내 이메일이 데이터 유출에 포함됐는지 확인하는 방법

데이터 유출은 기업이 보관하던 정보가 공격, 잘못 설정된 서버, 내부자의 행동 등으로 외부에 노출되거나 도난당하는 일을 말합니다. 유출된 데이터에는 이메일 주소가 자주 들어 있으며, 이름, 전화번호, 생년월일, 비밀번호가 함께 포함되기도 합니다. 이 비밀번호는 평문으로 저장되어 있을 수도 있고 해시 형태로 저장되어 있을 수도 있는데, 약한 비밀번호는 해시 형태여도 풀리는 경우가 많습니다.

이메일 주소는 이런 데이터를 하나로 엮어 주는 연결 고리입니다. 공격자는 이 주소로 유출된 비밀번호를 다른 서비스에 시험해 보고, 실제로 이용 중인 서비스를 언급하는 그럴듯한 피싱 메시지를 만들며, 비밀번호 재설정 절차를 노립니다. 내 주소가 어떤 유출 사고에 포함되어 있는지 알면 어떤 비밀번호를 바꿔야 하는지, 어떤 종류의 사기 메시지가 올 수 있는지 미리 짐작할 수 있습니다.

유출 사고 목록에 내 주소가 있다고 해서 메일함이 해킹당했다는 뜻은 아닙니다. 그 주소를 사용한 어떤 서비스가 주소와 연결된 데이터를 잃어버렸다는 뜻일 뿐입니다. 실제 위험은 어떤 정보가 노출되었는지, 그리고 같은 비밀번호를 다른 곳에서도 썼는지에 따라 달라집니다.

널리 쓰이는 무료 서비스로는 독립 보안 연구자가 만든 Have I Been Pwned가 있습니다. 공개적으로 알려진 유출 사고의 데이터를 모아 두었고, 이메일 주소를 입력하면 어떤 사고에 포함되었는지, 어떤 종류의 정보가 노출되었는지 볼 수 있습니다. 유출된 비밀번호 자체는 보여 주지 않으며, 앞으로 새로운 유출 사고에 내 주소가 포함되면 알림을 받도록 구독할 수도 있습니다.

Google, Apple, Microsoft 제품에 내장된 것을 포함해 많은 비밀번호 관리자도 저장된 비밀번호가 알려진 유출 데이터에 나타나면 경고해 줍니다. 일부 이메일 및 보안 서비스도 비슷한 모니터링을 제공합니다. 이런 점검은 주소만이 아니라 내가 실제로 쓰는 비밀번호를 기준으로 살펴본다는 점에서 유용합니다.

어떤 확인 서비스를 믿을지는 신중하게 정해야 합니다. 정상적인 서비스는 이메일 주소만 필요하고 이메일 비밀번호는 묻지 않습니다. 결과를 보여 주는 대가로 결제를 요구하거나 소프트웨어 설치를 유도하는 사이트는 피하고, 내 데이터가 유출되었다며 링크를 누르라고 재촉하는 원치 않는 메시지는 무시하세요. 유출된 데이터베이스를 직접 찾아다니는 일도 하지 마세요. 그런 자료를 다루는 것은 위험하고, 거주 지역에 따라 불법일 수 있으며, 악성 코드가 퍼지는 흔한 경로이기도 합니다.

결과에는 보통 서비스 이름, 사고가 일어난 시기, 노출된 데이터 유형이 사고별로 나열됩니다. 가장 눈여겨볼 것은 데이터 유형입니다. 이메일 주소와 이름만 노출되었다면 주로 피싱 위험이 커지는 정도입니다. 비밀번호, 보안 질문, 전화번호가 노출되었다면 내 계정에 대한 조치가 필요합니다.

오래된 유출 사고라도 같은 비밀번호를 다른 곳에서 한 번이라도 썼다면 여전히 중요합니다. 공격자는 오래된 조합도 계속 시험해 보기 때문입니다. 유출된 서비스에서 어떤 비밀번호를 썼는지 기억나지 않는다면 다른 곳에서도 쓰던 비밀번호였다고 가정하고, 그 비밀번호가 쓰인 모든 곳에서 바꾸세요.

결과에 아무것도 나오지 않았다면 좋은 소식이지만 완전히 안심해도 된다는 뜻은 아닙니다. 모든 유출 사고가 공개되는 것은 아니고, 일부는 사고가 일어난 지 한참 뒤에야 알려집니다. 서비스마다 다른 비밀번호와 2단계 인증은 유출이 보고되었는지와 상관없이 계정을 지켜 줍니다.

