"Have I Been Pwned"의 10년 역사

 (troyhunt.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • Troy Hunt가 2013년 12월 4일 공개한 Have I Been Pwned(HIBP) 는 이메일로 유출 여부를 확인하는 개인 프로젝트에서 출발해, 10년 뒤 개인·기업·정부가 의존하는 보안 인프라가 됨
  • 평범한 .com 도메인을 구하기 어려웠고 오래갈 프로젝트라고 보지 않았던 선택이었지만, pwned라는 단어는 이제 HIBP와 강하게 연결됨
  • 언론 노출, 미국 의회 증언, FBI·영국 NCA 등 법집행기관과의 협력, Pwned Passwords 출시를 거치며 HIBP의 역할이 단순 검색 사이트를 넘어섬
  • 2019년 매각 검토 프로젝트인 Project Svalbard는 개인적 스트레스와 서비스 의존성 문제 속에서 진행됐지만 무산됐고, Hunt는 독립성이 자신에게 중요하다는 점을 재확인함
  • 앞으로도 유출은 계속 늘어날 것으로 보이며, HIBP는 더 공식화된 운영으로 이동하되 Hunt가 원하지 않는 큰 조직과 부담으로 커지는 일은 피하려 함

작은 프로젝트에서 10년짜리 인프라로

  • 2013년 12월 4일, Troy Hunt는 “Have I Been Pwned?”가 동작하기 시작했다는 트윗으로 서비스를 공개함
  • 다음 날에는 1억 5,400만 건의 레코드를 빠르게 검색하게 만든 방법을 블로그에 공개했고, HIBP 태그가 붙은 글은 10주년 글까지 185개에 이름
  • 10주년 회고는 서비스 구축 방식, 운영 결정, 여러 침해 사건, 그동안 공개적으로 말하지 않았던 일부 경험을 함께 다룸

왜 “Pwned”였나

  • 이름 선택에는 평범한 영어 이름으로 .com 도메인을 구하기 어렵다는 현실이 있었고, 프로젝트가 오래갈 것이라는 기대도 크지 않았음
  • “pwned”는 HIBP와 점점 동의어처럼 연결됐고, 많은 사람에게 이 단어는 “Have I Been...” 문맥에서 처음 접하는 표현이 됨
  • 온라인에서 “pwned”의 뜻을 설명하는 자료에도 2013년 Hunt가 만든 HIBP가 예시로 등장함
  • 이름이 자주 잘못 발음되거나 오타가 나면서 Hunt는 여러 변형 도메인을 보유하게 됨
    • haveibeenpaened.com
    • haveibeenpwnded.com
    • haveibeenporned.com
    • haveibeenprawned.com
    • haveibeenburned.com
    • haveigotpwned.com
    • haveibeenrekt.com
    • haveibeenfucked.com

언론 노출과 트래픽 충격

  • HIBP는 데이터 유출이 주류 뉴스가 될 때마다 “피해 여부를 확인하는 곳”으로 자주 언급됨
  • 언론 노출은 인지도를 높였지만, 2016년 영국 Martin Lewis Money Show 방영 후 서비스가 오프라인이 될 정도의 트래픽을 유발함
    • Hunt는 이 경험에서 큰 트래픽 급증을 다루는 교훈을 얻었고, 같은 일이 다시 발생하지 않도록 조치함
  • 2018년 Gizmodo는 HIBP를 Wikipedia, Google, Amazon 등과 함께 “인터넷을 형성한 100대 웹사이트” 중 하나로 꼽음
  • 2014년 TIME은 HIBP를 그해의 50대 웹사이트 중 하나로 선정함
  • The Wall Street Journal, The Standard, USA Today, Toronto Star, De Telegraaf, VG, Le Monde, Corriere della Sera 등 여러 주요 매체에서도 HIBP가 등장함

