구글·애플·페북·텔레그램 이용 중이라면 무조건 비밀번호 바꿔야 합니다

구글, 애플, 페이스북, 텔레그램 등 주요 플랫폼의 사용자 로그인 정보 160억 개가 유출됐다는 분석 결과가 나왔다. 전문가들은 주요 플랫폼 사용자의 로그인 정보가 대거 유출돼 사이버 범죄자들에게 전례없는 계정 접근 기회를 제공한 만큼 사용자들이 즉시 계정 비밀번호를 변경해야 한다고 권고했다.

21일(현지시각) AP 통신에 따르면, 보안 전문 매체 사이버뉴스는 이번주 발표한 보고서에서 유출된 로그인 정보가 정리된 대규모 데이터셋 30개를 최근 발견했다고 밝혔다.

사이버뉴스는 최근 자사 연구진이 애플, 페이스북, 구글을 포함한 ‘거의 모든 온라인 서비스’에 대한 160억 개 사용자 로그인 정보 기록을 담은 30개 데이터셋을 온라인에서 발견했다고 보고했다.

각 데이터셋에는 방대한 양의 로그인 정보가 담겨 있었으며, 개별 데이터베이스마다 최대 35억 개의 패스워드가 포함돼 있었고, 소셜미디어와 VPN 로그인부터 기업 플랫폼과 개발자 플랫폼까지 다양한 정보가 들어있었다. 유출된 정보를 모두 합치면 총 160억 개에 달했다.

이번 유출에는 구글과 애플, 페이스북, 텔레그램 등 전 세계적으로 인기 있는 플랫폼 사용자의 계정 비밀번호가 포함돼 있었다. 유출된 정보에는 실질적으로 모든 대형 온라인 서비스의 자격 증명이 포함됐으며, 애플, 구글, 페이스북, 텔레그램, 개발자 플랫폼, VPN 등이 해당됐다.

유출 정보 160억 개는 현재 지구상 인구수의 약 2배에 해당하는 규모로, 사용자 1인당 1개 이상의 계정이 유출됐을 가능성이 있다. 160억 개의 자격 증명(사용자명 + 패스워드)을 각각 한 줄에 하나씩 인쇄한다면 그 양이 상상을 초월할 정도다.

연구진은 유출된 데이터셋의 정보 대부분이 스틸러 멀웨어, 자격 증명 스터핑 셋, 그리고 재포장된 유출 정보의 혼합이라고 주장했다. 사이버뉴스는 유출 정보에는 중복된 것도 있을 수 있다면서 "실제로 얼마나 많은 사람이 정보 유출을 당했는지 정확히 말하기는 불가능하다"고 밝혔다.

사이버뉴스의 사이버보안 팀이 실시한 연구에 따르면, 160억 개 이상의 도난된 자격 증명을 포함한 30개 데이터셋이 온라인에 잠깐 나타났다. 연구진은 데이터셋의 소유자를 발견하지 못했지만, 다른 대부분의 유출 사건과 비교해 압도적으로 큰 규모의 침해라고 평가했다.

이들 로그인 정보는 특정 기업을 겨냥한 한 번의 해킹으로 탈취된 것이 아니라 오랜 시간에 걸쳐 다수의 사건을 통해 수집된 것으로 드러났다. 이 기록들은 다양한 사이버 범죄자들(그리고 화이트햇 해커나 연구자들까지 포함될 가능성이 있음)이 서로 다른 정보 탈취 멀웨어를 사용해 생성한 것으로 보인다고 사이버뉴스는 보고서에서 주장했다.

팀이 수집한 정보에 따르면 대부분의 정보는 명확한 구조를 따랐는데, URL 뒤에 로그인 세부 정보와 패스워드가 오는 형태였다. 정보 탈취에 가장 크게 기여한 것은 개인 정보를 훔치기 위해 제작된 악성코드인 것으로 추정됐다.

인포스틸러는 감염된 기기에서 자격 증명, 암호화폐 지갑, 기타 데이터를 훔치려는 멀웨어다. 수년에 걸쳐 인포스틸러는 전 세계적으로 침해 사고를 일으키는 거대한 문제가 됐다. 이런 유형의 멀웨어는 윈도우와 맥 모두에 영향을 미치며, 실행되면 기기에 저장된 모든 자격 증명을 수집해 '로그'라고 불리는 파일에 저장한다.

이렇게 모인 정보가 사이버 범죄자들의 활동무대가 되는 다크웹(암호화된 네트워크)에서 유통된 사실도 확인됐다. 연구진은 "이것들은 단순히 재활용되는 오래된 침해 사고가 아니라 규모에 맞는 신선하고 무기화 가능한 정보"라고 경고했다.

사이버보안 매체 사이버뉴스의 연구진은 수십억 개의 로그인 자격 증명이 유출돼 온라인에서 데이터셋으로 편집됐으며, 이로 인해 사이버 범죄자들이 소비자들이 매일 사용하는 계정에 "전례없는 접근"을 할 수 있게 됐다고 밝혔다.

전문가들은 정보 유출이 빈번해지는 상황에서는 '사이버 위생'에 신경 써야 한다고 조언했다. 대규모 유출이 확인된 상황에서 가장 먼저 할 수 있는 조치는 비밀번호 변경이다.

또한 여러 사이트에서 동일하거나 유사한 로그인 정보를 사용하지 않도록 하고, 많은 비밀번호를 기억하기 어렵다면 비밀번호 관리도구나 패스키를 사용하는 것이 좋다. 아울러 전화나 이메일, 이동식 저장매체(USB) 인증키를 거치는 '멀티팩터 인증'(MFA)을 추가하는 것이 필요하다고 전문가들은 권고했다.