어제 일요일날 있었던 은행 어카운트 해킹 사건 공유해드려요. 마모님들도 조심하세요.
간단 요약
-오후 1시 핸폰 노티피케이션으로 Welles fargo 온라인 어카운트 패스워드 변경 알림 옴 (자다 깨서 깜놀)
-온라인 뱅킹 접속하니 패스워드가 먹질 않음
-패스워드 변경으로 재접속 / $2500 zelle 통핸 송금 확인 (이때부터 멘붕)
-전화를 하려는데 전화기가 먹통, 계속 No service (티모발)
-집 밖으로 나가봐도 먹통, 스토어로 달려감
-스토어에서 알아보니 누군가 제 번호를 트랜스퍼함. 제 번호는 이미 다른 폰으로 넘어가 있음
-2시간만에 스토어에서 핸폰 이슈 해결
-4시간만에 은행에 전화해서 리포트 완료
간단한 요약이였구요. 핸폰 심카드를 하이재킹해서 은행 인증을 통해 패스워드를 바꾼듯 합니다.
정말 첨 들어보는 해킹이였어요. 넘 놀랬지만 그래도 빠른시간내에 처리했습니다.
저는 원패스워드로 16자리 패스워드 + 2개의 심볼이 결합된 패스워드를 사용해서 해킹이 절대 불가능한데
핸폰을 탈취당하니 속수 무책이더라구요. 전화도 안되고 인증도 안됨니다;;;;
또 zelle는 얼마전 은행 연합이 런칭한 간편 송금 서비스인데 보안에 취약하네요;;;; 핸폰 번호나 이메일 주소만으로도
송금이 가능한 서비스인데.. 이또한 핸폰을 탈취당하니 손 쓸 방법이 없더군요.
마모님들도 조심하세요 :)
--------------------------------------------------------------------------------------------------------------------------------------------------------
미국 친구들하고 얘기하보니 정말 심각한 보안문제로 인식하더군요. 고소각으로 얘기해서 티모발을 고소하는것을
심각하게 고려하고 있습니다. 혹시 주변에 괜찮은 변호사님 있으시면 소개 가능할까요?
진짜 헐 대투더박이네요....와우... 진짜 철렁하셨겠어요 ㅠㅠ
잘 해결되서 다행입니다
핸드폰은 어떤 모델을 사용하시나요?
아이폰 X 입니다
무섭네요, 이건 정말 막을 수가 없겠네요.
이제는 해킹을 막는것 보다 당했을때 빨리 대처를 잘 해야 하는 시대 인것 같습니다.
좀 귀찮아도 모든 종류의 alert 를 다 켜놓야 겠네요.
정보 공유 감사합니다.
wells fargo 웹사이트 id하고 연결된 핸드폰 번호 정보가 털린건가요?
은행 어카운트 털려고 핸드폰 번호를 그냥 transfer 해버리는건 처음 듣는 것 같은데 정말 ㅎㄷㄷ 하군요
근데 핸드폰 번호 transfer 하려면 zip code 랑 account number 랑 pin 같은거 필요하지 않나요?
헐... 영화에서나 보던게 현실이 되다니요... 그리고 무엇보다 아이폰이 해킹당한게 좀 더 충격입니다. 기사가 참고할만하네요..
https://www.digitaltrends.com/mobile/sim-swap-fraud-explained/
이 링크를 보니 제가 생각한 방식은 아니고, 그냥 개인 정보를 탈취 -> 심 카드를 다시 받는 방식이네요. 거참...
흠...그렇다면 전 핸폰 번호를 바꿔야 할까요?
그런데 지금 어디서 정보가 샌건지 확실치가 않은데요. 심해킹이라고 생각하시는 근거가 어떻게 되나요? 저도 아이폰 유저인데, 이런 경우가 많이 걱정되서요. 우리 회사 직원도 지난 주에 체이스 은행에서 자신이 사용한 적이 없는 Paypal account를 통해 은행 돈이 $1,600이 빠져나가서 식겁했었거든요. 근데 정보 유출이 어디서 된건지를 모르겠는게 더 큰 문제구요.
저도 그걸 알수가 없습니다. 모든 정보는 원패스워드에 저장해두고 다니는데 Face ID로 락을 걸어놔서 열릴리가 없는데..
equifax가 유력해보이네요;;;
1Password 데이터 베이스가 털렸다면 그럴수도 있겠죠? Face ID야 하루미와님의 핸드폰에서 암호를 넣어 여는 대신 앱을 언락 하는 방법이고, 원패스워드 자체도 암호가 있자나요. 그게 깨지면 그 안에 정보가 다 빠질 수도 있는 거구요.