미국 의회 증언

  • Hunt는 약 6년 전 미국 Congress에서 데이터 유출이 신원 확인에 미치는 영향에 대해 증언함
  • 공개 청문회였기 때문에 증언 영상이 기록으로 남아 있음
  • 의원들의 질문에 답한 이 경험은 Hunt의 커리어에서 가장 기억에 남는 순간 중 하나로 남음
  • 당시 사진은 현재 그의 사무실 밖 벽에 걸려 있으며, HIBP가 어떻게 그 자리까지 이어졌는지 계속 떠올리게 함

Project Svalbard와 매각 무산

  • 2019년 6월 Hunt는 HIBP 매각 가능성을 Project Svalbard라는 이름으로 공개함
  • 당시 결정의 큰 이유 중 하나는 스트레스였고, 1년 이상 뒤 그 스트레스의 중요한 원인이 이혼이었다고 밝힘
  • 관계 문제는 큰 압박을 만들었고, Hunt는 자신이 사랑하지만 점점 요구가 커지는 프로젝트를 매각하는 일이 탈출구가 될 수 있다고 생각함
  • Project Svalbard는 오히려 전 배우자와의 법적 다툼으로 이어졌고, 매각됐을 때 실현됐을 것으로 보이는 가치가 분쟁의 일부가 됨
  • 샌프란시스코의 여러 기술 기업과 잠재 인수 논의를 하던 중, 한 잠재적 새 상사가 “완벽한 사무실의 하루”를 묻자 Hunt는 자신의 독립성이 얼마나 중요한지 깨달음
  • 6개월 뒤 Project Svalbard는 성사된 거래가 무산되며 종료됨
    • 정확한 사정은 NDA 때문에 말할 수 없고, 공개적으로 사용한 표현은 “구매자 측의 사업 환경 변화”였음
    • Hunt는 돌이켜보면 많은 것을 잃었지만 그 결과를 매우 다행으로 여김

FBI, NCA, 법집행기관과의 협력

  • 10년 전의 Hunt에게 FBI가 HIBP와 공개적으로 연결되는 상황은 예상 밖의 일이었음
  • FBI는 HIBP에 데이터를 공급하고 있으며, 영국 NCA와 전 세계 여러 법집행기관도 데이터를 제공함
  • 여러 국가 정부도 HIBP 사용을 공개적으로 이야기하는 상황이 됨
  • ABC는 2023년 9월 HIBP와 Hunt의 역할을 “시대의 이상한 징후”로 다루며, “웹상의 한 사람”이 글로벌 사이버보안에서 이상하게 중심적인 역할을 하게 됐다고 평가함
  • HIBP의 목적은 “나쁜 일이 일어난 뒤 좋은 일을 하는 것”이며, 사람들을 보호하려는 법집행기관의 목적과도 맞닿아 있음
  • Hunt는 법집행기관이 민간 기업과 함께 일해 사람들을 보호하는 경우가 많다는 점을 10년 전에는 이해하지 못했지만, 지금은 여러 기관 사람들과 생산적인 관계를 맺고 있음

Pwned Passwords의 성장

  • HIBP에 원래 비밀번호를 넣을 계획은 없었고, Hunt는 사용자명 옆에 비밀번호가 나타나는 상황을 피해야 한다고 봤음
  • 다만 개인정보와 분리된 유출 비밀번호 목록은 침해 데이터를 좋은 목적으로 활용하는 방식이 될 수 있다고 판단함
  • 2017년 Pwned Passwords가 출시됨
  • 2023년 9월에는 Pwned Passwords가 하루 2억 8,200만 요청을 기록했고, 30일 누적 요청은 60억 건을 넘음
  • 회고 시점의 최신 통계로는 한 주에 하루 3억 160만 요청을 처리했으며, 그 요청의 100.0000000000% 가 Cloudflare 캐시에서 제공됨
  • 이 서비스는 무료이고 인증이 필요 없으며, 코드와 데이터가 모두 오픈소스이고, FBI가 데이터를 공급함
  • Hunt는 대규모 온라인 서비스의 크리덴셜 스터핑 공격에서 탈취되는 계정 중 상당수가 차단 가능했던 비밀번호를 사용한다고 봄

