이메일 주소가 데이터 유출 사고에 포함되었다면 해야 할 일

이메일이 데이터 유출 사건에 포함되었다면 어떻게 해야 할까

데이터 유출 사건에서 이메일 주소가 발견되었다고 해서 누군가 내 이메일 계정에 침입했다는 뜻은 아닙니다. 먼저 회사 공식 웹사이트를 통해 경고를 확인하고, 그 밖에 무엇이 노출되었는지 파악하세요. 비밀번호가 유출되었다면 사용했던 모든 곳에서 비밀번호를 변경하고 더 강력한 로그인 보호 기능을 켜세요. 카드, 은행, 사회보장번호 정보가 유출되었다면 해당 은행, 신용평가 기관 또는 IdentityTheft.gov의 절차를 따르세요.

• 이메일 주소만 해당: 나를 겨냥한 스팸과 피싱이 늘어날 수 있습니다. 누군가 내 메일함에 접근했다는 증거는 아닙니다.
• 비밀번호가 노출되었거나 유출된 것으로 표시된 경우: 해당 계정과 같은 비밀번호를 사용한 다른 모든 계정에서 비밀번호를 변경하세요.
• 계정 탈취 징후(낯선 로그인, 변경된 복구 정보, 내가 만들지 않은 전달 규칙, 내가 보내지 않은 메시지): 이메일 제공업체의 해킹된 계정 복구 절차를 이용하세요.
• 카드, 은행, 사회보장번호 또는 신분증 정보가 노출된 경우: 일반적인 이메일 점검 목록이 아니라 해당 데이터에 맞는 구체적인 절차를 따르세요.

이메일이 데이터 유출 사건에 포함되었는지 확인하는 방법

해당 회사의 공식 웹사이트나 앱을 통해 공지를 확인한 다음, 신뢰할 수 있는 유출 조회 서비스와 저장된 비밀번호 알림을 확인하세요. 어떤 조회 서비스도 모든 유출 사례를 담고 있지는 않으므로, 회사의 사고 공지를 읽고 내 주소와 함께 어떤 데이터가 노출되었는지도 확인하세요.

링크를 이용하지 않고 공지 확인하기

유출 공지는 피싱이 즐겨 쓰는 위장 수단이므로, 메시지에 있는 링크를 클릭하거나 전화번호로 전화하지 마세요. 영국 국가사이버보안센터(NCSC)는 대신 공식 웹사이트나 앱을 통해 해당 기관에 연락할 것을 권장합니다. 주소를 직접 입력하거나 이미 사용 중인 앱을 열어 회사의 사고 페이지나 지원 문서를 찾아보세요.

회사가 사건을 어떻게 설명하는지, 그리고 이메일 주소, 비밀번호, 전화번호, 결제 정보 등 어떤 범주의 데이터가 영향을 받았다고 밝히는지 확인하세요. 공지가 모호하다면 공식 채널을 통해 회사 지원팀에 내 어떤 정보가 관련되었는지 문의하세요.

Have I Been Pwned와 저장된 비밀번호 알림 확인하기

Have I Been Pwned는 보안 연구원 트로이 헌트가 운영하는 무료 유출 조회 서비스입니다. 이메일 주소를 입력하면 해당 주소가 포함된 알려진 유출 사례를 데이터셋에서 보여 줍니다. FAQ에 따르면 이메일 검색 기록은 남지 않으며, 모니터링 대상 주소로만 발송되는 무료 '알림 받기' 알림을 제공합니다.

결과가 깨끗하다고 해서 내 주소가 한 번도 유출된 적이 없다는 뜻은 아닙니다. Have I Been Pwned는 자체적으로 색인한 유출 사례만 알려 줄 수 있으며, 일부 데이터 세트는 다르게 처리되거나 아예 공개되지 않습니다.

