핵심 POINT
Cybernews 연구진은 6월 12일 240억 건, 8.3TB가 넘는 계정정보가 외부에 노출된 데이터 클러스터를 발견했습니다. 다만 240억 건이 240억 명의 피해자를 뜻하는 것은 아닙니다.
Proofpoint는 9월 14일 이 사례를 다시 분석하며, 인포스틸러(정보탈취형 악성코드) 감염이 의심되는 경우 비밀번호 변경뿐 아니라 세션 무효화와 단말 조치까지 함께 봐야 한다고 설명했습니다.
기업은 재사용 비밀번호, 활성 세션, 감염 단말, MFA 정책, 이상 로그인·다운로드 징후를 하나의 계정 탈취 대응 흐름으로 점검할 필요가 있습니다.
Proofpoint는 2026년 9월 14일, 지난 6월 공개된 240억 건 규모의 탈취 계정정보 데이터셋을 기업 계정 탈취 관점에서 다시 분석했습니다. Proofpoint는 이 사례에서 중요한 것은 숫자 자체보다, 노출된 정보가 실제 계정 탈취로 이어지는 시간을 얼마나 줄일 수 있느냐라고 짚었습니다.
원 사례는 Cybernews 연구진이 6월 12일 외부에 공개된 데이터 검색·저장 클러스터를 발견하면서 알려졌습니다. 여기에는 사용자명, 이메일 주소, 평문 비밀번호, 로그인 URL 등이 포함된 약 240억 건의 레코드가 있었고 전체 용량은 8.3TB를 넘었습니다. 데이터는 36개 출처에서 모인 것으로 파악됐으며, 연구진은 상당수가 인포스틸러(Infostealer), 즉 감염된 기기에서 로그인 정보와 세션 데이터 등을 빼내는 정보탈취형 악성코드의 로그로 보인다고 설명했습니다. 해당 클러스터는 6월 15일 외부에서 더 이상 접근할 수 없게 됐습니다.
다만 240억 건이 240억 개의 고유 계정이나 240억 명의 피해자를 의미하는 것은 아닙니다. 중복 레코드 수와 실제 고유 피해자 수, 데이터의 정확한 생성 시점은 확인되지 않았습니다. 이번 글에서는 이 해외 사례를 바탕으로, 국내 기업이 계정정보 노출과 인포스틸러 감염에 대비할 때 비밀번호 외에 어떤 부분까지 함께 점검해야 하는지 살펴보겠습니다.
■ 계정 탈취의 시작점, 인포스틸러
출처: AI(ChatGPT) 생성 이미지
Cybernews가 확인한 240억 건은 한 서비스에서 한 번에 발생한 신규 유출 사고가 아니라, 여러 출처에서 모인 계정정보가 한곳에 집적돼 외부에 노출된 사례에 가깝습니다. 연구진은 36개 출처를 확인했으며, 과거 유출 데이터를 묶은 컬렉션과 메신저 기반 유출 채널, 일부 데이터베이스 덤프 등이 섞여 있었습니다. 중복 레코드가 얼마나 되는지, 실제 고유 피해자가 몇 명인지는 확인되지 않았기 때문에 ‘240억 명이 피해를 봤다’고 해석해서는 안 됩니다.
인포스틸러란? 기기 안의 로그인 정보를 훔치는 악성코드
인포스틸러(Information Stealer)는 이름 그대로 사용자의 기기 안에 저장된 정보를 훔치는 악성코드입니다. 피싱 메일의 첨부파일, 가짜 프로그램이나 업데이트, 악성 광고·웹페이지처럼 사용자가 정상 파일로 착각하기 쉬운 경로를 통해 설치될 수 있습니다. 종류에 따라 브라우저에 저장된 사용자명과 비밀번호뿐 아니라 쿠키, 세션 데이터, 인증 토큰, 키체인 정보, 개발자용 비밀정보 등을 수집해 공격자에게 전송할 수 있습니다.
이 점이 일반적인 ‘과거 비밀번호 유출 목록’과 다른 부분입니다. 예전에 유출된 비밀번호 목록은 오래된 정보일 수 있지만, 인포스틸러 로그는 실제로 감염된 단말에서 수집된 비교적 최근의 인증정보가 포함될 가능성이 있습니다. 따라서 기업 입장에서는 비밀번호만 바꾸는 것으로 끝내기보다 해당 계정이 사용된 단말과 로그인 세션까지 함께 확인해야 합니다.
