한 번 유출된 아이디와 비밀번호는 그 순간 사라지는 정보가 아니다. 공격자는 이를 다른 서비스에 다시 대입하고, 이름과 전화번호 같은 개인정보까지 조합해 더욱 그럴듯한 피싱과 스미싱 공격을 시도한다. 특히 여러 서비스에서 같은 비밀번호를 사용하고 있다면 하나의 유출 사고가 여러 계정 탈취로 연쇄 확산될 수도 있다. 계정정보 유출 이후 추가 피해를 막기 위해 이용자와 서비스 운영 기업이 반드시 점검해야 할 보안 수칙을 살펴보자.

 공격에 재활용되는 유출된 계정정보
최근 계정정보와 개인정보 유출 사고가 이어지면서 사고 이후 발생할 수 있는 2차 피해에 대한 우려도 커지고 있다. 공격자는 이미 유출된 정보를 새로운 공격의 출발점으로 활용할 수 있기 때문이다.

대표적인 수법이 ‘크리덴셜 스터핑(Credential Stuffing)’이다. 공격자가 확보한 아이디와 비밀번호 조합을 다른 서비스에 반복적으로 입력해 로그인을 시도하는 방식이다. 사용자가 여러 서비스에서 동일하거나 비슷한 비밀번호를 사용했다면 한 곳에서 발생한 유출 사고가 다른 서비스의 계정 탈취로 이어질 가능성이 커진다.

이용자 계정 보호를 위한 핵심 보안 수칙

이용자는 비밀번호 관리부터 로그인 기록 확인, 의심 링크 주의까지 기본적인 보안 수칙을 일상적으로 점검할 필요가 있다. 특히 여러 서비스에서 동일한 비밀번호를 사용하고 있다면 우선순위를 두고 정비해야 한다.

1. 1. 서비스별 서로 다른 비밀번호 사용
   하나의 비밀번호를 여러 서비스에서 재사용하면 한 곳에서 유출된 정보가 다른 계정의 탈취로 이어질 수 있다. 서비스마다 서로 다른 비밀번호를 설정하고, 기존 비밀번호에서 숫자나 특수문자만 일부 바꾸는 방식도 피해야 한다. 비밀번호 재설정과 본인 확인에 자주 활용되는 이메일 계정은 별도의 비밀번호로 관리하는 것이 좋다.
2. 2. 다중 인증(MFA)·2단계 인증 설정
   인증 앱이나 일회용 비밀번호(OTP) 등 추가 인증 수단을 활성화하면 비밀번호가 유출되더라도 계정 탈취 위험을 낮출 수 있다. 본인이 시도하지 않은 인증 요청은 승인하지 말고, 인증번호나 인증코드 역시 다른 사람에게 전달해서는 안 된다.
3. 3. 로그인 기록과 계정 보안 설정 점검
   최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하고, 모르는 기기의 접속 기록이나 본인이 요청하지 않은 비밀번호 변경 알림이 있는지 살펴봐야 한다. 이상 징후가 있다면 공식 앱이나 홈페이지에 직접 접속해 비밀번호를 변경하고, 필요 시 모든 기기에서 기기에서 로그아웃한다.
4. 4. 출처가 불분명한 링크 클릭 및 개인정보 입력 주의
   개인정보 유출 사고 이후에는 ‘유출 여부 확인’, ‘피해 보상 신청’, ‘계정 보호’ 등을 사칭한 피싱·스미싱이 이어질 수 있다. 문자나 이메일에 포함된 링크를 무심코 누르거나 링크와 연결된 사이트에서 계정ž개인정보를 입력하기보다 공식 앱이나 홈페이지에 접속해 사실 여부를 확인해야 한다.
5. 5. 웹 브라우저 저장 계정 관리 및 최신 보안 업데이트
   공용 PC에서는 웹 브라우저의 비밀번호 저장이나 자동 로그인 기능을 사용하지 않고, 사용 후에는 반드시 로그아웃해야 한다.
   개인 기기에서도 사용하지 않는 계정정보나 자동 로그인 설정을 정리하고, 운영체제(OS)·웹 브라우저·백신의 자동 업데이트를 활성화해 최신 보안 패치를 적용하는 것이 안전하다.
   정보탈취형 악성코드는 브라우저에 저장된 비밀번호나 로그인 유지 정보 등을 탈취할 수 있기 때문에 기기에서 악성코드 감염이 의심되는 경우 최신 버전의 보안 프로그램으로 점검하고, 필요한 경우 안전한 기기에서 주요 계정의 비밀번호를 변경해야 한다.

서비스 운영 기업을 위한 보안 권고
이용자 보호만큼 중요한 것이 서비스 운영 기업의 보안 체계다. 고객이 직접 이용하는 서비스뿐만 아니라 API, 관리자 페이지, 내부 업무 시스템까지 고객정보에 접근할 수 있는 전체 경로를 점검해야 한다. 무엇보다 과도한 접근 권한과 비정상적인 대량 조회를 조기에 발견할 수 있는 관리 체계를 갖추는 것이 중요하다.

1. 1. API 인증·접근통제 및 이상행위 모니터링 강화
   일정 시간 동안 허용하는 API 요청 횟수를 제한하고, API 요청에 대한 접근 권한을 세부적으로 점검해야 한다. 또한 요청 파라미터 등을 변조해 다른 이용자의 정보에 접근하는 행위를 방지할 수 있도록 데이터 단위의 접근 권한을 확인하고, 업무에 필요한 범위 내에서만 정보를 조회할 수 있도록 접근통제를 적용해야 한다.
   
   반복적인 정보 조회나 무차별 대입, 자동화된 대량 요청에 대비해 API 이용 기록을 지속적으로 모니터링하고, 이상행위가 발견될 경우 접근 제한과 원인 분석 등 신속한 대응이 이뤄질 수 있는 체계를 마련해야 한다.
2. 2. 업무 지원 시스템까지 보안 점검 범위 확대
   고객이 직접 이용하는 홈페이지와 앱 외에도 직원과 협력사가 사용하는 관리자 페이지, 업무 지원 시스템, 내부 업무용 시스템도 점검 대상에 포함해야 한다. 불필요한 외부 접속 경로와 사용하지 않는 계정을 정리하고, 퇴사자·계약 종료 협력사의 계정이나 과도한 권한이 남아 있지 않은지 정기적으로 확인해야 한다. 관리자 계정과 외부 접속에는 다중 인증을 적용하는 것이 좋다.
3. 3. 고객정보 보관·조회 범위 최소화
   고객정보는 업무에 필요한 수준으로만 보관하고, 보관 목적이 달성됐거나 보유 기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다.
   업무 화면과 API 응답에서도 필요한 정보만 제공하고, 노출하고, 전체 정보가 필요하지 않은 경우 이름·전화번호 등 개인정보의 일부를 가려 표시하는 등 노출 범위를 최소화해야 한다.
   고객정보의 대량 조회와 다운로드 권한은 최소 인원에게만 부여하는 것이 바람직하며, 중요 정보의 조회·다운로드·반출 기록을 적절한 기간 동안 보관하고 모니터링하며 이상행위를 추적할 수 있는 체계도 필요하다.

[출처 : 안랩(www.ahnlab.com)]