유출된 계정 정보, 다른 서비스 침입의 열쇠 된다
최근 급증하는 해킹 사고로 인해 유출된 개인정보가 실제 범죄의 도구로 즉각 활용될 위험이 커지고 있다. 특히 사용자의 아이디와 비밀번호 같은 계정 정보뿐만 아니라 각종 인증 정보에 대한 각별한 주의가 요구된다. 이미 확보된 계정 정보를 다른 서비스에 반복적으로 대입하여 침입을 시도하는 '크리덴셜 스터핑(Credential Stuffing)' 공격을 통해 추가적인 계정 탈취가 발생할 수 있기 때문이다.
개인이 자신의 정보 유출 여부를 확인할 수 있는 공신력 있는 수단으로는 개인정보보호위원회의 ‘털린 내 정보 찾기 서비스’가 존재한다. 이 서비스를 이용하면 다크웹 등에서 본인의 아이디와 비밀번호 조합이 불법적으로 유통되고 있는지 파악할 수 있다. 특히 올해 1월 29일부터는 조회 대상에 이메일 주소까지 포함되어 범위가 확대되었다.
서비스 조회 결과만 믿기엔 개인정보 유출 범위 너무 넓어
다만 해당 서비스에서 유출 흔적이 발견되지 않았다고 해서 모든 개인정보가 안전하다고 확신할 수는 없다. 현재 제공되는 확인 범위는 이메일 주소와 아이디·비밀번호의 조합에 국한되어 있기 때문이다. 이름, 연락처, 주민등록번호, 혹은 각종 문서 형태의 정보까지 포괄적으로 검색해 주는 서비스는 아니므로, 이용자들은 서비스 결과와 별개로 다중 인증 설정 등 다각적인 보안 조치를 병행하는 것이 필수적이다.
기업이나 공공기관 역시 임직원의 계정 정보나 고객 데이터, 내부 문서 등이 외부로 흘러나가지 않도록 지속적인 모니터링을 수행해야 할 의무가 있다.
브라우저 세션 탈취하는 인포스틸러 주의보
개인 차원에서 가장 경계해야 할 위협은 정보 탈취형 악성코드인 '인포스틸러(Infostealer)'다. 이 악성코드는 브라우저에 저장된 비밀번호는 물론, 로그인 상태를 유지해 주는 세션 정보까지 탈취한다. 공격자가 세션 정보를 손에 넣게 되면, 사용자가 비밀번호를 변경하더라도 다중 인증(MFA) 단계를 거치지 않고 계정에 직접 접근할 수 있는 경로가 열리게 된다.
특히 금융 관련 정보는 즉각적인 금전적 손실로 직결될 수 있으며, 성명과 전화번호, 주소, 주민등록번호 등이 타 정보와 결합될 경우 신원 도용이나 정교한 피싱 범죄에 악용될 소지가 크다. 따라서 어떤 정보가 가장 위험한지 개별적으로 판단하기보다는, 해당 정보가 현재 사용 가능한 인증 수단인지, 여러 정보가 결합되어 있는지, 그리고 실제 금융 범죄나 계정 접근으로 이어질 가능성이 있는지를 종합적으로 고려해야 한다.
다중 인증과 패스키로 계정 보안 강화해야
정보 유출 피해를 최소화하려면 우선 여러 사이트에서 동일한 비밀번호를 사용하는 습관을 버려야 한다. 한 곳에서 유출된 정보가 크리덴셜 스터핑 공격의 발판이 되어 다른 서비스까지 연쇄적으로 뚫릴 수 있기 때문이다. 또한 비밀번호가 노출되더라도 공격자가 추가 인증 단계를 통과하지 못하도록 다중 인증(MFA)을 반드시 설정해야 한다.
보안 수준을 높이기 위해서는 단순한 문자 인증보다는 인증 앱이나 패스키(Passkey)를 활용하는 것이 훨씬 안전하다. 아울러 출처가 불분명한 앱이나 불법 복제 소프트웨어의 설치를 지양하고, 문자나 이메일, 메신저를 통해 전달된 의심스러운 링크와 첨부파일을 클릭하지 않아야 한다. 이러한 경로로 침투하는 인포스틸러는 브라우저 내 비밀번호와 로그인 세션까지 모두 빼앗아 가기 때문이다. 운영체제와 애플리케이션을 항상 최신 버전으로 유지하는 것도 중요하다.
결국 계정 탈취 방지의 핵심은 주요 계정에 다중 인증을 적용하는 것이다. 미국 사이버보안·인프라보안국(CISA) 역시 이를 계정 보호를 위한 핵심 수단으로 권고하고 있다. 다만 다중 인증조차 악성코드에 의한 로그인 세션 탈취까지 완벽히 막아내지는 못하므로, 앞서 언급한 보안 수칙들을 반드시 병행하여 실천해야 한다.