구글·애플·페이스북 등 160억건 로그인 정보 유출... 나도 모르게 비밀번호가 털렸다?

728x90

"혹시 내 정보도...?" 불안한 생각이 드셨나요? 최근 사이버 보안 업계가 사상 최대 규모인 160억 건의 로그인 정보가 다크웹에서 거래 중인 사실을 확인하며 전 세계가 충격에 빠졌습니다. 이는 단순히 특정 기업 한 곳이 해킹당한 수준을 넘어, 수년간 누적된 다중 해킹, ‘인포스틸러’ 악성코드 감염, 기존 유출 데이터의 재조합이 만들어 낸 ‘디지털 대재앙’에 가깝습니다. 구글, 애플, 페이스북(메타), 텔레그램 등 우리가 매일 사용하는 거의 모든 플랫폼이 포함되어 있어 그 누구도 안전을 장담할 수 없는 상황입니다.

1. 사건 개요 │ ‘모든 유출의 어머니(MOAB)’라 불리는 이유

이번 유출은 보안 전문 매체 사이버뉴스(Cybernews) 연구팀이 다크웹에서 유통되는 30개의 초대형 데이터 유출 모음집을 분석하며 드러났습니다. 연구팀은 이 데이터 세트를 ‘모든 유출의 어머니(Mother of All Breaches, MOAB)’라고 명명할 정도로 그 규모와 파급력을 경고했습니다. 160억 건이라는 숫자는 전 세계 인구(약 80억 명)가 1인당 2개씩 계정을 유출당한 셈입니다.

분석에 따르면, 데이터의 상당수는 2022년부터 2025년 사이에 인포스틸러(Infostealer) 악성코드를 통해 실시간으로 수집된 최신 원본 로그인 것으로 확인되었습니다. 여기에 2013년 Adobe, 2012년 LinkedIn 등 과거에 발생했던 대규모 유출 사건의 데이터까지 재가공되어 포함되면서 피해 규모가 눈덩이처럼 불어났습니다.

2. 내 어떤 정보가, 얼마나 위험하게 노출됐나?

단순히 이메일 주소와 비밀번호만 유출된 것이 아닙니다. 이번 데이터 세트에는 훨씬 더 치명적인 정보들이 포함되어 있어 각별한 주의가 필요합니다.

금이 간 투명 유리 상자 안에 떠 있는 사용자 아이콘, 비밀번호 필드, 브라우저 쿠키와 빨간 경고등이 깜빡이는 모습

항목	설명 및 위험성
로그인 URL	google.com, appleid.apple.com 등 공격 대상이 된 정확한 서비스 주소
사용자 ID	이메일, 휴대전화 번호, 또는 서비스별 닉네임
비밀번호	암호화되지 않은 평문(Plaintext) 또는 쉽게 해독 가능한 약한 해시(Hash) 형태 다수 포함
세션·쿠키 정보	웹사이트나 앱의 자동 로그인 상태를 유지하는 토큰. 탈취 시 MFA(다단계 인증)를 우회하고 계정 즉시 장악 가능
추가 메타데이터	접속 IP 주소, 사용 브라우저 정보(User-Agent), PC 하드웨어 정보, 심지어 암호화폐 지갑 주소까지 포함

가장 우려스러운 부분은 평문 비밀번호와 세션·쿠키 정보입니다. 만약 여러 사이트에서 동일한 비밀번호를 사용하고 있었다면, 공격자는 유출된 정보 하나만으로 당신의 다른 모든 계정을 연쇄적으로 탈취할 수 있습니다. 쿠키 정보가 유출되었다면, 비밀번호를 바꾸더라도 공격자는 이미 로그인된 상태를 유지하며 활동할 수 있어 더욱 위험합니다.

3. 해킹의 주범: ‘인포스틸러’와 ‘다크웹’의 검은 생태계

후드 차림의 익명 인물들이 네온 조명 아래 홀로그램 데이터 팩과 신용카드 정보를 거래하는 다크웹 시장 장면.