침해 데이터 처리의 역설

  • HIBP는 범죄의 결과물인 유출 데이터를 다루면서 동시에 공익을 수행하려는 서비스라는 역설을 가짐
  • 일부 사람들은 도난 데이터 보유를 이유로 FBI에 신고하겠다고 말하지만, Hunt는 이미 FBI와 협력하고 있음
  • 개인정보보호법, 특히 EU와 GDPR을 근거로 “동의 없이 데이터를 처리한다”는 비판도 있었음
  • Hunt는 데이터 유출에 들어가는 것 자체에 누구도 동의하지 않으며, 유출 사건과 HIBP가 이를 색인해 검색 가능하게 만드는 일은 별개의 논의라고 봄
  • 10년 동안 불만은 대체로 적었고, 연간 사례 수를 한 손으로 셀 정도였음
  • 정부 개인정보 규제기관을 통해 들어온 공식 불만은 10년 동안 한 번 있었고, Hunt가 질문에 답한 뒤 종료됨

사람과 운영 구조

  • HIBP는 처음에는 Hunt 혼자 시간을 투입하는 취미 프로젝트였음
  • 초기 작업에는 서비스 구축, 침해 데이터 확보, 검증, 공개, 설명 작성, 700개 이상 로고를 직접 편집하는 일이 포함됨
  • 지금은 많은 개인, 기업, 정부가 의존하는 인터넷의 중요한 일부가 되면서 Hunt 한 사람에게 의존하는 문제가 커짐
  • 2019년 매각 검토의 배경에도 “Hunt 한 명에게만 의존하는 구조”가 일부 있었음
  • 일반 회사처럼 사람을 고용해 키우는 선택지도 있었지만, Hunt는 고용계약, 급여 협상, 성과 평가, 병가와 연차 같은 책임을 매력적으로 보지 않음

  • Charlotte의 역할

    • 2021년 초, 당시 곧 아내가 될 Charlotte가 HIBP에서 일하기 시작함
    • Charlotte는 노르웨이 기반 NDC 콘퍼런스의 프로젝트 매니저로 8년 동안 소프트웨어 개발자, 발표자, 참석자, 스폰서, 기업 참석자를 상대해 왔음
    • 기술 담당자는 아니지만 PR과 창업 관련 학위를 갖고 있고, HIBP가 속한 기술 세계에도 익숙했음
    • Charlotte는 기업 구독자 온보딩, API와 도메인 구독자 지원 티켓, 회계와 세무 업무를 맡음

  • Stefán Jökull Sigurðarson의 역할

    • 2023년 초 Stefán Jökull Sigurðarson이 파트타임으로 합류해 코드 작성, 정리, 마이그레이션 등 여러 개발 작업을 담당함
    • Stefán은 HIBP 출시 때부터 서비스를 지켜봤고, 2018년 초 EVE에서 PwnedPasswords v2 API의 초기 대형 연동 중 하나를 개발함
    • 그는 HIBP가 공개 발표 커리어, 오픈소스 기여, MVP 역할, 더 안전한 인터넷에 기여하는 여정의 일부가 됐다고 봄
    • Hunt는 Stefán에게 HIBP가 단순한 직업이 아니라 열정이라는 점이 중요하다고 봄

기억에 남는 침해 사례

  • 10년 동안 HIBP에 포함된 침해는 731건에 이름

  • Ashley Madison

  • Collection #1

    • 2019년 초 Hunt의 스트레스를 크게 높였고, 서비스 매각 검토 결정에도 깊은 영향을 줌
    • 7억 7,300만 건으로, 회고 시점까지 HIBP에서 가장 큰 침해임

  • Rosebutt

    • 심각한 데이터 유출도 때로는 우스운 순간을 만들 수 있음을 보여준 사례임

  • Shit Express

    • 익명으로 배설물 조각을 보내는 사이트가 침해돼 익명성이 흔들린 사례임
    • Hunt는 이후 익명성 주장이 종종 매우 오해를 부른다고 썼음

