Offcanvas

���������������

기고ㅣ급증하는 데이터 침해, ‘비밀번호’라는 기본에 충실할 때

IT 및 보안 팀은 속속 변화하고 있는 보안 위험에 대비하여 가장 기본적인 접근 권한인 비밀번호의 보안을 보강해야 한다.    최근 몇 달 동안 일반 사용자와 기업 계정으로 로그인할 때 2단계 혹은 다중 인증이 증가했음을 느꼈을 것이다. 이러한 인증수단이 이렇게 널리 쓰이기 시작한 이유는 소비자와 기업을 신분 위조, 데이터 침해, 비밀번호 스키밍 및 피싱/랜섬웨어 공격에서 보호하기 위함이다.    미국의 비영리기관인 신원절도자원센터(ITRC, Identity Theft Resource Center)의 통계에 따르면 데이터 침해 사건의 약 92%가 사이버 공격과 관련 있으며, 2022년 1분기에 일어난 데이터 침해 사건은 지난해 같은 기간보다 14% 더 많은 것으로 나타났다.  또한 2022년 1분기 데이터 침해 통지의 절반가량(367건 중 154건)이 유출 원인을 기재하지 않아 가장 큰 공격 벡터는 '알 수 없음(Unknown)'인 것으로 조사됐다. 2021년보다 40% 더 많은 수치다.  그렇다면 CISO는 어떻게 이러한 사이버 보안 공격에 대비할 수 있을까? CISO는 계속 진화하는 위협, 시스템 취약성 및 해커들을 막기 위해 끊임없이 변화하는 환경에 적응하면서 최신 보안 기술을 꿰고 있어야 한다.  2022년의 사이버 공격  2022년은 이미 ‘기업 보안 공격의 해’라고 해도 과언이 아닐 만큼 보안 사건투성이였다. 남미에서 활동하는 랩서스(Lapsus$)라는 유명한 해커 그룹은 여러 사이버 공격을 저질렀으며, 엔디비아, 삼성, T-모바일, 보다폰 등을 상대로 한 공격의 주범으로 확인됐다.  T-모바일 해킹은 2022년 3월 랩서스 그룹의 일원이 피싱이나 다른 형태의 소셜 엔지니어링 기법으로 직원 계정을 침해하여 T-모바일의 네트워크를 해킹한 사건이었다. 일단 T-모바일의 고객 계정 데이터베이스에 접근하자마자 해커들은 미국 국방부 및 FBI와 연결된 T-모바일 계정...

비밀번호 2FA 이중인증 다중인증 데이터침해

2022.06.13

IT 및 보안 팀은 속속 변화하고 있는 보안 위험에 대비하여 가장 기본적인 접근 권한인 비밀번호의 보안을 보강해야 한다.    최근 몇 달 동안 일반 사용자와 기업 계정으로 로그인할 때 2단계 혹은 다중 인증이 증가했음을 느꼈을 것이다. 이러한 인증수단이 이렇게 널리 쓰이기 시작한 이유는 소비자와 기업을 신분 위조, 데이터 침해, 비밀번호 스키밍 및 피싱/랜섬웨어 공격에서 보호하기 위함이다.    미국의 비영리기관인 신원절도자원센터(ITRC, Identity Theft Resource Center)의 통계에 따르면 데이터 침해 사건의 약 92%가 사이버 공격과 관련 있으며, 2022년 1분기에 일어난 데이터 침해 사건은 지난해 같은 기간보다 14% 더 많은 것으로 나타났다.  또한 2022년 1분기 데이터 침해 통지의 절반가량(367건 중 154건)이 유출 원인을 기재하지 않아 가장 큰 공격 벡터는 '알 수 없음(Unknown)'인 것으로 조사됐다. 2021년보다 40% 더 많은 수치다.  그렇다면 CISO는 어떻게 이러한 사이버 보안 공격에 대비할 수 있을까? CISO는 계속 진화하는 위협, 시스템 취약성 및 해커들을 막기 위해 끊임없이 변화하는 환경에 적응하면서 최신 보안 기술을 꿰고 있어야 한다.  2022년의 사이버 공격  2022년은 이미 ‘기업 보안 공격의 해’라고 해도 과언이 아닐 만큼 보안 사건투성이였다. 남미에서 활동하는 랩서스(Lapsus$)라는 유명한 해커 그룹은 여러 사이버 공격을 저질렀으며, 엔디비아, 삼성, T-모바일, 보다폰 등을 상대로 한 공격의 주범으로 확인됐다.  T-모바일 해킹은 2022년 3월 랩서스 그룹의 일원이 피싱이나 다른 형태의 소셜 엔지니어링 기법으로 직원 계정을 침해하여 T-모바일의 네트워크를 해킹한 사건이었다. 일단 T-모바일의 고객 계정 데이터베이스에 접근하자마자 해커들은 미국 국방부 및 FBI와 연결된 T-모바일 계정...

