제보된 해킹법에 대한 정리 및 추측.

일단 첫글은 정보량이 부족해서 카더라 같았는데

2번째 제보글에서 많은 정보를 얻어 추측이지만 일단 써봅니다.
직접 실험해봐서 일반적으로 불가능한 상황임을 확인한 팩트도 있긴하나 추측도 있으니 자삭할 수도 있다.

결론을 미리 말하자면 조작이 아니라면 진짜 문제인 것 같다.
이메일 아이디의 경우 어디까지나 제보된 경우만을 봐서는 안전한 것 같다. 표적은 그냥 넥슨 아이디.



먼저
1. 해킹이 가능하려면(추측) 이메일 아이디가 아니었다.(팩트)
인데요,


그 이유는 주민등록번호 정보가 사라졌기 때문에 이메일 아이디가 아닌 기존의 넥슨아이디에 남는 개인정보는 이름과 생년월일 뿐입니다.




보다시피 이런 인증창이 뜨죠.(대충 안 키우는 계정이라 변경 안하고 둔...)


이를 해킹범이 어떻게 이용해서 가짜 정보로 바꿔치우는 것 같은데 적어도 일반적인 방법으로는 안됩니다.
일반적으로는 불가능!


+추가: 인증을 해놨다치더라도 현재 이메일 아이디(넥슨멤버스)와 일반 넥슨아이디의 보안 관련 사이트주소가 다른 만큼 어딘가에 허점이 있어 해킹이 발생한 것으로 보입니다. 실제로 넥슨측에서 현재 만들기가 일반적으로는 불가능한 일반 넥슨아이디 관련 보안에 신경을 덜 쓸 것이기도 하고..




2. 현재 넥슨 회원가입은 일반적으로는 이메일 아이디 생성만 가능한데...(팩트)




자세한 내용은 각각
http://www.inven.co.kr/board/powerbbs.php?come_idx=2471&l=26092
http://www.inven.co.kr/board/powerbbs.php?come_idx=3487&l=64646

해당 스샷과 같이 이메일 계정이 아닌 아이디가 생성되었다는 메일이 확인되었습니다.


역시 일반적인 회원가입 시도로는 불가능한 상황입니다.




첫번째 상황과 두번째 상황 모두 일반적으로는 불가능한 상황입니다.
그리고 첫번째 스샷의 경우 생성된 아이디가 본래 있었던 아이디랑 같은 as**34라고 글에 적혀있는데 진짜 같은 계정명이었는지 글 작성자 분께 쪽지를 보냈지만 아직 확인은 안 되었는데요.(확인 결과 같음)
미스터리군요..신규가입이 진짜라고 본다면 원래 계정을 해킹 후 제거 후 같은 아이디로 바로 생성했다가 되는데 동일 아이디로 바로 안될테고..무엇보다 애당초 이메일 아이디로 될테고..Mr.Lee...


여러모로 일반적으로는 불가능한 상황이 발생된 것으로
불가능한 것이기에 조작아닌가 싶은 생각이 들 정도인데 진짜라면 넥슨의 보안 문제가 확실해보이네요.

이메일 아이디는 안전해보입니다.(적어도 상대적으로. 넥슨 아이디에 비해 허점이 적을 수 밖에 없음)





+추가(넥슨멤버스, 이메일 아이디로 변경하는 주소)
https://trans.nexon.com/trans/transemailid.aspx