앞으로의 방향

  • Hunt의 일상은 아침에 이메일과 밤사이 이벤트를 확인한 뒤, 그날 요구되는 일에 맞춰 움직이는 방식에 가까움
  • 이런 운영 방식은 HIBP가 더 큰 책임을 가진 조직으로 커지는 것을 원하지 않는 이유와 연결됨
  • 동시에 HIBP는 점진적으로 더 공식화되고 있음
    • 3년 전에는 Hunt가 100% 모든 일을 직접 함
    • 1년 전에는 기술 업무를 전부 직접 함
    • 6개월 전에는 지원용 티켓 시스템이 없었음
  • Hunt는 HIBP가 자신보다 오래 지속되기를 바라지만, 그 과정에서 자신을 묶는 부담이 되지는 않기를 원함
  • 앞으로도 더 많은 침해가 발생할 것으로 보며, 최근에는 랜섬웨어가 빠르게 증가한 것처럼 느낀다고 함
  • 랜섬웨어로 공개되는 이메일, 문서, 여러 데이터 속 사람들이 자신의 노출 사실을 알게 되는지에는 의문이 남아 있음
  • 그런 데이터를 색인하는 일은 여러 이유로 간단하지 않지만, 점점 더 가치 있는 작업처럼 보인다고 봄

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • Troy Hunt는 정말 귀한 존재이고, 웹 애플리케이션 개발자라면 크리덴셜 스터핑 방어를 안 할 변명이 없음
    최선은 아마 2단계 인증이겠지만[1], Hunt의 해시된 비밀번호 데이터베이스와 대조하는 것도 사용자에게 추가 부담 없이 꽤 좋은 방어가 됨
    근거 자료는 없지만, 손상된 계정의 압도적 다수는 크리덴셜 스터핑이나 비밀번호 재사용에서 온다고 봄. 대기업들이 이런 검사를 안 한다는 얘기를 들으면 놀랍고, 설정도 단순해서 하루 정도면 가능함
    젊은 CTO나 초기 웹앱 엔지니어라면 언젠가 새벽 1시에 전화가 폭주하고, 사이트가 얻어맞고, 처음엔 DDoS인 줄 알았다가 대부분이 로그인 페이지로 몰린다는 걸 깨닫고, 그중 일부가 실제로 로그인에 성공한다는 사실에 소름 끼치게 될 수 있음. 그 뒤엔 밤새 대응하고 침해 통지도 해야 해서 정말 괴롭다
    Troy Hunt의 무료 데이터베이스가 아마 그 고통을 줄여줄 테니 그냥 하는 게 좋음