저장된 비밀번호 도구도 노출된 비밀번호를 알려 줄 수 있습니다. 구글 비밀번호 관리자에는 저장된 비밀번호를 노출됨, 재사용됨, 취약함으로 보고하는 비밀번호 점검이 있습니다. 아이폰의 비밀번호 앱 보안 섹션은 취약하거나 유출된 비밀번호, 즉 알려진 데이터 유출에서 탐지된 비밀번호를 식별합니다. 다른 비밀번호 관리자들도 비슷한 모니터링 기능을 제공합니다. 구글은 알림의 링크를 따라가지 말고 비밀번호 점검을 직접 열어 알림을 확인할 것을 권장하는데, 이는 어떤 보안 경고에도 좋은 습관입니다.

무엇이 유출되었는지에 따라 대응이 달라집니다

노출된 데이터에 맞춰 대응하세요. 이메일 주소 유출은 주로 피싱 위험을 높이고, 비밀번호 유출은 새 비밀번호가 필요하며, 금융 또는 사회보장번호 정보 유출은 은행과 신용평가 기관 관련 조치가 필요합니다.

전화번호, 주소, 생년월일이 있다고 해서 곧 SIM 스왑이 일어난다는 뜻은 아닙니다. 다만 이런 정보는 사회공학 공격을 더 쉽게 만들며, 연방거래위원회(FTC)는 휴대전화 계정에 PIN이나 비밀번호를 설정하면 무단 변경을 막는 데 도움이 될 수 있다고 밝혔습니다.

회사가 비밀번호 해시가 노출되었다고 말한다면

많은 회사가 비밀번호를 읽을 수 있는 텍스트가 아닌 해시로 저장합니다. 침해 통지에서 비밀번호 해시가 유출되었다고 하면 회사의 재설정 지침을 따르고, 그 비밀번호를 재사용한 모든 곳에서 교체하세요. 해싱은 비밀번호가 복원될 가능성을 줄일 수 있지만, 그 보호 수준은 해싱 방식과 설정, 그리고 비밀번호의 강도에 따라 달라집니다. 해시된 비밀번호가 곧바로 읽히거나 영구적으로 안전하다고 가정하지 마세요.

경고에 스틸러 로그나 악성코드가 언급되어 있다면

일부 침해 경고는 '스틸러 로그'에서 비롯되는데, 이는 회사 데이터베이스에서 복사된 것이 아니라 감염된 기기의 악성코드가 수집한 자격 증명입니다. 경고가 구체적으로 이를 언급한다면, 신뢰할 수 있는 보안 소프트웨어로 해당 기기를 업데이트하고 검사한 뒤, 안전한 것으로 확인된 기기에서 민감한 비밀번호를 변경하세요. 일반적인 회사 침해만으로 휴대폰이나 컴퓨터에 악성코드가 있다는 뜻은 아닙니다.

비밀번호가 노출되거나 재사용되었다면

비밀번호가 노출되면 누군가 침해된 계정이나 다른 사이트에서 그 이메일과 비밀번호 조합을 시도할 수 있으므로 신속히 대응하세요. 영향을 받은 계정에서 비밀번호를 변경한 뒤, 아직 사용 중인 다른 모든 곳에서도 교체하세요.

영향을 받은 계정에서 비밀번호 변경하기

이메일 링크가 아닌 사이트 주소를 직접 입력해 로그인하고, 길고 고유한 새 비밀번호를 설정하세요. IdentityTheft.gov는 사이트에서 허용한다면 사용자 이름도 변경할 것을 권장합니다. 로그인할 수 없다면 회사에 연락해 계정 복구나 해지 방법을 문의하세요.

로그인한 상태에서 본인이 하지 않은 변경이 있는지, 특히 쇼핑이나 금융 사이트에서 확인하세요. 배송 주소, 저장된 카드, 연동된 계정, 최근 주문이나 거래 내역을 살펴보세요.

재사용한 모든 곳에서 교체하기

유출된 비밀번호를 계속 사용하는 다른 계정은 해당 서비스가 침해당하지 않았더라도 위험합니다. 다음으로 그 비밀번호들을 변경하되, 다른 서비스의 잠금을 해제하거나 금전 또는 민감한 정보를 노출할 수 있는 계정부터 시작하세요:

1. 거의 모든 비밀번호 재설정 링크가 도착하는 이메일 계정
2. 은행, 결제 및 투자 계좌
3. 카드를 저장해 두는 쇼핑 사이트
4. 소셜 미디어, 클라우드 저장소 및 통신사 계정

주요 이메일 비밀번호가 재사용되지 않았고, 경고 대상이 아니며, 이상한 활동도 없다면 가장 먼저 바꿀 필요는 없습니다. 침해된 사이트와 같은 비밀번호를 쓰고 있거나 그 자체로 침해 경고에 나타났을 때 변경하세요.

