데이터 유출의 위험성에 대해 조사해 본 적이 있다면 'Have I Been Pwned(해브 아이 빈 폰드)', 줄여서 HIBP라는 웹사이트를 접한 적이 있을 것입니다. 이 사이트의 원리는 아주 간단합니다. 이메일 주소, 전화번호, 사용자 이름, 심지어 비밀번호를 입력하면 해당 정보가 온라인에 유출된 적이 있는지 알려줍니다.
하지만 개인정보 도난이 걱정되는 상황에서 낯선 웹사이트에 이런 정보를 맡기는 것이 과연 현명한 선택일지 의문이 들 수밖에 없습니다.
그렇다면 Have I Been Pwned는 정확히 어떤 사이트이며, 더 중요한 것은 과연 신뢰할 수 있을까요?
Have I Been Pwned(HIBP)란 무엇인가?
Have I Been Pwned는 2019년 기준 약 200만 명 이상의 구독자를 보유한 인기 웹사이트입니다.
자신의 정보를 누구에게 넘길지 경계하는 것은 분명 현명한 태도입니다. 하지만 이 사이트는 문제를 일으키는 것이 아니라 오히려 문제를 예방하도록 설계된 곳입니다.
Have I Been Pwned는 2013년 보안 연구원 트로이 헌트(Troy Hunt)가 처음 만든 사이트입니다. 헌트에 따르면, 그는 약 3,200만 명의 사용자 정보가 유출된 어도비 시스템즈(Adobe Systems) 데이터 유출 사건에 대응하기 위해 이 사이트를 만들었다고 합니다.
그는 당시 해커들은 대량으로 도난당한 계정 정보를 쉽게 다운로드할 수 있었지만, 일반인은 자신의 정보가 포함되어 있는지 확인하는 일조차 매우 어려웠다고 말합니다.
사이트가 처음 출시되었을 때는 단 5건의 보안 침해 기록만 담고 있었습니다. 하지만 지금은 수백 건의 유출 사례가 등록되어 있으며, 일반인도 몇 초 만에 자신의 정보가 포함되어 있는지 확인할 수 있습니다.
여전히 Have I Been Pwned의 의도가 걱정된다면, 최근 전체 시스템을 오픈소스로 공개하겠다는 계획이 발표되었다는 점도 참고할 만합니다.
'Have I Been Pwned'라는 이름의 유래
이 이름이 직관적으로 신뢰감을 주지 못한다면, 그것은 해커들이 사용하는 용어에서 파생되었기 때문입니다.
해킹 분야에서 'pwn(폰)'이라는 용어는 다른 컴퓨터나 애플리케이션을 장악하거나 통제권을 빼앗는다는 의미를 담고 있습니다.
또한 로고에는 ';-- 라는 텍스트가 포함되어 있는데, 이는 SQL 인젝션(SQL Injection)을 가리키는 것으로, 데이터 유출 사고를 일으키는 대표적인 공격 기법입니다.
Have I Been Pwned는 정보를 어디서 얻을까?
계정 정보가 대량으로 도난되면, 흔히 온라인상에 공개되어 누구나 다운로드할 수 있게 됩니다.
웹사이트의 명성 덕분에 익명의 소스들이 헌트에게 먼저 연락해 데이터를 제공한 경우도 수없이 많았습니다.
따라서 사이트를 최신 상태로 유지하는 일은 새로운 유출 데이터 덤프가 발생할 때마다 추가하는 것만으로 충분합니다.
이 사이트의 가장 인상적인 기능은 아마도 '덤프 모니터(Dump Monitor)'일 것입니다. 이는 트위터 봇으로서, 코드 공유 사이트 Pastebin에 올라오는 게시물 중 잠재적인 데이터 덤프를 감시하고, 발견하는 즉시 모든 계정 정보를 실시간으로 데이터베이스에 추가합니다.
대부분의 데이터 유출은 즉시 알려지지 않습니다. 따라서 여러분의 정보가 도난당했다면, 유출 사실을 듣기도 전에 이미 데이터베이스에 등록되어 있을 가능성이 높습니다.
최근 FBI와의 협력이 발표되면서 앞으로는 속도가 한층 더 빨라질 전망입니다. 제안된 협약에 따르면, FBI가 수사 과정에서 발견한 유출 비밀번호를 데이터베이스에 직접 입력하게 됩니다.