    1. https://cheatsheetseries.owasp.org/cheatsheets/Credential_St...
    2. 23andMe 같은 경우. https://news.ycombinator.com/item?id=37794379
    • 10년쯤 전 FBI 직원이 발표하던 행사에서, 한 시스템 관리자가 회사의 해시된 비밀번호 데이터베이스를 가져와 알려진 유출 해시와 대조하고, 재사용된 비밀번호를 쓴 직원들에게 강제 재설정과 안내 메일을 보냈다가 체포됐다는 이야기를 들었음
      한 직원이 그 행동을 사생활 침해라고 격분했고, 누가 법적 조치를 시작했는지는 기억나지 않지만, FBI 직원과 판사는 시스템 관리자가 보안 개선 의도였더라도 자신이 맡은 비밀번호 해시에 접근한 행위 자체를 범죄적 사생활 침해로 봤다는 결론이었음
      그 FBI 직원이 지어낸 게 아니라면, 직원 비밀번호 해시가 haveibeenpwned에 있는지 검사하기 전에 법무팀 검토를 거치는 게 신중해 보임
    • 2단계 인증 외에도 로그인 엔드포인트에 속도 제한을 IP 주소와 사용자명 기준으로 거는 편이 이 공격에는 훨씬 견고한 방어가 됨
      예를 들어 최근 1분 동안 같은 IP나 같은 사용자명으로 로그인 실패가 20회면 해당 IP나 사용자명을 15분 차단하는 식임. 많은 API 게이트웨이, K8s 인그레스 등이 아주 쉽게 지원하고, 아니어도 Redis 같은 곳에 최근 로그인 시도 횟수를 저장하면 몇 줄 코드로 붙일 수 있음
      HIBP 데이터베이스 대조도 좋은 선택이지만, 이 공격을 막는 데는 속도 제한이 훨씬 효과적임
    • 절차가 잘 이해되지 않음. 데이터베이스에 해시된 비밀번호가 들어 있다면, 내 사이트와 데이터베이스가 같은 솔트와 해시 방식을 쓴다는 걸 어떻게 알 수 있나?
      예를 들어 Tumblr가 해킹되어 내 비밀번호 hunter2가 유출됐다고 해도, Tumblr는 솔트가 있는 단순한 HMAC-MD5를 썼고 내 사이트는 당연히 다른 솔트를 쓰는 argon2를 쓴다면, 같은 비밀번호라도 결과 해시는 다를 것임. 이게 크리덴셜 스터핑 방지에 어떻게 효과가 있는지 모르겠음
    • 새 로그인/인증을 처음부터 만드는 중이라면, 비밀번호를 받아서 데이터베이스에 저장하지 않는 게 좋음
      소셜 OAuth, SSO, 매직 링크 이메일을 설정해서 남의 문제로 넘기는 편이 낫다
    • 사용자가 비밀번호를 1234로 쓰는 것에 왜 죄책감을 느껴야 하는지 모르겠음
      취약한 사람들을 대상으로 하는 사이트가 아니라면 그건 사용자 책임이라고 봄. 다른 댓글처럼 이런 사용자는 아마 1234웹사이트이름 같은 가장 쉬운 방식으로 오류를 해결할 가능성이 큼
      비밀번호 입력란에 어떤 제한을 추가하든 엔트로피를 줄이고, 비록 미미하더라도 모두의 안전성을 낮춘다고 봄

  • 이 사이트가 예전에는 훌륭한 경험을 줬던 기억이 있는데, 지금은 연 $169.50을 내야 유출 계정 100개를 볼 수 있는 돈벌이처럼 느껴짐
    웹사이트마다 고유 이메일 주소를 써서 데이터 유출을 감지하는데, 예전에 도메인 소유권 검증까지 했던 도메인 결과를 검색하려 하자 “유출 계정이 10개를 넘는 도메인을 검색하려면 충분한 크기의 구독이 필요하다”는 오류가 나왔음
    더 나쁜 건 Troy가 공개 데이터 모음까지 ‘유출’로 넣어 계정 수 할당량을 인위적으로 부풀린다는 점임. 예를 들어 GitHub에서 긁은 공개 연락처 모음이 유출됐을 때도 유출로 계산했는데, 내 이메일 주소는 명시적으로 공개해 둔 것이었음
    이런 저비용 서비스라면 연 5~12달러는 낼 의향이 있지만, 현재 가격은 터무니없음

    • 같은 일을 겪었고, 우리 같은 사람들을 위한 별도 가격제가 있기를 바람. 문의해 볼 만할지도 모름
    • DarkNet에서 데이터베이스를 내려받아 로컬에서 돌리면 돈을 낼 필요가 없음
      단점은 직접 데이터베이스를 관리하고 자주 갱신해야 한다는 것임. 비용을 받고 API 데이터베이스 접근을 파는 이런 돈벌이 서비스가 꽤 많이 생기는 걸 봤음
    • 자기 이메일 도메인을 운영하고, 사이트마다 다른 주소를 쓰고, 개인 도메인의 유출 여부까지 스캔하는 건 상당히 특수한 사용 방식임
      그 아주 구체적인 사용 사례가 Troy Hunt에게 현금 젖소라고 보는 건 무리임
    • 나도 같은 방식을 쓰는데, 오랫동안 유출 알림을 못 받은 이유가 궁금했음
      이 변경에 대한 알림을 본 기억이 없음
    • 또 하나의 “모든 것을 서비스로” 사례임
      처음엔 좋은 서비스로 시작했다가 사용량이 늘면 기능을 유료 장벽 뒤로 넣고 무료 서비스를 쓸모없을 정도로 낮추는 형편없는 프리미엄 모델임. Facebook은 나쁘긴 해도 이 정도로는 가지 않았고, “무료 Facebook”은 추적이 더 많아졌을 뿐 2010년만큼은 기능이 유지됨

