빠른 답변
등록기관 계정을 탈취로부터 어떻게 보호하나요?
다른 곳에서는 쓰지 않는 긴 무작위 비밀번호, 2단계 인증, 최소한의 사용자, 지원 전화로 우회할 수 없는 복구 경로로 등록기관 계정을 보호하십시오. Wardmint는 2024년 7월과 2026년 2월 표의 두 사고에서 약점이 DNS 레코드가 아니라 등록기관 또는 플랫폼의 로그인이나 지원 절차였다고 집계했습니다.
계정 통제와 각각이 대응하는 사고
| 통제 | 막는 것 | 대응하는 공개 사례 |
|---|---|---|
| 이전된 모든 도메인의 계정을 직접 선점 | 공격자가 먼저 계정을 만드는 것 | Squarespace 이전, 2024년 7월 9일~12일(OAuth 취약점) |
| 지원 전화 규칙: 음성 요청으로는 변경하지 않음 | 지원 상담원에 대한 사회공학 | Avantis, 2026년 2월(지원 통화 후 계정 탈취) |
| 계정에 2단계 인증 | 탈취한 비밀번호로의 로그인 | 2026년 10월 30일~31일 리디렉션 이후 Name.com의 권고 |
| 보관소에 긴 고유 비밀번호 | 자격 증명 재사용과 추측 | 일반 관행 |
| 이름이 지정된 소수 사용자, 퇴사 시 제거 | 내부자와 전 구성원의 접근 | DAO 및 기여자 교체 |
| 북마크한 로그인 주소 | 등록기관 로그인에 대한 피싱 | 일반 관행 |
등록기관 계정이 표적인 이유는 무엇인가요?
네임서버, DS 레코드, 소유자를 바꿀 수 있고, 내 체인의 어떤 코드도 이를 되돌릴 수 없기 때문입니다. 나인 것처럼 로그인한 하이재커는 도메인을 원하는 곳으로 가리키게 한 다음 새 목적지의 인증서를 요청할 수 있습니다.
공개 기록이 이 패턴을 보여 줍니다. Krebs on Security는 2024년 7월, Google Domains에서 Squarespace로 이전된 도메인이 소유자보다 먼저 도메인에 연결된 이메일로 계정을 만든 공격자에게 노출되었다고 보도했으며, Squarespace는 이를 OAuth 로그인 관련 취약점 때문이라고 설명했습니다. Blockaid는 2026년 2월, 지원 통화에서 청구 정보가 추출된 후 Squarespace 계정이 탈취되어 Avantis가 침해되었다고 썼습니다. 2026년 10월 30일과 31일에는 한 등록기관에 등록된 DeFi 사이트 12곳의 도메인이 리디렉션되었고, 등록기관은 이를 복구하며 DNS 점검과 2단계 인증을 권고했습니다.
2026년 11월 12일 Wardmint의 집계에 따르면 표의 사고 7건 중 2건(2024년 7월의 사태와 2026년 2월의 Avantis 사례)은 등록기관 또는 플랫폼의 로그인이나 지원 절차가 핵심이었습니다. 전체 목록은 어떤 암호화폐 프로젝트가 DNS 하이재킹으로 사용자를 잃었나요에 있습니다.
어떤 비밀번호와 로그인 구성을 사용해야 하나요?
비밀번호 관리자가 생성하고 저장한 20자 이상의 무작위 비밀번호를 사용하고, 절대 재사용하지 마십시오. 공유 채팅 메시지나 스프레드시트는 보관소가 아닙니다. 두 명 이상이 접근해야 한다면 감사 기록이 있는 팀 보관소를 사용하고 누가 비밀을 보았는지 기록하십시오.
계정에 2단계 인증을 켜십시오. 하드웨어 보안 키는 코드를 피싱 페이지에 넘기지 않으므로 가장 강력한 일반적 두 번째 요소입니다. 인증 앱이 다음 선택이며, 문자 메시지로 받는 코드가 가장 약합니다. 복구 코드는 두 곳에 오프라인으로 보관하고 누가 접근할 수 있는지 적어 두십시오.
Wardmint에서는 계정 번호와 비밀번호로 로그인하며, 고객 영역에서 2단계 인증을 켤 수 있습니다. DNSSEC, CAA 레코드, 악용 신고 지원을 포함해 주 7일, 12시간 이내 이메일 답변. 등록 자체에는 도메인당 인증된 이메일 하나만 필요하므로, 계정 이메일은 내가 통제하는 메일함에 두고 그 메일함을 계정만큼 엄격하게 보호하십시오.
누가 접근할 수 있어야 하며 지원 전화는 어떻게 처리하나요?
소유자 한 명과 백업 한 명을 지정하고, 둘 다 문서화하며, 전화 한 통만으로는 어떤 변경도 하지 않는다는 규칙을 작성하십시오. Avantis 사례가 그 이유를 보여 줍니다. 지원팀이 전화 통화 후 계정을 변경할 수 있다면 비밀번호의 강도는 더 이상 의미가 없습니다.
DAO나 재단이라면 누가 자격 증명을 보유하는지, 트레저리가 어떻게 잔액을 충전하는지, 기여자가 떠날 때 접근 권한이 어떻게 바뀌는지를 미리 정하십시오. 공동 관리 관행은 DAO는 도메인을 어떻게 보유하고 결제해야 하나요에 있습니다. 팀을 떠나는 사람의 접근 권한은 당일 제거하고, 공유 비밀번호도 그때 변경하십시오.
