가비아 고객 개인정보 2998명 유출…외부 공격자가 내부 시스템 접근

21일 외부 공격으로 성명·아이디·이메일·휴대전화번호 유출

가비아 "외부 요청 검증 미흡 악용…KISA·개인정보위 신고"

[사진=가비아]

클라우드 전문 기업 가비아에서 고객 2998명의 개인정보가 유출됐다. 외부 공격자가 웹 서비스의 일부 기능에서 외부 요청 검증이 충분하지 않았던 점을 악용해 내부 시스템에 접근한 것으로 파악됐다.

가비아는 23일 오후 3시 기준 고객 2998명의 개인정보가 외부 공격으로 유출된 사실을 확인했다고 공지했다. 유출된 정보는 성명, 아이디, 이메일 주소, 휴대전화번호 등이다. 비밀번호는 유출 항목에 포함되지 않았다.

가비아에 따르면 개인정보 유출은 지난 21일 오전 11시45분 발생했다. 가비아는 같은 날 오후 1시5분 사고를 처음 인지한 뒤 공격에 이용된 외부 접근 경로와 관련 계정을 차단하고 추가 유출을 막기 위한 조치에 나섰다. 

외부 공격자는 가비아 웹 서비스 일부 기능의 외부 요청 검증이 충분하지 않은 점을 이용해 내부 시스템에 접근했다. 이 과정에서 고객 개인정보가 외부로 전송된 것으로 조사됐다.

가비아는 사고 인지 직후 로그와 증거자료를 보전하고 해당 시스템의 접근 통제를 강화했다. 또 원인이 된 취약점을 조치하고 동일 유형의 취약점에 대한 전수 점검을 진행하고 있다. 추가 유출 여부를 확인하기 위한 조사와 이상징후 탐지·모니터링도 강화했다.

가비아는 한국인터넷진흥원(KISA)에 침해사고를, 개인정보보호위원회에 개인정보 유출을 각각 신고했다. 현재 관계 기관과 함께 정확한 사고 원인과 추가 피해 여부를 조사하고 있다.

가비아는 현재까지 확인된 유출 고객과 개인정보 항목은 조사 결과에 따라 달라질 수 있다고 밝혔다. 유출 대상 고객에게는 이메일 또는 문자로 개별 안내할 예정이다.

가비아는 개인정보 유출에 따른 2차 피해를 막기 위해 고객들에게 계정 비밀번호 변경을 권고했다. 비밀번호 자체는 유출되지 않았지만, 아이디가 노출된 계정은 다른 경로에서 유출된 비밀번호를 이용한 로그인 시도의 대상이 될 수 있다는 설명이다. 다른 사이트에서 가비아와 동일한 비밀번호를 사용하고 있다면 해당 사이트의 비밀번호도 변경할 것을 안내했다.