MFA
이 태그가 달린 문서 9건
FortiBleed(FortiGate 자격 증명 유출, 약 74,000대 장비): 새로운 취약점이 아니므로 관리자 및 VPN 비밀번호를 변경해야 함
FortiBleed는 Fortinet의 방화벽 및 VPN 장비인 FortiGate의 관리자 및 SSL VPN 자격 증명이 대규모로 유출되고 악용된 사건입니다. 2026년 6월 18일 CISA는 약 74,000대 장비와 관련된 자격 증명이 유출되었다고 경고했습니다. 6월 19일 Fortinet은 새로운 취약점이 아니며, 이전 사고의 자격 증명 재사용과 약한 비밀번호 및 다단계 인증(MFA)이 없는 장비에 대한 무차별 대입 공격이 활동의 원인일 가능성이 크다고 밝혔습니다. 6월 23일 JPCERT/CC는 유출된 데이터에 일본 기업과 관련된 정보가 포함되어 있다고 확인했다는 주의 공지를 냈습니다. 10월 6일 FBI와 미국 비밀경호국(U.S. Secret Service)은 활동이 계속되고 있으며, 일부 관리자가 장비에서 차단되었고, 이 접근이 랜섬웨어의 침투 경로로 쓰였다고 경고했습니다. 수정된 펌웨어로 업그레이드해도 유출된 비밀번호는 무효화되지 않습니다. 이 사이트의 결론: FortiGate를 운영한다면 관리자 및 VPN 비밀번호를 변경하고, 다단계 인증을 적용하며, 관리 인터페이스를 인터넷에서 분리하고, 관리자 비밀번호의 레거시 SHA-256 사본을 제거하십시오.
사람들은 비밀번호를 어떻게 보관할까? 데이터가 말하는 것 — 그리고 안전한 방법
대표성 있는 설문에 따르면 약 54%가 암기에 의존하고, 약 33%가 종이에 비밀번호를 적으며, 전용 비밀번호 관리자를 쓰는 사람은 약 36%에 불과합니다 — 그리고 약 25%가 비밀번호를 재사용합니다. 한편 Verizon DBIR은 침해의 약 38%에 자격 증명 유출이 관련되었고, 침해 데이터 속 비밀번호의 약 74%가 재사용된 것이었다고 밝혔습니다. 한마디로, 가장 흔한 보관 습관이 공격자가 가장 악용하기 쉬운 것입니다. 안전한 기본은 관리자(사이트마다 고유한 비밀번호)와 핵심 계정의 패스키/MFA입니다.
AI 시대의 보안: 지금 다잡아야 할 기본기 (우선순위 체크리스트)
AI는 새로운 약점을 만들기보다 기존 약점(패치 안 된 CVE, 재사용된 비밀번호, 노출된 시크릿)에 대한 공격을 주로 증폭한다 — 자동으로, 빠르게, 대규모로 찾아내며. 따라서 가장 좋은 대비는 기본기를 올바른 순서로 다잡는 것이다: CVE 패치 + 의존성 모니터링, 비밀번호 재사용 중지 + MFA, 노출 시크릿 제거, 최소 권한, 공개 표면 축소, 로그/IOC, 백업.
피싱이란? 공격 유형과 알아채기보다 믿을 수 있는 방어법
피싱은 신뢰하는 상대를 사칭해 가짜 로그인 페이지로 유인하여 자격 증명이나 데이터를 훔치거나 악성코드를 실행시킵니다. 소프트웨어 결함이 아닌 사람의 판단을 노리며, 랜섬웨어와 정보 유출의 최대 진입 경로입니다. 현대의 중간자(AiTM) 피싱은 일회용 코드까지 실시간으로 실제 사이트에 중계하므로 SMS/앱 MFA가 무력화될 수 있습니다. 믿을 수 있는 방어는 '알아채기'가 아니라 메커니즘입니다. 도메인에 묶인 피싱에 강한 MFA(패스키/보안 키), 링크 대신 공식 사이트로 직접 가기, 이메일 인증(SPF/DKIM/DMARC).
MFA를 제대로 고르기: '피싱 저항'이 무엇이고, SMS가 왜 약한가
MFA는 서로 다른 종류의 요소를 결합한다. 직접 입력하는 코드는 피싱으로 중계될 수 있고 SMS는 전화번호의 통제에도 의존한다. 중요한 계정에는 패스키나 FIDO2 보안 키 같은 피싱 저항 방식을 우선하고, 사용자 확인 요구와 복구 방법도 점검한다.
비밀번호 관리자는 안전한가? 작동 원리, 클라우드 vs 로컬, 선택법
비밀번호 관리자는 서비스마다 강력하고 서로 다른 비밀번호를 쓰도록 돕는 도구입니다. 제로 지식 암호화는 제공자에서 암호화된 데이터가 유출되더라도 내용을 보호하기 위한 설계이지만, 안전성은 마스터 비밀번호 강도, 암호화 설정, 기기 보안에도 달려 있습니다. MFA로 무단 로그인을 방지하고 용도에 따라 클라우드나 로컬을 고르세요.
1인 개발자와 소규모 운영자를 위한 보안 베이스라인: 표준 통제를 우선순위 순으로
베이스라인은 '모두 똑같이 중요'가 아닙니다. 본 사이트의 우선순위: 1) 관리자 계정·도메인·이메일(MFA), 2) 시크릿과 코드, 3) 앱 자체, 4) 패치·탐지·복구. 시간이 유한할 때 위에서부터 채우세요. 심각한 침해는 대부분 새로운 공격이 아니라 이 기본 통제의 빈틈에서 옵니다.
스마트폰 보안 기초: 비밀번호, 결제, 신분증을 담은 기기 하나를 지키기
폰은 2FA, 이메일, 뱅킹, 신분증을 한 기기에 집약하므로, 잃어버리면 많은 서비스에 영향이 미칩니다(단일 실패 지점). 가장 효과적인 보호는 보안 앱이 아닙니다: (1) 강한 잠금 + 짧은 자동 잠금(암호가 암호화 키); (2) 자동 OS/앱 업데이트; (3) 공식 스토어 + 권한 검토; (4) 원격 잠금/초기화 사전 설정; (5) 2FA 백업 보관. iOS/Android는 이미 기본으로 암호화·샌드박스합니다.
비밀번호를 Google Drive에 저장하면 안전한가? 제대로 보관하는 법
비밀번호를 평문 Google 문서/시트에 두는 것은 위험합니다: Google 계정 하나가 모든 비밀번호의 단일 실패 지점이 됩니다 — 계정 탈취, 악성 연결 앱, 피싱이 한꺼번에 누출시킵니다. 가장 안전한 선택은 전용 비밀번호 관리자입니다(동기화해도 내용은 암호화). Drive를 꼭 써야 한다면 암호화된 금고 파일만 저장하고 계정에 피싱 저항 MFA를 거세요.