가비아, 외부 공격으로 고객 2,998명 개인정보 유출…KISA·개인정보위 신고

도메인·호스팅·클라우드 서비스를 제공하는 가비아에서 외부 공격으로 고객 2,998명의 개인정보가 유출되는 사고가 발생했다.

가비아는 23일 개인정보 유출 사실 안내를 통해 지난 21일 외부 공격자의 비인가 접근으로 일부 고객의 개인정보가 외부로 유출된 사실을 확인했다고 밝혔다. 23일 오후 3시 기준 확인된 유출 고객은 2,998명이며, 유출된 정보는 성명, 아이디, 이메일 주소, 휴대전화번호다. 현재까지 비밀번호는 유출 항목에 포함되지 않은 것으로 확인됐다. 다만 회사는 조사 결과에 따라 유출 인원과 항목이 달라질 수 있다고 밝혔다.

가비아에 따르면 개인정보 유출은 9월 21일 오전 11시 45분 발생했으며, 회사가 사고를 최초 인지한 시각은 같은 날 오후 1시 5분이다.

사고는 외부 공격자가 가비아 웹 서비스 일부 기능의 외부 요청 검증이 충분하지 않았던 점을 이용해 내부 시스템에 접근하면서 발생한 것으로 파악됐다. 공격자가 내부 시스템에 접근하는 과정에서 고객 개인정보가 외부로 전송됐다는 것이 가비아의 현재까지 조사 결과다.

가비아는 사고 인지 후 공격에 이용된 외부 접근 경로와 관련 계정을 차단하고, 사고 분석을 위한 로그와 증거자료를 보전했다고 밝혔다. 해당 시스템의 접근 통제를 강화하는 한편 원인이 된 취약점을 조치하고 동일 유형의 취약점에 대한 전수 점검도 진행하고 있다.

또 추가 개인정보 유출 여부를 확인하기 위한 전수 조사와 이상징후 탐지·상시 모니터링 체계 강화에 나섰으며, 한국인터넷진흥원(KISA)에 침해사고를 신고하고 개인정보보호위원회에도 개인정보 유출 사실을 신고했다. 현재 관계 기관과 사고 원인 및 추가 피해 여부를 조사 중이다.

가비아는 유출이 확인된 고객에게 이메일 또는 문자메시지로 개별 안내하고 있다. 특히 이번 사고에서 비밀번호 유출은 확인되지 않았지만, 아이디가 외부에 노출된 만큼 다른 경로에서 확보한 비밀번호를 대입하는 이른바 '크리덴셜 스터핑(Credential Stuffing)' 공격에 악용될 가능성에 대비해 비밀번호 변경을 권고했다.

다른 온라인 서비스에서 가비아와 동일한 비밀번호를 사용하고 있다면 해당 서비스의 비밀번호도 함께 변경할 필요가 있다. 가비아나 관계 기관을 사칭해 비밀번호·인증번호·계좌정보 등을 요구하거나 출처가 불분명한 링크 접속을 유도하는 피싱·스미싱에도 주의해야 한다.

가비아 측은 "고객 정보 보호를 최우선 목표로 삼아야 할 회사로서 이번 유출로 불편을 끼친 데 깊은 책임을 통감한다"며 "같은 일이 반복되지 않도록 보안 체계를 근본적으로 재점검하고 피해와 불편을 최소화하겠다"고 밝혔다.

현재 공개된 내용만으로는 공격자가 구체적으로 어떤 취약점이나 공격 기법을 이용했는지, 내부 시스템에서 어떤 권한을 확보했는지, 개인정보 외 다른 정보나 시스템이 영향을 받았는지는 확인되지 않았다. 향후 KISA와 개인정보보호위원회 등 관계 기관의 조사 결과를 통해 정확한 침해 경로와 피해 범위가 추가로 확인될 전망이다.