비밀번호 관리자를 쓰면 계정마다 다른 비밀번호를 생성하고 저장할 수 있어 이를 실천하기 쉽습니다. 일부 비밀번호 관리자는 재사용되었거나 노출된 것으로 알려진 저장 비밀번호를 표시해 주기도 합니다. 비밀번호 관리자가 회사의 침해를 막을 수는 없지만, 고유한 비밀번호를 쓰면 유출된 비밀번호 하나로 다른 계정이 뚫리는 일을 막을 수 있습니다.

패스키로 전환하거나 더 강력한 로그인 보호를 추가하세요

사이트가 패스키를 지원한다면 비밀번호 대신 패스키 사용을 고려해 보세요. 그렇지 않다면 고유한 비밀번호를 사용하고 다중 인증(MFA)을 켜세요. 중요한 계정에는 인증 앱이나 보안 키가 더 강력한 선택입니다. 문자 메시지 코드도 여전히 보호 기능을 더해 주지만, FTC는 SIM 스왑을 막지 못할 수 있다고 경고합니다.

기존 로그인 방식을 제거하기 전에 복구 이메일 주소, 복구 전화번호, 백업 코드, 신뢰하는 기기가 모두 본인이 관리하는 것인지 확인하세요. 다른 방법이 설정되어 작동하기 전까지는 문자 메시지 인증을 끄지 마세요. 그렇지 않으면 계정에 접근하지 못하게 될 수 있습니다.

누군가 이메일 계정에 접근한 흔적이 있다면

다른 회사에서 발생한 침해가 반드시 누군가 당신의 메일함에 접근했다는 뜻은 아닙니다. 아래 단계는 다음과 같은 이메일 계정 탈취 징후가 있을 때만 적용됩니다:

• 로그인할 수 없거나, 본인이 하지 않은 일인데 비밀번호나 사용자 이름이 변경된 경우
• 모르는 기기나 장소에서 오는 로그인 알림
• 본인이 추가하지 않은 복구 이메일 주소나 전화번호
• 본인이 쓰지 않은 메시지가 발송되었거나, 지인들이 본인에게서 온 이상한 이메일을 신고한 경우

제공업체를 통해 계정을 복구하세요

제공업체의 공식 계정 복구 페이지를 이용하세요. 주소를 직접 입력하거나 앱을 열어 접속하면 됩니다. 다시 접속한 뒤에는 비밀번호를 변경하고, 다른 모든 세션과 기기에서 로그아웃하며, MFA가 꺼져 있었다면 켜세요. FTC는 보안 소프트웨어를 업데이트하고 검사를 실행할 것도 권고합니다.

기기, 복구 정보, 전달 규칙, 연결된 앱을 확인하세요

침입자는 비밀번호를 재설정한 뒤에도 접근 권한을 유지하거나 메시지 사본을 받아보기 위해 설정을 변경할 수 있습니다. 구글의 계정 침해 안내에서 아래 확인 항목을 제시하고 있으니, 이용 중인 제공업체가 제공하는 이에 상응하는 보안 및 메일 설정을 확인하세요.

• 기기 및 세션: 최근 보안 활동을 확인하고 모르는 기기는 제거하세요.
• 복구 정보: 본인이 설정하지 않은 복구 이메일 주소, 전화번호, 계정 이름을 바로잡으세요.
• 전달, 필터, 위임: 본인이 만들지 않은 전달 규칙, 필터, 메일 위임자를 삭제하세요. 보낸 편지함과 삭제된 편지함에서 다른 사람이 보냈거나 읽은 메시지가 있는지 확인하세요.
• 연결된 앱: 계정에 접근할 수 있는 제3자 앱 중 알아보지 못하거나 더 이상 사용하지 않는 앱은 제거하세요.

