최근 인공지능(AI)을 동원한 대규모 계정 탈취 공격이 신한은행·KB국민은행·하나은행 등 국내 주요 시중은행의 방어망을 흔들면서, 개인이 스스로 보안을 강화해야 한다는 필요성이 커지고 있다. 전문가들은 한 서비스의 계정이 유출되면 이를 다른 금융·쇼핑 계정으로 옮겨 타격하는 2차 피해를 막기 위해 비밀번호 관리와 다중인증의 중요성을 강조한다.
유출된 계정 정보가 여러 사이트에서 재사용되는 문제를 노린 크리덴셜 스터핑이 주된 위협으로 지목된다. 한 서비스에서 빼낸 아이디와 비밀번호 목록을 자동화 도구에 입력해 은행이나 오픈마켓, 포털, SNS 등에 연쇄 로그인을 시도하는 방식이다. 최근에는 생성형 AI와 정교한 자동화 스크립트가 합류해 공격 규모와 정밀도가 확대되고 있다. 이처럼 짧은 시간에 대량의 로그인 시도가 이루어지며, 흩어진 개인 데이터를 연결해 대상이 되는 계정을 골라내기도 한다.
전문가들이 권하는 최우선 방어책은 비밀번호의 재사용을 피하는 것이다. 안랩은 서비스마다 서로 다른 비밀번호를 사용하고, 끝에 숫자나 특수문자를 추가하는 변형도 피하는 것이 바람직하다고 강조한다. 특히 이메일 계정은 많은 서비스의 본인 확인과 비밀번호 재설정의 관문이 되므로 더욱 주의해야 한다. 한 사이트에서 개인정보가 유출됐다고 느껴지면 그 사이트의 비밀번호만 바꾸는 데 그치지 말고, 같은 비밀번호를 사용하던 다른 사이트의 계정도 모두 변경해야 한다.
다음으로 MFA(다단계 인증)의 도입이 중요하다. 아이디와 비밀번호가 유출돼도 생체인증이나 인증 앱(OTP) 같은 추가 인증 절차를 거쳐야만 접속이 가능해지므로 무단 로그인 가능성이 크게 줄어든다. 만약 로그인 기록이 없는데도 스마트폰으로 인증번호나 승인 요청이 온다면 즉시 비밀번호를 바꾸고 의심을 확인해야 한다.
피싱·스미싱으로 인한 2차 피해도 경계해야 한다. 유출 사실을 확인하는 문자나 이메일에서 실제처럼 보이는 경우가 많아 링크를 클릭하기 쉽다. 공식 앱을 직접 실행하거나 주소를 직접 입력해 접속하는 습관이 필요하며, 낯선 지역이나 의심스러운 기기에서의 로그인 시도 흔적이 있으면 모든 기기에서 로그아웃한 뒤 비밀번호를 새로 설정하는 것이 좋다. 또한 공용 PC에서 브라우저 자동 로그인이나 비밀번호 저장 기능은 피하고, 사용 후 반드시 로그아웃해야 한다. PC와 스마트폰의 백신 검사와 OS 업데이트도 보안 강화에 도움된다.
기업 차원의 보안 책임도 무겁다. 안랩은 API 인증과 접근 통제를 강화하고, 비정상적인 로그인 시도나 대량 조회를 실시간으로 탐지하는 감시 체계를 구축해야 한다고 조언한다. 또한 내부 관리자망과 외주·협력사 연계 시스템까지 보안 범위를 확대하고, 고객 개인정보를 최소화하는 데이터 관리 원칙을 준수하는 것이 바람직하다고 밝혔다. 한 관계자는 “계정 자격 증명이 한 번 유출되면 이를 발판으로 연쇄 공격이 이뤄질 수 있다”며 이용자의 비밀번호 분리와 다중인증 실천, 기업의 입체적 방어망 가동의 필요성을 강조했다.
출처: 연합뉴스