ID·비번 편리하다고 다 똑같이 해놨다간…쇼핑몰 계정도용 주의보

기사내용 요약
개인정보위 '크리덴셜 스터핑(Credential Stuffing)' 공격 주의 당부
이미 유출된 ID·비밀번호로 다른 웹사이트 계정까지 탈취
웹사이트별 ID 등 다르게 설정하고 생체인증 등 2차 인증으로 보안 강화 해야

개인정보위 CI *재판매 및 DB 금지

【서울=뉴시스】송혜리 기자 = 개인정보보호위원회는 최근 온라인쇼핑몰을 겨냥한 '크리덴셜 스터핑(Credential Stuffing)' 계정정보 도용 사례가 빈발하고 있어 이용자들의 각별한 주의가 요구된다고 19일 밝혔다.

'크리덴셜 스터핑' 공격은 해커가 이미 유출되거나 사전에 탈취한 사용자 계정(ID)과 비밀번호를 다른 홈페이지 등에 무작위로 대입해 로그인이 성공하면 해당 사용자 정보를 빼가는 공격 수법이다. 온라인쇼핑몰 등 인터넷 이용자 중에는 여러 홈페이지에 동일한 계정(ID)과 비밀번호를 사용하는 경우가 많다. 이에 따라 한 곳에서 계정과 비밀번호가 탈취되면, 여러 웹사이트에서 계정을 도용한 개인정보 유출, 금전 피해 등을 입을 수 있다.

개인정보위는 최근 '크리덴셜 스터핑' 등 계정정보 도용으로 개인정보가 유출된 정황이 확인된 온라인쇼핑몰에 대해 조사를 진행하고 있으며, 위법사항 발견 시 개인정보 보호법에 따라 엄정히 처리할 예정이라고 설명했다.

아울러 쇼핑몰 이용자에 계정정보 도용으로 인한 2차 피해가 발생하지 않도록 웹사이트 별로 다른 비밀번호를 사용할 것을 당부했다. 또 비밀번호 이외에 휴대폰 문자인증, 전자우편(이메일)인증, 전화인증, 생체인증 등 2차 인증이 가능한 웹사이트나 앱은 2차 인증을 필수로 설정해 보안을 강화하라고 설명했다. 이밖에 오랜 기간 방문하지 않거나 접속이 필요없는 웹사이트는 회원 탈퇴할 것을 권장한다고 덧붙였다.

양청삼 개인정보위 조사조정국장은 "온라인쇼핑몰 사업자들은 계정정보 도용 피해가 발생하지 않도록 도용 의심사례가 없는지 사용자 접속기록 및 이용현황을 철저히 분석·점검하고, 가능하다면 비밀번호 변경 안내, 2차 인증 등 계정정보 도용 방지를 위한 추가 조치를 취해 달라"고 당부했다.

계정정보 도용이 의심되거나 해킹 공격으로 기술지원이 필요할 경우, 한국인터넷진흥원에서 연중무휴로 지원받을 수 있다.

☞공감언론 뉴시스 chewoo@newsis.com