여러분 안녕하세요. 저는 다른 Discourse 시스템에서 관리자 역할을 맡고 있으며, 오늘 아침 네 통의 이메일을 확인했습니다. 해당 이메일들은 무단 로그인을 나타내고 있었습니다(아래 예시 참조).
저는 미국 뉴햄프셔(NH)에 살고 있으므로, Discourse가 독일에서 발생한 로그인을 의심스러운 것으로 표시한 것은 정상적인 조치입니다. 저는 항상 좋은 비밀번호(15자, 랜덤 문자열, 현재는 변경함)를 사용해 왔습니다. 제가 로그인에 사용했던 두 대의 컴퓨터는 모두 제 소유입니다.
몇 가지 질문이 있습니다:
이런 일이 어떻게 일어났을지 짐작이 가시나요?
제 프로필 페이지에는 아래 메시지보다 24시간 전에 또 다른 로그인(이것도 “독일에서…” 발생) 기록이 표시되어 있었습니다. 하지만 해당 로그인에 대해 알림을 받지 못했습니다 - 받은 편지함이나 스팸 폴더 모두에서요. 어떻게 이런 일이 가능했을까요?
공격자가 사용자 목록을 내보냈을 가능성이 있어 보입니다. 실제로 다운로드가 되었는지 확인할 수 있는 방법이 있을까요?
사용자에게 통보하기 위한 표준 절차나 플레이북이 있으신가요?
이 문제를 진단하거나 조사하는 데 도움이 될 다른 정보를 제공해야 한다면 무엇일까요?
감사합니다.
[이것이 올바른 카테고리가 아니라면 죄송합니다. @moderators - 올바른 위치로 이동해 주시면 감사하겠습니다.]
해당 IPv6 주소는 제 범위에서 나온 것이 아닙니다 (Hurricane Electric에서 2001:470:… 범위로 할당받았습니다).
침입자가 관리자 계정에 자신의 이메일을 추가하려 했으며, 사용자 목록을 다운로드하고 데이터베이스 백업을 가져가려 했다는 증거가 있습니다. 새로운 이메일 주소에는 접근 권한이 부여되지 않았습니다. 사용자 목록은 탈취된 것으로 추정되며, 이메일 주소를 확보하지 못했기 때문에 데이터베이스(후자)는 가져가지 못했을 것으로 보입니다.
따라서 이메일과 핸들이 유출되었으나, 데이터베이스는 다운로드되지 않았다고 추정합니다(nginx 로그 기준).
