가입한 지 오래되어 이름도 잊은 서비스에서 회원정보가 유출되었다는 메일이 옵니다. 대부분 한 번 읽고 넘기지만, 문제는 그 서비스가 아니라 같은 아이디와 비밀번호를 쓰는 다른 곳에서 몇 주 뒤에 생깁니다. 안내를 받은 날 무엇을 어떤 순서로 손봐야 하는지 정해 두면 그 몇 주가 사라집니다.
이 글에서 확인할 것
- 안내문에서 어떤 항목이 나갔는지 구분해 읽는 법
- 유출된 항목별로 실제 피해가 생기는 경로
- 계정을 손보는 순서와 서비스를 만드는 쪽에서 갖출 것
안내문은 항목 목록부터 읽는다
유출 안내문에는 반드시 어떤 항목이 나갔는지가 적혀 있습니다. 이름, 이메일, 전화번호처럼 연락에 쓰이는 정보와 비밀번호, 생년월일, 주소처럼 본인 확인에 쓰이는 정보, 그리고 카드번호나 계좌처럼 결제에 쓰이는 정보는 위험의 종류가 다릅니다. 안내문 제목만 보고 놀라기보다 이 세 갈래 중 어디에 해당하는지를 먼저 표시해 둡니다.
비밀번호가 나갔다고 적혀 있을 때는 암호화된 상태였는지도 봐야 합니다. 안전하게 변환된 값이 나갔다면 당장 풀리지는 않지만, 짧고 흔한 비밀번호는 시간을 들이면 복원되므로 결국 바꿔야 한다는 결론은 같습니다. 암호화 여부가 적혀 있지 않으면 그대로 나간 것으로 보고 움직이는 편이 안전합니다.
안내문에 적힌 문의 창구와 유출 시점도 적어 둡니다. 시점은 그 이후에 그 아이디로 어디에 로그인했는지 되짚을 기준이 되고, 창구는 나중에 피해가 확인되었을 때 증빙을 요청할 곳이 됩니다.
피해는 유출된 곳이 아니라 다른 곳에서 생긴다
유출된 서비스 자체는 안내를 보낸 시점에 이미 비밀번호를 초기화하거나 로그인을 막아 둔 경우가 많습니다. 실제 피해는 그 아이디와 비밀번호 조합을 다른 사이트에 자동으로 넣어 보는 방식에서 생깁니다. 같은 조합을 쓰는 곳이 한 군데라도 있으면 그곳이 열립니다. 특히 메일 계정이 같은 비밀번호라면 다른 모든 서비스의 비밀번호 재설정 메일이 그 사람 손에 들어갑니다.
전화번호와 이름이 나가면 문자 사기가 뒤따릅니다. 유출된 서비스 이름을 대며 보상이나 재인증을 요구하는 문자가 오는데, 실제 서비스 이름과 내 이름이 맞으니 속기 쉽습니다. 이 시기에는 문자 안의 링크를 누르지 않고 앱이나 공식 주소로 직접 들어가는 습관을 유지해야 합니다.
유출 항목별로 할 일 표
무엇이 나갔는지에 따라 할 일이 달라집니다. 아래 표는 항목별로 가장 먼저 할 일과 그 뒤에 이어질 일을 나란히 둔 것입니다.
| 유출 항목 | 바로 할 일 | 이어서 할 일 |
|---|---|---|
| 이메일·이름 | 사칭 메일 경계 | 메일 계정 2단계 인증 확인 |
| 전화번호 | 문자 링크 클릭 금지 | 통신사 소액결제 한도 확인 |
| 비밀번호 | 같은 조합 쓰는 곳 전부 변경 | 비밀번호 관리 도구로 이전 |
| 생년월일·주소 | 본인확인 질문 답 변경 | 명의도용 확인 서비스 조회 |
| 카드·계좌 | 카드사에 재발급 요청 | 결제 알림 켜고 명세 확인 |
| 로그인 기록 | 모든 기기에서 로그아웃 | 연결된 외부 앱 권한 해제 |
표에서 비밀번호 줄이 가장 시간이 걸립니다. 같은 조합을 쓰는 곳이 몇 군데인지 기억으로는 알 수 없으므로, 이 기회에 비밀번호 관리 도구에 계정을 모아 두면 다음 유출 때는 표 한 줄로 끝납니다.
계정을 손보는 순서
순서는 메일 계정이 먼저입니다. 다른 서비스의 비밀번호를 바꾸면 확인 메일이 메일 계정으로 오기 때문에, 메일 계정이 뚫린 상태에서 다른 것을 먼저 바꾸면 바꾼 결과가 그대로 새어 나갑니다. 메일 계정의 비밀번호를 바꾸고 2단계 인증을 켠 뒤, 로그인된 기기 목록에서 모르는 기기를 전부 내보냅니다.
그다음이 금융과 결제입니다. 은행, 카드, 간편결제 앱의 비밀번호와 로그인 기록을 확인하고, 유출 시점 이후의 결제 내역을 훑습니다. 그 뒤에 같은 비밀번호를 쓰던 나머지 서비스를 바꾸는데, 이때 새 비밀번호를 또 같은 것으로 맞추면 의미가 없으므로 서비스마다 다르게 만듭니다.
마지막으로 오래 안 쓰는 서비스는 비밀번호를 바꾸는 대신 탈퇴합니다. 계정이 남아 있는 한 다음 유출 목록에 또 오르기 때문입니다.
서비스를 만드는 쪽에서 미리 갖출 것
회원을 받는 앱이나 사이트를 운영하는 입장이라면 안내문을 보내는 쪽이 될 수 있습니다. 비밀번호를 복원할 수 없는 방식으로 저장하고, 로그인 기록과 기기 목록을 회원이 스스로 볼 수 있게 두는 것은 앱을 개발하는 단계에서 넣어야 뒤에 붙이는 비용이 작습니다. 유출이 확인되면 어떤 항목이 나갔는지 알려야 하므로, 회원 정보 항목을 어디에 어떤 형태로 저장하는지 목록이 처음부터 있어야 합니다.
가입과 로그인 화면에서 비밀번호 재사용을 줄이는 방법도 있습니다. 소셜 로그인이나 기기 인증을 먼저 보여 주고 비밀번호는 보조 수단으로 두는 구성은 앱 디자인 단계에서 정해집니다. 안드로이드 앱이라면 운영체제가 제공하는 자격 증명 저장소를 쓰면 회원이 비밀번호를 외울 일 자체가 줄어듭니다.
점검 목록과 정리
- 안내문의 유출 항목을 연락·본인확인·결제 세 갈래로 표시했는가
- 메일 계정의 비밀번호와 2단계 인증을 가장 먼저 손봤는가
- 같은 비밀번호를 쓰던 서비스를 전부 다른 값으로 바꿨는가
- 유출 시점 이후 결제 내역과 로그인 기록을 확인했는가
- 안 쓰는 서비스는 탈퇴했는가
- 서비스 이름을 대는 문자와 메일의 링크를 누르지 않고 있는가
- 다음 유출에 대비해 비밀번호 관리 도구에 계정을 모았는가
유출 안내는 사고가 끝났다는 통보가 아니라 시작을 알리는 신호에 가깝습니다. 메일 계정부터 순서대로 손보고 같은 비밀번호를 없애면, 다음에 같은 안내를 받아도 표 한 줄만 확인하면 됩니다.
비밀번호는 서비스마다 다르게, 손보는 순서는 메일 계정부터.
