트랙백으로 의견 주신 블로거님의 말씀대로, 다음과 네이버와 동일한 ID와 패스워들 사용하는 다른 군소 사이트에서 정보가 샜고, 그것이 다음과 네이버까지 영향을 미쳤다고 판단하는게 맞을 듯. 그래서 제목과 내용일부를 수정합니다. 이글의 결론은 "사이트의 중요도에 따라 ID와 패스워드 설정을 다르게 하는 것이 좋다"입니다. 물론, 그게 어렵다면, 같은 ID를 사용하더라도 중요도에 따라 패스워드 만큼은 다른 것으로 해주시는 것이 좋다는 것.
--------------------------

얼마전 희대의 개인정보 유출사건이었던 ‘옥션의 난’이 끝났습니다. 여기에 대한 이야기도 많습니다만, 기본적으로 가입자의 개인정보를 받았다면, 그것을 잘 지키는 것이 상식이지 않을까요? 이거 못 할거면, 혹은 자신 없으면 외국 쇼핑몰처럼 메일주소만으로 구매하게 하든가요. 뭐. 여기까지는 제 생각입니다.

오늘 오후 이상한 일이 벌어졌습니다. 체질상 네이버를 좋아하지는 않습니다만, 업무상 로그인을 해야 할 필요성이 간혹 생기기에 아이디와 패스워드는 유지하고 있습니다. 그런데 로그인이 안 되는 겁니다. 자주 사용하는 4개의 패스워드를 몇 번씩이나 집어 넣었음에도 결과는 마찬가지. 임시패스워드를 발급받아 들어갔습니다. 일단 패스워드를 교체하고, 뭔가 이상한 생각이 들어 로그인 기록을 확인했습니다. 그랬더니만….
네이버 로그인 기록 확인(클릭하면 커집니다)

저는 평범한 직장인이고 네이버 로그인은 며칠에 한번 꼴입니다. 하지만 1월 20일 새벽의 결과는 이해가 불가능합니다. 일단 굉장히 많은 ip로 밤새, 수십차례 로그인 했습니다. 저는 이 시간 동안 당연히 자고 있었죠. 결론적으로 제 아이디는 물론이고 심지어 패스워드까지 유출되었다는 이야기라기 보다는, 다른 군소 사이트에서 제 ID와 패스워드가 해킹으로 유출되었고, 그것을 통해 누군가가 네이버와 다음에 로그인을 한 것이죠. 혹시나 해서 다음을 확인해 봤습니다.
평범한 직장인이 낯 시간에 저렇게 자주 로그인을 해야 할 이유는 없죠. 더 중요한 것은 이날 아침에 회사를 출발해 하루 종일 외근을 하고 돌와왔다는 것. 저 시간에 로그인을 할 수 있던 상황은 아니었다는 이야기. 역시 네이버와 같은 경우입니다. 그런데 패스워드는 암호화 되어 관리되는 것 아닌가요? 해킹으로 그걸 알 수 있나요? 이 부분도 다른 곳에서 유출되었는데, 로그인 해보니 되니까 계속 썼다는 것이 타당합니다.

여러분들도 한번 확인해 보시길 바랍니다. 어떤 X인지 모르겠지만, 다른 것들은 건드리지 않았네요. 만약 해킹한 아이디가 엄청난 회원수를 자랑하는 카페 운영자의 것이었다면… 그 카페 누군가에게 팔아버리고 돈 받아 뜨는 경우도 있을 수 있겠습니다. 이미지 두 개 모두 메일 쪽으로 로그인 한 것으로 보아 스팸메일 전송용으로 사용한 것 같습니다. 물론 아이디와 패스워드를 알고 있으면 지식인에 홍보작업을 하는데 사용할 수도 있습니다. 업자들이 클릭당 얼마를 받는 CPC방식과 게시글 수에 따른 정액형 방식으로 수익을 올린다고 하네요. 또는 홍보용 덧글을 블로그에 남기는 홍보수단으로 사용도 가능합니다. 이밖에 카페에 가입해 스팸 게시물을 남기거나, 악성댓글을 다는데 이용될 수도 있습니다. 이렇게 되면 나중에 경찰서 가야 하는 일도 생길 듯. 그것도 쪽팔리게 남의 글이나 기사에 악성댓글 달았다는 혐의(정확하게는 명예훼손이겠지만)로…

이 포스팅을 보시는 분들은 다들 로그인 기록들 확인 하시는 것이 좋을듯. 그래서 자신이 접속할 수 없는, 혹은 접속하지 않았던 시간대에 로그인 시도가 있었고 그것이 성공했다고 되어 있다면 저와 같은 경우로 봐도 별 무리 없을 듯. 이런 경우, 일단 패스워드만 바꿔놓아도 효과가 있습니다. 패스워드를 바꾼 후 시간이 조금 지나 다시 로그인 기록을 확인해보니 다양한 IP에서 로그인을 시도했지만, 결과는 모두 실패로 되어 있습니다. 그 사이에 누군가 로그인을 했지만, 패스워드가 바꼈으니 실패한 것이죠.

트랙백걸어주신 북풍님께서 로그인 기록을 보는 법을 상세하기 설명해 주셨습니다(감사합니다). 그리고 또 하나 확인하셔야 할 것은 나도 모르는 ID가 생성되어 있는지의 여부입니다. 여러 개의 ID를 만들 수 있게 되어 있으니까요. 아. 그리고 가끔가다 '지금쓰는 패스워드 오래되었으니 바꿔야 한다'라고 나오는데 그때 바꿔주는 것도 필요하겠습니다.


포털사이트 및 방송통신위원회에 바랍니다.

포털 사이트에서 이런 식으로 모두 자고 있다고 판단할 수 있는 시간대라든가 짧은 텀을 두고 갑작스럽게 로그인이 폭주한다면, 이와 관련해 메일 한 통씩 보내주면 개인이 확인하고 쉽게 처리할 수 있지 않을까요? 물론 실제로 이렇게 일을 해야 하는 분들도 계실 테니, 그 분들은 메일에 답신으로 자신의 상황을 이야기 하면 그 이후로는 메일을 보내지 않으면 되겠죠.

문제는 이 로그인 기록을 제공하지 않는 사이트들입니다. 네이트, 무료문자 때문에 접속하는 하나포스에서 열심히 뒤졌으나 로그인 기록은 볼 수 없었습니다. 로그인 기록을 볼 수 없으니 어떤 상황인지 알 수가 없습니다. 일단 두 사이트 모두 패스워드는 바꿨습니다만 영 찜찜합니다. 그러니 정보통신부에서는 가입회원이 로그인 기록을 확인할 수 있는 방법을 만들어야 한다는 법을 제정하면 좋겠습니다.