![퀘이사존](https://img2.quasarzone.com/editor/2024/07/17/f5f6b7b5502e3f52c223146234a91c76.webp)
이번 달 초, 한 해커가 약 100억 개의 비밀번호가 포함된 데이터베이스를 유포해 화제가 되었습니다. 이 비밀번호들은 이전 데이터 유출 사건에서 유출되거나 도난당한 것들입니다. 그러나 최근 분석에 따르면, 이 아카이브에는 쓸모 있는 정보보다 쓰레기 데이터가 더 많이 포함되어 있습니다.
RockYou2024라는 이름의 이 데이터베이스는 "공격자에게 금광처럼 보일 수" 있지만, 많은 비밀번호가 쓸모없다고 보안 연구원 Ata Hakcil은 WizCase를 위해 150GB 크기의 아카이브를 조사한 후 밝혔습니다.
그 이유 중 하나는 많은 비밀번호가 20자 이상으로 구성되어 있다는 점인데, 이는 대부분의 비밀번호에 흔치 않은 길이입니다. 또한 데이터베이스의 큰 부분은 100자에서 300자 사이의 텍스트 항목으로 구성되어 있습니다.
![퀘이사존](https://img2.quasarzone.com/editor/2024/07/17/b9cd494542ee1b57ffd5c4fe04d654a6.webp)
다른 경우에는 데이터베이스에 "Ifco Tokio General Insurance," "Image Real Estate," "Ideal Credit Solution"과 같은 랜덤한 브랜드 이름과 용어가 포함되어 있습니다. 이는 이 데이터베이스가 도난된 비밀번호가 아니라 인터넷에서 무작위로 가져온 텍스트를 수집했다는 신호입니다.
Hakcil은 또한 데이터베이스를 비밀번호의 일반적인 길이인 6자에서 12자 사이의 텍스트로 필터링하면, 아카이브가 99억 개의 항목에서 59억 개로 크게 줄어든다는 사실을 발견했습니다.
![퀘이사존](https://img2.quasarzone.com/editor/2024/07/17/7bfab4a292dd963bf13e9388f7af5ca4.webp)
다른 비밀번호들은 무작위 문자들로 구성되어 있어, 이는 실제 고객 정보가 포함된 데이터 유출이 아니라 비밀번호 생성기에서 가져온 것임을 시사합니다. "따라서, 대부분의 이 비밀번호들은 실제로 사용되지 않을 가능성이 큽니다." 라고 Hakcil은 작성했으며, "나는 'RockYou2024'가 당신에게 위험을 초래할 것이라 확신하지 않으며, 당황할 필요는 없습니다!"라고 덧붙였습니다.
비밀번호 관리 제공업체인 Specops Software의 보안 연구원들도 같은 결론에 도달했습니다. "이 데이터셋은 워드리스트로서 유용하지 않으며, 잠재적인 표적을 공격하는 데 사용할 수 있는 비밀번호 목록도 아닙니다. 솔직히 말해, 대부분 쓸모없는 데이터이며, 이에 에너지나 노력을 집중할 필요가 없습니다."라고 그들은 자체 분석에서 밝혔습니다.
RockYou2024 아카이브는 84억 개의 유출된 비밀번호를 포함했던 RockYou2021의 업데이트 버전으로 알려졌습니다. 그러나 Specops는 2024 버전의 아카이브가 "저품질 소스"에서 추가된 데이터만 포함하고 있음을 발견했습니다. 예를 들어, 아카이브에는 러시아어로 된 34자 또는 38자의 항목이나 해싱 알고리즘으로 구성된 수백만 개의 항목이 실제 비밀번호가 아닌 상태로 포함되어 있습니다.
"이 데이터셋의 크래킹이나 기타 공격에 대한 워드리스트로서의 가치는 매우 모호하거나 거의 없습니다."라고 Specops는 덧붙였습니다. "이 데이터셋은 주어진 해시를 크랙하려는 시도의 일환으로 사용하기에는 너무 크며, 공격에 성공적으로 사용할 수 있는 저품질 데이터가 너무 많습니다."
보안 연구원 Royce Williams는 데이터베이스를 조사한 결과, 아카이브에 포함된 항목 중 1억 9천만 개만이 새롭고 유용할 수 있다고 추정했습니다. "따라서, 만약 당신이 펜테스터나 다른 '일반적인' 비밀번호 크래커라면, RockYou2024는 그냥 건너뛰어도 됩니다."라고 그는 Mastodon에 작성했습니다.
트위터에서 비밀번호 유출을 카탈로그화하는 전문가인 보안 연구원 Troy Hunt는 수십억 개의 비밀번호를 컴파일했다고 주장하는 아카이브는 의심의 눈초리로 보아야 한다고 덧붙였습니다. "이들은 유출된 비밀번호가 아니라, 다양한 출처에서 수집된 단순한 텍스트 문자열입니다."라고 그는 작성했습니다.
한편, RockYou2024를 컴파일한 해커 "ObamaCare"는 아카이브를 자랑하는 원래 게시물을 삭제한 것으로 보입니다.
※ 퀘이사존 공식 기사가 아닌 해외 뉴스/기사를 번역한 것으로, 퀘이사존 견해와 주관은 포함되어 있지 않습니다. |