가장 중요한 도메인에는 도메인당 연 +US$29의 도메인 보호를 고려하십시오. 도메인이 DomaineGoat LLC의 명의로 등록되고, 고객은 내 명의로 무료 반환이 가능한 수익자로 남으며, 이전 잠금이 켜지고, 모든 신고는 조치 전에 사람이 읽습니다. 이 옵션은 도메인 보호란 무엇인가에 설명되어 있습니다. 계정이 담고 있는 것을 줄여 줄 뿐, 강력한 로그인을 대체하지는 않습니다.
일곱 단계로 등록기관 계정을 보호하는 방법
모든 계정과 도메인 목록 작성
각 등록기관 계정, 그 안의 도메인, 로그인할 수 있는 사람을 나열하십시오. 이전 과정에서 물려받은 계정도 포함하십시오.
이전된 계정 선점
등록기관이 이전 등록기관을 흡수한 경우, 로그인하여 각 도메인의 계정을 낯선 사람이 아니라 내가 보유하고 있는지 확인하십시오.
비밀번호 교체
보관소에서 20자 이상의 무작위 비밀번호를 생성하여 이 계정에만 사용하십시오.
2단계 인증 켜기
하드웨어 키를 우선하고, 그다음 인증 앱을 사용하십시오. 복구 코드는 두 곳에 오프라인으로 보관하십시오.
접근 줄이고 기록하기
소유자 한 명과 백업 한 명을 지정하고, 나머지는 모두 제거하며, 각 변경의 날짜와 사유를 기록하십시오.
지원 전화 규칙 작성
전화나 채팅만으로는 누구도 DNS, 소유자, 연락처를 변경하지 않기로 합의하고 팀에 알리십시오.
로그인 북마크 및 피싱 경계
등록기관은 북마크로만 여십시오. 등록기관에 로그인하라는 이메일은 모두 피싱 시도일 수 있다고 보십시오.
등록기관을 복제한 피싱 페이지는 어떻게 알아보나요?
아무것도 입력하기 전에 주소를 확인하고, 이메일의 로그인 링크는 절대 따르지 마십시오. 등록기관 피싱은 긴박감에 의존합니다. 도메인이 곧 만료되거나 민원이 접수되었다는 메시지입니다. 북마크로 등록기관을 열고 계정에서 같은 알림을 찾아보십시오.
저장된 정확한 주소에서만 자격 증명을 채워 주는 비밀번호 관리자를 사용하면 유사 로그인 페이지는 아무것도 얻지 못합니다. 하드웨어 키는 두 번째 요소에도 같은 보호를 더합니다. 의심스러운 페이지에 비밀번호를 입력했다면 즉시 변경하고, 모든 세션을 종료하고, DNS 레코드와 연락처 이메일을 검토하십시오.
두 번째 계층은 만료입니다. 만료된 도메인은 누구나 가져갈 수 있으며, 갱신 의무는 도메인 만료를 막는 방법에서 다룹니다. 더 넓은 보안 강화 계획은 DNS 하이재킹으로부터 도메인을 보호하는 방법에 있습니다.
등록기관 계정 보안에 관한 질문
2단계 인증이면 충분한가요?
필요하지만 그것만으로는 충분하지 않습니다. Avantis 사례는 지원 전화를 통해 이루어졌습니다. 전화로는 변경하지 않는다는 규칙과 소수의 사용자를 추가하십시오.
이전 잠금이 계정을 보호하나요?
아니요. 다른 등록기관으로의 이전을 막을 뿐입니다. 로그인을 가진 사람이 네임서버나 레코드를 변경하는 것은 막지 못합니다.
계정에 팀 공용 이메일을 사용해야 하나요?
한 구성원의 개인 주소가 아니라 팀이 통제하고 2단계 인증으로 보호되는 메일함을 사용하십시오. 각 도메인에도 등록을 위한 인증된 이메일 하나가 필요합니다.
접근 권한이 있는 기여자가 떠나면 어떻게 하나요?
비밀번호를 변경하고, 해당 접근 권한을 제거하고, 복구 코드를 교체하고, DNS 레코드를 검토하십시오. 모두 같은 날 하십시오.
도메인 보호가 강력한 로그인을 대체할 수 있나요?
아니요. 도메인을 회사 명의에 두고 신고에 대한 사람의 검토를 더할 뿐이며, 계정에는 여전히 강력한 로그인이 필요합니다.
요약
- 등록기관 계정은 네임서버, DS 레코드, 소유자를 변경할 수 있습니다.
- 2024년과 2026년의 공개된 하이재킹은 로그인 취약점이나 지원 전화를 통해 이루어졌습니다.
- 20자 이상의 무작위 비밀번호를 보관소에 두고, 다른 곳에서는 사용하지 마십시오.
- 2단계 인증을 켜십시오. 가능하면 하드웨어 키를 사용하십시오.
- 소유자 한 명과 백업 한 명을 지정하고, 퇴사자는 당일 제거하십시오.
- 전화 한 통만으로는 어떤 변경도 하지 않는다는 규칙을 작성하십시오.
- 도메인 보호는 연 +US$29이며 강력한 로그인을 대체하지 않습니다.
출처 (3)
- 연구자들: 취약한 보안 기본값이 Squarespace 도메인 탈취를 가능하게 함 — Krebs on Security (2026-11-12 확인)
- Frontend hijacking and the Web2 attack surface threatening Web3 protocols — Blockaid (2026-11-12 확인)
- 해커들이 Name.com에 등록된 DeFi 웹사이트 12곳을 하이재킹 — The Block (2026-11-12 확인)