글로벌 PHP 취약점 사태, 내 개인정보는 이미 다크웹에 팔렸다

글로벌 PHP 취약점 사태, 당신의 정보는 이미 다크웹에 매물로 올랐다

서버가 털렸다. 전 세계 웹사이트의 뼈대를 이루는 PHP 프로그래밍 언어에서 역대급 보안 취약점이 터졌다. 이번 사태는 백엔드 소스코드의 권한을 통째로 들어내는 구조적 허점을 노렸다. 사용자가 로그인을 하거나 상품을 구경하는 사이, DB에 박혀 있던 암호화되지 않은 주민등록번호, 연락처, 금융 정보가 해커의 서버로 직결됐다.

백신이나 방화벽으로 막을 수 있는 수준이 아니다. 공격자는 이미 당신의 디지털 발자국을 다크웹의 데이터 마켓에 비트코인 몇 푼과 바꿨다. 스마트폰을 켜라. 지금 걸려 오는 스팸 전화와 문자메시지는 우연이 아니다.

정부 사이트 몇 군데만 뒤져도 내 정보가 털렸는지 나온다

내 정보가 다크웹에 떠돌고 있는지 확인하는 일은 생각보다 간단하다. 하지만 포털 사이트에 출처 불분명한 사설 링크를 치는 순간, 당신은 해커에게 수수료를 얹어주는 꼴이 된다. 대한민국 정부와 공공기관이 운영하는 공식 인프라만 접속해라.

개인정보보호위원회와 KISA가 운영하는 ‘e프라이버시 클린서비스’가 첫 번째 방어선이다. 주민등록번호나 아이핀 인증을 거치면 과거에 가입하고 까먹었던 수십 개의 웹사이트 내역이 튀어나온다. 쓰지 않는 계정은 당장 탈퇴 버튼을 눌러라.

명의도용방지서비스(M-Safer)도 필수다. 전국의 이동통신사와 알뜰폰 가입 현황을 실시간으로 긁어모아 보여준다. 타인이 부당하게 개통한 대포폰이나 회선이 있다면 이 순간 바로 차단해야 한다.

결합 데이터가 만드는 지옥, 스미싱은 더 이상 어설프지 않다

유출된 정보는 단독으로 쓰이지 않는다. 과거 쇼핑몰에서 털린 이름과 전화번호가 이번 PHP 취약점으로 뚫린 금융 거래 내역과 결합한다. 공격자는 당신이 지난주에 어떤 물건을 샀고, 어느 은행에 얼마의 예금을 넣었는지 완벽하게 파악한 채 접근한다.

“고객님께서 신청하신 지원금 대상자로 선정되셨습니다.”

이런 문자가 오면 대개 무시하겠지만, 그 안에 당신이 실제로 거래하는 은행 이름과 최근 결제 금액이 적혀 있다면 이야기는 달라진다. 방심하는 순간 스마트폰에 악성 앱(APK)이 깔리고 계좌의 돈이 순식간에 증발한다. 금융회사나 공공기관은 절대 문자메시지로 앱 설치를 요구하지 않는다. 수개월 동안은 모르는 번호의 연락처와 링크를 무조건 차단해라.

오늘 당장 실행해야 할 실전 방어 3단계

불안해하고 있을 시간이 없다. 자산을 지키려면 지금 당장 스마트폰을 들고 아래의 세 가지 행동을 순서대로 끝마쳐야 한다.

1단계: 공식 채널을 통한 유출 여부 진단

• ‘e프라이버시 클린서비스’와 KISA 유출 계정 조회 사이트에 접속해 이메일과 전화번호가 다크웹 매물로 올라갔는지 직접 눈으로 확인한다.

2단계: 주요 계정 인증 수단 전면 교체

• 조회 결과와 상관없이 포털, 금융, 이메일의 비밀번호를 특수문자 포함 12자리 이상으로 바꾼다. 모든 사이트에 똑같은 비밀번호를 쓰는 나쁜 버릇은 당장 버리고, 2단계 인증(2FA)을 걸어 잠가라.

3단계: 금융 및 통신 자산 방어벽 설정

• ‘계좌정보통합관리서비스(페이인포)’에 들어가 잠들어 있는 미사용 계좌를 일괄 해지한다. 여신거래안심서비스를 신청해 본인 모르는 신규 대출이나 카드 발급을 원천 차단하라.