고, 취약점이 발표된 후 언제까지 어떤 것을 업데이트할지 미리 정하십시오. 우선순위 정하기는 CVE 대응 플레이북에서 다룹니다.