2022.06.13

'비용 줄이려면?' 데이터 침해를 대비하는 10가지 수칙

데이터 침해 양상이 갈수록 심각해지고 있고, 그에 따른 비용도 증가하고 있다는 보고서가 발간됐다.  사이버시큐리티 벤처스(Cybersecurity Ventures)가 발간한 ‘최고 임원의 사이버 전쟁(Cyber wafare in the C-Suite)’ 보고서에 따르면 2021년의 사이버 범죄에 따른 비용은 세계적으로 6조 달러에 이를 전망이다. 그러나 세계 사이버 범죄 비용이 계속 증가할 것이라는 예상이 이보다 더 걱정스럽다. 향후 5년 동안 연간 15%의 비용 증가가 예상되고, 2025년에는 비용이 10조 5,000억 달러에 이를 것이다. 2015년의 3조 달러에 비해 증가한 수치다. 이 비용은 전 세계 수 천 명의 피해자가 부담하지만, 성공적인 해킹에 타격을 받은 개별 조직은 심각하고 복잡한 손실 가능성에 직면할 것이다. 컨설팅 업체인 인포시스의 장기적인 데이터 침해 비용에 관한 보고서에 따르면 65%의 소비자가 데이터 침해 사건 시 기업에 대한 신뢰를 잃고, 85%는 이들과 더 이상 거래하고 싶지 않다고 응답했다.  비용 증가의 주 원인은 현실을 외면하는 접근법이다. IT 거버넌스 단체인 ISACA의 2021년 보고서에서는 응답에 참여한 불과 32%의 조직만이 공격에 대비가 되어 있다고 느끼는 것으로 나타났다.  그러나 준비는 그만한 가치가 있다. 전문가들에 따르면 사건에 앞서 엄격한 조치를 취하는 CISO는 더 능숙하게 공격을 방어하고 대응할 수 있을 뿐 아니라 연관 비용을 최소화할 수 있다.  CISO가 향후 일어날 수 있는 보안 침해 사건 관련 비용을 줄이는 데 도움이 될 10가지 방법을 소개한다.    1. 기업 환경의 복잡성을 이해하고, 기업에게 돈이 되는 것이 무엇인지 파악하라  복잡한 IT 시스템은 조직의 사업 방식과 확장의 원동력이다. 그러나 동시에 공격에 대한 방어, 그리고 성공적 공격 시의 복구를 어렵게 하는 원인이기도 하다. 베테랑 CISO인 앤드리어스 우츠너는 ...