만약 1Password 데이터베이스가 털렸다면 신문기사거리가 될텐데, 그런 뉴스가 없으니 혹시 1Password의 암호를 너무 간단히 내놔서 누군가 암호를 크랙했을 가능성은 없을까요? 저도 원패스워드 암호가 엄청 간단한데요...
Equifax가 털린건 정보가 유출되어 누군가가 내 SSN로 신용카드를 열수는 있지만, 내 계정의 암호가 들어있진 않거든요. 그래서 이번 경우는 Equifax의 경우는 우선은 배제 했습니다만 이건 뭐 어디서 털린지를 모르니 답답하네요.
저도 그 생각을 했는데 1Password는 서버에 저장하는 방식이 아니라 제 개인 Dropbox에 암호화되어 저장되는걸로 아는데요.
그러면 제 드랍박스까지 털어야되는데 ㅎㅎ 원패스워드를 저 핸폰 1개 + 랩탑 1개에서만 사용합니다;;
헏헏 무슨 일일까... 하고 생각해 봤네요
eSIM 카드를 이용해서 다른 사람의 SIM 을 에뮬레이팅한거거나, 아니면 티모빌을 해킹한 뒤 -> 전화기를 크래커의 전화로 바꾸고 -> 은행에 접속 -> 비번 변경을 신청한 뒤 텍스트로 오도록 하는 방식이 아닐까 싶네요. (아마도 후자가 아닐까 싶고요)
정말 요즘은 너무 이런 식의 해킹, 도용이 많아서 큰일이네요;;;
"번호 자체" 만으로는 털릴일이 없지요. 하지만 이렇게 개인 정보를 취득하고 -> 이를 통해서 타인이 개인정보를 사칭해서 새로운 심카드를 받고 -> 이 심카드로 전화 서비스를 탈취하는 방식은 막기 어렵지요
요즘 개인 정보가 다 털리는 상황이라서, 정말 별별 일이 있는 것 같습니다.
체이스에서 구글보이스 넘버로는 인증이 안돼서 등록을 못하게 되어있더라구요.
중간에 통신사는 어디꺼만 쓰자고 하는 쓸데없는 댓글이 있어서 보기가 불편하네요. 도대체 이 글과 무슨 상관이 있는건지? 지금 그 통신사를 이용하는 사람들은 어쩌라는건지?
티모빌에 두달 전쯤 심각한 보안문제가 있었습니다.
10월 11일 - 대량 유저 정보 유출 (전화번호, IMEI, email)
https://www.engadget.com/amp/2017/10/11/t-mobile-website-flaw-social-engineering-hacks/
10월 27일 - 티모빌 측에서 sim카드 해킹 시도를 인지, 수백명의 고객들에게 경고 발송
https://motherboard.vice.com/en_us/article/a37epb/t-mobile-alert-victims-sim-card-hack
이 기사 중간에 이런 내용이 있습니다.
“The ultimate goal was to hijack or "swap" the victim's SIM cards. This gives the criminals a chance to take over their phone number and then move onto targeting other online accounts that might have been linked to the number, such as email and banking accounts”
다른 통신사라고 이런일이 벌어지지 않을거라 단정 할 수 없지만, 시기상 이런 해킹에 티모빌의 책임을 물을 수 있는건 당연하다고 보이네요.
https://www.reddit.com/r/tmobile/comments/7g3fsn/warning_tmobile_csr_fail_drained_bank_account/
레딧에도 비슷한 문제를 가지신 분들이 있습니다.
문제는 현재 많은 분들의 소셜번호가 공개되어 있으니 (Equifax자료유출등등)
만약 Tmobile번호로 2 factor authentication을 할 경우
Tmobile에 전화해서 소셜번호 주고 이름, 주소 정도 준 후에 다른 심카드로 번호 이동
그 후 Tmobile전번으로 2factor authentication을 하는 Gmail, 은행 계좌, 신용 카드 계좌를 뚫습니다.
이 방법을 자주 쓰는 것 같습니다.
Tmobile전번으로 2 factor Authentication을 하지 마시고 Google Authenticator 같은 토큰 방식으로 바꾸시는 것을 추천드립니다.
티모발 담당자랑 나눈 얘기입니다
하구미와님
이런 문제는 심각한 문제니 Tmobile CEO 인 John Legere에게 직접 이멜 보내세요.
John.Legere@t-mobile.com
자잘한 문제는 어차피 여기서 신경도 안쓰고 CS한테 전화하라고 할 텐데
이런 큰 문제는 CEO 밑에서 일하는 Senior Specialist, Executive Response
A Division of the Office of the President 부서에서 연락 올 겁니다.
티모바일 같은 경우 John Legere 트위터 계정을 보셔도 아시겠지만
이멜 계정을 공개적으로 트윗으로 주면서 CEO에게 연락하는 것을 적극 장려합니다.
