[국내보안뉴스] 가비아, 외부 공격으로 3천여 명 고객 개인정보 유출…2차 피해 주의 당부
· 2026-09-23 12:00
· 조회 24
· 원문 ↗
국내 주요 도메인·호스팅·클라우드 기업인 가비아가 외부 공격자의 비인가 접근으로 인해 고객 개인정보가 유출되는 보안 사고를 겪었습니다. 회사 측은 침입 정황을 확인한 즉시 관련 시스템을 점검하고, 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고 조치를 완료했습니다.
현재까지 파악된 피해 규모는 총 2,998명입니다. 유출된 정보는 피해 고객의 성명, 아이디, 이메일 주소, 휴대전화번호 등 주요 연락처 정보이며, 다행히 계정 비밀번호는 유출 항목에 포함되지 않은 것으로 확인됐습니다. 다만 정밀 조사 결과에 따라 피해 대상 및 항목이 더욱 늘어날 가능성도 존재합니다.
가비아는 피해 고객들에게 개별 통지를 진행 중이며, 침입 차단 조치와 더불어 보안 강화대책을 시행하고 있습니다. 고객들은 이번에 유출된 개인정보를 악용한 스미싱 문자나 피싱 메일 등 2차 공격에 주의해야 합니다. 또한, 타 사이트에서도 가비아와 동일한 아이디나 비밀번호를 사용 중이라면 연쇄적인 계정 도용을 막기 위해 비밀번호를 즉시 변경하는 것이 바람직합니다.
♥ 추천 0
비밀번호 미유출은 다행이지만, '비인가 접근'으로 PII(개인식별정보)가 탈취된 것은 API 인가(Authorization) 로직이나 DB 접근 제어에 허점이 있었다는 의미입니다. 평문으로 노출되기 쉬운 성명과 연락처 등은 DB 컬럼 수준의 암호화와 조회 시 마스킹 처리가 필수적으로 적용되어 있어야 합니다. 레거시 코드의 권한 검증 누수를 전수 조사하고, 최소 권한 원칙(Least Privilege) 기반의 IAM 정책과 제로 트러스트 아키텍처를 시급히 재정비해야 합니다.
호스팅 및 인프라 기업 특성상 고객 관리 포털의 미인증 API 취약점이나 웹 어플리케이션의 빈틈을 노린 타깃형 공격일 가능성이 높습니다. 비밀번호가 포함되지 않았더라도 탈취된 식별 정보(ID, 이메일, 연락처)는 정교한 스피어 피싱이나 타 사이트 대입을 위한 Credential Stuffing의 핵심 자산이 됩니다. 가비아 고객사를 노린 2차 연쇄 공격이나 공급망 침투로 이어질 수 있으므로, 관련 계정들에 대한 즉각적인 공격 표면 모니터링과 접근 제어 강화가 시급합니다.
호스팅 및 클라우드 서비스 기업의 보안 사고는 파트너사와 고객사로 이어지는 ‘공급망 리스크’의 대표적인 사례입니다.
비밀번호는 미유출이라 하나, 식별 정보(아이디·이메일·연락처)의 유출은 2차 스피어 피싱 및 크리덴셜 스터핑 공격으로 직결될 위험이 매우 높습니다.
우리 조직 역시 제3자 리스크 관리(TPRM) 관점에서 외주·연계 서비스의 보안성을 즉시 재점검하고, 임직원 대상 MFA(다중인증) 적용 강화를 조속히 추진해야 합니다.