FBI는 각종 범죄를 수사하는 기관인 만큼, 다른 누구도 접근할 수 없는 비밀번호 정보를 확보하고 있을 가능성이 큽니다.
기업이 내 정보 유출 사실을 알려주지 않을까?
기업이 데이터 유출 사고를 겪었다면, 올바른 조치는 피해를 입을 수 있는 모든 고객에게 연락하는 것입니다. 하지만 안타깝게도 이것이 항상 이루어지지는 않습니다.
때로는 모두에게 연락하는 것이 현실적으로 불가능합니다. 예를 들어 서비스에 가입한 후 이메일 주소를 변경했을 수도 있습니다. 또 어떤 경우에는 회사 이미지에 타격이 될 수 있다는 이유로 유출 사실이 공개되지 않기도 합니다.
2015년 헌트는 웹호스팅 업체 000WebHost에서 나온 것으로 추정되는 데이터 덤프를 익명의 소스로부터 전달받았습니다. 그는 포브스(Forbes) 기자와 함께 해당 데이터의 진위를 검증했고, 이후 회사에 연락을 시도했지만 끝내 응답을 받지 못했습니다.
000WebHost는 결국 유출 사실을 인정했지만, 이는 포브스 기자가 관련 기사를 발행한 후에야 이루어졌습니다.
내 정보가 유출되면 어떤 일이 생길까?
계정 정보가 온라인에 공개되면 여러 가지 안 좋은 일이 일어날 수 있습니다.
이메일 계정이 유출되면 해커는 해당 이메일과 연결된 모든 서비스에 접근할 수 있습니다. 또한 여러분인 척 다른 사람들에게 연락을 취할 수도 있습니다. 계정에 저장된 개인정보는 판매되거나 신원 도용에 악용될 수 있으며, 온라인 뱅킹 계정에 접근되면 금전 피해로 이어질 수도 있습니다.
Have I Been Pwned 사용법
Have I Been Pwned는 사용법이 매우 간단합니다. 자신의 정보를 입력하기만 하면 일치하는 유출 기록이 있는지 알려줍니다. 서비스를 이용할 때 몇 가지 유의할 점이 있습니다.
먼저, 정보가 검색되지 않는다고 해서 한 번도 도난당한 적이 없다는 뜻은 아닙니다. 단지 Have I Been Pwned가 아직 접한 적이 없다는 의미일 뿐입니다.
또한 Have I Been Pwned는 성인 사이트 등 민감한 성격의 웹사이트에서 발생한 유출 기록은 기본적으로 결과에 표시하지 않습니다. 전체 데이터베이스를 조회하려면 이메일 주소 인증이 필요합니다.
Have I Been Pwned에 가입하면, 앞으로 자신의 정보가 유출될 경우 이메일 알림을 받도록 설정할 수 있습니다. 이 기능 활용을 강력히 권장합니다.
정보가 유출되었다면 이렇게 대응하세요
검색 결과에서 자신의 정보가 발견되었다면 다음과 같은 조치를 취해야 합니다.
- 비밀번호가 유출되었다면, 해당 비밀번호를 사용하는 모든 웹사이트를 방문해 즉시 변경하세요.
- 유출된 계정 중 중요한 계정이 있다면, 해커가 이미 접근한 흔적이 있는지 꼼꼼히 살펴보세요.
- 이메일 주소가 유출되었다면, 해당 이메일과 연결된 모든 서비스의 비밀번호도 함께 변경하세요.
- 유출된 비밀번호는 앞으로 어디에서도 재사용하지 마세요.
오늘 바로 계정을 보호하세요
데이터 유출은 매우 빈번하게 발생하며, 규모와 상관없이 어떤 웹사이트에서든 일어날 수 있습니다. 피해를 입었을 가능성이 있다고 생각된다면, Have I Been Pwned가 가장 확실한, 아니 어쩌면 유일한 확인 수단입니다.
이미 정보가 도난당했는지와 무관하게, 데이터 유출로부터 스스로를 지키는 가장 좋은 방법은 여러 계정에 동일한 비밀번호를 사용하지 않는 것입니다. 이렇게 해두면 만약 정보가 도난당하더라도 피해가 단 하나의 계정으로 국한됩니다.