Dashlane 사건을 “비밀번호 관리자 자체가 뚫렸다”로 이해하면 핵심을 놓치기 쉽습니다. 이번 공격의 초점은 암호화 해제가 아니라, 기존 사용자 계정에 새 기기를 등록하는 인증 흐름이었습니다.
즉, 공격자는 vault 암호화를 직접 깨려 한 것이 아니라 새 기기 등록 과정에서 쓰이는 6자리 일회용 코드를 대량으로 시도했습니다. 이 차이를 이해해야 실제 위험과 사용자가 취할 조치를 정확히 판단할 수 있습니다.
공격자가 노린 지점: 새 기기 등록 절차
공격은 2026년 5월 31일 외부 위협 행위자에 의해 시작됐습니다.1 Dashlane은 공격자가 누구인지, 총 몇 개 계정이 표적이 됐는지는 공개하지 않았습니다.12
공격자는 Dashlane의 기기 등록 API 엔드포인트에 자동화된 대량 요청을 보냈습니다.1 목적은 기존 사용자 계정에 새 기기를 등록하기 위해 2단계 인증 보호를 우회하는 것이었습니다.2
Dashlane의 신규 기기 등록에는 등록 이메일 또는 인증 앱으로 받은 6자리 일회용 코드가 사용됩니다. 공격자는 이 코드를 맞히기 위해 가능한 숫자 조합을 빠르게 제출하는 브루트포스 방식을 사용했습니다.2
Dashlane의 보안 제어는 일부 대상 계정에서 높은 요청량을 감지했고, 그 결과 임시 계정 정지와 인증 문제가 발생했습니다.1 그러나 일부 계정에서는 공격자가 유효한 코드를 만들어냈고, 개인 요금제 고객 20명 미만의 암호화된 vault가 다운로드됐습니다.1
“암호화된 vault 다운로드”가 의미하는 것
이번 사건에서 다운로드된 것은 평문 비밀번호 목록이 아닙니다. vault 내용을 읽으려면 사용자의 Master Password가 필요합니다.2 Dashlane은 내부 시스템 침해 증거도 없다고 밝혔습니다.1
그렇다고 위험이 없는 것은 아닙니다. 암호화된 vault를 확보한 공격자는 이후 오프라인에서 Master Password를 추측할 수 있습니다. Master Password가 짧거나, 다른 서비스에서 재사용한 비밀번호라면 위험은 커집니다.
따라서 이번 사건의 핵심은 “암호화가 무력화됐다”가 아닙니다. 강한 암호화가 있더라도 계정 주변의 인증 흐름, 특히 새 기기 등록·이메일 인증·2FA 절차가 공격 표면이 될 수 있다는 점입니다.
사용자가 확인할 것
Dashlane은 영향을 받은 모든 사용자에게 직접 연락했다고 밝혔습니다.1 알림을 받지 않았다면 vault 다운로드 피해 대상은 아닐 가능성이 큽니다.
그래도 다음 항목은 점검하는 것이 좋습니다.
Dashlane 계정에 등록된 기기 목록을 확인하고 모르는 기기는 제거하기
2FA가 꺼져 있다면 활성화하기
Master Password를 길고 고유한 문장형 비밀번호로 설정하기
Master Password를 다른 서비스에서 재사용하지 않기
이번 사건은 비밀번호 관리자를 쓰지 말라는 신호가 아닙니다. 오히려 비밀번호 관리자를 쓰더라도 Master Password, 2FA, 등록 기기 관리를 함께 챙겨야 한다는 점을 보여줍니다.
비밀번호 vault 자체는 강하게 보호되더라도, 계정에 새 기기를 붙이는 과정이 약하면 공격자는 그 틈을 노립니다.
참고
1Dashlane Discloses Brute-Force Attack, Encrypted Vaults of Fewer Than 20 Users Downloaded
2Password manager Dashlane says hackers stole some customers' password vaults
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.