최근 신한은행과 KB국민은행에서 잇따라 고객 개인정보 유출 사고가 발생한 가운데 안랩이 계정 탈취와 피싱 등 2차 피해를 막기 위한 보안 수칙을 내놨다. 한 곳에서 유출된 아이디와 비밀번호가 다른 서비스의 계정 탈취로 이어질 가능성이 높아졌기 때문이다. 이용자는 서비스마다 다른 비밀번호를 사용하고 기업은 응용프로그램 인터페이스(API)와 내부 업무시스템까지 보안 。검 범위를 넓혀야 한다는 설명이다. 2일 안랩은 개인정보 유출 이후 발생할 수 있는 추가 피해를 막기 위해 이용자와 서비스 운영 기업이 。검해야 할 보안 수칙을 발표했다. 전날 신한은행에서 약 2만5000명의 개인신용정보가 유출된 사실이 알려진 데 이어 이날 KB국민은행 고객 119명, 하나은행 89명 규모의 개인신용정보가 외부 침해로 유출됐다고 밝히면서 금융권 보안에 대한 우려가 커진 상황이다. 안랩이 경고한 대표적인 2차 공격은 ‘크리덴셜 스터핑(Credential Stuffing)’이다. 황금성다운 다른 곳에서 이미 유출된 아이디와 비밀번호를 여러 플랫폼이나 사이트, 서비스에 반복적으로 대입해 로그인을 시도하는 방식이다. 이름과 전화번호 등 유출된 개인정보를 이용해 기업이나 기관을 사칭한 피싱·스미싱 공격이 뒤따를 가능성도 있다. 안랩은 이용자에게 △서비스별로 서로 다른 비밀번호 사용 △다중인증(MFA)·2단계 인증 설정 △로그인 기록과 계정 활동 。검 △출처가 불분명한 링크 주의 △브라우저 저장 계정 관리와 최신 보안 업데이트 등 5가지 수칙을 제시했다. 특히 개인정보 유출 통보를 받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용한 다른 서비스의 비밀번호도 바꿀 것을 권고했다. 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인에 활용되는 경우가 많은 만큼 별도의 비밀번호를 사용하는 것이 좋다는 설명이다. 유출 사고 이후 이를 악용한 피싱에도 주의해야 한다. ‘개인정보 유출 확인’이나 ‘피해 보상 신청’, ‘계정 보호’ 등을 내세운 문자나 이메일의 링크를 누르기보다 공식 앱이나 홈페이지에 직접 접속해 사실 여부를 확인해야 한다 알라딘바로가기 . 기업을 대상으로는 고객이 사용하는 홈페이지와 앱뿐 아니라 API와 직원·협력사가 이용하는 업무 지원 시스템까지 .검할 것을 주문했다. API 요청마다 접근 권한을 확인하고 일정 시간 동안 허용하는 요청 횟수를 제한해 반복적인 정보 조회나 무차별 대입을 탐지·차단해야 한다는 것이다. 고객정보 보관과 조회 범위도 최소화해야 한다고 강조했다. 업무 화면이나 API에서 필요한 정보만 제공하고 대량 조회 및 다운로드 권한은 실제 필요한 담당자로 제한하는 식이다. 관리자나 외부 접속 계정에는 다중인증을 적용하고 퇴사자나 계약이 끝난 협력사의 계정이 남아 있는지도 .검할 필요가 있다고 설명했다. 양하영 안랩 ASEC 실장은 “계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다”며 “서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 .검해야 한다”고 말했다. 남아 있는지도 .검