  • haveibeenburned.com, haveigotpwned.com, haveibeenrekt.com, PornHub가 팔로우한다는 사실이 알려진 뒤 누가 제안한 haveibeenfucked.com 같은 변형들이 생긴 건 미디어 유명세의 부작용으로 꽤 웃김

    • PornHub의 블로그는 늘 좋아했음: https://www.pornhub.com/insights/
    • 마지막 도메인은 리벤지 포르노 저장소로 흥미로울 수도 있지만, 많은 관할권에서 배포가 불법임
      대신 리벤지 포르노의 얼굴 인식 해시 데이터베이스를 만들고, 자기 얼굴의 유사 해시를 올려 온라인 어딘가에 있는지 확인하는 식은 가능할지도 모름
    • 몇 년 전 아내가 임신한 친구 부부가 있었는데, “모두가 우리가 ‘했다’는 걸 알게 된다”는 사실을 실제로 좀 부끄러워했음
      상상도 못 한 수준의 민망함이었음
    • 인터넷 규칙이 작동한다는 증거임. 존재하는 것에는 포르노 버전이 있음

  • Hunt의 정보성 글을 정말 좋아함
    실제 개인정보를 전송하지 않고도 pwned 파일과 비밀번호를 대조하기 위해 k-익명성을 쓰는 방법을 읽은 기억이 있고, 그 덕분에 그 개념을 공부한 뒤 업무 프로젝트에도 사용하게 됨
    실제 개인정보를 전송하지 않고 검사하는 글들을 읽지 않았다면 내가 어떻게 했을지 가끔 생각함

  • 협박 사기꾼들이 pwned 비밀번호 데이터베이스를 이용해 꽤 그럴듯한 피싱 메일을 만들고 있음
    “네 시스템에 원격 접근 도구를 설치했고 웹캠으로 지켜봤다. 해킹 증거는 이 비밀번호다. 이 주소로 BTC 1800달러어치를 보내고 경찰에는 가지 마라. 다음엔 비밀번호 관리자를 써라” 같은 식임. 이런 사기에 실제로 걸리는 사람이 있는지 궁금함
    대부분은 스팸 필터에 막힐 것 같고, SPF/DKIM 필터를 통과했을 때만 봐서 추가 학습시켰음. 꽤 영리해 보임
    서비스 자체는 고맙고 Troy Hunt의 글도 즐겨 읽음. HIBP는 훌륭함

    • 가족 한 명이 그 이메일이 진짜인지 불안해하며 전화했음
      예전 비밀번호가 아니라 전체 우편 주소와 신용카드 마지막 4자리가 들어 있었고, 실제로 믿는 사람들이 있음
    • Pwned Passwords 조회는 해시나 평문 비밀번호 없이 유출 횟수만 반환함
      이 기능만으로는 그런 공격이 가능하지 않음
    • 실제로 당했는지는 모르겠지만, 사용자가 놀라서 IT팀에 확인받으러 달려오는 경우는 들어봤음
      나도 이런 이메일을 한두 번 받았는데, 그 꽤 약한 비밀번호를 어느 사이트에서 썼는지 전혀 짐작이 안 갔음
    • 한 번은 내 비밀번호가 평문으로 들어 있는 이메일을 받았고 꽤 불쾌했음
      빠르게 검색해 보니 내가 중요하게 여기는 곳에는 쓰지 않은 비밀번호라 그냥 넘겼지만, 오래된 비밀번호라는 걸 알면서도 여전히 찝찝했음
      비밀번호 관리자를 쓰지 않았다면 그 비밀번호가 어디에 쓰였는지 바로 확인하지 못하고 기억을 쥐어짜야 했을 텐데, 그 느낌은 상상하기 어려움

