구글, 넷플릭스, 페이스북 등 주요 온라인 서비스의 로그인 정보 1억 8,400만 건이 포함된 대규모 데이터베이스가 암호화 없이 인터넷상에 노출된 채 발견됐다.
최근 보안 전문가 제레마이어 파울러는 보안 전문 매체 웹사이트플래닛(WebsitePlanet)을 통해 비밀번호가 평문으로 저장된 채 누구나 접근 가능한 클라우드 서버에서 1억 8,400만 건이 넘는 로그인 정보가 담긴 데이터베이스를 발견했다고 밝혔다.
특히 47GB에 달하는 이 데이터에는 수많은 유명 서비스 계정과 정부기관 이메일 주소가 포함돼 있어 그 심각성이 크다.
샘플 분석 결과, 1만 건의 데이터 중 479개의 페이스북 계정, 475개의 구글 계정, 그리고 마이크로소프트, 넷플릭스, 페이팔 계정이 각각 100건 이상 포함돼 있었다.
또한, ‘Bank’와 ‘Wallet’이라는 키워드 검색 결과 각각 187건, 57건이 발견됐으며, 미국, 캐나다, 중국, 호주, 영국 등 29개국의 .gov 도메인 이메일 주소 220건도 확인됐다.
전문가들은 이번 유출이 ‘인포스틸러’로 알려진 악성코드에 의해 수집된 정보일 가능성이 높다고 분석한다. 해당 악성코드는 감염된 사용자의 브라우저나 이메일 클라이언트, 메신저 앱 등에 저장된 민감한 정보를 자동으로 탈취하는 기능을 갖추고 있다.
발견 직후 클라우드 서비스 제공업체에 해당 데이터베이스의 존재가 신고돼 현재는 외부에서 접근이 불가능하지만, 해당 정보가 얼마나 오랜 기간 노출돼 있었는지, 또 누가 접근했는지는 여전히 미궁 속이다. 다만, 데이터 내에서 포르투갈어로 ‘비밀번호’를 뜻하는 ‘Senha’라는 단어가 반복적으로 등장한 점은 유력한 단서로 지목된다.
전문가들은 이번 유출로 인해 ‘크리덴셜 스터핑’ 공격이 증가할 것으로 우려한다. 이는 동일한 이메일-비밀번호 조합을 여러 사이트에 자동 입력해 침투하는 방식으로, 한 번의 침입만으로도 치명적인 피해를 유발할 수 있다. 실제로 매일 수백만 건의 관련 공격이 전 세계적으로 감지되고 있다.
이와 같은 공격을 막기 위해서는 2단계 인증(2FA) 설정이 필수적이며, 각기 다른 서비스마다 고유하고 복잡한 비밀번호를 사용하는 것이 중요하다. 이를 위해 비밀번호 관리 프로그램의 활용과 함께, 자신의 이메일 주소가 데이터 유출에 포함됐는지를 주기적으로 확인하는 것도 필요하다.
