* 출처는 안랩입니다.

개인정보 유출 이후 무슨 일이 발생할까

개인정보 유출 사고가 발생하면 공격자는 이름, 연락처, 이메일, 생년월일 등 신원 확인에 활용될 수 있는 정보를 조합해 실제 안내 메시지인 것처럼 사용자를 속인다. 이번 사고처럼 기본 가입 정보와 연락 수단, 계정 정보가 함께 유출된 경우 피싱, 스미싱, 계정 탈취, 사회공학적 금융 사기 등 다양한 후속 공격으로 이어질 가능성이 높다.

가장 먼저 주의해야 할 공격은 유출 사고를 사칭한 스미싱이다. 공격자는 유출된 이름과 휴대폰 번호를 악용해 ‘개인정보 유출 여부 확인’, ‘보상금 지급 신청 및 접수’, ‘계정 일시 잠금에 따른 보호 조치’ 등을 사칭한 문자 메시지를 발송한다. 사용자가 본문에 첨부된 URL을 누르면 공격자는 악성 앱(APK) 설치를 유도하거나 스마트폰 제어권, 금융 정보 등을 탈취할 수 있다. 이 과정에서 공식 안내처럼 보이는 문구와 사용자 이름을 함께 사용해, 사용자가 별다른 의심 없이 링크를 클릭하도록 유도한다.

피싱 이메일도 대표적인 후속 공격 유형이다. 공격자는 유출된 이메일 주소를 대상으로 비밀번호 재설정, 보안 인증, 계정 잠금 해제 등을 사칭한 메일을 발송할 수 있다. 메일에 포함된 링크는 정상 서비스와 유사하게 제작된 가짜 로그인 페이지로 연결될 수 있으며, 사용자가 아이디와 비밀번호를 입력하면 공격자는 해당 정보를 추가로 확보한다. 이렇게 탈취된 계정 정보는 해당 서비스뿐만 아니라 동일하거나 유사한 비밀번호를 사용하는 다른 서비스 공격에도 활용될 수 있다.

계정 탈취를 노린 크리덴셜 스터핑 공격도 우려된다. 크리덴셜 스터핑은 공격자가 확보한 아이디와 비밀번호 조합을 포털, 금융 앱, 기업 업무 시스템 등 여러 서비스에 무차별적으로 대입하는 공격 방식이다. 많은 사용자가 여러 웹사이트에서 동일한 비밀번호를 재사용하기 때문에, 한 서비스에서 발생한 정보 유출이 다른 서비스의 계정 탈취로 이어질 수 있다. 유출된 비밀번호가 암호화돼 있더라도 공격자가 해독을 시도하거나 다른 정보와 결합해 공격에 활용할 가능성을 배제할 수 없다.

또한, 기본 신원 정보는 보이스피싱과 같은 사회공학적 금융 사기에 악용될 수 있다. 공격자는 고객센터, 금융기관, 공공기관 등을 사칭하면서 피해자의 개인정보를 먼저 언급해 신뢰를 형성할 수 있다. 이후 카드번호, 계좌번호, 주민등록번호, OTP 인증번호 등 추가 정보를 요구하거나 송금을 유도할 수 있어 각별한 주의가 필요하다.

일반 사용자가 지켜야 할 대응 수칙

1) 주요 서비스 계정 비밀번호 변경

개인 사용자는 유출된 계정과 동일하거나 유사한 아이디와 비밀번호를 사용하는 모든 웹사이트와 포털 계정의 비밀번호를 즉시 변경해야 한다. 특히 금융, 포털, 쇼핑, 업무용 계정 등 중요도가 높은 서비스부터 우선적으로 점검하는 것이 필요하다. 비밀번호를 변경할 때는 기존에 사용하던 패턴을 반복하지 말고, 서비스별로 서로 다른 비밀번호를 설정해야 한다. 이를 통해 하나의 계정 정보 유출이 다른 서비스의 계정 탈취로 이어지는 연쇄 피해를 줄일 수 있다.

2) 다중 인증(MFA) 활성화

주요 계정에는 다중 인증을 반드시 활성화해야 한다. 다중 인증은 비밀번호가 노출되더라도 추가 인증 절차를 통해 비인가 접근을 차단할 수 있는 중요한 보호 수잔이다. 포털, 금융, 업무용 계정에는 SMS 인증, OTP, 생체 인증 등 서비스에서 제공하는 2차 인증 수단을 설정해 계정 보호 수준을 높이는 것이 바람직하다.

* 전체내용은 아래에서 확인하세요.

https://www.ahnlab.com/ko/contents/content-center/36191