3줄 요약
1. 국내 뉴스레터 플랫폼 ‘스티비’가 해킹당해 다수의 개인정보가 유출됨
2. 유출된 개인정보를 악용해 외교부를 사칭한 메일이 발송되는 등 2차 피해 이어져
3. 스티비 측 사과문 발표하고 재발 방지책을 내놓았지만, 대응 속도와 피해 보상에 대한 비판 잇따라

[보안뉴스 박은주 기자] 지난 12월 17일, 국내 뉴스레터 플랫폼 ‘스티비(Stibee)’가 해킹을 당해 사용자 개인정보가 유출되는 사고가 발생했다. 일례로 알스퀘어의 뉴스레터 구독자 4만여 명에게 외교부를 사칭한 스팸 메일이 유포된 것으로 드러났다.

유출된 정보에는 사용자 이름, 이메일 주소, 암호화된 비밀번호 등이 포함됐으며, 일부 사용자는 신용정보까지 침해 당한 것으로 확인됐다. 스티비는 사고 발생 직후 긴급 보안 점검을 진행하고, 회원에게 사과문을 발송했다. 그러나 개인정보 유출의 정확한 규모와 유출 방식에 대한 의문은 여전히 남아 있는 상태다.


[이미지=gettyimagesbank]

스티비 뉴스레터 플랫폼 해킹 사건으로 일부 고객 신용정보가 유출됐으며, 스티비는 보상 대책을 발표했지만, 대책이 미흡하다는 지적이 이어졌다. 스티비 서비스를 이용하는 모 스타트업의 개인정보보호책임자(CPO)는 몇 가지 의문을 제기했다.

스티비는 개인정보 처리방침에 따라 카드번호 끝 4자리만 저장해 왔다고 밝혔다. 그러나 결제 오류 로그에 민감한 신용정보가 함께 저장된 점이 논란이 됐다. 이는 서버 해킹으로 인해 내부 로그가 함께 유출된 것으로, 로그 관리 과정에서 보안 미흡이 드러났다는 것이다.

또한, 일부 회원 계정이 외부 공격자에 의해 로그인된 정황이 발견됐으나, 스티비 측은 비밀번호는 단방향 암호화되어 있어 유출 가능성이 낮다고 주장했다. 익명을 요구한 업계 관계자는 이번 사고의 원인 중 하나로 ‘로그 관리 방식의 미비점’을 언급했다. 로그의 접근 권한이 충분히 제한되지 않았고, 장기간 보관된 점이 보안상 취약 요소로 작용했다는 것이다. 일반적으로 로그는 1~3개월 내 삭제하는 것이 업계 관행이지만, 스티비는 이러한 절차가 제대로 이루어지지 않아 해킹 위험이 커졌다는 분석이다.


▲스티비 사과문[캡처=보안뉴스]

스티비의 입장과 대응
스티비는 사건 발생 이후 보안 강화 및 고객 피해 최소화를 위한 조치를 발표했다. 스티비 측은 시스템 취약점을 보완하고, 회원 로그인 시 2단계 인증을 전면 도입했다. 또한, 금융기관과 협력해 이상 금융 거래를 감지하고 실시간 모니터링을 강화했다고 밝혔다. 스티비는 개인정보 유출이 확인된 회원에게 개별 안내를 진행하고, 피해 접수센터를 운영하며 피해 보상을 준비하고 있다.

그러나 보상 범위는 직접 피해에 한정된다. 이와 관련해 일부 기업 고객은 보상 범위가 지나치게 좁다는 지적을 내놓았다.

향후 대응 방안과 재발방지 대책
스티비는 이번 사건을 계기로 보안 체계를 전면 개편하겠다고 밝혔다. 시스템 내 모든 개인정보를 완전 암호화하고, 이상 로그인 감지 시스템을 강화할 계획이다. 해외 IP 차단 및 로그 보관 정책도 재정비해 유사 사고가 발생하지 않도록 하겠다는 입장이다. 또한, 보안 조직을 확대하고 외부 보안 전문가를 영입해 글로벌 수준의 보안 시스템을 구축하겠다고 발표했다. 개인정보 수집 및 보관 정책도 변경해 불필요한 정보는 즉시 파기하고, 최소한의 정보만을 저장하는 방식으로 전환할 예정이다.

보안 업계의 평가와 과제
이번 사건으로 데이터 보안에 더욱 주의를 기울여야 한다는 점이 더욱 부각됐다. 특히, 고객 신뢰를 기반으로 성장해온 뉴스레터 플랫폼에서 개인정보 유출이 발생한 것은 서비스 전반에 대한 신뢰를 흔들 수 있다는 관측이 나온다. 업계 전문가들은 데이터 보호와 암호화 기술의 도입을 확대하고, 보안체계를 한층 더 견고하게 구축할 필요성이 제기하고 있다.

고객 정보를 다루는 플랫폼은 정기적인 보안 점검과 외부 보안 감사를 통해 잠재적 취약점을 조기에 발견하고 개선하려는 노력이 필요하다. 스티비 서비스를 이용하는 한 고객은 “직접적인 피해를 본 기업에만 보상이 집중될 것이라는 인상을 받았다”며, “스타트업이나 중소기업은 금전적 피해가 없더라도 고객 항의와 신뢰 하락 등 간접적인 피해를 입고 있다”고 우려를 나타냈다.

스티비의 해킹 사고는 개인정보 보호의 중요성을 다시금 환기시키는 계기가 됐다. 기업은 이번 사건을 반면교사 삼아 보안 시스템을 강화하고, 고객 신뢰 회복을 위해 투명한 정보 공개와 함께 신속하고 철저한 대응을 이어나가야 할 것으로 보인다. 스티비가 발표한 재발 방지 대책이 실효성을 거둘지, 그리고 고객들의 신뢰를 회복할 수 있을지 지켜볼 필요가 있다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>