한 플랫폼에서 유출이 발생하면 공격자는 그곳에서 멈추지 않습니다. 유출된 사용자명을 다른 서비스에서도 시도합니다. 동일한 핸들을 재사용하면 한 번의 유출이 전체 디지털 생활을 노출시키는 지도가 됩니다.
사용자명 재사용이 유출을 확대시키는 이유
공격자는 크리덴셜 스터핑(credential stuffing)을 사용합니다: 한 유출에서 얻은 사용자명/비밀번호 조합을 다른 플랫폼에서 시도합니다. 사용자명을 재사용하면 이 과정이 매우 쉬워집니다. 비밀번호가 다르더라도 사용자명만으로 연결된 계정, 프로필 데이터, 복구 이메일 등을 알아낼 수 있습니다.
사용자명 검색으로 알 수 있는 것
사용자명 검색은 공개 소스를 스캔하여 핸들이 어디에 존재하는지 보여줍니다. 사용자명이 존재하는 플랫폼, 활성화된 계정, 때로는 프로필 스니펫(snippet)까지 확인할 수 있습니다. 이를 통해 각 사이트에 로그인하지 않고도 노출된 부분을 파악할 수 있습니다.
플랫폼 메커니즘과 함정
-
소프트 404(Soft-404s): 일부 사이트는 존재하지 않는 사용자에 대해서도 200 OK 상태를 반환하며 일반 페이지를 보여줍니다. 이로 인해 검색에서 오탐(false positive)이 발생할 수 있습니다.
-
핸들 변형: 공격자는 언더스코어, 숫자, 점 등 일반적인 변형을 시도합니다. 정확한 일치만 확인하는 검색은 이를 놓칠 수 있습니다.
-
플랫폼 특성: GitHub과 같은 개발자 플랫폼은 커밋 기록에서 실명과 이메일을 노출하기 쉽습니다. Steam과 같은 게임 네트워크는 별명과 친구 목록을 보여줄 수 있습니다.
| 카테고리 | 예시 플랫폼 | 재사용으로 노출되는 정보 |
|---|---|---|
| 소셜 미디어 | Twitter/X, Instagram, Reddit | 실명, 위치, 소셜 그래프 |
| 개발자 플랫폼 | GitHub, GitLab, Stack Overflow | 이메일, 코드, 고용주 |
| 게임 네트워크 | Steam, Chess.com | 별명, 플레이 기록 |
| 전문가 커뮤니티 | LinkedIn, About.me, Gravatar | 직업 이력, 연락처 정보 |
노출 여부 확인 방법
TraceSeek은 3,000개 이상의 플랫폼을 20-30초 내에 스캔합니다. 첫 번째 스캔은 무료이며 계정이 필요하지 않습니다. 소셜 미디어, 개발자 플랫폼, 미디어 및 창작 사이트, 게임 네트워크, 전문가 커뮤니티, 포럼, 데이팅 앱 등을 커버합니다. 핸들이 어디에 나타나는지 확인한 후 보안을 강화하거나 삭제할 계정을 결정하세요.
솔직한 한계
검색은 공개 데이터만 찾을 수 있습니다. 유출된 데이터베이스, 비공개 프로필, 다른 사용자명으로 된 계정은 확인할 수 없습니다. 이는 전체 감사가 아닌 시작점입니다. 특정 유출에 대한 확인은 Have I Been Pwned와 같은 서비스를 함께 사용하세요.
다음 단계
- 사용자명 검색을 실행하여 공개 계정을 매핑하세요.
- 가능한 경우 플랫폼마다 고유한 사용자명을 사용하세요.
- 중요한 계정에 2단계 인증을 활성화하세요.
- 유출 후 새로운 노출을 모니터링하세요.