10월 한 달 동안 한국의 25개 주요 기업 및 기관에서 약 534만 건의 개인정보 기록이 유출된 것으로 확인되었다. JKN이 보도한 이번 한국 10월 데이터 유출 사고는 사람들이 매일 이용하는 서비스들, 즉 은행, 저축은행, 대학, 항공사, 커피 체인 등에 영향을 미쳤다. 이 규모는 여러분의 개인정보 상당 부분이 여러분이 통제하지 못하는 서버에 존재하며, 이를 보호하려면 하나의 도구만으로는 부족하다는 점을 일깨워 준다.

10월에 무엇이 유출되었고 누가 영향을 받았나

보도에 따르면, 다양한 일상 서비스 전반에서 연이은 유출 사고가 발생했다. 영향을 받은 분야에는 은행과 저축은행 같은 금융기관, 대학, 항공사, 커피 체인이 포함된다. 한 달 동안 25개 기업 및 기관에서 총 약 534만 건의 기록이 유출된 것으로 확인되었다.

출처 요약에서는 각 조직에서 어떤 특정 데이터 필드가 노출되었는지 상세히 밝히지 않으므로, 모든 피해자가 동일한 정보를 잃었다고 가정하는 것은 실수이다. 이 보도가 분명히 보여주는 것은 그 범위이다. 즉, 이는 한 기업에서 발생한 단일 사건이 아니라 여러 종류의 조직에 걸친 패턴이었다. 한국 내 서비스를 이용하거나 한국에서 운영되는 기업에 계정이 있다면, 알림을 받았는지 확인해 볼 가치가 있다.

일상 서비스에서 유출이 계속되는 이유

기사 자체는 원인보다 수치에 초점을 맞추고 있으므로, 이러한 사건들을 특정 결함이나 공격자 탓으로 돌리지 않도록 주의해야 한다. 일반적으로 말할 수 있는 것은 은행, 학교, 항공사, 카페 같은 조직들이 충성도 프로그램, 등록, 예약, 결제를 운영하기 위해 이름, 연락처 정보, 계정 데이터 같은 개인 정보를 수집한다는 점이다. 각각이 여러분에 대한 정보의 저장 지점이 되는 셈이다.

이것이 핵심 문제이다. 여러분의 노출 위험은 여러분이 이용하는 모든 서비스 중 가장 취약한 보관자에 달려 있다. 강력한 습관을 가지고 있어도 여러분의 데이터를 보유한 조직이 침해당하면 영향을 받을 수 있다. 커피 체인 앱처럼 규모가 작거나 덜 눈에 띄는 업체도 피싱이나 신원 사기에 악용될 만큼 충분한 정보를 보유할 수 있다.

유사한 노출은 다른 상황에서도 개인에게 영향을 미친다. 약 85만 명의 회원 정보가 노출되었을 가능성이 있는 사건을 다룬 여의도순복음교회 데이터 유출 보도는 사람들이 데이터 집약적이라고 생각하지 않는 조직에서도 개인정보가 유출될 수 있음을 보여준다. 규제도 상황의 일부이다. 인도 데이터 보호 위원회에 관한 우리의 분석은 데이터 보유자에게 책임을 물어야 할 감독 기관에 얼마나 많은 것이 달려 있는지를 보여준다.

데이터가 노출되었다면 무엇을 해야 하나

영향을 받았을 가능성이 있다고 생각되면, 몇 가지 조치로 후속 피해 위험을 줄일 수 있다.

  • 어떤 통지든 주의 깊게 읽어라. 유출을 확인한 조직은 보통 무엇이 유출되었는지 설명한다. 이를 바탕으로 대응의 시급성을 판단하라.
  • 영향을 받은 서비스의 비밀번호를 변경하고, 같은 비밀번호를 재사용한 다른 곳도 모두 변경하라. 모든 계정에 고유한 비밀번호를 사용하고, 이상적으로는 비밀번호 관리자에 저장하라.
  • 2단계 인증(2FA)을 켜라 제공되는 모든 곳에서, 가능하면 SMS보다 인증 앱을 사용하라.
  • 예상치 못한 메시지를 의심하라. 유출된 이름, 전화번호, 이메일은 표적 피싱을 부추긴다. 영향을 받은 기업을 사칭하는 문자나 이메일의 링크를 클릭하지 말고, 공식 앱이나 사이트로 직접 접속하라.
  • 금융 계좌를 모니터링하라 낯선 활동이 있는지, 특히 은행이나 저축은행이 관련된 경우에는 더욱 그렇다.
  • 유출 알림 도구를 사용하라 여러분의 이메일이나 전화번호가 알려진 유출 사례에 나타나는지 확인하라.

VPN이 도움이 되는 곳과 그렇지 않은 곳

VPN은 기기와 VPN 서버 사이의 인터넷 트래픽을 암호화하여, 공용 Wi-Fi 같은 신뢰할 수 없는 네트워크에서 도움이 되고, 로컬 네트워크와 어느 정도는 인터넷 제공업체로부터 여러분의 브라우징을 숨겨 준다. 이는 실질적인 이점이다.

그러나 VPN은 기업이 이미 보유하고 있는 데이터를 보호하지 못한다. 은행, 대학, 항공사, 커피 체인이 침해당하면, 정보는 여러분의 연결이 아니라 그들의 시스템에서 유출된다. VPN은 이를 막을 수도, 되돌릴 수도, 이미 유출된 비밀번호를 안전하게 할 수도 없다. 또한 여러분의 정보가 노출된 후 도착하는 피싱 메시지도 막지 못한다.

VPN은 전송 중인 데이터를 보호하는 하나의 계층으로 생각해야 하며, 조직의 침해에 대한 방어책이 아니다. 사고 후 가장 중요한 조치는 유출된 데이터가 악용될 수 있는 범위를 제한하는 것이다. 즉, 고유한 비밀번호, 2FA, 경계심이다.

이것이 여러분에게 의미하는 바

한국 10월 데이터 유출 사고는 평범한 서비스를 이용하기만 해도 누구나 영향을 받을 수 있음을 보여준다. 기업이 침해당하는 것을 막을 수는 없지만, 피해를 제한할 수는 있다. 여러분의 정보 일부는 이미 유출되었다고 가정하고, 악용되기 어렵게 만들어라. 비밀번호 재사용 금지, 중요 계정에 2FA, 원치 않는 메시지에 대한 주의가 그것이다.

핵심 요점

  • 이용하는 서비스에서 유출 통지를 받았는지 확인하고, 그 안내를 따르라.
  • 이메일 주소와 전화번호를 유출 알림 도구로 조회하라.
  • 모든 계정에 고유한 비밀번호로 전환하고 2FA를 활성화하라.
  • 예상치 못한 전화, 문자, 이메일은 아는 기업에서 온 것처럼 보여도 의심하라.
  • VPN은 잘하는 일에 계속 사용하되, 다른 사람이 저장한 데이터를 보호하는 데 의존하지 말라.

유사한 노출이 개인에게 어떻게 영향을 미칠 수 있는지 알아보려면 여의도순복음교회 유출에 관한 우리의 보도를 읽고, 오늘 몇 분만 투자하여 비밀번호와 2FA 설정을 강화하라.