[보안 이슈] 해커가 협박할 때까지 몰랐다? 락앤락 130만 명 개인정보 유출로 본 계정 보안의 경고

flowchart LR
    A([공격자]) -->|취약점 악용| M[미패치 메일 서버]
    M -->|사내망 침투| N[내부 네트워크]
    N -->|5월: DB 접근| DB[(회원 DB)]
    N -->|11월: 파일 접근| FS[파일 서버]
    DB -->|130만 명| U1([고객 정보 유출])
    FS -->|신분증·통장| U2([임직원 정보 유출])

무슨 일이 일어났을까? 협박으로 밝혀진 보안 공백

이번 사고는 고도의 해킹 기술이 아닌 ‘보안 패치 업데이트 방치’라는 실수에서 시작되었습니다. 해커는 2022년에 취약점이 보고된 락앤락 메일 서버를 노려 2024년 4월 사내망 침입에 성공했습니다. 2년이라는 시간 동안 회사가 보안 패치를 미루는 사이 시스템에 들어온 것입니다. 보통 현장에서는 서비스 중단이나 충돌을 우려해 패치를 미루곤 하나, 해커는 스캐너로 취약 서버를 24시간 찾기에 이는 위험을 방치하는 셈입니다.

이후 해커는 5월에 회원 데이터베이스를 탈취해 130만 명의 정보를 얻었고, 11월엔 파일 서버까지 접근해 임직원 신분증 정보와 통장 사본을 훔쳤습니다. 130만 명 분량의 데이터가 외부로 빠져나가면 네트워크 트래픽 이상 징후나 보안 장비 경고음이 울려야 정상입니다. 그러나 회사는 악의적 행위가 진행된 반년 동안 인지하지 못했고, 협박 메일을 받고서야 확인했습니다. 이는 내부 정보 유출을 감시할 모니터링 시스템이 제대로 작동하지 않았음을 시사합니다.

내 정보는 안전할까? 유출 항목의 실질적 위험성

회원 130만 명의 이름, 전화번호, 주소와 임직원의 신분증, 통장 사본 등이 노출되었습니다. 얼핏 일상적인 데이터로 보이나, 이 정보가 범죄자 손에서 조합되면 구체적이고 현실적인 금전적 위협이 됩니다.

지금 당장 내 정보를 보호하는 3단계 실천 행동

내 정보가 빠져나갔다는 불안감에 떨기보다, 추가 피해를 물리적으로 차단하는 보안 조치를 세워야 합니다. 다음 3가지를 즉시 실천하세요.

이것만은 알고 대처하세요: 보안 조치의 이면과 불편함

이러한 선제 조치는 보안을 강화하나 일상적 번거로움을 동반합니다. 엠세이퍼 가입 제한을 걸면 새 휴대폰 개통이나 요금제 변경을 위해 대리점에 방문 시 전산망 처리가 거부됩니다. 이때는 직접 사이트에 로그인해 일시 해제한 뒤 업무를 처리하고 다시 잠가야 합니다. 어카운트인포 금융 제한도 급하게 자금이 필요해 비대면 마이너스 통장을 개설할 때 즉시 실행되지 않는 불편함을 유발할 수 있습니다.