메시지가 발송되었다면 연락처에 알리세요

누군가 본인 계정에서 메일을 보냈다면, 연락처에 알려서 링크를 클릭하거나 본인에게서 온 것처럼 보이는 송금 요청에 응하지 않도록 하세요.

카드, 은행, 사회보장 정보가 노출되었다면

금융 및 신원 정보에는 비밀번호 변경만으로는 해결되지 않는 조치가 필요합니다. 이 섹션의 절차는 FTC의 IdentityTheft.gov 지침을 따르며 미국에 해당하는 내용입니다. 다른 국가에서는 해당 국가의 사이버 범죄, 데이터 보호, 신용 정보 기관과 은행을 이용하세요.

신용카드 또는 체크카드

카드 발급사에는 카드 뒷면이나 명세서에 적힌 번호로 연락하세요. 유출 안내 메시지에 있는 번호로는 연락하지 마세요. 카드를 정지하고 새 카드를 발급해 달라고 요청하세요. 최근 거래 내역을 확인하고 모르는 거래는 신고하며, 자동 결제 정보를 새 카드 번호로 업데이트하세요.

은행 또는 투자 계좌

이미 신뢰할 수 있다고 확인된 연락처를 이용해 은행이나 증권사에 무슨 일이 있었는지 알리세요. IdentityTheft.gov는 계좌를 해지하고 새 계좌를 개설할 것을 권장하지만, 해당 금융기관의 구체적인 지침을 따르세요. 그런 다음 거래 내역을 정기적으로 확인하고 자동 결제 정보를 업데이트하세요.

사회보장번호

노출된 사회보장번호는 본인 명의로 신용을 개설하거나 세금을 신고하거나 취업하는 데 악용될 수 있습니다. 주요 보호 조치는 다음과 같습니다:

• Equifax, Experian, TransUnion에서 신용을 동결하세요. 각 신용평가사에 따로 연락해야 합니다. 동결은 무료이고 해제할 때까지 유지되며 신용 점수에는 영향을 주지 않습니다. 누구나 언제든지 신청할 수 있지만, 사회보장번호나 기타 신원 정보가 유출되었을 때 특히 중요합니다. 신규 신용 계좌 개설을 차단할 뿐, 기존 카드나 계좌의 부정 사용을 막지는 못합니다.
• 사기 경고를 신청하는 것도 고려해 보세요. 초기 사기 경고는 무료이며 1년간 유지되고, 전화 한 통이면 충분합니다. 신청한 신용평가사가 나머지 두 곳에도 알려 줍니다.
• AnnualCreditReport.com에서 신 용 보고서를 확인 하면 세 신용평가사의 보고서를 매주 무료로 온라인에서 볼 수 있습니다.
• 침해를 당한 회사가 제공한다면 무료 신용 모니터링을 받아 두세요. 모니터링은 보고서에 나타나는 활동을 알려 줄 뿐, 신용 동결처럼 사기를 차단하지는 못합니다.
• IRS 신원 보호 PIN을 발급받 으세요. 다른 사람이 내 사회보장번호로 사기성 연방 세금 신고를 하는 것을 막는 데 도움이 되며, IP PIN은 매년 새로 생성됩니다.
• My Social Security 계정에서 근무 이력을 확인 해 누군가 내 번호를 취업에 사용했는지 점검하세요.

모르는 계좌나 부채, 세금 신고 내역을 발견하면 IdentityTheft.gov에 신고하세요. 이 사이트는 발생한 일을 바탕으로 개인별 복구 계획을 만들어 줍니다.

자녀의 정보

자녀의 사회보장번호나 기타 신원 정보가 노출되었다면, 부모나 보호자가 각 신용평가사에 자녀의 무료 신용 동결을 요청할 수 있습니다. 각 평가사는 미성년자용 절차를 따로 운영하며, 이는 성인 신용 동결과 다릅니다.

