"비번 안 바꿨다가 100만원 털려"

지난달부터 여러 대형 웹사이트에서 ‘크리덴셜 스터핑’ 기법을 통한 개인정보 도용이 이어지고 있다.

24일 정보기술(IT)업계에 따르면 크리덴셜 스터핑은 해커가 다른 웹사이트에서 확보한 정보를 활용해 계정을 도용하는 것을 뜻한다. 특정인이 자주 쓰는 ID와 비밀번호를 파악한 후 아무 웹사이트나 들어가서 로그인을 시도해보는 식이다. 웹 서버는 ID와 비밀번호를 입력한 정보를 로그로 남기지 않는 만큼 해커가 누구인지 파악하는 게 사실상 불가능하다.

가장 최근의 피해 사례는 지마켓이다. 이달 초 IP 식별이 어려운 해커가 이용자들의 계정으로 지마켓에 접속해 각 이용자가 구매해놓은 모바일 상품권을 무단으로 사용했다. 한 이용자는 이번 사태로 상품권 100만원어치를 도난당하기도 했다.

지난달엔 해커가 LG유플러스 일부 이용자의 계정으로 로그인해 이용 요금제를 아무렇게나 변경한 일이 발생했다. 인터파크도 최근 이용자를 대상으로 누군가 사전에 수집한 것으로 추정되는 타인의 계정 정보를 악용해 인터파크에 로그인을 시도했다는 공지를 띄웠다.

세 업체 모두 개인이나 일당이 외부에서 확보한 개인 계정 정보를 가지고 웹사이트에 접속해 정보를 도용한 것으로 보고 있다. 신승민 큐비트시큐리티 대표는 “이용자 입장에선 비밀번호를 바꾸는 게 최우선 조치”라고 말했다.

선한결 기자 always@hankyung.com