김재기 S2W 최고개인정보보호책임자(CPO).(사진=S2W)
개인이 이용할 수 있는 공식적인 확인 수단으로는 개인정보보위원회의 ‘털린 내 정보 찾기 서비스’가 있다. 이용자가 사용하는 아이디와 비밀번호 조합이 다크웹 등에서 불법 유통되고 있는지를 확인할 수 있다. 올해 1월 29일부터 이메일 주소도 조회 대상에 추가됐다.
다만 이 서비스에서 조회되지 않는다고 해서 자신의 모든 개인정보가 다크웹에 존재하지 않는다고 단정할 수는 없다. 현재 서비스 확인 대상은 아이디·비밀번호 조합과 이메일 주소에 불과하다. 이름이나 연락처, 주민등록번호, 각종 문서 등 모든 종류의 유출정보를 개인이 포괄적으로 검색하는 서비스는 아니기 때문에 개인 입장에서는 해당 서비스를 이용하면서도 다중 인증을 비롯해 여러 보안 조치를 해놓는 부분이 중요하다.
개인이 아닌 기업이나 기관 입장에서는 임직원 계정, 고객 정보, 내부 문서 등 조직과 관련된 정보의 외부 유출 여부를 지속적으로 살펴봐야 한다.
◇다중인증 설정하고, 문자 인증보다 인증앱이 안전
개인 입장에서 주의해야 하는 것은 정보 탈취형 악성코드(인포스틸러)로 PC나 브라우저에서 빼낸 정보이다. 브라우저에 저장된 비밀번호와 로그인 상태를 유지하는 세션 정보가 함께 유출되면 공격자는 비밀번호를 바꾼 뒤에도 경우에 따라서는 다중인증(MFA)을 거치지 않고도 계정에 접근할 수 있다.
특히 금융 정보는 직접적인 금전 피해로 이어질 가능성이 크고, 이름·전화번호·주소·주민등록번호 등도 다른 정보와 결합될 경우 신원 도용이나 정교한 사칭·피싱 등에 활용될 수 있다.
따라서 무엇이 ‘가장 위험한 개인정보’인지 하나를 고르기보다는 현재도 사용할 수 있는 인증 정보인지, 여러 정보가 서로 결합돼 있는지, 실제 계정 접근이나 금융 범죄로 연결될 수 있는지를 함께 판단해야 한다.
정보 유출에 대비하려면 우선 여러 서비스에서 같은 비밀번호를 반복해서 사용하지 않는 것이 중요하다. 한 곳에서 유출된 계정 정보가 다른 서비스의 크리덴셜 스터핑 공격에 사용될 수 있다.
이메일, 금융, SNS 등 중요한 계정에는 다중인증(MFA)도 설정해야 한다. 비밀번호가 유출되더라도 공격자가 추가 인증 단계를 통과해야 하기 때문에 계정 탈취 위험을 크게 낮출 수 있다. 가능하면 문자 인증번호보다는 인증 앱이나 패스키(Passkey) 방식을 쓰는 것이 더 안전하다.
이 밖에 출처를 알 수 없는 앱이나 불법 복제 프로그램을 설치하지 말고, 문자·이메일·메신저로 받은 의심스러운 링크와 첨부파일을 열지 않아야 한다. 이런 경로로 설치되는 정보 탈취형 악성코드(인포스틸러)는 브라우저에 저장된 비밀번호와 로그인 세션까지 빼낸다. 운영체제와 애플리케이션도 최신 상태로 유지해야 한다.
가장 중요한 부분은 계정 탈취 방지라는 관점에서 중요한 계정에 다중인증을 설정하는 것이다. 미국 사이버보안·인프라보안국(CISA)도 다중인증을 계정 보호의 핵심 수단으로 권고한다. 다만 다중인증도 악성코드로 로그인 세션을 빼앗기는 경우까지 막지는 못하기 때문에 위 수칙을 병행해야 한다.