데이터침해

2021.06.11

데이터 침해 양상이 갈수록 심각해지고 있고, 그에 따른 비용도 증가하고 있다는 보고서가 발간됐다.  사이버시큐리티 벤처스(Cybersecurity Ventures)가 발간한 ‘최고 임원의 사이버 전쟁(Cyber wafare in the C-Suite)’ 보고서에 따르면 2021년의 사이버 범죄에 따른 비용은 세계적으로 6조 달러에 이를 전망이다. 그러나 세계 사이버 범죄 비용이 계속 증가할 것이라는 예상이 이보다 더 걱정스럽다. 향후 5년 동안 연간 15%의 비용 증가가 예상되고, 2025년에는 비용이 10조 5,000억 달러에 이를 것이다. 2015년의 3조 달러에 비해 증가한 수치다. 이 비용은 전 세계 수 천 명의 피해자가 부담하지만, 성공적인 해킹에 타격을 받은 개별 조직은 심각하고 복잡한 손실 가능성에 직면할 것이다. 컨설팅 업체인 인포시스의 장기적인 데이터 침해 비용에 관한 보고서에 따르면 65%의 소비자가 데이터 침해 사건 시 기업에 대한 신뢰를 잃고, 85%는 이들과 더 이상 거래하고 싶지 않다고 응답했다.  비용 증가의 주 원인은 현실을 외면하는 접근법이다. IT 거버넌스 단체인 ISACA의 2021년 보고서에서는 응답에 참여한 불과 32%의 조직만이 공격에 대비가 되어 있다고 느끼는 것으로 나타났다.  그러나 준비는 그만한 가치가 있다. 전문가들에 따르면 사건에 앞서 엄격한 조치를 취하는 CISO는 더 능숙하게 공격을 방어하고 대응할 수 있을 뿐 아니라 연관 비용을 최소화할 수 있다.  CISO가 향후 일어날 수 있는 보안 침해 사건 관련 비용을 줄이는 데 도움이 될 10가지 방법을 소개한다.    1. 기업 환경의 복잡성을 이해하고, 기업에게 돈이 되는 것이 무엇인지 파악하라  복잡한 IT 시스템은 조직의 사업 방식과 확장의 원동력이다. 그러나 동시에 공격에 대한 방어, 그리고 성공적 공격 시의 복구를 어렵게 하는 원인이기도 하다. 베테랑 CISO인 앤드리어스 우츠너는 ...

2021.06.11

'데이터 침해 피해 최소화' 체크리스트

데이터 침해에 대응하는 방법과 이로 인한 피해의 규모는 준비 상태에 따라 달라진다. 이번 기사에서는 피해 최소화를 위한 대응 체크리스트를 정리했다.    일단 침해가 발생하면 피해 기업은 공격자가 접근한 항목과 데이터에 접근한 방법을 알아내야 한다. 이 정보는 사용자의 데이터가 침해됐음을 사용자에게 알리고, 다음 공격으로부터 자사를 보호하는 방법을 배우는 데 도움이 된다.   먼저 조사에 필요한 자원과 준비가 마련되어 있는지 확인한다. 공격자가 네트워크에 어떻게 진입했는지 알아내는 프로세스는 종종 증거와 타임라인 분석을 기반으로 한다. 증거를 잘 처리하는 프로세스나 방법론은 침입이 발생하기 전에 계획을 세우는 것이 중요하다.  미 법무부의 사이버보안 부서에는 미리 계획을 세우는 데 도움을 줄 수 있는 몇 가지 리소스가 있다. 이 작업 체크리스트를 통해 데이터 침해에 좀 더 쉽게 대응하거나 피해를 최소화할 수 있다.  커뮤니케이션 계획 수립하기  기업에 대한 잠재적인 위협과 위험에 대해 경영진과 커뮤니케이션할 계획을 세우고 위협에 대해 대응하기 위한 계획과 도구를 마련한다. 경영진과는 정기적으로 만나 위험과 반응에 대해 논의한다. 기업의 주요 자산을 식별하고 이런 주요 자산을 보호하기 위한 프로세스를 파악한다.  다음으로, 침해가 발생할 경우 따라야 할 조치 계획을 세운다. 회사 이메일이 침해의 영향을 받거나 해킹 당할 수 있으므로, 회사 이메일 또는 인프라의 일부가 아닌 백업 전화번호 및 이메일 주소로 대체 통신 수단을 확보한다.  사전에 현지 법 집행 기관과의 연락 창구를 확보한다. 이 작업은 회사 규모에 따라 쉽게 수행할 수 있거나 사이버 보험 업체에게 지침을 받아야 할 수도 있다.  접근 및 보안 로그 파일의 외부 백업 유지하기  공격자가 네트워크에 대한 접근 권한을 얻는 방법 중에는 로그 파일을 파헤쳐 찾는 방법도 있다. 따라서 빠르게 덮어쓰는 경향이...

