[보안 이슈] 예가람저축은행 4만 명 털렸습니다 — 유출된 건 비밀번호가 아니라 ‘이 세 가지’

무슨 일이 있었나 — 9월 30일 뚫리고, 10월 2일 공개

예가람저축은행은 9월 30일 신원 미상의 해커가 고객 개인정보 서버에 접근한 정황을 확인하고 10월 2일 공식 발표했습니다. 영향 규모는 약 4만 건입니다. 회사 측은 인지 직후 해당 서비스를 중단하고 해외에서 들어오는 외부 IP를 차단한 뒤 금융당국에 신고했습니다.

현재까지 “실제 피해 사례는 확인되지 않았다”는 입장이지만, 이는 피해가 없다는 뜻이 아니라 ‘아직 드러나지 않았다’로 받아들이는 편이 안전합니다. 개인정보 사기는 보통 유출 직후가 아니라 몇 주, 몇 달 뒤 조용히 시작되기 때문입니다.

유출된 건 ‘신원 3종’ — 왜 비밀번호보다 더 꾸준히 위험한가

이번에 빠져나간 항목은 딱 세 가지입니다.

비밀번호는 바꾸면 그만이고 카드는 재발급하면 됩니다. 하지만 이름·생년월일·전화번호는 평생 바꾸기 어렵습니다. 한 번 유출되면 회수가 불가능하고, 다른 유출 사건의 정보와 합쳐져 “이 사람은 예가람 고객이고 생일은 며칠”이라는 정교한 프로필로 재가공됩니다. 공격자가 이 조합으로 노리는 건 결국 하나, ‘진짜처럼 보이는 사칭 문자’입니다.

진짜 위험은 ‘저축은행을 사칭한 문자’

유출 정보만으로 해커가 당장 내 계좌에서 돈을 빼낼 수는 없습니다. 비밀번호도 인증서도 없기 때문입니다. 그래서 이들이 택하는 길이 ‘나를 속여 스스로 입력하게 만들기’입니다. 내 실명과 연락처를 아니까 “[예가람저축은행] OOO님, 개인정보 유출 관련 본인확인이 필요합니다” 같은 문자로 가짜 사이트나 악성 앱 설치를 유도하는 식입니다.

이름이 정확히 박혀 있으니 평소라면 거를 사람도 속기 쉽습니다. 최근 티빙 1,953만 명 유출, 락앤락 130만 명 유출 때도 2차 피해의 핵심은 해킹 그 자체가 아니라 그 뒤에 쏟아진 사칭·피싱이었습니다.

지금 당장 할 일 3가지

비밀번호는 이번에 유출된 게 아니라 변경이 필수는 아니지만, 다른 사이트와 같은 비밀번호를 쓰고 있다면 이참에 분리하는 편이 안전합니다. 지금 피해가 없다는 것은 앞으로도 없다는 보장이 아니므로, 위 3가지는 피해가 생기기 전에 미리 걸어두는 게 맞습니다.

※ 참고: 한국정보통신진흥협회, 「명의도용방지 금융거래사고 예방 안내」