데이터 유출에 대한 보도가 뉴스 사이클을 장식하지 않고 일주일이 지나가는 것은 거의 전례가 없는 일이 되었습니다. 그러나 이러한 빈번한 발생에도 불구하고 그 영향은 미미한 경우가 많으며, 성공적인 사이버 공격은 너무 보편화되어 있어 불가피한 것으로 치부되기도 합니다. 하지만 2022년에 발생한 LastPass 사건은 가해자들이 비밀번호 저장소 전체에 접근할 수 있는 권한을 얻었고, 이로 인해 이 회사는 보안 조치와 관련하여 점점 더 가능성이 희박해지는 면책 조항을 발표하게 되었습니다.
최근 라스트패스 침해로 인해 사이버 범죄 단체가 3,500만 달러 상당의 암호화폐를 무단으로 취득한 것으로 보입니다.
2022년 라스트패스 데이터 유출 사건은 어떻게 발생했나요?
안전한 온라인 계정 액세스를 유지하여 디지털 자산을 보호하려면 강력한 비밀번호 관리 솔루션이 필수적입니다. 이러한 소프트웨어는 복잡한 비밀번호를 기억하려고 하거나 여러 플랫폼에서 동일한 로그인을 사용하는 대신(고유한 취약성으로 인해 권장되지 않음) 로그인 자격 증명을 자동으로 생성하는 동시에 암호화된 가상 저장소에 안전하게 저장할 수 있는 기능을 제공합니다.
탁월한 비밀번호 관리자를 사용하면 기본 비밀번호를 입력하여 보안 저장소에 액세스할 수 있으므로 프로그램이 위치별 인증 자격 증명을 사용하여 원활하게 로그인할 수 있습니다.
비밀번호 관리자를 사용하면 이메일 계정, 온라인 뱅킹 자격 증명, 로열티 프로그램 세부 정보, 심지어 암호화폐 저장소와 같은 민감한 정보를 안전하게 보호할 수 있다는 확신을 갖게 됩니다.
2022년 8월, 비밀번호를 저장하는 온라인 서비스인 LastPass에서 보안 침해가 발생한 것으로 보고되었습니다. 몇 달 동안 회사가 여러 차례 안전성을 보장했지만, 같은 해 12월에 개인 데이터와 암호화된 비밀번호 보관소와 같은 민감한 정보가 실제로 유출된 것으로 밝혀졌습니다. 이 폭로와 동시에 일부 LastPass 사용자는 로그인 자격 증명의 무단 사용을 신고하기 위해 All Things N에 연락했습니다.
사이버 범죄자가 다운로드를 통해 얻은 비밀번호 데이터베이스를 성공적으로 침해했다는 근거 없는 주장과 인터넷에 널리 퍼진 추측에도 불구하고, 라스트패스는 공격자가 현재 사용 가능한 최고의 컴퓨팅 자원을 보유하고 있더라도 이러한 저장소를 보호하는 마스터 키를 해독하는 데 수백만 년 이상의 시간이 필요하다는 점을 유지함으로써 사용자들에게 확고한 확신을 심어주었습니다.
LastPass의 이전 선언에 비추어 볼 때, 이러한 주장의 진실성에 대한 의구심이 커지고 있으며, 의심스러운 거래 패턴으로 볼 때 LastPass 금고에서 도난당한 정보가 디지털 자산의 불법 취득에 활용되었음을 시사합니다.
범죄자들이 훔친 LastPass 인증 정보를 사용하는 방법
은행 계좌에 액세스하려면 비밀번호 외에 추가 인증 계층이 필요한 것이 일반적입니다. 일반적으로 은행은 로그인 절차의 일부로 지정된 애플리케이션, SMS 확인 프로세스 또는 기타 형태의 다단계 인증을 사용하도록 요구합니다.
암호화폐 지갑은 일반적으로 보안을 위해 12개 이상의 단어로 구성된 니모닉 문구를 사용합니다. 이 문구는 개인 키와 거래 세부 정보를 포함한 암호화폐 자산에 대한 자유로운 접근 권한을 부여합니다. 안타깝게도 이러한 무해해 보이는 문자열은 악의적인 공격자가 추가 정보나 승인 없이 의심하지 않는 사용자로부터 자금을 훔치는 데 사용할 수 있습니다.
하지만 무작위로 나열된 긴 단어는 특히 까다로운 비밀번호만큼이나 기억하기 어려울 수 있으며, 많은 사람이 비밀번호 관리자 저장소에 이러한 단어를 저장합니다. The Verge 의 보도에 따르면 수백만 달러의 암호화폐를 훔친 것으로 보이는 해커들에게는 희소식입니다.
언사이퍼드의 분석 책임자인 닉 백스는 메타마스크의 테일러 모나한과 다른 연구원들이 발굴한 방대한 양의 암호화폐 도난 데이터를 검토하고 있습니다. 2023년 9월, 그는 크렙슨시큐리티 에 범죄자들이 “여러 피해자의 암호화폐를 동일한 블록체인 주소로 이동시켜 피해자들을 강력하게 연결할 수 있게 했다”고 말했습니다.
피해자들을 인터뷰한 결과, 피해자들의 공통된 특징은 암호화 시드 문구를 저장하기 위해 LastPass에 의존한다는 것이 분명해졌습니다.
Bax는 사랑하는 가족과 지인 모두에게 이 사건의 영향을 받을 수 있는 모든 암호화 정보를 즉시 수정하고 계정 자격 증명을 이전할 것을 권장하며, LastPass를 사용하는 사람들에게도 이를 권장합니다.
모든 비밀번호를 즉시 변경하세요
범죄자들이 불법적으로 입수한 암호화 키를 악용하여 손상된 비밀번호 보관소에 저장된 무단 비밀번호 데이터베이스에 액세스할 수 있는 충분한 기회가 있다는 점에 주목할 필요가 있습니다.
사이버 범죄자들이 유동성과 접근성 때문에 송금이 용이한 암호화폐를 우선적으로 확보하는 것은 당연한 일입니다.그러나 이러한 범죄자들은 덜 가치 있는 출처에서 정보를 추출하는 데 급급하지 않기 때문에 이미 LastPass를 통해 비밀번호 데이터베이스에 무단으로 액세스할 수 있었을 수도 있습니다.
이러한 사이버 범죄자들은 이메일 계정, PayPal 지갑 또는 은행 기관을 표적으로 삼지는 않지만, 불법적으로 획득한 자산을 재포장하여 다른 승인되지 않은 제3자 수신자에게 전송할 수 있습니다.
최근의 보안 우려에 비추어 볼 때, 사용자는 이전에 LastPass 계정에 저장한 비밀번호를 계속 사용할 경우 2022년 이전에 즉시 수정할 것을 적극 권장합니다.