위버스 유출, 내 결제 내역도 털렸을까

무엇이 새고, 무엇은 아직 모르나

9월 6일 위버스컴퍼니는 양주일 대표이사 명의 공지로 이용자 정보 42만2584건이 외부로 유출됐다고 밝혔다. 회사가 유출을 인지한 건 9월 3일 한국인터넷진흥원(KISA)이 외부 제보자의 보안 취약점 신고를 전달하면서였다. 스스로 발견한 게 아니라 외부 제보로 뒤늦게 확인한 사고다.

유출 항목을 두고는 설명이 갈린다. 회사는 가입할 때 내부적으로 만들어지는 식별값이 샜을 뿐 이름이나 연락처처럼 개인을 직접 가리키는 정보는 아니라고 했다. 내부 식별값은 이용자를 구분하려고 시스템이 부여한 번호에 가깝다는 설명이다. 다만 같은 공지에 결제 수단, 결제대행사 이름, 구매 금액과 일시, 환불 내역 같은 결제 관련 정보도 포함됐다고 적혀 있어, 일부 매체는 결제 내역이 털렸다고 평가했다. 카드번호 같은 실제 결제 수단 자체가 노출됐다는 공식 확인은 없다.

비밀번호가 유출됐다는 언급은 공지에도, 보도에도 없다. 확인되지 않았다는 뜻이지, 안전하다는 보장은 아니다. 지금 단계에서 사실로 말할 수 있는 건 식별값과 결제 내역이고, 나머지는 추정의 영역이다.

내 계정이 영향권인지 따지는 순서

Photo by CardMapr.nl on Unsplash

먼저 유출 시점을 본다. 한 보도에 따르면 유출은 7월 27~28일과 8월 27~31일 두 구간에 걸쳐 일어났다. 이 기간에 위버스에서 결제했거나 활동한 계정이라면 신경 쓸 이유가 더 크다. 반대로 그 전부터 거래가 없던 계정이라면 상대적으로 노출 가능성이 낮다고 볼 수 있다.

다음은 개별 통지다. 회사는 관련 법에 따라 피해 대상 이용자에게 개별적으로 통지를 진행 중이라고 밝혔다. 위버스 가입 메일이나 앱 알림으로 안내가 왔는지 확인하는 게 가장 직접적인 신호다. 통지가 왔다면 내 계정이 유출 대상에 포함됐다는 의미다.

결제 위조 가능성에 대해 회사는 내부 식별값만으로는 부정 이체나 결제 위조가 어렵다고 설명했다. 그러나 이는 회사 판단이고, 결제 내역 자체가 사칭 문자나 피싱의 재료가 될 수 있다는 점은 남는다. 예컨대 실제 구매 금액과 날짜를 아는 척 접근하는 환불 사칭은, 거래 내역이 맞아떨어질수록 속기 쉽다.

불안하다면 지금 할 수 있는 것

• 위버스 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 서비스가 있다면 함께 바꾼다. 유출 항목에 비밀번호가 없더라도 비밀번호 재사용 습관이 더 큰 위험이다.
• 위버스샵 공식 공지와 가입 메일함을 확인해 개별 통지 수신 여부를 본다. 공지가 아닌 경로로 온 보상 안내나 링크는 사칭을 의심한다.
• 결제 수단을 등록해 뒀다면 카드사나 간편결제 앱의 결제 알림을 켜 두고, 모르는 승인 내역이 없는지 당분간 지켜본다.

과장할 필요는 없다. 공식적으로 확인된 건 내부 식별값과 결제 내역의 유출이고, 이름이나 전화번호, 비밀번호가 샜다는 발표는 없다. 다만 보도에 따르면 이번이 올해 두 번째 사고라는 점, 그리고 회사가 스스로가 아니라 외부 제보로 사고를 인지했다는 점은 팬 입장에서 경계를 늦추기 어려운 대목이다. 당장 할 일은 소문을 좇는 게 아니라, 내 계정에 통지가 왔는지부터 확인하는 것이다.

출처

1. 하이브 팬플랫폼 위버스 개인정보 42만건 유출…내부식별정보 피해
2. 위버스 정보 42만2천5백 건 유출…내부식별용
3. 하이브 위버스, 42만건 개인정보 유출…외부 제보로 뒤늦게 확인