인터넷 인프라 회사인 Cloudflare는 Twilio를 공격한 공격자와 동일한 공격자가 회사 공식 웹사이트로 위장한 피싱 사이트 링크가 포함된 악성 SMS 메시지를 Cloudflare 직원들에게도 보냈다고 밝혔습니다. 두 회사의 직원들이 미끼를 물었음에도 불구하고 공격자들은 회사의 두 번째 인증 계층이 시간 제한이 있는 일회용 코드가 아니기 때문에 직원들의 전체 로그온 자격 증명을 탈취할 수 없었다고 Cloudflare는 밝혔습니다. 대신, 회사의 모든 직원은 YubiKey와 같은 공급업체로부터 FIDO2 호환 보안 키를 발급받습니다. 공격자가 자격 증명을 탈취했지만, 하드 키 인증 요구 사항 덕분에 직원들이 피싱 사이트에 들어갔을 소프트 토큰을 탈취하지 못했습니다.


More

Ars Technica: Facebook 계정 탈취를 방지할 수 있는 더 나은 방법이 있습니다.

아르스 테크니카(Ars Technica)의 보도에 따르면, 페이스북은 Google), 드롭박스(Dropbox), 깃허브(GitHub), 세일즈포스(Salesforce) 등 몇몇 온라인 서비스와 함께…

자세히 보기 →

American Banker: 은행이 Facebook에서 보안 키 페이지를 가져오는 것을 고려해야 하는 이유

아메리칸 뱅커(American Banker)는 이 특집 기사에서 “페이스북이 FIDO 인증을 사용하는 물리적 보안 키를 대중에게 제공한다면,…

자세히 보기 →

ComputerWeekly: FIDO 2단계 인증으로 보안을 강화한 Facebook

ComputerWeekly는 Facebook이 보안 키가 포함된 피싱 방지 FIDO 인증을 소셜 플랫폼에 통합하여 17억 9천만 명의…

자세히 보기 →