3-1) 좀비 PC를 만드는 정보 탈취 악성코드, 인포스틸러

이번 사태의 핵심 배후에는 RedLine, Raccoon, Vidar와 같은 인포스틸러 악성코드가 있습니다. 이들은 주로 불법 소프트웨어 다운로드, 위장 이메일의 첨부파일, 가짜 광고 링크 등을 통해 사용자도 모르게 PC나 스마트폰에 설치됩니다. 일단 감염되면, 인포스틸러는 다음과 같은 정보를 실시간으로 훔쳐 해커의 서버로 전송합니다.

크롬, 엣지 등 웹 브라우저에 저장된 모든 비밀번호
자동 로그인을 위한 쿠키 및 세션 데이터
메타마스크(MetaMask) 등 암호화폐 지갑 파일 및 개인 키
텔레그램, 디스코드 등 메신저 계정 정보
클라우드 서비스(AWS, Azure) 접속을 위한 API 키

3-2) 도난 정보가 현금화되는 곳, 다크웹 마켓

인포스틸러가 수집한 정보는 '로그(Log)'라는 단위로 묶여 다크웹의 지하 경제에서 거래됩니다.

보통 오래된 정보 10만 건 묶음이 약 25달러(약 3만 4천 원) 정도에 팔리지만, 금융 정보나 기업 정보가 포함된 최신 감염 PC의 '로그'는 경매를 통해 수백, 수천 달러에 팔리기도 합니다.

해커들은 이 정보를 구매해 개인에게는 금융 사기를, 기업에게는 내부망 침투 후 랜섬웨어 공격을 감행하는 발판으로 삼습니다.

4. 유출로 인해 발생하는 구체적인 위험 시나리오

"내 정보가 유출됐다고 해서 당장 무슨 일이 생기겠어?"라고 안일하게 생각해서는 안 됩니다. 공격자는 유출된 정보를 활용해 다음과 같은 2차, 3차 피해를 일으킬 수 있습니다.

직접적인 금전 피해: 유출된 계정으로 로그인해 등록된 결제 정보를 이용, 상품을 구매하거나 기프트 카드를 충전하여 현금화합니다. 혹은 암호화폐 지갑에 직접 접근해 자산을 탈취합니다.

정교한 신원 도용: 당신의 이름과 이메일로 주변 지인들에게 "급한 일이 생겼다"며 돈을 요구하는 메신저 피싱이나, 거래처를 사칭한 이메일을 보내 무역 대금을 가로채는 등의 사기 행각을 벌입니다.

기업을 향한 랜섬웨어 공격(BEC): 만약 유출된 계정이 회사 업무용 계정이라면 문제는 훨씬 심각해집니다. 공격자는 이 계정으로 회사 내부망(VPN, SSO)에 침투하여 기밀 정보를 빼돌리거나 전체 시스템을 잠그는 랜섬웨어 공격을 감행해 막대한 피해를 입힙니다.

5. 지금 당장 실천! 내 계정을 지키는 5단계 완벽 대응 가이드

빛나는 파란 방패가 바이러스·악성코드 화살을 막아내며 배경의 가족을 보호하는 모습.

불안해하고만 있을 시간이 없습니다. 아래 5가지 조치를 즉시 실행하여 소중한 내 디지털 자산을 보호하세요.

① 모든 중요 계정의 비밀번호 즉시 교체: 가장 기본적이고 시급한 조치입니다. 특히 유출 가능성이 높은 구글, 애플, MS, 페이스북 등의 계정은 반드시 변경하세요. 영문 대·소문자, 숫자, 특수문자를 조합해 12자 이상으로 만들고, 다른 사이트와 중복되지 않게 설정하는 것이 중요합니다.

