인증 정보
이 태그가 달린 문서 4건
채비(CHAEVI) 개인정보 유출(29만 8천 건): 무엇이 유출됐고 회원은 무엇을 해야 하나
채비(CHAEVI)의 2026년 7월 26일·30일 공지에 따르면, 7월 23일 외부의 불법적인 해킹 공격으로 개인정보 총 298,333건이 유출됐다. 이메일 단독 164,858건, 이메일+비밀번호(암호화) 131,411건, 이메일+이름·연락처(암호화)+성별·생년월일 등 1,235건, 여기에 비밀번호(암호화)까지 포함된 829건이다. 채비는 주민등록번호·여권번호·카드·계좌번호는 수집·보유하지 않아 유출되지 않았다고 밝혔고, 조사 과정에서 2025년 1월경의 별도 유출도 확인해 조사 중이라고 밝혔다. 공지의 유출 항목에 충전 이력이나 위치 정보는 들어 있지 않다. 사기에 가장 쓰이기 쉬운 것은 모든 건에서 암호화되지 않은 채 유출된 이메일 주소와 '전기차 충전 앱 회원'이라는 사실이다. 충전 요금·미납·보상을 내세운 메일과 문자를 기본적으로 무시하고, 비밀번호는 같은 조합을 쓰는 다른 서비스부터 바꾼다.
TanStack, Nx Console, GitHub로 이어진 침해 연쇄 (2026년 5월): 개발자가 확인할 것
2026년 5월 11일 TanStack의 Router/Start 저장소의 배포 파이프라인이 악용돼 npm 패키지 42개, 84개 버전에 인증 정보를 훔치는 코드가 실렸다. 그중 하나를 설치한 Nx 기여자의 GitHub CLI 토큰이 탈취됐고, 5월 18일 변조된 Nx Console 확장(v18.95.0)이 공개됐다. 같은 날 GitHub는 악성 VS Code 확장으로 직원 기기가 침해돼 GitHub 내부 저장소가 유출됐다고 밝혔다. 세 사건 모두 정상 계정과 정상 배포 경로를 거쳤으므로, 방어는 탈취된 배포 인증 정보(토큰) 하나만으로 새 버전을 낼 수 없게 하는 것, 그리고 설정해 둔 안전장치가 실제로 동작하는지 확인하는 것이다.
티빙 개인정보 유출: 보상을 사칭한 사기 문자와 회원이 지금 할 일
과학기술정보통신부 민관합동조사단의 2026년 9월 3일 조사결과에 따르면 티빙 침해사고로 활성·휴면·탈퇴·테스트 계정을 합쳐 3,954만 개(중복 포함) 계정 정보가 유출됐고, 유출 항목은 ID, 성명, 생년월일, 연계정보(CI), 중복가입확인정보(DI), 환불 계좌번호(암호화), 비밀번호(일방향 암호화) 등 20개 항목(70종)이다. 비밀번호는 복호화가 불가능한 상태로 확인됐다. 이 사이트의 결론 = 티빙이 실제로 보상 신청을 받고 있기 때문에 '보상·환불'을 내세운 가짜 문자가 가장 그럴듯해진다. 보상은 문자 링크가 아니라 직접 연 공식 앱에서만 확인하고, 비밀번호는 다른 곳에 재사용한 경우 그쪽부터 바꾸고, 명의도용 알림 서비스를 켜 둔다. 운영자에게는 개발자 한 명의 접속키로 전체 소스코드에 접근할 수 있었고, 그 소스코드 안에 운영환경 접속키가 들어 있었다는 구조가 교훈이다.
Vercel 보안 사고 (2026년 4월): 환경 변수가 노출됐을 때 개발자가 할 일
2026년 4월 19일 Vercel은 일부 내부 시스템에 대한 무단 접근을 공개했다. Vercel에 따르면 직원이 쓰던 서드파티 AI 도구가 침해되면서 공격자가 그 직원의 Google Workspace 계정을 탈취했고, 그 직원의 Vercel 계정과 Vercel 환경에 들어가, 일부 제한된 고객의 '민감'으로 표시되지 않은 환경 변수를 열거하고 복호화했다. Vercel은 영향받은 고객에게 직접 연락했고, 자사가 배포한 npm 패키지는 침해되지 않았음을 확인했다. 이 사이트의 결론 = 변수의 유출 여부는 그 분류, 즉 읽기 가능(저장 후 값을 다시 표시할 수 있음)인지 쓰기 전용(덮어쓸 수는 있지만 표시할 수 없음)인지에 달려 있었다. 다시 읽을 일이 없는 비밀값은 모두 쓰기 전용(현재 Vercel의 Secret)으로 저장하고, 직원이 OAuth(외부 앱이 회사 계정에 접근하도록 허용하는 방식)로 회사 계정에 연결하는 AI 도구도 의존성처럼 목록으로 관리한다.