데이터침해 데이터유출

2021.05.17

데이터 침해에 대응하는 방법과 이로 인한 피해의 규모는 준비 상태에 따라 달라진다. 이번 기사에서는 피해 최소화를 위한 대응 체크리스트를 정리했다.    일단 침해가 발생하면 피해 기업은 공격자가 접근한 항목과 데이터에 접근한 방법을 알아내야 한다. 이 정보는 사용자의 데이터가 침해됐음을 사용자에게 알리고, 다음 공격으로부터 자사를 보호하는 방법을 배우는 데 도움이 된다.   먼저 조사에 필요한 자원과 준비가 마련되어 있는지 확인한다. 공격자가 네트워크에 어떻게 진입했는지 알아내는 프로세스는 종종 증거와 타임라인 분석을 기반으로 한다. 증거를 잘 처리하는 프로세스나 방법론은 침입이 발생하기 전에 계획을 세우는 것이 중요하다.  미 법무부의 사이버보안 부서에는 미리 계획을 세우는 데 도움을 줄 수 있는 몇 가지 리소스가 있다. 이 작업 체크리스트를 통해 데이터 침해에 좀 더 쉽게 대응하거나 피해를 최소화할 수 있다.  커뮤니케이션 계획 수립하기  기업에 대한 잠재적인 위협과 위험에 대해 경영진과 커뮤니케이션할 계획을 세우고 위협에 대해 대응하기 위한 계획과 도구를 마련한다. 경영진과는 정기적으로 만나 위험과 반응에 대해 논의한다. 기업의 주요 자산을 식별하고 이런 주요 자산을 보호하기 위한 프로세스를 파악한다.  다음으로, 침해가 발생할 경우 따라야 할 조치 계획을 세운다. 회사 이메일이 침해의 영향을 받거나 해킹 당할 수 있으므로, 회사 이메일 또는 인프라의 일부가 아닌 백업 전화번호 및 이메일 주소로 대체 통신 수단을 확보한다.  사전에 현지 법 집행 기관과의 연락 창구를 확보한다. 이 작업은 회사 규모에 따라 쉽게 수행할 수 있거나 사이버 보험 업체에게 지침을 받아야 할 수도 있다.  접근 및 보안 로그 파일의 외부 백업 유지하기  공격자가 네트워크에 대한 접근 권한을 얻는 방법 중에는 로그 파일을 파헤쳐 찾는 방법도 있다. 따라서 빠르게 덮어쓰는 경향이...

