할리스 비번 유출, 돌려쓴 계정 찾아 바꾸는 법
할리스 멤버십에서 아이디와 비밀번호를 포함한 약 276만 건이 유출돼, 같은 비밀번호를 쓴 다른 사이트까지 크리덴셜 스터핑 위험에 놓였다. 대상(2020년 2월 11일 이전 가입자) 여부를 공식 공지로 확인하고, 브라우저·키체인의 비밀번호 점검으로 같은 비밀번호를 쓴 계정을 찾아 이메일·금융·포털 순으로 바꾸는 것이 핵심이다. 마지막으로 인증 앱 기반 2단계 인증까지 켜야 다음 유출 때 같은 일을 반복하지 않는다.
이름·주소보다 '비밀번호'가 먼저다
할리스 멤버십에서 아이디와 비밀번호가 함께 빠져나갔다. 이름·생년월일·주소도 유출됐지만, 당장 더 위험한 건 비밀번호다. 공격자가 유출된 아이디·비밀번호 조합을 은행, 쇼핑몰, 포털에 하나씩 넣어보는 '크리덴셜 스터핑' 때문이다. 같은 비밀번호를 여러 사이트에 돌려 썼다면, 할리스 계정만 바꾸는 걸로는 부족하다.
사고부터 짚자. 할리스는 멤버십 정보를 보관한 클라우드가 뚫려 약 276만 건(중복 포함)이 유출됐다고 10월 16일 공지했다. 유출 항목은 아이디, 비밀번호, 이름, 생년월일, 전화번호, 주소, 이메일 등이다. 침입은 가상화폐 채굴을 노린 것으로 파악됐지만, 그 과정에서 과거 멤버십 개편 때 쓰인 임시 데이터 파일이 새어 나갔다. 해킹 추정 기간은 9월 3일부터 10월 7일까지다. 할 일은 순서대로 네 가지다.
1단계. 내가 대상인지부터 확인
Nataliya Vaitkevich
먼저 내 정보가 유출 대상인지 본다. 이번 유출 대상은 2020년 2월 11일 이전에 할리스 멤버십에 가입한 고객이다. 그 이후 가입자라면 대상이 아닐 가능성이 있다. 가장 확실한 건 할리스 공식 홈페이지 공지와 회사가 보낸 안내 문자다. 공지는 16일 저녁 올라왔고 이후 고객에게 문자로 안내됐다. '할리스'를 사칭한 가짜 문자가 돌 수 있으니, 문자 속 링크를 누르기보다 앱이나 홈페이지에 직접 접속해 확인하는 편이 안전하다.
내 이메일이 이번뿐 아니라 과거 어떤 유출에 포함됐는지도 함께 보면 좋다. '해브 아이 빈 폰드(haveibeenpwned.com)'에 이메일 주소를 넣으면 그 주소가 어떤 유출 사고에 등장했는지 알려준다. 가입 사이트가 아니라 유출 데이터베이스를 조회하는 공개 서비스라, 비밀번호를 입력할 필요는 없다.
2단계. 같은 비밀번호 쓴 계정 찾기
핵심 단계다. 기억에만 의존하면 반드시 빠뜨린다. 대신 이미 깔려 있는 도구를 쓰면 된다.
- 크롬을 쓴다면 비밀번호 관리자의 '비밀번호 확인' 기능을 연다. 여러 사이트에서 똑같이 쓴 비밀번호와, 이미 유출된 적 있는 비밀번호를 한 번에 표시해 준다.
- 아이폰·맥이라면 설정의 '암호' 메뉴에 있는 '보안 권장 사항'이 재사용·유출된 비밀번호를 걸러 준다.
- 삼성 갤럭시는 삼성 패스, 안드로이드는 구글 비밀번호 관리자에서 같은 점검을 할 수 있다.
이 점검 목록에 할리스에서 쓰던 것과 같은 비밀번호가 뜬다면, 그 계정들이 전부 위험하다고 봐야 한다. 목록을 저장하거나 캡처해 두고 다음 단계에서 하나씩 바꾼다.
3단계. 어떤 순서로 바꿀까
계정이 수십 개라면 한 번에 다 바꾸기 어렵다. 위험한 순서대로 처리한다.
첫째, 이메일 계정이다. 이메일은 다른 모든 계정의 비밀번호를 재설정하는 '허브'여서, 여기가 뚫리면 나머지가 연쇄로 털린다. 유출된 이메일 주소의 로그인 비밀번호가 할리스와 같았다면 1순위로 바꾼다.
둘째, 돈이 오가는 곳이다. 은행, 카드사, 간편결제, 카드 정보가 저장된 쇼핑몰 순으로 본다. 셋째, 포털과 주요 SNS다. 이들 계정으로 다른 서비스에 '소셜 로그인'을 연결해 둔 경우가 많아 파급력이 크다. 넷째, 그 밖에 할리스와 같은 비밀번호를 쓰던 모든 곳이다.
바꿀 때 한 가지 원칙만 지키면 된다. 모든 사이트의 비밀번호를 서로 다르게 만든다. 다 외울 수 없으니 비밀번호 관리자에 맡기고, 각 사이트마다 관리자가 생성한 무작위 비밀번호를 쓰는 게 가장 현실적이다.
4단계. 2단계 인증으로 잠근다
비밀번호를 다 바꿔도, 2단계 인증이 없으면 다음 유출 때 같은 일을 반복한다. 적어도 이메일·금융·포털 계정에는 2단계 인증을 켠다. 방식은 문자(SMS)보다 인증 앱(구글 OTP, 애플·삼성 기본 인증기 등)이 안전하다. 문자는 가로채기나 유심 복제에 상대적으로 약하기 때문이다. 요즘은 비밀번호 없이 생체인증으로 로그인하는 '패스키'를 지원하는 서비스도 늘고 있으니, 가능한 곳은 패스키로 바꿔 두면 편하다.
마지막으로 한동안은 유출을 빙자한 피싱을 조심해야 한다. "할리스 유출 보상 안내", "본인 확인 필요" 같은 문자나 이메일로 가짜 링크를 보내는 수법이 뒤따르기 마련이다. 유출 사실이 공개된 뒤일수록, 안내는 반드시 공식 채널에서 직접 확인하는 습관이 필요하다.