목차
이메일 해킹 확인 웹 사이트 HIBP(Have I Been Pwned)
웹 서핑을 하던 도중 흥미로운 정보를 발견하였다. 이메일 정보가 해킹되어 유출되었는지 알려주는 웹 사이트가 존재한다는 것인데, 그 이름은 HIBP(Have I Been Pwned)이다.
HIBP(Have I Been Pwned)
HIBP는 호주의 보안 전문가이자 마이크로소프트 지역 책임자인 Troy Hunt가 2013년 12월에 시작한 프로젝트이다. 누구나 한 번쯤은 들어보았을 글로벌 소프트웨어 업체 어도비의 개인정보 유출 건을 계기로 시작된 프로젝트라고 한다.
HIBP는 유출된 개인정보가 공개되었을 때 이를 지속적으로 수집하고 데이터베이스에 저장해놓는다. 그렇기 때문에 사용자는 언제든지 웹 사이트에 방문하여 자신의 이메일 주소가 유출되었는지 확인해보거나 사전에 알림을 신청해 놓았다면 개인정보가 유출 되었을 때 알림을 받아볼 수 있다.
개인정보 유출 확인 방법
위 링크를 클릭하여 Have I Been Pwned 웹 사이트에 접속하면 이메일 주소(email address)를 입력하는 창이 나오는데, 이곳에 해킹 여부를 확인하고 싶은 이메일 주소를 입력하고 ‘pwned?’를 클릭하면 된다.
실제로 내가 가장 많이 사용하는 이메일 주소를 입력하여 검색하였을 때 결과 값이다. 초록색과 함께 ‘Good news – no pwnage found!’라고 나타나면 최소한 HIBP에 저장된 데이터에서는 해킹 여부가 발견되지 않았다는 뜻이다.
아무래도 정보보안 컨설턴트로 활동을 하다보니 보안 분야에 대해서 아는 것이 많고 나름대로 신경을 쓰기 때문에 좋은 결과가 나온 듯 하다.
위 사진은 내가 생각했을 때 취약한 이메일을 임의로 입력했을 때의 결과 값이다. 이메일 주소의 유출이 확인된 경우 ‘On no – pwned!’라는 문구와 함께 의도되지 않은 노출(breach)이 몇건인지, 현재 공개된 웹 사이트에 붙여넣기(paste) 된 것은 몇건인지를 알려준다.
하단으로 스크롤을 내려보면 이메일 주소가 어떤 경로를 통해서 침해 당했는지 꽤나 상세하게 기재되어 있다. 앞서 언급한 2013년 10월에 있었던 어도비 대형 해킹 사건, 2014년 05월 있었던 Bitly 해킹 사건부터 Anti Public, cit0day에서 개인정보가 공개된 건들도 포함되어 있다.
그 외에도 교과서 대여 서비스 Chegg, 클라우드 스토리지 서비스 Dropbox, 언어 학습 사이트 듀오링고, 취업 포탈 사이트 링크드인 등 다양한 곳에서 이메일 계정이 유출된 것을 확인할 수 있었다.
조금 더 아래로 내려보면 해킹 당한 이메일 정보가 어떤 사이트에 붙여넣기 되었는지 확인할 수 있다. 정부 기관의 개입, 웹 사이트 정책 등으로 삭제되었을 수도 있으니 지금까지 공개되어 있는지 정도만 확인해보자.
유출 되었을 때 대응 방안
HIBP에서 본인 이메일 주소를 검색해봤을 때 침해 이력이 존재한다면 그 즉시 기존에 사용해오던 비밀번호를 변경하고, OTP나 SMS 인증같은 2FA(Two Factor Authentication)를 적용하는 것이 좋다.
사실 가장 좋은 방법은 침해 이력이 확인된 이메일 주소를 사용하지 않는 것인데 오랫동안 사용해온 이메일 주소를 변경하는 것은 사실상 어렵기 때문에 평소 관리가 가장 중요한 것 같다.