이번 공개 자료에서는 어떤 특정 서비스 제공자의 계정이 얼마나 포함됐는지 정확히 특정되지 않았습니다. 따라서 이 글에서도 특정 서비스나 기업이 피해를 입었다고 단정하지 않고, 메일·VPN·클라우드·관리자 계정처럼 기업에서 공통적으로 사용하는 인증정보를 어떻게 보호할지에 초점을 맞춥니다.
데이터셋의 소유자는 이후 위협 인텔리전스·침해정보 모니터링 플랫폼으로 확인됐고, 임시 마이그레이션 과정의 설정 오류로 데이터가 외부에 노출된 것으로 알려졌습니다. 다만 연구진은 중복 데이터 규모와 실제 영향을 받은 고유 사용자 수를 특정할 수 없다고 밝혔습니다.
■ 비밀번호 밖에 남아 있는 위험, 세션과 감염 단말
출처: AI(ChatGPT) 생성 이미지
Proofpoint가 이번 사례를 다시 다룬 이유도 여기에 있습니다. 계정정보가 유출됐을 때 흔히 가장 먼저 떠올리는 조치는 비밀번호 변경과 MFA 적용입니다. 두 조치 모두 중요하지만, 감염 단말 자체가 정리되지 않았다면 새 비밀번호가 다시 탈취되거나 공격자가 이미 확보한 인증 정보로 접근을 이어갈 가능성을 배제하기 어렵습니다.
Proofpoint는 인포스틸러 감염이 확인된 경우 단순 비밀번호 재설정에서 끝내지 말고, 활성 세션을 무효화하고 단말을 함께 조치해야 한다고 강조했습니다. 여기서 세션은 사용자가 로그인을 마친 뒤 일정 시간 동안 다시 비밀번호를 입력하지 않아도 서비스를 이용할 수 있게 해주는 ‘로그인 상태’라고 이해하면 쉽습니다. 브라우저의 세션 쿠키나 인증 토큰이 탈취되면 서비스의 보안 구조에 따라 공격자가 비밀번호를 다시 입력하지 않고 이미 인증된 상태를 악용할 가능성이 있기 때문에, 비밀번호 변경과 함께 기존 세션을 종료하는 절차가 중요합니다.
이번 데이터셋의 모든 레코드에 세션 정보가 포함됐다고 확인된 것은 아닙니다. 다만 Microsoft Defender Security Research Team은 2026년 2월 인포스틸러 연구에서 현대적인 인포스틸러가 브라우저 자격증명뿐 아니라 세션 데이터, 키체인 정보, 개발자용 비밀정보 등을 노릴 수 있다고 설명했습니다. 따라서 기업은 ‘비밀번호 유출’과 ‘단말·세션 탈취’를 별개의 문제로 보지 않는 편이 안전합니다.
■ 기업이 오늘 확인할 계정 탈취 대응 5가지
출처: AI(ChatGPT) 생성 이미지
1) 업무 계정의 비밀번호 재사용 여부부터 확인합니다
개인 서비스와 업무 계정에 동일하거나 유사한 비밀번호를 사용하면 한 곳의 유출이 다른 계정으로 이어질 수 있습니다. 특히 메일, VPN, 클라우드, 관리자 계정은 다른 서비스와 비밀번호를 공유하지 않도록 관리하는 것이 중요합니다.
2) 노출 또는 감염이 확인된 계정은 활성 세션까지 종료합니다
비밀번호 변경만으로 대응을 끝내지 말고, 현재 로그인된 세션과 인증 토큰을 함께 무효화하는 절차를 확인해야 합니다. 이미 로그인된 세션이 남아 있는 상황에서는 새 비밀번호 적용 이후에도 접근이 이어질 수 있습니다.
3) 비밀번호 변경 전에 감염 단말을 먼저 점검합니다
인포스틸러가 실행 중인 PC에서 비밀번호만 바꾸면 새 인증정보가 다시 노출될 수 있습니다. 감염이 의심되는 단말은 네트워크 격리, 악성코드 제거, 보안 점검을 거친 뒤 신뢰할 수 있는 환경에서 계정 정보를 변경하는 것이 좋습니다.