② 2단계 인증(MFA) 활성화: 비밀번호가 뚫려도 내 계정을 지킬 수 있는 가장 강력한 방어막입니다. SMS 인증보다는 보안성이 높은 Google Authenticator와 같은 OTP 앱 또는 FIDO2 물리 보안키 사용을 적극 권장합니다.

③ 안전한 패스워드 매니저 도입: 수많은 비밀번호를 모두 기억하는 것은 불가능합니다. Bitwarden, 1Password, NordPass와 같은 신뢰할 수 있는 패스워드 매니저를 사용하세요. 강력한 마스터 비밀번호 하나만 기억하면, 나머지 모든 사이트의 비밀번호는 자동으로 생성하고 안전하게 관리해줍니다.

④ 내 정보 유출 여부 직접 조회: 내가 사용 중인 이메일이나 전화번호가 과거 유출 사건에 포함되었는지 직접 확인할 수 있습니다. 글로벌 서비스인 'Have I Been Pwned' (haveibeenpwned.com)나 한국인터넷진흥원(KISA)의 '털린 내 정보 찾기 서비스' (kidc.kisa.or.kr)를 방문해 조회해보세요.

⑤ PC·모바일 악성코드 정밀 검사: 이미 내 기기가 인포스틸러에 감염되었을 수 있습니다. 사용 중인 백신(안티바이러스) 프로그램을 최신 버전으로 업데이트하고, '전체 시스템 검사' 또는 '정밀 검사'를 실행하여 숨어있는 위협을 제거하세요.

6. 기업 보안 담당자를 위한 핵심 대응 전략

대형 모니터에 글로벌 위협 지도가 표시된 보안 관제 센터에서 전문가들이 실시간 데이터를 분석하는 모습

IAM(계정 및 접근 관리) 강화: 단순 ID/PW 인증을 넘어, 임직원의 지리적 위치, 접속 시간, 사용하는 기기 등 다양한 맥락을 분석해 비정상적인 로그인을 차단하는 '적응형 인증' 및 '제로 트러스트' 아키텍처를 도입해야 합니다.
EDR/XDR 솔루션 활용: 전통적인 백신을 우회하는 인포스틸러를 탐지하기 위해 엔드포인트(PC, 서버)의 모든 행위를 감시하고 위협을 분석하는 EDR(엔드포인트 탐지 및 대응) 또는 XDR(확장 탐지 및 대응) 솔루션으로 방어 체계를 고도화해야 합니다.
실효성 있는 임직원 보안 교육: 최신 피싱 이메일 유형을 반영한 모의 훈련을 정기적으로 실시하고, 보안을 '귀찮은 것'이 아닌 '자신과 회사를 지키는 필수적인 활동'으로 인식시키는 실습형 워크숍을 통해 보안 내재화를 유도해야 합니다.
법규 준수 및 로그 관리: GDPR, 개인정보보호법 등 국내외 데이터 규제를 준수할 수 있도록 로그 보관 및 관리 정책을 재점검하고, 침해 사고 발생 시 신속하게 대응하고 신고할 수 있는 프로세스를 갖춰야 합니다.

7. 맺음말 │ 보안은 ‘이벤트’가 아닌 ‘습관’입니다

이번 160억 건 유출 사태는 우리에게 디지털 세상의 안전이 결코 저절로 주어지지 않음을 다시 한번 일깨워 줍니다. 하지만 막연한 공포에 빠질 필요는 없습니다. 오늘 당장 커피 한 잔 마시는 시간을 투자해 낡은 비밀번호를 새롭게 바꾸고, MFA를 켜고, 나아가 패스키(Passkey)와 같은 차세대 인증 방식을 도입하는 작은 노력이 수억 원의 잠재적 피해를 막는 가장 확실한 예방책이 될 수 있습니다.

보안은 더 이상 전문가만의 영역이 아닙니다. 지금 바로 당신의 디지털 위생 상태를 점검하고, 이 글의 내용을 가족과 동료에게도 공유하여 함께 안전한 디지털 라이프를 만들어나가길 바랍니다.