2021.05.17

메리어트 데이터 침해 사건 FAQ, 사건의 전말과 영향

메리어트 데이터 침해 사건에 대해서는 많은 세부 정보가 공개되지는 않았다. 하지만, 이 사이버 공격 사건은 IT 보안, 인수합병, 중국 스파이 활동에 대한 충분한 경각심을 불어일으킨다.    2018년 말, 메리어트 호텔 체인은 예약 시스템 가운데 하나가 해킹당했다고 발표했는데, 공격자에 의해 신용카드와 여권번호 등을 포함한 수억 건의 고객 기록이 유출됐다는 내용이었다.  메리어트는 해킹의 전체 상황이나 기술적 세부 사항을 공개하지 않았지만, 현재 아는 것만으로도 당시 위협 상황에 대해 많은 정보를 제공하며 다른 기업들에게 자사를 보호하는 방법에 대한 교훈을 제공한다. 메리어트 데이터 침해 사건과 관련해 자주 묻는 10가지 질문으로 정리했다.  메리어트 데이터 침해 사건은 언제 일어났는가?  2018년 9월 8일 웨스틴(Westin), 쉐라톤(Sheraton), 세인트 레지스(St. Regis) 및 W 호텔을 포함한 메리어트 스타우드(Marriott's Starwood)의 내부 손님 예약 데이터베이스에 액세스하려고 시도하는 수상한 내부 보안 도구를 포착했다.  메리어트는 내부 조사 결과, 스타우드가 현재 스타우드 네트워크가 아닌 별개의 회사였던 2014년에 해킹 당한 것이라고 발표했다. 메리어트는 2016년에 스타우드를 인수했지만 거의 2년이 지날 때까지도 스타우드 호텔은 메리어트의 예약 시스템으로 마이그레이션하지 않았고 이전 IT 인프라를 계속 사용하고 있었다(이 조사 결과에 대해 메리어트는 자세한 사항을 공개하지 않았다. 이에 대해서는 나중에 자세히 살펴볼 중요한 요소다).  메리어트가 밝힌 바에 따르면, 공격자들이 스타우드 시스템을 제거하기 위해 암호화를 시도했다는 데이터를 발견했다. 2018년 11월 메리어트는 이 데이터를 해독할 수 있었는데, 최대 5억 명의 손님 기록 정보가 포함되어 있다는 사실을 발견했다(물론 개별 손님에 관한 중복 기록이나 복수의 기록을 포함하고 있다). 많...

데이터침해 메리어트

2020.02.20

메리어트 데이터 침해 사건에 대해서는 많은 세부 정보가 공개되지는 않았다. 하지만, 이 사이버 공격 사건은 IT 보안, 인수합병, 중국 스파이 활동에 대한 충분한 경각심을 불어일으킨다.    2018년 말, 메리어트 호텔 체인은 예약 시스템 가운데 하나가 해킹당했다고 발표했는데, 공격자에 의해 신용카드와 여권번호 등을 포함한 수억 건의 고객 기록이 유출됐다는 내용이었다.  메리어트는 해킹의 전체 상황이나 기술적 세부 사항을 공개하지 않았지만, 현재 아는 것만으로도 당시 위협 상황에 대해 많은 정보를 제공하며 다른 기업들에게 자사를 보호하는 방법에 대한 교훈을 제공한다. 메리어트 데이터 침해 사건과 관련해 자주 묻는 10가지 질문으로 정리했다.  메리어트 데이터 침해 사건은 언제 일어났는가?  2018년 9월 8일 웨스틴(Westin), 쉐라톤(Sheraton), 세인트 레지스(St. Regis) 및 W 호텔을 포함한 메리어트 스타우드(Marriott's Starwood)의 내부 손님 예약 데이터베이스에 액세스하려고 시도하는 수상한 내부 보안 도구를 포착했다.  메리어트는 내부 조사 결과, 스타우드가 현재 스타우드 네트워크가 아닌 별개의 회사였던 2014년에 해킹 당한 것이라고 발표했다. 메리어트는 2016년에 스타우드를 인수했지만 거의 2년이 지날 때까지도 스타우드 호텔은 메리어트의 예약 시스템으로 마이그레이션하지 않았고 이전 IT 인프라를 계속 사용하고 있었다(이 조사 결과에 대해 메리어트는 자세한 사항을 공개하지 않았다. 이에 대해서는 나중에 자세히 살펴볼 중요한 요소다).  메리어트가 밝힌 바에 따르면, 공격자들이 스타우드 시스템을 제거하기 위해 암호화를 시도했다는 데이터를 발견했다. 2018년 11월 메리어트는 이 데이터를 해독할 수 있었는데, 최대 5억 명의 손님 기록 정보가 포함되어 있다는 사실을 발견했다(물론 개별 손님에 관한 중복 기록이나 복수의 기록을 포함하고 있다). 많...

