취약한 비밀번호
비밀번호는 시스템에 접근할 수 있는 자격을 확인하는 가장 기본적인 수단입니다. 사용자가 편의를 위해 짧고 단순하거나 흔히 쓰이는 비밀번호를 사용하면 공격자가 해당 비밀번호를 쉽게 추측하거나 무작위 대입 공격으로 뚫을 수 있습니다.
비밀번호를 알아낸 공격자는 계정을 탈취하여 추가적인 사용자의 개인 정보를 알아내거나 시스템 권한을 획득할 수 있습니다. 따라서 소프트웨어 프로그램에서는 충분히 길고 복잡한 비밀번호를 사용하도록 요구하고 2FA(Two-Factor Authentication)와 같은 다중 인증을 함께 적용하는 것이 좋습니다. 또한 반복적인 로그인 실패 시 계정을 잠그는 정책도 도움이 됩니다.
대표 사례는 다음과 같습니다. 2016년 Mirai Botnet은 공장 초기 비밀번호를 그대로 쓰는 IP 카메라, 공유기 등 IoT 기기를 대량으로 감염시켜 대규모 DDoS 공격에 이용했습니다. 또한 2024년 다중 인증(MFA)을 적용하지 않은 Snowflake 고객 계정이 유출된 비밀번호로 뚫려, AT&T, Ticketmaster 등 약 165개 기업의 데이터가 탈취되었습니다.

