인터넷사이트 비밀번호 변경만으로 괜찮을까?

지인에게 연락이 왔습니다.

"네이트온 메신저로 돈 보내 달라고 하던데?"

네. 지인이 연락한건 네이트온 비밀번호가 해킹 당했다는걸 알려 주기 위해서였습니다. 이미 유출된 비밀번호야 변경하는 것 말고는 방법이 없지만, 일단 한숨부터 나옵니다. 어느 사이트에 어떻게 가입 되어 있는지 전혀 모르는 상태에서 그 많은걸 어떻게 다 바꿉니까. 사용하는 웹사이트별로 암호를 개별 관리하면 좋겠지만, 경험상 그런경우 암호 찾느라 허송세월 다 보냅니다. 그리고 새로운 비밀번호에 대한 아이디어도 쥐어 짜봐야 합니다.

그러면서 문든 이런 생각이 들더군요. 포털들이야 알아서들 보안 적용하고 사용자DB에도 암호화 작업을 하겠지만, 만약 내 PC에 악성코드가 설치 되어 있다면?

이런 가정하에 제 PC에 키로거 프로그램을 설치해 보기로 했습니다. 이 프로그램은 사용하면 키보드와 마우스로 작업한 내역을 텍스트 형태로 캡쳐해서 볼 수 있습니다. 타인의 PC에 설치해서 악용하는 것은 불법입니다. 그건 아시죠?  

 

제가 설치한 프로그램은 SC-KeyLog입니다. 이 프로그램으로 키보드보안 동작 여부를 확인 할 수 있습니다.

  네이트온 창을 띄웁니다. 네이트온 로그인 창을 잘 보면 보안단계라는 문구를 볼 수 있습니다.

보안단계마다 차이가 있죠?

보안 1단계에서는 키보드 보안이 작동하지 않기 않기 때문에 제가 비밀번호란에 적은
 '관리자(rhksflwk)'와 '123456'를 쉽게 확인 할 수 있습니다.

하지만, 보안 2단계에서는 확실히 암호를 확인 할 수 없습니다.

그렇다면 비밀번호 변경 페이지는 어떨까요?

눈치 채셨나요? 현재 비밀번호 '123456', 새 비밀번호 '123456', 새 비밀번호확인 '123456', 그리고 글자 'GQKMGLI. 보통 현재 비밀번호와 새 비밀번호는 다를테니 쉽게 유추해 낼 수 있습니다.

그렇다면 구글은 어떨까요?

그냥 무방비 상태입니다. 참고로 구글뿐만은 아니죠.

1. 꾸준한 OS패치와 백신(실시간검사 필수)만 잘 관리 하신다면 키로거 같은 프로그램은 왠만하면감지해 냅니다. 실제로 제가 테스트하기 위해 SC-KeyLog를 설치 할 시 OS 제공하는 Winodws Defender에서 1차 차단하고, 이걸 해제했더니 V3에서 그냥 삭제 해 버리더군요. 결국 실시간 감시를 해제한 후 테스트를 진행 할 수 있었습니다.

2. PC방이나 공용PC 같은 경우는 사용 시 조금 조심 할 필요가 있을것 같습니다. 누군가 악의적으로 이상한 프로그램을 설치 해 놓을지 모르니까요.

3. 인터넷 뱅킹이나 여러 정부 포털들은 접속 시 키보드보안 프로그램이 돌기 때문에 문제는 없더군요. 단지 그놈의 액티브X........ 

재미삼아 해보기는 했지만, 솔직히 느낀건 포털이나 웹사이트 관리자들은 당연히 보안에 신경써야 하는것은 물론 개인들도 PC 보안을 위해 지속적인 관심이 필요한거 같아요.