  • HaveIBeenPwned가 사용자 인식에 끼친 영향은 주목할 만함
    반면 SpyCloud는 30배 더 큰 데이터셋을 갖고 기업들과 직접 협력해 비밀번호 재사용을 실제로 완화하는데 충분한 인정을 못 받는 느낌임
    대형 웹사이트 로그인 때 비밀번호 재설정을 요구받았거나, 여러 곳에서 쓰인 비밀번호라 바꾸라는 이메일을 받은 적이 있다면 뒤에 SpyCloud가 있었을 가능성이 큼

    • 의도한 건 아닐 수 있지만, 그 표현은 HIBP가 기업들과 직접 협력해 비밀번호 재사용을 줄이지 않는다는 뜻처럼 들림
      실제로는 하고 있음. 예를 들어 1Password와 다른 비밀번호 관리자, Firefox, FBI, 영국·호주 정부와의 협력이 있음
    • 수백만 명을 돕는 무료 서비스와, 어떤 사용에도 구독이 필요한 회사를 비교하는 건 같은 선상의 비교가 아님
      후자는 대부분의 사람에게 전혀 유용하지 않음
    • SpyCloud의 고객 수보다 Troy의 무료 pwned 비밀번호 데이터를 통합해 실제로 비밀번호 재사용을 줄인 사람 수가 더 많을 거라고 봄

  • 개인정보 보호에 신경 쓰는 사람이라면, 공개 검색에서 자기 정보를 제거하는 방법은 여기 있음
    https://haveibeenpwned.com/OptOut

    • 내 이메일이 여전히 Collection #1이나 Anti Public Combo List 같은 곳에 있다면 HIBP에서 제외해도 별 쓸모가 없어 보임
      이메일로 나쁜 짓을 하려는 사람은 집계 사이트를 긁기보다는 원본 전체 목록을 내려받을 가능성이 큼
    • 도메인 단위 제외도 지원하는지 궁금함
    • 다만 Google ReCaptcha를 풀어야 해서 개인정보 보호에 민감한 사람들은 싫어할 것임
      참고로 “이메일 주소가 속한 도메인의 관리자는 도메인 검색에서 여전히 당신을 볼 수 있다”고 되어 있음

  • 지난 10년 동안 스토킹 피해자 중 얼마나 많은 사람이, 가해자가 계정과 사생활을 찾아내고 침해하는 쉬운 안내 도구로 HaveIBeenPwned를 썼다는 걸 알게 됐을지 궁금함
    물론 사이트 입장은 악의적 행위자가 서비스를 이용하기 전에 피해자가 미리 가입해서 검색 노출을 꺼야 한다는 것임
    이메일 검증 뒤에 보여주는 것보다, 주소를 입력하자마자 다른 사용자에게 “당신 정보가 밖에 있다!”는 충격을 주는 게 사용자 안전보다 더 중요하다는 셈임

    • 이메일 검증을 넣으면 서비스 운영 비용이 훨씬 커져 지속 가능하지 않을 수도 있음
      누군가의 이메일 주소를 갖고 있다면 그 주소가 어디에 쓰였는지 알아내는 데 꼭 HIBP가 필요할까? Google만으로도 이미 많은 결과가 나오지 않나?
    • 동의함. 공격자에게 필요한 정보의 90%를 주면서도, 피해자에게는 어떤 데이터가 유출됐는지 알려주지 않아서 더 나쁨
      어떤 비밀번호가 손상됐는지 알아낼 수 있게 해시를 보고 싶음
    • HIBP가 어떻게 악용될 수 있는지 더 설명해 줄 수 있나? 그냥 이메일이 유출 목록에 있는지 확인하는 것뿐임

  • “제트스키를 타고 내가 하고 싶은 건 뭐든 한다”라니, Troy Hunt가 Mobius 변종인가?

  • 이혼의 구체적인 내용에 대해 많이 쓴 적이 있는지 궁금함
    자산 50% 분할과 누가 무엇을 소유하는지 정리하는 과정 때문에 길고 비싸졌다고 보면 되는 건가?

답변달기