다중 인증
이 태그가 달린 문서 5건
Perry Johnson & Associates(PJ&A) 의료 정보 유출: 4개 주가 최대 1,000만 달러에 합의(1,330만 명), 노출된 정보와 해야 할 일
2026년 11월 6일 뉴욕, 코네티컷, 미시간, 뉴저지 주 법무장관은 의료 전사·코딩 업체 Perry Johnson & Associates, Inc.(PJ&A) 및 계열사 4곳(통칭 Perry Johnson 회사들)과의 합의를 발표했습니다. 2023년 3월에 발생해 전국 약 1,330만 명이 해당한 유출 건입니다. 주 당국에 따르면 노출된 정보에는 이름, 생년월일, 집 주소, 사회보장번호, 병원 계정 번호, 진단, 보험 정보와 함께 검사 결과, 약 이름 등 전사 파일의 임상 정보가 포함됐습니다. 주 당국은 해커가 PJ&A Coding 직원의 자격 증명을 사용했고, 원격 접속에 다중 인증이 요구되지 않았으며, 계열사의 소프트웨어가 해커의 활동을 기록했지만 보안 담당자에게 경고하지 않았고, PJ&A는 약 2개월 뒤 해커가 연락해 와서야 유출을 알았다고 밝혔습니다. 합의 규모는 최대 1,000만 달러로, 지금 내는 벌금이 최소 30만 달러이고 나머지 970만 달러는 회사들이 합의 조건을 지키지 못할 때만 내야 합니다. 회사들은 보안 프로그램을 유지하고, 다중 인증과 암호화를 사용하며, 연 1회 위험 평가를 하고, 건강 정보의 보관 기간을 관리해야 합니다. 이 사이트의 견해: 2023년에 통지를 받았다면 합의로 새로 할 일이 생기지는 않지만, 사회보장번호와 진단이 포함됐으므로 신용 동결을 유지하고 의료 명세서를 계속 확인하세요.
SonicWall SonicOS SSL-VPN CVE-2026-19868: SAML과 MFA 우회 가능, CISA KEV 등재(Gen7·Gen8 업그레이드)
CVE-2026-19868은 SonicWall 방화벽의 운영체제인 SonicWall SonicOS의 SSL-VPN 서비스 취약점입니다. 2026년 11월 6일 SonicWall의 권고 SNWLID-2026-0014에 따르면, SSL-VPN 로그인에 SAML을 활성화한 방화벽에서 다른 인증 방식(alternate authentication method)의 유효한 인증 정보를 가진 사용자가 SAML 인증 통제를 우회할 수 있으며, SAML이 강제하는 다중 인증(MFA)도 함께 우회할 수 있습니다. SonicWall은 자사 보안 팀이 악용 가능성을 시사하는 보고를 조사했다고 밝혔습니다. CISA는 11월 6일 이 CVE를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했고 기한은 11월 20일입니다. 영향 대상: SonicOS 7.3.3-7015 이하의 Gen7 방화벽과 8.2.2-8015 이하의 Gen8 방화벽. 수정: 7.3.4-7013 및 8.2.3-8015 이상. 우회 방법(workaround)은 없습니다. 같은 권고에는 관리 인터페이스의 취약점과 서비스를 중단시킬 수 있는 SSL-VPN의 인증 전 취약점 등 다른 CVE 6건도 포함되어 있습니다. 우리의 결론: Gen7 또는 Gen8 SonicWall 방화벽을 운영한다면 SAML 사용 여부와 관계없이 지금 업그레이드하고, VPN 로그인을 SAML과 MFA에 의존한다면 다른 방식으로 SSL-VPN에 로그인할 수 있는 계정이 남아 있지 않은지 확인하세요.
웹 호스팅 업체가 침해당했을 때: 고객이 해야 할 일
호스팅 업체 쪽 침해는 고객의 설정으로 막을 수 없으므로, 방어의 초점은 예방에서 잃을 수 있는 양을 줄이는 쪽으로 옮겨 간다. 9월 10일 조사 결과는 가장 중요한 부분을 확정했다. 판매 관리 시스템에 대한 부정 접근은 2023년 4월부터 2026년 3월 사이에 발생했고, 영향받은 호스팅 계정은 583건에서 951건으로 늘었으며, 일부 초기 비밀번호는 해시되지 않았다. 이 사이트의 관점: 공유 호스팅에 있는 것은 모두 읽힐 수 있다고 보고, 시크릿·자격 증명·백업을 업체 바깥으로 옮기고, 아직 쓰고 있는 초기 비밀번호는 오늘 바꾼다.
일회용 비밀번호(OTP)란? — TOTP/HOTP/SMS의 차이와 한계
일회용 비밀번호(OTP)는 한 번 쓰면 무효가 되는 짧은 수명의 일회성 코드다. 인증 앱의 TOTP(시간 기반), HOTP(카운터 기반), SMS-OTP가 있다. 고정 비밀번호의 유출·재사용에 강하고 2단계 인증의 '가지고 있는 것'으로 자주 쓰인다. 다만 중간자 피싱(AiTM)에서는 OTP도 가짜 사이트를 거쳐 중계되어 뚫릴 수 있다. 강한 피싱 저항성은 도메인에 묶인 패스키에서 나온다. OTP는 '없는 것보다 훨씬 낫지만 마지막 단계는 아니다'.
2단계 인증(2FA)이란? — 2단계 검증과의 차이와 방식별 강약
2단계 인증(2FA)은 '알고 있는 것(비밀번호)'에 '가지고 있는 것' 또는 '본인 자체'(코드, 키, 생체)라는 다른 범주의 증명을 더해 본인 확인을 강하게 하는 구조다. 2단계 검증(두 번 확인하지만 반드시 다른 범주는 아님)과는 엄밀히 다르다. 강도는 방식으로 결정되며 SMS/이메일 < 인증 앱(TOTP) < 패스키/보안 키(FIDO2) 순이다. 이 사이트의 입장은 먼저 모든 계정에서 어떤 형태로든 2FA를 켜고, 그다음 중요한 계정을 피싱 사이트에 넘길 수 없는 방식으로 옮기는 것이다.