중요 정보 평문 전송
비밀번호, 인증 토큰, 개인정보 등 민감한 정보를 암호화하지 않은 상태로 전송하는 취약점입니다. 대표적으로 HTTP, FTP, Telnet 등 암호화되지 않은 통신 프로토콜을 사용하는 경우에 발생할 수 있습니다.
암호화되지 않은 통신을 사용하는 경우 네트워크를 관찰할 수 있는 공격자가 전송 내용을 그대로 확인할 수 있습니다. 따라서 계정 정보나 세션 토큰이 노출되면 사용자 계정을 탈취할 수도 있기 때문에 개인정보나 업무상 중요 데이터가 유출되는 원인이 될 수 있습니다.
기본적으로 민감한 데이터는 TLS를 사용하는 HTTPS 등의 암호화된 채널을 통해 전송하고 비밀번호나 인증 토큰을 URL이나 로그에 포함하지 않는 것도 중요합니다. 서버뿐 아니라 클라이언트에서도 인증서 검증이 정상적으로 수행되어야 합니다. 암호화된 전송을 적용하더라도 불필요한 민감 정보 자체를 전송하지 않는 것이 가장 안전합니다.
대표 사례는 다음과 같습니다. 2010년 공개된 Firesheep이라는 도구는 공용 Wi-Fi에서 암호화 없이 전송되는 Facebook, Twitter의 로그인 쿠키를 가로채 클릭 한 번으로 계정을 탈취할 수 있음을 보여주었습니다. 또한 2024년 중국 연계 해킹 조직(Salt Typhoon)이 AT&T, Verizon 등 미국 통신사망에 침입해 암호화되지 않은 통화와 문자를 가로채자, 미국 FBI와 CISA는 암호화된 메신저를 쓰라고 권고했습니다.