2020.02.20

벌금 순위권··· 2018년 데이터 침해 사고들

취약한 보안, 회피할 수 있었던 실수에 의한 해킹, 데이터 절도 사건 등으로 인해 8개 기업에서 약 2억 8,000만 달러(약 3,200억 원)의 비용이 소모됐다. 2018년은 이미 데이터 유출로 인해 상당한 벌금과 피해자가 발생한 것으로 나타났다. 우버의 2016년 사고에 대한 부실한 처리로 인해 1억 5,000만 달러에 육박한다. 엄격한 규제 하에 있는 보건 자료는 의료 시설 비용이 많이 들기 때문에 제대로 보호되지 않아 미국 보건복지부는 점점 더 많은 벌금을 부과한다. 현재 EU의 GDPR(General Data Protection Regulation)이 발효됨에 따라 더 많은 벌금이 부과될 수 있다. EU의 데이터 규제기관은 2,000만 유로(약 260억 원) 이상의 벌금을 부과할 수 있다. 다수의 유명 기업은 이미 새로운 규정이 발효된 이래로 대규모 위반 사고를 겪었다. 이는 2019년에 실패 비용이 급증할 수 있음을 의미한다. editor@itworld.co.kr   

페이스북 야후 데이터침해 우버 엔썸

2018.11.05

취약한 보안, 회피할 수 있었던 실수에 의한 해킹, 데이터 절도 사건 등으로 인해 8개 기업에서 약 2억 8,000만 달러(약 3,200억 원)의 비용이 소모됐다. 2018년은 이미 데이터 유출로 인해 상당한 벌금과 피해자가 발생한 것으로 나타났다. 우버의 2016년 사고에 대한 부실한 처리로 인해 1억 5,000만 달러에 육박한다. 엄격한 규제 하에 있는 보건 자료는 의료 시설 비용이 많이 들기 때문에 제대로 보호되지 않아 미국 보건복지부는 점점 더 많은 벌금을 부과한다. 현재 EU의 GDPR(General Data Protection Regulation)이 발효됨에 따라 더 많은 벌금이 부과될 수 있다. EU의 데이터 규제기관은 2,000만 유로(약 260억 원) 이상의 벌금을 부과할 수 있다. 다수의 유명 기업은 이미 새로운 규정이 발효된 이래로 대규모 위반 사고를 겪었다. 이는 2019년에 실패 비용이 급증할 수 있음을 의미한다. editor@itworld.co.kr   

2018.11.05

칼럼 | '신디케이션'이 되고 있는 데이터 침해 사고

데이터 침해 사고는 '죽음'과 '세금'처럼 일상에서 피할 수 없는 '현실'이 됐다. 게다가 점점 더 커지고, 흉악해지고 있다. 매일 발생하는 수 많은 데이터 침해 사건이 이를 입증해 준다.  Credit: Victorgrigas, CC BY-SA 3.0, via Wikimedia Commons 필자는 매일 데이터 침해에 대한 기사와 보고서를 읽는다. 그리고 데이터 침해에 대한 주제가 발전하고 있음을 깨닫는다. 확연히 드러난 주제 3가지는 '도난 당한 기기', '나쁜 비밀번호', 그리고 '패칭(patching)'이다. 사이버범죄자들이 자동차 트렁크에 놓아둔 노트북 컴퓨터를 훔쳐갔다. 노트북 컴퓨터 도난 사고가 관여된 데이터 침해 사고 소식을 접할 때마다 헛웃음이 나오게 만드는, 그리고 자주 접하는 '표현'이 하나 있다. "비밀번호로 노트북 컴퓨터를 보호하고 있으니 문제 없어!"라는 말이다. 이는 돌진하는 트레일러를 얇은 철망으로 막을 수 있다고 생각하는 것과 같다. 아주 간단히 비밀번호로 보호된 노트북 컴퓨터에는 금방 접근할 수 있다. 이를 위한 도구도 정말 많다. 상당히 괜찮으면서 무료인 도구도 있다. 다음 침해 소스는 나쁜(취약한) 비밀번호다. 이는 아주 흔한 문제다. 시스템에 원격 접근할 수 있는 크리덴셜이 '사용자명: $company, 비밀번호: $company'인데, 사이버범죄자가 시스템에 침입하기 위해 굳이 제로데이 공격을 준비할 필요가 있을까? 이와 관련된 사용자 인식 측면의 문제가 있다. 공격자들은 표적에 피싱 공격을 이용한다. 사람들의 호기심이라는 기본 욕구를 자극, 링크를 클릭하도록 만드는 것이다. 우리는 사용자에게 설득력 높은 방법으로 위험에 관해 교육하는데 더 많은 노력을 기울여야 한다. 3번째로 많이, 그리고 지속적으로 발생하는 문제는 바로 패칭이다. 누구나 ...

