AI 요약
소스넥스트 불법 접속으로 2,251만 9,960건의 회원 정보가 유출됐으며, 그중 암호화되지 않은 상태의 비밀번호가 포함된 사실이 NHK 등에 보도됐다. 회사는 비밀번호를 암호화해 저장했지만, 암호 키에 접근 가능한 시스템이 침해당해 원문을 판독할 수 있는 상태로 유출됐다고 설명했다. 유출 경로는 회원정보 취득 API의 부정 이용이며, 라이선스 관리 시스템 연동 등 비밀번호가 필요한 작업 때문에 API 응답에 비밀번호를 포함시킨 것이 원인으로 지목됐다.
핵심 포인트
- 유출 대상 2,251만 9,960건, API 로그 데이터로 대상 건수 특정
- 비밀번호는 '암호화' 저장이었으나 암호 키 접근 시스템 침해로 판독 가능 상태 유출
- 해시화가 아닌 암호화 방식을 택한 점, API 응답에 비밀번호를 포함한 설계가 논란
- 회사는 전 이용자 비밀번호 리셋 완료, API 부정 접근은 대응 완료 및 재발 방지 확인
향후 전망
- 비밀번호 미보유 방식(패스키 등)으로의 전환 검토 필요성 대두
- 타 서비스와 비밀번호를 재사용한 이용자의 2차 피해(부정 로그인) 주의 요구
출처:hatena (Yahoo!ニュース 전문가 기고)