비밀번호 재사용과 2차 피해, 한 번 유출된 계정은 어디까지 번질까

한 사이트에서 새어 나온 아이디와 비밀번호가 이메일이나 다른 온라인 서비스까지 열어줄 수 있다.

더존비즈온과 여행·여가 플랫폼 놀유니버스에서 사이버 침해사고가 잇따르고 금융권 연쇄 해킹도 앞서 발생하면서, 기업의 정보 유출이 이용자의 다른 계정으로 번지는 ‘2차 피해’ 우려가 커지고 있다.

비밀번호를 여러 사이트에서 똑같이 쓰면 공격자는 유출된 정보를 다른 서비스에 자동으로 반복 입력하는 ‘크리덴셜 스터핑’을 시도할 수 있다.

쇼핑몰 계정정보가 노출됐을 때 같은 비밀번호를 이메일에도 썼다면 이메일 계정까지 무단 로그인 대상이 되는 식이다.

인공지능(AI)은 취약점 탐색과 공격 준비에 드는 시간·비용을 줄이고 이런 작업의 자동화에도 악용될 수 있다.

AI를 활용한 공격이 개인에게도 가능해졌다는 사례도 나왔다.

서울경찰청은 10월 26일 생성형 AI 등을 이용해 국내 기업·기관 90여 곳에서 개인정보와 내부 자료 820만여 건을 빼돌린 일당 7명을 검거했다고 밝혔다.

총책은 30대 비전공자로, 처음에는 직접 취약점 탐색 도구를 다루다가 AI를 활용하며 공격 대상을 넓혔다고 경찰은 설명했다.

계정정보가 유출됐다면 먼저 어떤 정보가 노출됐는지 확인하고, 해당 서비스의 비밀번호를 즉시 바꿔야 한다.

같은 비밀번호를 쓰는 계정도 모두 서로 다른 것으로 변경하는 것이 핵심이다.

이름이나 생년월일처럼 추측하기 쉬운 조합은 피하고 길고 예측하기 어려운 비밀번호를 설정하는 한편, 비밀번호 외의 인증 절차를 더하는 다중요소인증(MFA)도 켜두는 편이 안전하다.

‘털린 내 정보 찾기 서비스’로 계정정보 유출 여부를 조회할 수 있지만, 조회 결과가 없다고 모든 정보가 안전하다는 뜻은 아니다.

주민등록번호 등 신원정보가 유출됐다면 Msafer에서 본인 명의 통신서비스 가입 현황을 확인하고 신규 가입을 제한할 수 있다.

금융정보가 노출된 경우에는 해당 금융회사에 필요한 조치를 문의해야 한다.

기업 서버가 공격받으면 이용자의 비밀번호 관리만으로 막기 어려운 만큼, 개인의 예방책과 함께 기업의 정보 관리도 중요하다.