Wins blog

글로벌 정보보안 파트너! Global Security  No.1 윈스는 국가대표 정보보안 기업에서 글로벌 강소기업으로 도약합니다.

보안 정보

앞 내용 보기 다음 내용 보기
보안 동향[2020년 9월 14일] 주요 보안 이슈
작성일 2020-09-14 조회 36

1. [기사] 나도 모르는 내 비밀번호가 늘고 있다
[http://www.cctvnews.co.kr/news/articleView.html?idxno=209442]
FIDO 얼라이언스의 설문조사 결과 응답자 중 42%가 복잡한 비밀번호 설정에도 불구하고 온라인 계정이 탈취당한 적이 있다고 답했다. 응답자 중 81%는 자신의 비밀번호가 해킹 불가능할 것으로 생각하고 있었고, 71%는 최소 2~5개 비밀번호를 계정에 따라서 다르게 적용하며, 24%는 2~3개월에 한 번씩 자신의 비밀번호를 변경하고 있는 것으로 조사됐다. 하지만 이러한 노력에도 40% 이상은 온라인 계정 탈취 경험이 있는 것으로 나타났는데, 이유는 바로 계정이 많아짐에 따라 비밀번호를 기억하기 어렵기 때문에 응답자 중 37%가 종이나 파일 등에 비밀번호를 저장해 관리한다고 답했기 때문이다.


2. [기사] 국내 대표 포털 고객센터 위장한 피싱 공격... ‘탈륨’ 소행 추정
[https://www.boannews.com/media/view.asp?idx=91109&page=3&kind=1]
국내 대표 포털사의 고객센터를 사칭해 패스워드를 탈취하려는 피싱 공격이 발견돼 주의가 요구된다. 이스트 시큐리티 시큐리티대응센터(ESRC)에서는 이번 공격의 배후로 특정 정부가 연계된 것으로 알려진 해킹 조직인 '탈륨(Tallium)'을 지목했다. 탈륨은 지난 8월부터 현재까지 다양한 피싱 공격을 전개하였는데, 이들의 주요 공격 대상은 북한 분야를 취재하거나 연구하는 언론 기자, 공무원, 탈북 단체장과 같은 대북 분야 종사자 등이다. 메일 본문에 포함된 링크를 클릭하면 비밀번호를 입력하도록 요구하는 창이 나타나며, 이때 계정 정보를 입력할 경우 공격자에게 전송되는 전형적인 피싱 공격이다. 이스트 시큐리티의 ESRC 센터장 문종현 이사는 "발신자 이메일을 확인하고, 로그인을 유도하는 웹 사이트의 인터넷 URL 주소가 공식 사이트가 맞는지 반드시 살펴봐야 한다."고 말했다.


3. [기사] Razer사에서 게이머들의 개인 정보가 유출됨
[https://www.bleepingcomputer.com/news/security/razer-data-leak-exposes-personal-information-of-gamers/]
게이밍 하드웨어 제조사인 Razer는 그들의 암호화되지 않은 온라인 쇼핑몰의 데이터 유출로 어려움을 겪고 있다. 8월 19일, 보안 연구원인 BoB Diachenko는 Razer의 온라인 쇼핑몰에서 상품을 구매한 약 10만 명의 개인정보가 암호화되지 않은 채로 도출된 것을 발견하였다. Diachenko의 몇 주 동안의 연락을 통해 Razer는 마침내 9월 9일 데이터베이스 서버를 확보했다고 전하며 연구원의 도움에 감사를 표시했다. Razer 온라인 쇼핑몰을 이용한 고객은 다양한 유형의 피싱 메일로부터 주의가 요구되며, 비밀번호를 포함한 개인 정보의 관리가 필요하다.


4. [기사] 크롬 Sandbox Escape 취약점을 발견한 연구원들 20,000 달러 보상
[https://www.securityweek.com/chrome-sandbox-escape-vulnerability-earns-researchers-20000]
Chrome 웹 브라우저에 영향을 미치는 sandbox-escape 취약점을 보고한 연구원이 20,000달러를 보상받았다. CVE-2020-6573으로 추적되는 이 취약점은 Chrome의 "비디오" 구성 요소에 영향을 미치는 심각도 높은 use-after-free 버그로 알려졌다. 구글은 Chrome 85버전 업데이트로 해당 취약점을 해결하였다. Leecraso는 CVE-2020-6573이 Blink Rendering 엔진 또는 V8 JavaScript엔 진 등의 원격 코드 실행 취약점과 함께 결합하여 사용될 수 있다고 말했다.


5. [기사] 대기업 금융 전문가를 겨냥한 피싱 공격
[https://www.scmagazine.com/home/security-news/phishing-attack-targeted-top-financial-pro-at-large-company/]
새로운 자격 증명 피싱 공격을 사용하는 공격자는 Active Directory를 사용하여 피해자의 암호를 확인하고, 미국 대기업의 고위 금융인을 대상으로 하는 Office 365 계정에 액세스한다. Armorblox에 따르면, 피해자 계정 액세스 이후 공격자는 금융 문서, 이메일, 캘린더, 연락처 목록에 접근할 수 있다고 한다. Armorblox의 Prashanth Arun은 "다양한 공격이 미국 남부에 기반을 둔 임원을 공격하도록 맞춤화 되었으며, 공격자는 OTP나 인증 코드를 가로채서 공격을 진행했다"고 말했다. 해당 공격은 "ACH Debit report"라는 제목의 피싱 메일을 통해 시작되었으며, 첨부파일 클릭 시 브라우저는 Office 365 로그인 페이지를 표시하게 되며, 입력된 로그인 정보가 공격자에게 전송되는 형태로 공격이 진행됐다.

첨부파일 첨부파일이 없습니다.
태그 크롬  Razer  피싱  탈륨