한 블로거의 스크래퍼가 97,931명에게 유출된 비밀번호를 이메일로 보냈다

Julian에 따르면 기존 알림 서비스에는 두 가지 문제가 있었다. 대부분의 사용자는 그런 서비스가 존재하는지조차 몰랐고, 많은 이들은 자신의 자격 증명을 또 다른 온라인 서비스에 넘기는 것을 불신했다.

모델을 뒤집는 것: 사용자에게 유출 서비스를 모니터링해 달라고 요청하는 대신, 직접 덤프를 스크래핑하고 노출된 각 소유자에게 자신의 자격 증명이 공개되어 있다고 이메일을 보내는 것이다.

사흘에 걸쳐 Julian은 PasteBin류 사이트에서 유출된 이메일/비밀번호 조합을 수집했다. 2015년 5월 19일 그의 도구 Canary는 미리 작성된 경고 이메일 97,931통을 발송했고, 6월 말까지 그는 로그인 자격 증명 300,000건을 수집하여 또 한 번의 대량 발송을 저울질하고 있었다.

감사 답장 아홉 통, 기부금 0원 — '캠페인에 큰 비용이 들지 않았기 때문에, 그것도 전혀 문제없다'; Julian은 이 실험을 성공이라고 불렀으며, 도움을 받은 많은 이들이 스팸 필터에 이메일이 걸려 답장하지 못했기를 바랐다.

모든 대형 해킹 사고는 이메일과 비밀번호 조합을 암시장에 쏟아내며, Slate의 Lily Hay Newman은 명백한 점을 지적했다. 우리 대부분은 자신의 자격 증명이 그중에 있는지 결코 확인하지 않는다는 것이다. ATechDad를 운영하는 필명 블로거 'Julian'은 우리를 대신해 확인하기로 했다. 사흘에 걸쳐 그는 PasteBin 같은 평문 호스팅 사이트에 게시된 유출 사용자 데이터를 수집했으며, Canary라는 자신이 만든 스크래퍼를 사용해 웹 페이지에서 선택된 데이터를 자동으로 추출하고 사람들에게 자신의 자격 증명이 노출되었다고 알리는 미리 작성된 이메일을 보냈다.

설계의 핵심 통찰은 신뢰였다. 유사한 스크래핑 서비스는 이미 존재했지만, Julian은 이렇게 썼다. '1. 대부분의 사용자는 이런 서비스가 존재한다는 것을 전혀 모른다. 2. 많은 사용자는 자신이 가장 중요하게 여기는 정보를 또 다른 온라인 서비스에 보내는 것을 꺼린다.' 그의 답은 이것이었다. 자격 증명 자체가 스스로 말하게 하자는 것 — 만약 그것이 PasteBin에 있다면, 소유자는 가입할 필요 없이 통지를 받아야 한다.

2015년 5월 19일, Canary는 사이버 보안이 위험에 처한 97,931명에게 이메일을 보냈다. Motherboard는 많은 이들이 피싱처럼 보이는 이메일을 무시할 것이라고 지적했다. Julian은 감사 인사 아홉 통을 받았고 기부금은 없었으며('이는 예상 밖의 일이 아니었다'), 6월 말까지 로그인 자격 증명 300,000건을 수집하여 두 번째 대량 발송을 고려하고 있었다. '전반적으로 나는 이 실험을 성공이라고 생각한다'라고 그는 썼다.

가입 단계를 없앤 것이 신뢰의 장벽을 없앴다. 피해자들은 낯선 이에게 데이터를 넘기지 않고도 유출 사실을 알게 되었다.

전체 장치는 스크래퍼 하나와 미리 작성된 이메일뿐이었다 — 거의 비용 없이 이뤄진 1인 공익 서비스였다.

미온적인 반응률 자체가 발견이었다. 콜드 이메일을 통한 유출 통지는 거의 효과가 없으며, 이는 서비스들이 여전히 해결하지 못한 문제다.

통지의 공백은 설계 문제다. 사람들에게 또 다른 서비스를 신뢰하라고 요구하는 대신, 유출이 이미 드러난 곳에서 사람들을 만나라.

2015년 6월 말 기준으로 Julian은 수집한 자격 증명 300,000건, 감사 인사 아홉 통, 그리고 두 번째 이메일 대량 발송에 관한 결정을 앞두고 있었다 — 실험은 ATechDad에 공개적으로 기록되었고 Slate와 Motherboard가 보도했다.