안녕하세요 솜브라 입니다.
최근에도 삼성계정 로그인 시도 관련해서 문의를 드린적이 있습니다.
저는 개인적으로 삼성계정을 변경 하면 바꿔야하는 부분이 많기 때문에 지난번 추천 주신 계정 변경에 대해서는 고려를 하지 않고 있습니다.
금일 새벽에 또 로그인시도와 함께 계정이 잠겼는데 이 시스템 구조가 이용자의 불편을 만드는 시스템이라고 생각해 문의 및 제안을 드립니다.
삼성계정의 현재 구조는ID는 알고 PW를 모를 경우 이메일을 통해 임시비밀번호 발급 및 PW를 변경할 수 있는 구조 입니다.
대부분 로그인 이메일은 삼성계정과 동일해 취약합니다.
ID(이메일)만 알고 있으면 누구나 비밀번호 재요청을 할 수 있는 상태입니다.
그래서 본인 메일이 1차 보안인데 여기까진 내 메일을 로그인 하지 않을 경우 PW 변경을 할 수 없습니다.
또한보안 질문으로 인증도 허술한게 질문지가 예시로 나와서 유추할 수 있다면 충분히 유추해서 맞출법한 질문도 있을꺼 같습니다.
질문지는 본인이 선택하거나 5가지 문항 중 질문지를 선택해 맞추는 방식으로 바꿔야한다고 생각합니다.
⚠️다만 비밀번호를 여러번 틀리거나 이 시도를 여러번 하면 삼성계정이 잠겨버립니다.
삼성계정이 잠겨버리면비밀번호를 재설정해야 풀리는데 내가 시도하지 않은 해킹범의 악용으로 매주 비밀번호를 바꾸고 있는 시점이 너무 불편합니다.
이에 이메일 주소를 바꿔보라는 안내도 들었지만 이는 또 이메일 주소가 노출될 경우 (추측할 경우) 또 같은 반복이 일어날 것으로 보여집니다.
그래서 현재시스템에서 "계정이 잠겼습니다" 안내에 비밀번호 재설정 외 "본인 인증" 서비스를 추가하여 PW를 바꾸지 않고 본인인증(휴대폰, 보안매체 6자리, OTP등)으로 인증하여 계정잠금을 해제하는 방안을 만들어주시면 좋겠습니다.
아울러 다른 웹사이트 처럼 보안기능을 더 추가하여 해킹범들이나 이메일 및 로그인시도를 원천적으로 차단할 수 있도록 서비스를 추가하였으면 합니다.
네이버의 경우 "타지역 로그인 차단" / "해외 로그인 차단" 을 토글방식으로 제공하여 이용자의 선택지와 함께 보안기능이 더 추가된 것을 볼 수 있습니다.
또한구글이나 티스토리의 경우 로그인 한 사용자의 접속위치 및 ip주소를 보여주며 차단할지 여부를 물어보는 보안을 적용하고 있습니다.
삼성계정도로그인 시도를 하는 ip및 국가를 모니터링해서 이용자에게 특정 부분만 가리고 제공하면서 차단할 수 있도로록 보안 강화 및 제공이 필요하다 생각합니다.
그리고 네이버의 경우 해킹시도를 막기위한 다양한 방법중 하나인 로그인 전용 아이디 가 있습니다.
네이버도 지속적으로 해킹시도가 있어 OTP와 2차인증을 해두었지만 시도는 지속적이었습니다.
하지만 로그인 전용 아이디를 적용한 이후로는 로그인 시도도 없었고 로그인 조차 못하는 상황으로 아이디를 로그인 전용으로 바꿨기에 해킹빈도가 줄어들었던거 같습니다.
삼성계정 팀 에서 다양한 방법으로 보안에 있어 기능을 개선했으면 좋겠습니다.
현재 시점에서는 계정만 알면 상대방의 계정을 잠금 / 로그인 시도를 할 수 있다는게 문제인거 같습니다.
검토 부탁드립니다.
감사합니다.
안녕하세요 답변 감사합니다.
안내 주신 ( 안전한 계정 사용을 위해 2단계 인증 설정을 권장드리며, 2단계 인증 설정하신 계정은 ID/PW로 로그인 후 2단계 인증이 진행되어 타인이 접속하실 수 없습니다. )
내용은 이미 2차 인증을 모두 마친 상태 입니다.
다만 제가 제안 한 내용은 ( 만약 타인 접근 시도로 인한 로그인 실패로 계정 잠김 차단 상태가 되는 경우 비밀번호 재설정을 통해서 계정 잠김을 해제 하실 수 있습니다. )
타인이 PW를 모르는 상태에서 이메일 입력 후 PW 입력 창에서 지속적인 시도를 하면 계정이 잠기는데 이게 2차 인증과는 무관하고 누군가 악용을 한다면 이메일 주소만 알면 누구나 계정을 잠글 수 있기에 계정이 잠기면 PW변경이 의무가 아닌 본인 인증을 통해 해제 할 수 있거나 해외차단을 할 수 있도록 기능 추가를 요청합니다.
검토를 꼭 해주셨으면하고 재현을 직접 해보시면 제가 어떤 말을 하는지 이해가 가실겁니다.
재현방법 : PC(크롬) 삼성계정 로그인 -> Id(이메일) 입력 후 다음 -> PW를 6회 이상 다르게 입력 -> 계정이 잠겼습니다. 메시지와 함께 사용자 계정 잠김
이 방법을 악용하면 2차인증이든 다른 비밀번호를 통해 틀려서 계정이 잠기는게 잘못된 거 같습니다
안내 주신 ( 안전한 계정 사용을 위해 2단계 인증 설정을 권장드리며, 2단계 인증 설정하신 계정은 ID/PW로 로그인 후 2단계 인증이 진행되어 타인이 접속하실 수 없습니다. )
내용은 이미 2차 인증을 모두 마친 상태 입니다.
다만 제가 제안 한 내용은 ( 만약 타인 접근 시도로 인한 로그인 실패로 계정 잠김 차단 상태가 되는 경우 비밀번호 재설정을 통해서 계정 잠김을 해제 하실 수 있습니다. )
타인이 PW를 모르는 상태에서 이메일 입력 후 PW 입력 창에서 지속적인 시도를 하면 계정이 잠기는데 이게 2차 인증과는 무관하고 누군가 악용을 한다면 이메일 주소만 알면 누구나 계정을 잠글 수 있기에 계정이 잠기면 PW변경이 의무가 아닌 본인 인증을 통해 해제 할 수 있거나 해외차단을 할 수 있도록 기능 추가를 요청합니다.
검토를 꼭 해주셨으면하고 재현을 직접 해보시면 제가 어떤 말을 하는지 이해가 가실겁니다.
재현방법 : PC(크롬) 삼성계정 로그인 -> Id(이메일) 입력 후 다음 -> PW를 6회 이상 다르게 입력 -> 계정이 잠겼습니다. 메시지와 함께 사용자 계정 잠김
이 방법을 악용하면 2차인증이든 다른 비밀번호를 통해 틀려서 계정이 잠기는게 잘못된 거 같습니다
요기 오타 있는것 같습니다. 글 정말 잘보고 갑니다🫠
