일본우정 '유ID' 무단 로그인, 타사 유출 비밀번호를 쓴 리스트 공격 가능성…2단계 인증 필수화

무슨 일이 있었나

일본우정은 10월 19일, 유ID 249개 계정의 개인정보가 유출됐을 가능성이 있다고 밝혔습니다. 공격자는 다른 회사에서 새어 나온 ID와 비밀번호 목록을 이용했습니다. 유ID 회원인 척하며 '유유포인트' 공식 사이트에 로그인했습니다. 일본우정은 10월 16일 이 사이트를 멈췄습니다. 10월 20일부터는 유ID에 로그인할 때 2단계 인증이 꼭 필요합니다.

핵심 숫자와 사실

• 영향을 받은 계정은 249개입니다.
• 본 수 있었던 정보는 이름, 주소, 생년월일, 성별, 전화번호, 이메일 주소입니다.
• 한 계정에서는 저장된 주소 정보 83건이 빠져나갔을 수 있습니다.
• 수상한 접속은 10월 15일에 발견됐습니다.
• 일본우정은 자사 시스템에서 유출이 있었다는 것은 아직 확인하지 않았습니다.

배경 설명

많은 사람이 여러 사이트에서 같은 ID와 비밀번호를 씁니다. 한 사이트에서 이것이 새어 나가면, 공격자는 같은 조합을 다른 사이트에서 시도할 수 있습니다. 이런 공격을 '리스트 공격'이라고 합니다. 2단계 인증은 비밀번호 외에 휴대폰으로 받는 코드 같은 두 번째 확인 수단을 요구합니다.

왜 중요한가

큰 서비스라도 비밀번호를 여러 곳에서 재사용하면 위험하다는 것을 보여 줍니다. 이용자는 비밀번호를 바꾸고, 패스키(직접 입력하는 비밀번호 없이 로그인하는 방법)를 설정하고, 2단계 인증을 켜야 합니다. 일본우정은 영향을 받은 이용자에게 전화로 연락하고 비밀번호 재설정을 요청할 계획입니다.

앞으로 지켜볼 점

• 일본우정이 영향받은 계정을 더 찾아내는지 여부
• 유유포인트 사이트가 언제 다시 열리는지
• 얼마나 많은 이용자가 패스키나 2단계 인증으로 옮기는지
• 9월 29일 발표된 우편국 앱 침해와 이번 공격이 관련 있는지