CSO CISO 비밀번호 도난 데이터침해 패칭

2016.09.22

데이터 침해 사고는 '죽음'과 '세금'처럼 일상에서 피할 수 없는 '현실'이 됐다. 게다가 점점 더 커지고, 흉악해지고 있다. 매일 발생하는 수 많은 데이터 침해 사건이 이를 입증해 준다.  Credit: Victorgrigas, CC BY-SA 3.0, via Wikimedia Commons 필자는 매일 데이터 침해에 대한 기사와 보고서를 읽는다. 그리고 데이터 침해에 대한 주제가 발전하고 있음을 깨닫는다. 확연히 드러난 주제 3가지는 '도난 당한 기기', '나쁜 비밀번호', 그리고 '패칭(patching)'이다. 사이버범죄자들이 자동차 트렁크에 놓아둔 노트북 컴퓨터를 훔쳐갔다. 노트북 컴퓨터 도난 사고가 관여된 데이터 침해 사고 소식을 접할 때마다 헛웃음이 나오게 만드는, 그리고 자주 접하는 '표현'이 하나 있다. "비밀번호로 노트북 컴퓨터를 보호하고 있으니 문제 없어!"라는 말이다. 이는 돌진하는 트레일러를 얇은 철망으로 막을 수 있다고 생각하는 것과 같다. 아주 간단히 비밀번호로 보호된 노트북 컴퓨터에는 금방 접근할 수 있다. 이를 위한 도구도 정말 많다. 상당히 괜찮으면서 무료인 도구도 있다. 다음 침해 소스는 나쁜(취약한) 비밀번호다. 이는 아주 흔한 문제다. 시스템에 원격 접근할 수 있는 크리덴셜이 '사용자명: $company, 비밀번호: $company'인데, 사이버범죄자가 시스템에 침입하기 위해 굳이 제로데이 공격을 준비할 필요가 있을까? 이와 관련된 사용자 인식 측면의 문제가 있다. 공격자들은 표적에 피싱 공격을 이용한다. 사람들의 호기심이라는 기본 욕구를 자극, 링크를 클릭하도록 만드는 것이다. 우리는 사용자에게 설득력 높은 방법으로 위험에 관해 교육하는데 더 많은 노력을 기울여야 한다. 3번째로 많이, 그리고 지속적으로 발생하는 문제는 바로 패칭이다. 누구나 ...