운전면허증, 여권 또는 건강보험 정보

운전면허증 정보가 노출되었다면 주 자동차 관리 기관에 연락해 해당 번호에 표시를 하거나 재발급을 받을 수 있는지 문의하세요. 미국 여권 번호만 노출된 경우, 국무부는 여권 분실·도난 신고를 권장하지 않는다고 밝혔습니다. 신고하면 여권이 무효가 되므로, 실물 여권이나 여권 카드를 실제로 잃어버리거나 도난당했을 때만 신고하세요. 메디케어, 메디케이드 또는 건강보험 정보가 노출되었다면, 신뢰할 수 있는 번호로 해당 프로그램이나 보험사에 연락하고, 받지 않은 진료에 대한 청구 내역과 보험 혜택 명세서를 검토하세요. 이 정보가 악용되었다면 IdentityTheft.gov에 신고하세요.

침해 사건을 미끼로 한 피싱에 주의하세요

사기꾼들은 실제 침해 사건을 미끼로 이용하며, 이런 메시지는 침해 사건이 뉴스에 보도된 뒤 한참 지나서 도착하기도 합니다. 흔한 유형으로는 로그인을 요구하는 '보안 업데이트', 보상 제안, 긴급 비밀번호 재설정, 다크웹에서 내 데이터가 판매되고 있다는 경고 등이 있습니다. FTC가 마지막 유형에 대해 한 조언은 모든 경우에 적용됩니다. 메시지에 있는 링크를 클릭하거나 전화번호로 연락하지 말고, 회사 사이트나 앱에 직접 접속하세요.

요청하지 않은 인증 코드나 비밀번호 재설정 이메일에 주의하세요. 누군가 로그인이나 계정 복구 양식에 내 주소를 입력했다는 뜻일 수 있지만, 그 사람이 내 비밀번호를 안다는 증거는 아닙니다. 코드를 공유하거나 요청을 승인하지 마세요. 계정의 최근 보안 활동을 확인하고, 비밀번호가 재사용되었거나 유출로 표시되었거나 무단 접근 징후가 있다면 비밀번호를 변경하세요.

이메일 앱의 신고 버튼으로 피싱을 신고하면 스팸 필터가 개선됩니다. 미국에서는 ReportFraud.ftc.gov에서 사기 행위를 신고하고, 누군가 실제로 내 정보를 악용했다면 IdentityTheft.gov를 이용하세요.

계정이 직장이나 학교 소유라면

침해된 주소나 계정이 고용주나 학교에서 관리하는 것이라면, 승인된 경로로 IT 또는 보안팀에 연락하고, 조직이 관리하는 설정을 변경하기 전에 해당 팀의 지시를 따르세요. 안내문은 승인된 팀이나 신고용 주소에만 공유하고, 다수의 동료나 동급생에게는 공유하지 마세요.

다음 침해에 대비해 노출을 줄이세요

모든 회사가 침해를 당하지 않게 막을 수는 없지만, 한 번의 침해로 드러나는 정보의 양과 피해가 번지는 범위는 줄일 수 있습니다. 비밀번호 관리자에 저장한 고유한 비밀번호를 쓰면 한 곳의 유출로 다른 계정까지 뚫리지 않습니다. 마이크로소프트는 또한 친구·가족용 주소와 온라인 계정용 주소를 따로 두는 것도 권장합니다.

뉴스레터, 쿠폰, 일회성 다운로드처럼 위험이 낮은 가입에는 별도 주소를 쓰면, 내 주 메일함이 고객 명단에 하나 더 올라가는 일을 막을 수 있습니다. 계속 유지할 계정에는 고정 별칭이 적합하고, 일회성 가입에는 임시 이메일 주소가 적합합니다. 임시 메일과 이메일 별칭 의 비교에서 각 방식의 장단점을 확인할 수 있습니다.

임시 이메일은 이미 발생한 침해를 복구해 주지 않으며, 은행, 직장, 의료, 계정 복구 또는 계속 유지해야 하는 계정에는 쓰기 위한 것이 아닙니다. Tmailor는 수신 전용이고 첨부파일을 받지 않으며, 메시지는 도착 후 약 24시간이 지나면 삭제됩니다. 일부 사이트는 일회용 주소를 차단하기도 합니다.

이 가이드는 침해가 발생한 뒤 해야 할 일을 다룹니다. 다음 침해 전에 노출을 줄이고 싶다면, 임시 우편이 데이터 유출로 노출될 수 있는 범위를 어떻게 제한하는지 읽어보세요.