개인정보 유출 후폭풍, 어떻게 대비해야 할까?

[꾸장(권영길)]

최근 국내 특정 온라인 서비스에서 회원 정보 저장 데이터베이스(DB)에 대한 비인가 접근이 확인되며, 사용자 개인정보 유출 우려가 커지고 있다. 유출된 정보에는 아이디, 이름, 생년월일, 성별, 본인확인 정보는 물론, 일부 암호화 보호 처리된 휴대폰 번호, 이메일 주소, 환불 계좌번호, 로그인 비밀번호가 포함된 것으로 알려졌다.

문제는 유출된 정보 자체보다도, 이를 조합해 사용자를 속이는 후속 공격이 본격화될 수 있다는 점이다. 개인과 기업이 지금 주의해야 할 2차 공격 유형과 대응 방법을 살펴보자.

개인정보 유출 이후 무슨 일이 발생할까

개인정보 유출 사고가 발생하면 공격자는 이름, 연락처, 이메일, 생년월일 등 신원 확인에 활용될 수 있는 정보를 조합해 실제 안내 메시지인 것처럼 사용자를 속인다. 이번 사고처럼 기본 가입 정보와 연락 수단, 계정 정보가 함께 유출된 경우 피싱, 스미싱, 계정 탈취, 사회공학적 금융 사기 등 다양한 후속 공격으로 이어질 가능성이 높다.

가장 먼저 주의해야 할 공격은 유출 사고를 사칭한 스미싱이다. 공격자는 유출된 이름과 휴대폰 번호를 악용해 ‘개인정보 유출 여부 확인’, ‘보상금 지급 신청 및 접수’, ‘계정 일시 잠금에 따른 보호 조치’ 등을 사칭한 문자 메시지를 발송한다. 사용자가 본문에 첨부된 URL을 누르면 공격자는 악성 앱(APK) 설치를 유도하거나 스마트폰 제어권, 금융 정보 등을 탈취할 수 있다. 이 과정에서 공식 안내처럼 보이는 문구와 사용자 이름을 함께 사용해, 사용자가 별다른 의심 없이 링크를 클릭하도록 유도한다.

피싱 이메일도 대표적인 후속 공격 유형이다. 공격자는 유출된 이메일 주소를 대상으로 비밀번호 재설정, 보안 인증, 계정 잠금 해제 등을 사칭한 메일을 발송할 수 있다. 메일에 포함된 링크는 정상 서비스와 유사하게 제작된 가짜 로그인 페이지로 연결될 수 있으며, 사용자가 아이디와 비밀번호를 입력하면 공격자는 해당 정보를 추가로 확보한다. 이렇게 탈취된 계정 정보는 해당 서비스뿐만 아니라 동일하거나 유사한 비밀번호를 사용하는 다른 서비스 공격에도 활용될 수 있다.

계정 탈취를 노린 크리덴셜 스터핑 공격도 우려된다. 크리덴셜 스터핑은 공격자가 확보한 아이디와 비밀번호 조합을 포털, 금융 앱, 기업 업무 시스템 등 여러 서비스에 무차별적으로 대입하는 공격 방식이다. 많은 사용자가 여러 웹사이트에서 동일한 비밀번호를 재사용하기 때문에, 한 서비스에서 발생한 정보 유출이 다른 서비스의 계정 탈취로 이어질 수 있다. 유출된 비밀번호가 암호화돼 있더라도 공격자가 해독을 시도하거나 다른 정보와 결합해 공격에 활용할 가능성을 배제할 수 없다.

또한, 기본 신원 정보는 보이스피싱과 같은 사회공학적 금융 사기에 악용될 수 있다. 공격자는 고객센터, 금융기관, 공공기관 등을 사칭하면서 피해자의 개인정보를 먼저 언급해 신뢰를 형성할 수 있다. 이후 카드번호, 계좌번호, 주민등록번호, OTP 인증번호 등 추가 정보를 요구하거나 송금을 유도할 수 있어 각별한 주의가 필요하다.

일반 사용자가 지켜야 할 대응 수칙1) 주요 서비스 계정 비밀번호 변경

개인 사용자는 유출된 계정과 동일하거나 유사한 아이디와 비밀번호를 사용하는 모든 웹사이트와 포털 계정의 비밀번호를 즉시 변경해야 한다. 특히 금융, 포털, 쇼핑, 업무용 계정 등 중요도가 높은 서비스부터 우선적으로 점검하는 것이 필요하다. 비밀번호를 변경할 때는 기존에 사용하던 패턴을 반복하지 말고, 서비스별로 서로 다른 비밀번호를 설정해야 한다. 이를 통해 하나의 계정 정보 유출이 다른 서비스의 계정 탈취로 이어지는 연쇄 피해를 줄일 수 있다.

