이번 은행 정보 유출이 고객의 비밀번호 재사용 때문이라는 근거는 아직 없습니다. 그래도 같은 비밀번호를 여러 사이트에 쓰는 습관은 위험합니다. 이메일부터 비밀번호를 나누고 2단계 인증을 켜는 것이 우선입니다.
이번 은행 유출은 고객 비밀번호가 뚫린 것인가
고객 비밀번호가 뚫렸다고 확인된 바는 없습니다. 보도에 나온 유출 경로는 대출모집인 서비스와 직원용 시스템입니다.
매일경제와 헤럴드경제 보도를 종합하면 현황은 다음과 같습니다.
- 신한은행은 약 2만5천 명의 개인(신용)정보가 유출됐습니다.
- 국민은행은 직원용 모바일 업무지원시스템을 통해 고객 119명의 정보가 나갔습니다.
- 하나은행은 영업지원시스템에서 89명의 정보가 유출됐습니다.
- 우리은행과 농협은행은 해킹 시도를 차단했고 유출은 확인되지 않았습니다.
국민은행과 하나은행은 인터넷·모바일뱅킹 거래나 금융거래 정보와는 무관하다고 설명했습니다.
뉴시스는 신한 사건에서 대출모집인 웹 로그인 정보가 탈취된 것으로 알려졌다고 전했습니다. 크리덴셜 스터핑 가능성이 제기됐습니다. 아직 추정 단계입니다.
신한 건의 경로는 보도마다 표현이 다릅니다. 인증을 우회한 비정상 접근이라는 보도가 있습니다. 로그인 기반 뱅킹이 뚫린 것은 아니라는 보도도 있습니다.
정확한 경로는 금융감독원 조사를 지켜봐야 합니다. AI 해킹 여부도 확정되지 않았습니다.
뉴시스는 보안업계 분석을 전했습니다. 일부 공격 서버에서 AI 침투테스트 도구의 흔적이 나왔다는 내용입니다. 도구 이름은 ARTEX AI입니다.
전체 현황은 금융사 7곳 피해 글에 있습니다.
크리덴셜 스터핑이란 무엇인가
크리덴셜 스터핑은 유출된 ID와 비밀번호 조합을 여러 서비스에 넣어 보는 공격입니다. 이를 자동으로 반복합니다. 매일경제는 이를 OWASP의 정의로 소개했습니다.
이 방식에서는 비밀번호가 복잡해도 소용이 없습니다. 공격자는 비밀번호를 추측하지 않고 이미 유출된 값을 그대로 씁니다.
예를 들어 A 사이트에서 유출된 조합이 있다고 하겠습니다. 같은 조합을 쓰는 B 은행과 C 쇼핑몰에도 로그인이 됩니다. 한 곳이 뚫리면 연쇄 피해로 이어지는 구조입니다.
비밀번호는 어디부터 나눠야 하나
이메일 계정이 가장 먼저입니다. 이메일은 다른 서비스의 비밀번호 재설정 통로이기 때문입니다.
매일경제는 은행·증권·카드·이메일 같은 중요 계정부터 분리하라고 권했습니다. 은행 앱 비밀번호만 바꾸고 이메일이나 포털을 그대로 두면 취약점이 남는다고 지적했습니다.
점검 순서는 다음과 같습니다.
- 이메일 계정의 비밀번호를 다른 곳과 겹치지 않게 바꿉니다.
- 인터넷뱅킹과 증권, 카드 계정을 각각 다른 비밀번호로 바꿉니다.
- 오래 쓰지 않은 계정을 찾아 탈퇴합니다.
생일이나 휴대폰 뒷자리, 기념일을 넣은 조합은 피하는 편이 좋습니다. 개인정보로 짐작하기 쉽기 때문입니다.
계정이 많으면 어떻게 관리하나
비밀번호 관리 프로그램을 쓰는 방법이 있습니다. 매일경제도 관리 프로그램 활용을 권했습니다.
사이트마다 다른 비밀번호를 외울 필요가 없어집니다. 프로그램이 만들어 준 긴 무작위 조합을 저장해 두고 쓰면 됩니다. 마스터 비밀번호 하나만 단단하게 정해 두십시오.
다만 어떤 제품이 안전한지는 이번 보도에서 다루지 않았습니다. 제품은 직접 비교해 고르셔야 합니다.
2단계 인증과 패스키 중 무엇이 더 안전한가
패스키와 보안키 쪽이 더 안전합니다. 미국 사이버보안·인프라보안국(CISA)이 그렇게 안내합니다.
CISA는 이메일과 금융 서비스 같은 중요 계정에 MFA를 켜라고 권고합니다. MFA는 비밀번호 외에 한 단계를 더 확인하는 방식입니다.
CISA는 MFA 방식마다 강도가 다르다고 설명합니다. 그중 FIDO·WebAuthn 방식만 널리 쓰이는 피싱 저항형이라고 밝혔습니다. 패스키와 보안키가 여기에 해당합니다.
문자와 푸시 알림은 공격 수단이 되기도 합니다. CISA는 번호 일치 확인 같은 기능이 이런 공격을 막는 데 도움이 된다고 안내합니다. 방식별 순위는 CISA 원문에서 직접 확인하시기 바랍니다.
패스키를 지원하는 서비스부터 옮기는 순서가 현실적입니다. 지원하지 않는 서비스는 쓸 수 있는 인증 방식을 먼저 켜 두십시오.
내 정보가 유출됐는지는 어떻게 확인하나
해당 은행의 유출 통지와 공지를 확인하는 방법이 가장 정확합니다. 구체적인 조회 방법은 이번 보도에서 확인되지 않았습니다.
이용 중인 은행이 위에서 언급한 곳이라면 앱과 홈페이지 공지를 먼저 보십시오. 은행을 사칭한 문자나 전화의 링크는 누르지 마시고 공식 번호로 다시 확인하십시오.
금융위원회는 10월 2일 긴급 대응 회의를 열었다고 헤럴드경제가 전했습니다. 금융사에 외부 노출 시스템을 점검하라는 지시도 있었습니다. 인증과 접근통제도 대상입니다.
금융위 원문은 직접 확인하지 못했습니다. 금융권 대응은 방어법 글에서 볼 수 있습니다.
정리하면 개인이 할 일은 세 가지입니다. 이메일 비밀번호부터 분리하고 중요 계정마다 다르게 정하십시오. 그리고 MFA를 켜십시오.
