오늘도 홈페이지 제작과 유지 관리 및 보수에 힘쓰고 계신 xe 기반 홈페이지 운영자님들 안녕하십니까.

 

요 근래 웃기지도 않은 사태를 2번씩이나 경험해서, 혹시 모르니 다른 분들도 참고하시라는 의미로 올립니다. 1번이면 웃고 넘어가겠는데 2번이니 안 웃기더라구요 -_-)

 

사건의 발단을 이렇습니다. 아침에 메일함을 열어보니 무려 36개의 안 읽어본 메일이 있더군요. 그런데 그 수보다도 메일 내용이 더 웃깁니다.

 

 

...이게 다 뭐시여.

 

아무거나 한번 눌러보죠.

 

 

저는 gigglehd.com이라는 사이트를 운영중입니다.

 

거기의 관리자 아이디는 gigglehd이구요.

 

제 이름은 강호가 맞고 닉네임은 낄낄이 맞습니다.

 

이메일 주소는 storyhold골벵이나베르닷컴이 맞지요.

 

그리고 저 메일은 누군가가 gigglehd 계정을 상대로 비밀번호 찾기 기능을 36번 눌러제꼈다는 의미입니다.

 

그런데, 여기에는 몇가지 문제가 있습니다.

 

 

1. 메일 발송 시각인 26일 밤 11시 21분에는 제가 자고 있었습니다. 그날 9시 반에 일찌감치 잤거든요. 그리고 저 몽유병 같은거 없어요 -_-)

 

2. 보낸 사람이 storyhold골벵이나베르닷컴입니다. gigglehd.com 서버가 나베르 서버에 입주한 것도 아닌데 gigglehd.com에 깔린 xe의 비밀번호 찾기 메일을 나베르에서 대신 보내주나요?

 

3. 저는 단독 서버를 사용중입니다. 서버 설치할때 애시당초 메일 서버를 설치하지도 않았습니다. 따라서 제 서버에서 메일을 보낼 수 없습니다.

 

4. 3의 이유로 해서, 아예 로그인 창에서 비밀번호 찾기 링크 자체를 빼버렸습니다 -_-) 작동도 안하는거 왜 달아놨냐는 소리를 몇번 들어서요.

 

 

 

요렇게.

 

 

따라서, 이런 결론이 가능합니다.

 

1. 저 이메일의 헤더가 조작되어 발신인을 storyhold골벵이나베르닷컴로 바꿨습니다. 실제 메일 발송은 다른 곳에서 하였습니다.

 

2. 저 메일을 보낸 작자는 xe의 시스템에 나름 연구를 했습니다.

 

제가 비밀번호 찾기 이메일을 본적은 없는데 -_-) 분명 양식은 저것과 똑같을 것입니다.

 

거기에 auth_key 링크를 만들어서 거기에 맞는 비밀번호까지 만들줄 알고 있으니까요.

 

결정적으로 비회원에게 회원 정보 보기가 공개되지 않고, 회원 정보를 봐도 제 '실명'은 나오지 않습니다(회원 정보 보기에서 이름이 나오지 않도록 소스를 바꿨습니다). 따라서 xe에 직접 쿼리를 날리던가 해서 추출해낸 정보임이 분명합니다.

 

 

제가 이런 일이 두번째라고 했지요? 10월 11일에 이런 일이 있었고, 그리고 26일에 또 한번이네요(일기 쓰는 습관이 있어서 확실합니다).

 

저는 위 사실들을 알고 있었기 때문에 저 링크를 눌러보지 않았지만(분명 링크 주소를 보면 멀쩡한 제 사이트의 주소임에도 불구하고!) 만약 멋모르고 얼떨결에 눌렀다면 어떻게 됐을까요 -_-)

 

참 이런 데로는 머리가 잘 돌아가는 놈들이죠. 다른 분들도 조심하시기 바랍니다. 아, 저는 영어/숫자 조합 17자리 비밀번호를 사용중이라 별로 여기서 털릴 일은 없어요. 그것도 슬슬 바꿔줘야 하려나.