2) 다중 인증(MFA) 활성화

주요 계정에는 다중 인증을 반드시 활성화해야 한다. 다중 인증은 비밀번호가 노출되더라도 추가 인증 절차를 통해 비인가 접근을 차단할 수 있는 중요한 보호 수잔이다. 포털, 금융, 업무용 계정에는 SMS 인증, OTP, 생체 인증 등 서비스에서 제공하는 2차 인증 수단을 설정해 계정 보호 수준을 높이는 것이 바람직하다.

3) 출처가 불명학한 URL 클릭 및 앱 설치 금지

문자나 이메일로 전달되는 링크도 신중하게 확인해야 한다. 특히 개인정보 유출 여부 확인, 보상금 신청, 계정 보호 안내 등을 사칭한 메시지에 포함된 URL은 클릭하지 않는 것이 안전하다. 이런 링크는 악성 앱 설치나 가짜 로그인 페이지로 연결될 수 있으며, 이를 통해 스마트폰 제어권이나 계정 정보, 금융 정보가 탈취될 수 있다. 또한, 공식 앱 마켓이 아닌 외부 경로에서 다운로드되는 APK 파일은 절대 설치해서는 안 된다. 실제 안내 여부가 궁금하다면 문자나 메일에 포함된 링크를 이용하지 말고, 해당 기관이나 서비스의 공식 홈페이지 또는 공식 고객센터를 통해 직접 확인해야 한다.

4) 개인정보 입력 및 인증 요청에 대한 신중한 검증

전화로 개인정보나 금융 인증 정보를 요구하는 경우에도 의심해야 한다. 상대방이 이름이나 생년월일을 알고 있다고 해서 정상 기관이라고 단정해서는 안 된다. 카드번호, 계좌번호, 주민등록번호, OTP 인증번호 등을 요구하는 전화는 응답하지 말고 통화를 종료한 뒤, 공식 고객센터를 통해 사실 여부를 확인해야 한다.

기업 보안 관리자가 점검해야 할 사항1) 임직원 대상 피싱스미싱 주의 공지

기업 보안 관리자는 임직원을 대상으로 피싱·스미싱 주의 공지를 신속히 수행해야 한다. 유출 사고를 사칭한 메일이나 문자가 업무 환경으로 유입될 수 있으므로, 임직원이 의심스러운 메시지를 수신했을 때 사내 보안 부서로 즉시 신고할 수 있도록 내부 안내 체계를 가동해야 한다.

2) 이메일 및 웹 보안 정책 강화

사내 시스템으로 유입되는 이메일에 대해 스팸 필터링과 악성 URL 차단 정책을 재점검하고, DMARC, SPF, DKIM 등 이메일 인증 설정을 확인해야 한다. 피싱 메일이 정상 업무 메일로 위장해 유입될 수 있어, 보안 탐지 강도를 높이고 악성 링크 접속을 차단할 수 있는 정책을 점검하는 것이 필요하다.

3) 임직원 계정 정보 재사용 여부 점검

임직원이 외부 서비스 가입 시 업무용 이메일 계정을 사용했거나, 사내 포털·업무 시스템과 동일한 비밀번호를 사용했을 가능성이 있다면 즉시 점검해야 한다. 필요 시 업무 계정 비밀번호 변경을 권고하거나 강제화해 외부 서비스 정보 유출이 내부 시스템 침해로 이어지지 않도록 해야 한다.

4) 이상 로그인 및 인증 시도 모니터링 강화

사내 VPN, 클라우드 콘솔, 협업 툴을 대상으로 주요 업무 시스템에 대한 이상 로그인 모니터링을 강화해야 한다. 평소와 다른 자격 증명 시도, 해외 IP 접속, 비인가 단말 접근, 반복적인 로그인 실패 로그는 계정 탈취 시도의 징후일 수 있다. 보안 관리자는 이런 이상 징후를 조기에 탐지하고 대응할 수 있도록 로그 분석과 경보 체계를 점검해야 한다.

침해사고 의심 시 대처 방안

개인정보 유출 사고 이후에는 실제 유출 여부와 관계없이 이를 악용한 사칭 공격이 빠르게 확산될 수 있다. 사용자는 문자, 이메일, 전화를 통해 전달되는 개인정보 입력 요청과 인증 요구에 신중히 대응해야 한다. 기업 역시 임직원 계정 보호 조치를 강화하고, 이상 로그인 시도나 의심스러운 접근에 대한 보안 모니터링을 확대할 필요가 있다.

침해사고가 확인되거나 의심되는 경우에는 한국인터넷진흥원 인터넷침해대응센터 또는 관할 기관을 통해 신속히 신고해야 한다.

• 한국인터넷진흥원 인터넷침해대응센터 종합상황실
• ‘KISA 인터넷보호나라&KrCERT’ 홈페이지 → 침해사고 신고 메뉴 이용