유출된 서비스에 아직 계정이 있다면 그곳의 비밀번호를 먼저 바꾸고, 같거나 비슷한 비밀번호를 쓴 다른 모든 계정도 바꾸세요. 이메일 계정부터 시작하는 것이 좋습니다. 이메일을 장악한 사람은 나머지 계정을 재설정할 수 있기 때문입니다. 비밀번호 관리자를 이용해 계정마다 새롭고 고유한 비밀번호를 만드세요.

2단계 인증을 지원하는 곳에서는 모두 켜세요. 이메일, 클라우드 저장소, 결제와 연결된 서비스부터 시작하는 것이 좋습니다. 인증 앱이나 보안 키를 쓰면 이후 유출로 새 비밀번호가 노출되더라도 계정을 지킬 수 있습니다.

유출된 정보에 보안 질문이 포함되어 있었다면 답을 바꾸고 비밀번호처럼 다루세요. 실제 초등학교 이름보다 비밀번호 관리자에 저장해 둔 무작위 답변이 더 안전합니다. 결제 정보가 관련되었다면 카드 명세서를 주의 깊게 살피고 은행의 안내를 따르세요.

이메일 계정에 침입한 공격자는 조용히 머무르려는 경우가 많습니다. 메일 설정에서 전달, 필터, 규칙을 확인하세요. 낯선 전달 주소나 ‘청구서’, ‘비밀번호’, ‘보안’ 같은 단어가 들어간 메시지를 다른 곳으로 옮기거나 삭제하는 규칙은 침입의 강력한 징후입니다. 내가 만들지 않은 것은 모두 삭제하세요.

다음으로 복구용 이메일과 전화번호, 위임된 접근 권한이나 공유 메일함 권한, 자동 회신, 서명을 확인하세요. 보낸편지함과 휴지통에서 내가 쓰지 않았거나 지우지 않은 메시지가 있는지도 살펴보세요. 앱 비밀번호를 사용하는 서비스라면 목록을 검토해 알아볼 수 없는 것은 폐기하세요.

Gmail, Outlook, Yahoo, GMX처럼 제공업체마다 메뉴 이름은 다르지만, 이런 항목은 보통 메일 설정의 전달, 필터, 규칙 항목과 계정 보안 섹션에서 찾을 수 있습니다.

계정의 보안 설정에서 기기 및 활성 세션 목록을 여세요. 알아볼 수 없는 것은 모두 로그아웃하거나 다른 모든 세션에서 로그아웃하는 옵션을 사용한 다음, 내 기기에서 다시 로그인하세요. 비밀번호를 바꾸는 것만으로는 이미 열려 있는 세션이 항상 종료되지는 않습니다.

예를 들어 ‘Google로 로그인’이나 ‘Microsoft로 로그인’ 버튼을 통해 내 계정에 접근할 수 있게 된 서드파티 앱과 서비스를 검토하고, 더 이상 쓰지 않거나 알아볼 수 없는 것은 제거하세요. 이런 연결은 비밀번호를 바꾼 뒤에도 계속 작동할 수 있습니다.

마지막으로 최근 보안 활동 페이지를 살펴보세요. 대부분의 제공업체가 이곳에 로그인, 비밀번호 변경, 새 기기 기록을 나열합니다. 모르는 장소나 기기에서 로그인에 성공한 기록이 보이면 비밀번호 변경과 세션 로그아웃을 다시 하고, 복구 수단이 여전히 올바른지 확인하세요.

사용하는 모든 주소에 대해 유출 알림을 구독하고, 비밀번호 관리자의 유출 경고도 켜 두세요. 조기 경고를 받으면 그 비밀번호가 다른 계정에 시도되기 전에 바꿀 시간을 벌 수 있습니다.

용도별로 주소나 별칭을 나눠 쓰는 방법도 생각해 보세요. 예를 들어 금융과 중요한 서비스에는 한 주소를, 뉴스레터와 쇼핑에는 다른 주소를 쓰는 식입니다. 일부 제공업체는 별칭이나 더하기(+) 주소 지정을 지원하는데, 이를 쓰면 어느 서비스가 내 주소를 유출하거나 공유했는지 파악하는 데도 도움이 됩니다.

다른 사람에게서 받은 이메일 계정, 예를 들어 rStock 같은 마켓플레이스에서 구매한 계정을 쓴다면, 전달 내역이 주문 페이지에 나타나는 대로 위의 메일함과 세션 점검부터 진행하고 그다음에 중요한 서비스에 연결하세요. 계정은 제공업체의 이용약관에 맞게 사용하세요. rStock은 이 글에 언급된 어떤 이메일 제공업체와도 제휴 관계가 없습니다. 고유한 비밀번호, 2단계 인증, 정기적인 점검이라는 같은 습관이 새 메일함이든 오래된 메일함이든 내가 직접 통제할 수 있게 해 줍니다.