2016.09.22

"2011년 사이버 공격, 대부분 피할 수 있었다" 버라이즌

지난 주 발표된 버라이즌의 연례 데이터 침해 보고서에 따르면, 2011년 발생한 데이터 침해 사고의 90% 이상에서 해커들은 비교적 단순한 방법을 사용한 것으로 나타났다.   또 80%에 이르는 공격에서 해커들은 자신들이 일부러 찾아냈다기 보다는 우연히 희생자를 공격하게 된 것으로 나타났다.    이는 기업들이 정교한 보안 통제에 점점 더 많은 비용을 투여하고 있지만, 여전히 기본적인 보안의 준수사항을 간과하고 있다는 것을 보여준다.   버라이즌의 보고서는 850건 이상의 데이터 침해 사고에 대한 조사를 기반으로 이런 결론을 내렸는데, 이 보고서에는 미 비밀경호국과 영국, 네덜란드, 아일랜드, 호주의 사법기관이 참여했다.   데이터 침해 피해기업과 보안 전문업체는 일반적으로 사업 공격을 매우 정교하고 노련한 해커들이 집단적으로 참여하는 것으로 설명하는 경향이 있다. 하지만 버라이즌의 보고서는 현실은 이와는 판이하게 다르다는 점을 보여준다.   대부분의 데이터 침해에서 해커는 특별한 기술이나 자원, 많은 맞춤형 작업이 필요하지 않았다. 실제로 버라이즌은 96%의 공격이 해커에게는 “매우 어렵지는 않았다”고 밝혔다. 보고서는 “여기에 더해 97%는 해당 기관이 까다롭고 값비싼 대응책을 이용하지도 않고도 회피할 수 있는 것이었다”고 덧붙였다.    버라이즌의 보안 애널리스트 마크 스피틀러는 때에 따라 피해를 입은 기업들은 파이어월이 없기도 했고, 포트를 인터넷에 열어놓거나 장비의 기본 패스워드나 쉽게 추측할 수 있는 패스워드를 사용했다고 밝혔다.    상황이 이렇다 보니 2011년에 해커들은 대부분의 경우 새로운 해킹 툴이 필요하지 않았다는 것. 스피틀러는 “새로운 사례는 보지 못했다. 오래 된 수법들이 여전히 잘 먹혀 들고 ...

보안 해킹 해커 사이버공격 데이터침해

2012.04.03

지난 주 발표된 버라이즌의 연례 데이터 침해 보고서에 따르면, 2011년 발생한 데이터 침해 사고의 90% 이상에서 해커들은 비교적 단순한 방법을 사용한 것으로 나타났다.   또 80%에 이르는 공격에서 해커들은 자신들이 일부러 찾아냈다기 보다는 우연히 희생자를 공격하게 된 것으로 나타났다.    이는 기업들이 정교한 보안 통제에 점점 더 많은 비용을 투여하고 있지만, 여전히 기본적인 보안의 준수사항을 간과하고 있다는 것을 보여준다.   버라이즌의 보고서는 850건 이상의 데이터 침해 사고에 대한 조사를 기반으로 이런 결론을 내렸는데, 이 보고서에는 미 비밀경호국과 영국, 네덜란드, 아일랜드, 호주의 사법기관이 참여했다.   데이터 침해 피해기업과 보안 전문업체는 일반적으로 사업 공격을 매우 정교하고 노련한 해커들이 집단적으로 참여하는 것으로 설명하는 경향이 있다. 하지만 버라이즌의 보고서는 현실은 이와는 판이하게 다르다는 점을 보여준다.   대부분의 데이터 침해에서 해커는 특별한 기술이나 자원, 많은 맞춤형 작업이 필요하지 않았다. 실제로 버라이즌은 96%의 공격이 해커에게는 “매우 어렵지는 않았다”고 밝혔다. 보고서는 “여기에 더해 97%는 해당 기관이 까다롭고 값비싼 대응책을 이용하지도 않고도 회피할 수 있는 것이었다”고 덧붙였다.    버라이즌의 보안 애널리스트 마크 스피틀러는 때에 따라 피해를 입은 기업들은 파이어월이 없기도 했고, 포트를 인터넷에 열어놓거나 장비의 기본 패스워드나 쉽게 추측할 수 있는 패스워드를 사용했다고 밝혔다.    상황이 이렇다 보니 2011년에 해커들은 대부분의 경우 새로운 해킹 툴이 필요하지 않았다는 것. 스피틀러는 “새로운 사례는 보지 못했다. 오래 된 수법들이 여전히 잘 먹혀 들고 ...

2012.04.03

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.4.0.6