여기 레딧 글도 얘기해 주면서 적지 않은 수의 사람들이 이런 영향을 받는 것 같으니
문제가 심각하니 티모발 본사 입장에서 Security를 어떻게 해결해야 하지 않겠냐 하면서 컴플레인 걸어보세요.
https://www.reddit.com/r/tmobile/comments/7g3fsn/warning_tmobile_csr_fail_drained_bank_account/
저도 tForce조차도 해결하기 어려운 문제가 있었는데 여기에 연락하고 바로 해결되었습니다.
조언 감사드려요. 한번 멜 보내봐야겠네요
저는 오늘 누가 전화가 와서 오젠에 계속 제 번호로 전화가 와서 궁금 해서 걸었다고 전화가 왔더군요 제 call log 를 보니 그 번호로 전화한 흔적이 없었어요,,,그런데 그쪽세서 캡쳐한 로그를 보니 제 전호가 떡하니....있더군요..
그래서 제가 제 번호를 블락 하라 햇어요...제 전화도 멀쩡히 잘되는데 이건 어떤 경우 일까요???
거는 전화번호 조작하는 건 쉽게 가능하지 않나요? 저는 요새 거의 매일 제 번호랑 엄청 비슷한 번호로 전화와요-_-;
헉.... 저랑 같으시네요.
이번에 티모바일로 갈아타면서 임시 번호 받았는데
와 앞자리 6자리는 같고 나머지 4자리만 다른 전번에서 얼마나 연락이 오는지요....
겨우 옛날 번호 port in해서 많이 좋아졌습니다.
그래도 이 번호도 가끔가다가 뒷 자리 4자리만 다른 곳에서 전화가 와요.
번호가 비슷하면 가족일 가능성이 있어서 받을거라 생각하나 봐요
무섭네요 ㄷㄷ
털리면 바로 티모빌로 달려가자! 잘 배웠습니다
고생많으셨습니다. 귀중한 경험 공유 감사드려요.
하구미님, 업데이트 있나요? 제 친구가 어제밤 똑같이 당했는데 거기도 티모빌/웰스파고 사용자에요... 이거 무서워서 뭘 못하겠네요..
답답하긴 하네요. 지금 Tmobile전화해서, 나 Port validation add하고 싶다고 이야기하니, 상담원 - 그게 모니? ㅎㅎㅎ ㅠㅠ 암튼 Setup Add했구요. 그리고 또 전화하면 저인지 물어보는 질문이 마지막 SSN 4자리 (요즘 모 대부분 다 알고 있다고 가정해야하니.)가 좀 불안해서, 앞으로는 다른 질문도 add해달라고 했어요.
그나저나 이런류의 Scam에서 Zelle통해서 돈을 보냈으면, 돈을 받은 사람의 신분이 나올텐데 그걸로 조사해서 잡지는 못하나요??
토잉 좀 해봅니다. T-Mo 에서 대규모 스캐밍이 있었고, 그로 인해 은행 비번 등을 변경시켜 버린 식인거지요. 자세한 기사는 여기에서 보세요
요즘 계속 T-Mo 로 바꿀까 고민 중인데 이거 참... 고민이 이만저만이 아닙니다.
Port Validation 걸고 암호 바꿔 놓으면 돼요.
아직 CS중 훈련 제대로 안 받은 애들이 암호 안 물어보는 경우가 있는데
점차 바뀌고 있습니다. 제가 어제 전화했을 땐 암호 안 가르쳐주면 일 진척이 안되더군요.
그리고 이 문제 때문에 이제 무조건 암호 물어보게 한다고 방침이 바꼈다고 하고요.
소 잃고 외양간 고치는 것이지만, 그래도 고친다니 얼마나 다행인지 모르겠습니다.
그나저나 정말 티모로 바꿀까 말까 고민이네요;;; 버라이존에서 직원 할인으로 좀 싸게 하고는 있지만, 티모로 가면 더 쌀거라는게 제일 큰 매력이네요;;;
이거 port validation은 숫자만으로 이뤄지나요 아니면 알파벳 단어도 포함인가요? 전화 걸기 전에 몇가지 옵션을 좀 생각해 둘려구요.
제가 알기로
https://www.t-mobile.com/company/privacy-resources/account-security/account-verification.html
여기 보시면 밑 부분에
It requires that a 6-to-15 digit PIN/passcode you create must also be validated by the new carrier before your number can be ported.
이렇게 써있습니다. 즉 알파벳 암호도 가능해보여요.
그런데 CS가 Training이 잘 안되어 있으면 4-6짜리 일반 PIN만 가능하게 얘기할 수 있을텐데
그럴 땐 저 문구 언급하시거나 아니면 Supervisor 혹은 HUCA하시는 것을 추천드려요.
아 그렇군요. 시간내서 알아봐 주셔서 감사합니다 :)
댓글 [54]