4) MFA를 적용하되 세션 탈취까지 고려합니다
MFA는 비밀번호만 탈취된 상황에서 계정 보호 수준을 높이는 중요한 통제입니다. 다만 이미 인증이 완료된 세션이나 토큰이 탈취된 경우에는 로그인 단계의 MFA가 직접 작동하지 않을 수 있으므로, 세션 관리와 이상 행위 탐지를 함께 운영해야 합니다.
5) 관리자·클라우드 계정부터 이상 활동을 우선 확인합니다
새로운 기기나 낯선 위치에서의 로그인, 평소보다 많은 파일 다운로드, 비정상적인 메일 접근, 인증 방식 변경처럼 평소와 다른 활동을 확인합니다. 모든 계정을 동시에 점검하기 어렵다면 관리자 권한, 클라우드 콘솔, VPN, 개발·운영 계정처럼 영향 범위가 큰 계정을 먼저 확인하는 것이 현실적입니다.
■ 계정 보안, 이제는 ‘비밀번호 정책’에서 ‘세션·단말·행동’ 관리로
이번 240억 건 데이터셋에서 가장 중요한 교훈은 숫자의 크기보다 계정정보가 공격자에게 반복적으로 수집·재사용될 수 있다는 점입니다. 특히 인포스틸러처럼 사용자 단말에서 직접 정보를 수집하는 악성코드가 결합되면, 기업이 관리해야 할 범위도 비밀번호를 넘어 브라우저 세션과 단말 상태까지 넓어집니다.
기업 보안 담당자는 계정정보 유출을 ‘비밀번호를 바꾸는 이벤트’가 아니라 하나의 침해사고 흐름으로 볼 필요가 있습니다. 계정 노출 확인 → 세션 종료 → 감염 단말 조치 → 인증정보 재설정 → 이상 활동 확인이 연결돼야 실제 계정 탈취 위험을 줄일 수 있습니다.
또한 임직원에게는 비밀번호 재사용 금지와 MFA 사용뿐 아니라, 비공식 소프트웨어 설치·가짜 업데이트·의심스러운 다운로드가 인포스틸러 감염으로 이어질 수 있다는 점을 함께 안내하는 것이 좋습니다.
■ 자주 묻는 질문
Q1. 240억 건이 곧 240억 개의 고유 계정이나 피해자를 의미하나요?
A. 아닙니다. Cybernews 연구진은 데이터 중복 규모와 실제 고유 피해자 수를 확인할 수 없었다고 밝혔습니다. 따라서 240억 건은 데이터베이스에 저장된 레코드 수로 이해해야 합니다.
Q2. 국내 기업 계정도 이 데이터셋에 포함됐다고 확인됐나요?
A. 공개 자료만으로 특정 국내 기업이나 계정의 포함 여부를 확인할 수 없습니다. 이번 콘텐츠는 국내 피해를 전제로 하지 않고, 대규모 계정정보 노출 사례에서 확인되는 기업 계정 보안 운영 포인트를 정리한 것입니다.
Q3. MFA를 사용하면 계정 탈취를 완전히 막을 수 있나요?
A. MFA는 비밀번호 단독 인증보다 보안 수준을 크게 높이지만 모든 공격을 막는 것은 아닙니다. 세션이나 인증 토큰이 탈취된 경우에는 별도의 세션 무효화와 이상 행위 탐지가 필요할 수 있습니다.
Q4. 인포스틸러 감염이 의심되면 비밀번호부터 바꾸면 되나요?
A. 감염된 단말이 그대로라면 새 비밀번호가 다시 노출될 가능성이 있습니다. 우선 단말을 격리·점검하고 악성코드를 제거한 뒤, 신뢰할 수 있는 환경에서 비밀번호 변경과 세션 무효화를 함께 진행하는 것이 좋습니다.
Q5. 기업에서는 어떤 계정을 우선 점검해야 하나요?
A. 관리자 계정, 기업 메일, VPN, 클라우드 콘솔, 개발·운영 계정처럼 침해될 경우 영향 범위가 큰 계정을 우선 확인하는 것이 좋습니다. 이후 일반 사용자 계정으로 점검 범위를 확대합니다.
