비밀번호 안 샜어도 바꿔야 하는 이유

무엇이 샜는지부터 확인한다

현대이지웰이 공지한 유출 항목은 이름, 생년월일, 성별, 휴대폰번호, 아이디, 이메일, 주소 7가지다. 비밀번호와 결제 정보는 공지 항목에 들어 있지 않다. 다만 유출 규모는 아직 공개되지 않았고 조사 중이다.

가장 먼저 할 일은 내가 대상인지 확인하는 것이다. 회사는 유출이 확인된 고객에게 개별 안내를 하겠다고 했고, 10월 31일 오전 9시 30분부터 24시간 상담센터를 운영한다. 공식 홈페이지 공지와 개별 안내 문자로 내 정보가 포함됐는지, 어떤 항목이 샜는지를 먼저 확인해 둔다. 떠도는 추측보다 공식 공지가 기준이다.

항목별로 위험의 성격도 다르다. 비밀번호는 바꾸면 그만이지만, 생년월일이나 주소처럼 한 번 정해지면 바꾸기 어려운 정보는 되돌릴 수 없다. 그래서 이번 대응의 초점은 '정보를 새로 바꾸는 것'보다 '샌 정보가 악용되지 못하게 길을 막는 것'에 있다.

비밀번호는 안 샜어도 바꾼다

Pixabay

유출 항목에 비밀번호가 없는데 왜 바꿔야 할까. 이유는 아이디와 이메일이 함께 샜기 때문이다.

공격자는 한 곳에서 얻은 아이디·이메일을 들고 다른 사이트에 같은 비밀번호를 대입해 본다. 이른바 크리덴셜 스터핑이다. 현대이지웰 비밀번호가 직접 새지 않았더라도, 같은 아이디와 비밀번호 조합을 쇼핑몰이나 포털에서 재사용하고 있었다면 그 계정들이 위험해진다.

그래서 순서는 '현대이지웰 하나'가 아니다. 같은 비밀번호를 쓰던 사이트를 떠올려 그곳들의 비밀번호부터 서로 다르게 바꾼다. 특히 메일, 간편결제, 금융 계정처럼 뚫리면 피해가 큰 곳이 우선이다. 외우기 어렵다면 사이트마다 다른 비밀번호를 만들어 주는 비밀번호 관리 도구를 쓰는 것도 방법이다.

2단계 인증을 켠다

비밀번호를 바꿔도 다시 샐 수 있다. 그 다음 방어선이 2단계 인증이다.

2단계 인증은 비밀번호가 맞아도 휴대폰 인증번호나 인증 앱 같은 두 번째 확인을 요구한다. 비밀번호가 어딘가에서 또 유출돼도, 두 번째 관문이 있으면 공격자가 바로 로그인하지 못한다. 중요한 계정부터 설정에서 2단계 인증을 켜 두는 것이 비용 대비 효과가 가장 크다.

이번처럼 휴대폰번호가 함께 샌 경우, 문자 인증보다 인증 앱 방식이 조금 더 안전하다. 번호를 아는 공격자가 문자를 가로채거나 유심을 복제하는 수법에 상대적으로 덜 노출되기 때문이다.

의심 연락을 받았을 때

이번 유출의 성격상 가장 현실적인 2차 피해는 표적형 사기다. 이름·생년월일·휴대폰번호·주소를 손에 쥔 쪽이 연락해 오면, 아무 정보 없이 거는 스팸보다 훨씬 그럴듯하게 들린다. 복지포인트 소멸 안내나 택배 배송 확인을 가장한 문자처럼, 내 이름과 주소가 정확히 적혀 있으면 의심의 벽이 낮아진다.

판단 기준은 단순하다. 현대이지웰이나 금융기관을 사칭해 링크를 누르라거나 추가로 개인정보·인증번호를 입력하라고 하면 일단 의심한다. 회사는 안내 문자에 비밀번호나 인증번호를 묻지 않는다.

연락이 진짜인지 확인하려면, 문자에 담긴 번호나 링크로 되묻지 말고 공식 홈페이지에 적힌 상담센터로 직접 걸어 역으로 확인한다. 출처가 불분명한 링크와 첨부파일은 열지 않는다. 이미 눌렀거나 정보를 넘겼다면 해당 계정 비밀번호를 즉시 바꾸고 상담센터와 금융사에 알린다.

정리하면 순서는 '유출 항목 확인 → 재사용한 비밀번호 교체 → 2단계 인증 설정 → 의심 연락 차단'이다. 규모 발표를 기다리는 사이에도 이 네 가지는 지금 바로 할 수 있다.

출처

1. 생년월일·전화번호 털렸다…현대이지웰, 회원정보 유출
2. 현대이지웰, 회원정보 유출 사과…이름·연락처 등 7개 항목 공지
3. 현대이지웰, 개인정보 유출 사고에 사과문 게시