구글·페이스북 등 160억 건 계정 정보 유출...악성코드로 인한 '악용' 경고

구글·페이스북(현 메타)·인스타그램·애플 등 세계 주요 온라인 서비스 계정 정보가 대거 유출됐다.

사이버보안 매체 사이버뉴스(CyberNews)는 최근 30곳 데이터베이스(DB)에서 약 160억 건의 로그인 정보가 유출된 사실을 확인했다고 지난 18일(현지시각) 공개 보고서에서 밝혔다.

이번 유출은 악성코드(인포스틸러)가 이용자 단말에 침투해 계정 정보를 빼낸 방식으로, 비밀번호 관리가 부실한 이용자와 보안 인프라가 부족한 신흥국에서 피해 위험이 특히 크다는 평가가 나온다. 레스트 오브 월드가 지난 26일 보도했다.
아랍에미리트(UAE)에 본사를 둔 테크레지스(TechLegis) 설립자 살만 와리스는 "디지털 이용이 빠르게 늘어난 인도, 브라질, 나이지리아, 인도네시아 같은 신흥국은 보안 인프라가 뒤처져 사기와 사이버 범죄 위험이 크다"고 말했다.

실제 인도는 페이스북과 인스타그램의 최대 시장으로, 각각 전체 앱 다운로드의 20%, 26%를 차지한다. 아시아와 남미는 구글(Gmail) 등 글로벌 서비스의 주요 이용자 기반이 집중된 지역이다.

정부 기관과 주요 인프라 운영자도 이번 유출로 추가 위험에 직면했다. 살만 와리스는 "2단계 인증이 적용되지 않은 개인과 조직은 악성코드 공격에 쉽게 노출된다"고 설명했다.

사이버뉴스는 올해 들어 웹을 모니터링하며 30곳 데이터베이스에서 각각 수천만 건에서 최대 35억 건에 이르는 로그인 정보를 확인했다고 밝혔다.

이번 유출은 특정 기업이 해킹당한 것이 아니라, 다양한 시기에 악성코드에 감염된 이용자 단말에서 빼낸 정보가 모여 단기간 공개된 것으로 확인됐다.

사이버뉴스 연구진은 "이번 유출은 단순한 정보 유출이 아니라, 대량 악용의 청사진"이라며, "최근에 생성된 데이터가 많아 피싱·계정 탈취·신원도용 등에 바로 활용될 수 있다"고 경고했다.

이번 유출과 비슷한 대규모 계정 정보 유출은 신흥국에서 이미 심각한 피해를 낳았다.

2015년 파키스탄에서는 1억8400만 건의 은행, 소셜미디어, 정부 서비스 계정 정보가 유출돼 대규모 사기 경보가 발령됐다. 같은 해 아시아에서는 '오퍼레이션 시큐어' 사태로 베트남과 스리랑카에서 21만6000건 이상의 피해 신고가 접수됐다.

아프리카에서도 최근 몇 해 동안 주요 인프라를 노린 대형 데이터 유출 사고가 잇따랐다. 지난해 나미비아 통신(Telecom Namibia)에서 약 50만 건의 개인·금융 정보가 유출됐고, 올해 1분기 나이지리아에서는 11만9000건 이상의 데이터 유출이 확인됐다. 남아프리카공화국, 모로코 등도 대형 데이터 유출 피해를 입었다.

코스타리카는 2022년 랜섬웨어 공격으로 정부 서비스가 마비됐고, 이로 인해 국내총생산(GDP)의 2.4%에 해당하는 경제적 손실이 발생했다.

인도 컨설팅 업체 테크노팩(Technopak) 선임 파트너 앙쿠르 비센은 "인도에서 디지털 사기는 현재 중앙은행이 가장 큰 금융 리스크로 꼽는 현안"이라며, "보안 인식이 부족한 수백만 명이 사이버 범죄에 노출돼 있다"고 말했다.

이번 유출 데이터는 대부분 웹사이트 주소와 로그인 정보, 비밀번호가 함께 포함된 구조로 확인됐다.

사이버뉴스 연구진은 "이 정보만으로도 모든 온라인 서비스에 접근할 수 있다"고 밝혔다.

유출 건수는 최소 1600만 건에서 최대 35억 건에 이르며, 평균적으로 한 데이터베이스에 약 5억5000만 건의 계정 정보가 저장돼 있었다.

일부 데이터베이스는 포르투갈어권(35억 건), 러시아(4억5500만 건), 텔레그램(6000만 건) 등 특정 지역·서비스 이용자 정보가 집중된 것으로 확인됐다.

사이버뉴스 연구진은 "이번 유출은 기존 대형 해킹과 달리 최근에 생성된 데이터가 많아, 피싱·계정 탈취·신원도용 등에 바로 활용될 수 있다"고 경고했다.

실제로 이번 유출 정보는 단기간만 공개됐으나, 이미 다크웹 등에서 거래되고 있을 가능성이 크다는 분석이 나온다.

신흥국은 디지털 이용이 빠르게 늘고 있지만, 보안 인프라가 충분히 갖춰지지 않아 사이버 범죄에 쉽게 노출된다는 점이 문제로 지적된다.

인도와 브라질 등은 2021년 한 해 동안 데이터 유출 건수가 각각 60%, 55% 늘었다.

신흥국은 법 집행 인프라도 부족해, 사이버 범죄가 발생해도 신속한 수사와 처벌이 어렵다는 평가가 나온다.

앙쿠르 비센은 "디지털 사기 신고가 늘고 있지만, 이에 대응할 수 있는 경찰 인력과 시스템이 부족하다"고 말했다.

사이버보안 전문가들은 이번 유출 사고에 대응해 비밀번호를 정기적으로 바꾸고, 각 서비스마다 다른 비밀번호를 쓰며, 패스키(Passkey) 등 비밀번호 없는 인증 방식 도입을 권고한다.

구글은 자체 비밀번호 관리자와 패스키 기능을 통해 유출 정보를 점검하고, 이상 징후가 발견되면 이용자에게 알림을 보내는 시스템을 운영 중이다.

업계에서는 신흥국을 중심으로 보안 인프라를 확충하고 이용자 교육을 강화해야 한다는 목소리가 높다.

살만 와리스는 "이번 유출은 신흥국에서 디지털 경제 성장과 보안 인프라 간 격차가 얼마나 심각한지 보여준다"고 말했다.

한편, 메타(페이스북), 구글, 애플 등 주요 플랫폼은 이번 유출 사고와 관련해 공식 입장을 내놓지 않고 있다.


박정한 글로벌이코노믹 기자 park@g-enews.com