서강대 유출 뒤 AI 계정 지금 점검할 것

이번 유출로 무엇이 샜나

서강대학교 통합 로그인 계정 정보 약 18만 건이 외부 공격으로 유출됐다. 학교는 8월 15일 이 사실을 공지했다. 유출 항목에는 학번과 사번, 성명, 소속, 이메일 주소, 휴대전화 번호, 그리고 암호화된 통합 비밀번호가 포함됐다.

주민등록번호 같은 고유식별정보나 민감정보는 포함되지 않았다고 학교는 밝혔다. 다만 유출 항목은 사람마다 조금씩 다를 수 있다. 재학생뿐 아니라 교직원, 졸업생, 자퇴생까지 대상에 들어갔다.

경위를 보면 8월 11일 해외의 비인가 IP가 접근했고, 학교는 사흘 뒤인 14일 사고를 인지했다. 이후 공격 IP를 차단하고 해당 서비스 접근을 제한하며 망 분리 조치를 진행했다고 설명했다.

'암호화됐으니 괜찮다'는 오해

Photo by Onur Binay on Unsplash

비밀번호가 암호화된 상태로 유출됐다는 설명은 평문 그대로 새지는 않았다는 의미다. 그러나 안심의 근거로 보기는 어렵다. 암호화(해시)된 비밀번호라도 짧거나 흔한 조합이면 공격자가 오프라인에서 대입해 원래 값을 알아낼 수 있다.

더 확실하게 노출된 것은 이메일 주소다. 이메일은 대부분의 서비스에서 로그인 아이디로 쓰이고, 표적 피싱 메일을 보내는 재료가 된다. 즉 이번 사고에서 개인이 감수하는 위험은 '비밀번호가 풀렸다'보다 '내가 어디에 가입했는지 알 수 있는 이메일이 공격자 손에 있다'에 가깝다.

유출 계정이 AI 서비스 탈취로 이어지는 길

공격자는 한 곳에서 확보한 이메일과 비밀번호 조합을 다른 서비스에 그대로 자동 대입한다. 이걸 크리덴셜 스터핑이라고 부른다. 서강대 계정 비밀번호를 ChatGPT나 다른 AI 서비스에서도 똑같이 썼다면, 그 조합 하나로 여러 계정이 함께 열릴 수 있다.

AI 서비스 계정이 뚫리면 잃는 것이 적지 않다. 대화 이력에는 업무 자료나 개인적인 내용이 남아 있는 경우가 많고, 결제 수단이 연결돼 있으면 유료 구독이나 크레딧이 도용될 수 있다. 개발용으로 발급한 API 키가 노출되면 남이 내 계정으로 요청을 보내 과금이 쌓이기도 한다.

핵심은 비밀번호를 재사용했는지 여부다. 서비스마다 다른 비밀번호를 썼다면 이번 유출이 AI 계정으로 번질 통로 자체가 없다. 하나로 돌려 썼다면 지금이 그 연결을 끊어야 할 시점이다.

지금 AI 서비스에서 점검할 것

자주 쓰는 AI 서비스에 로그인해 아래를 순서대로 확인하면 된다.

• 비밀번호 재사용: 서강대나 다른 사이트와 같은 비밀번호를 쓰고 있다면 먼저 이것부터 서비스마다 다른 값으로 바꾼다. 우선순위 1번이다.
• 2단계 인증(2FA): 계정 설정의 보안 항목에서 인증 앱이나 문자 기반 2단계 인증을 켠다. 비밀번호가 새더라도 두 번째 관문이 남는다.
• 활성 세션과 로그인 기기: '로그인된 기기' 또는 '활성 세션' 목록에서 모르는 기기가 있으면 로그아웃시킨다.
• API 키: 개발용 키를 발급한 적이 있다면 최근 사용 내역을 보고, 쓰지 않는 키는 폐기하고 새로 발급한다.
• 연결된 앱과 커넥터: 계정에 연결해 둔 외부 서비스 권한을 점검해 낯선 항목은 해제한다.

비밀번호 관리자를 쓰면 서비스마다 다른 긴 비밀번호를 만들고 기억할 필요가 없어져, 재사용 문제를 근본적으로 줄일 수 있다.

통보를 기다리지 말아야 하는 이유

이번 사고의 직접 대상이 아니어도 상황은 크게 다르지 않다. 개인정보 유출은 서강대만의 일이 아니고, 어느 서비스에서 내 이메일과 비밀번호가 이미 돌아다니고 있는지 개인이 다 알기는 어렵다.

유출 통보 문자를 받고 나서 움직이면 이미 며칠이 지난 뒤다. 서강대도 공격 시점과 인지 시점 사이에 사흘 간격이 있었다. 비밀번호 재사용을 끊고 2단계 인증을 켜는 일은 통보와 상관없이 오늘 해도 손해가 없는 조치다.

출처

1. 서강대, 18만명 개인정보 유출…박근혜 전 대통령도 포함(종합)
2. 서강대 개인정보 18만건 유출…"신원미상 외부공격, 긴급 조치 시행"
3. 서강대 개인정보 18만건 유출…외부 공격에 뚫렸다