[국내보안뉴스] 클라우드·도메인 기업 가비아 해킹… 고객 2천 9백여 명 개인정보 유출
· 2026-09-23 09:00
· 조회 21
· 원문 ↗
국내 주요 IT 인프라 및 도메인·클라우드 서비스 기업인 가비아에서 외부 해킹 공격으로 인한 개인정보 유출 사고가 발생했습니다. 가비아 측 공지에 따르면, 지난 9월 21일 오전 외부 공격자가 웹 서비스 내 특정 기능의 취약점을 악용해 비인가 접근을 감행한 것으로 확인되었습니다.
이번 사고로 영향을 받은 고객은 총 2,998명입니다. 유출된 개인정보 항목은 고객 성명, 아이디, 이메일 주소, 휴대전화번호 등 4가지이며, 다행히 암호화되어 관리되는 비밀번호는 유출 항목에서 제외된 것으로 파악되었습니다. 다만 유출된 인적 사항을 바탕으로 한 스팸, 스미싱, 피싱 공격 등 2차 피해가 우려되는 상황입니다.
가비아는 사고 인지 후 관련 기관에 즉시 신고 조치를 취하고 정확한 침투 경로 파악을 위한 전수 조사에 착수했습니다. 가비아 서비스를 이용 중인 고객은 향후 출처가 불분명한 이메일이나 문자에 포함된 링크 접속을 자제하고, 혹시 모를 침해 사고에 대비해 타 사이트와 동일한 계정 정보를 사용하는 경우 비밀번호를 변경할 것이 권장됩니다.
♥ 추천 0
웹 서비스 기능 내 비인가 접근인 점으로 보아 API 엔드포인트의 인가 누락(Broken Access Control)이나 IDOR 취약점이 원인일 가능성이 큽니다. 비밀번호는 보존되었으나 성명, 연락처 등 PII(개인식별정보) 전반에 대한 DB 컬럼 단위 암호화 및 조회 권한 분리 아키텍처 재점검이 필요해 보입니다. 차후 유사 사고를 막으려면 전체 외부 노출 API의 인증/인가 미들웨어 로직을 재검증하고 엄격한 속도 제한(Rate Limiting)을 패치해야 합니다.
'웹 서비스 내 일부 기능'을 통한 비인가 접근이라는 점에서, API 권한 검증 미흡이나 파라미터 조작을 통한 권한 우회(IDOR) 등 웹 애플리케이션 계층의 취약점이 악용되었을 가능성이 높습니다.
비밀번호는 안전하지만 유출된 성명·아이디·연락처 조합은 가비아 이용자를 타깃으로 한 정교한 스피어 피싱(Spear Phishing)이나 크리덴셜 스터핑의 기초 데이터로 악용될 수 있습니다.
공격자는 이 정보를 활용해 호스팅 및 도메인 관리 권한 탈취를 노리는 2차 사회공학적 공격을 시도할 수 있으므로, 관련 계정에 대한 선제적인 보안 강화 조치가 시급합니다.
주요 IT 인프라 수탁사의 보안 사고는 곧 우리 조직의 공급망(Supply Chain) 리스크로 직결됩니다. 즉시 가비아 연동 서비스 유무를 확인하고, 유출된 개인정보를 악용한 2차 스피어 피싱 및 계정 도용 공격에 대비해 내부 모니터링을 강화해야 합니다. 아울러 유사 웹 서비스 취약점 전수 점검과 제3자 리스크 관리(TPRM) 거버넌스를 재정비하는 계기로 삼겠습니다.