[다이어리포인트=엄주용 기자] 영어 학습 애플리케이션 '스픽(Speak)'을 운영하는 Speakeasy Labs, Inc.가 일부 이용자 계정에 대한 무단 접근 사고가 발생했다고 공식 통지했다. 회사는 2026년 7월 21일 내부 조사 과정에서 크리덴셜 스터핑 공격으로 인한 일부 계정의 무단 접근을 확인했다고 밝혔다.
크리덴셜 스터핑은 공격자가 스픽과 무관한 제3자 서비스에서 유출된 이메일과 비밀번호 조합을 다른 사이트에 대입해 로그인을 시도하는 공격 방식이다. 국내에서도 최근 한국고용정보원의 워크넷, 한국장학재단, 스타벅스 등에서 같은 방식의 공격으로 개인정보가 유출된 사례가 잇따랐다.
회사 측은 이번 사고와 관련해 자체 시스템이나 비밀번호 데이터베이스 자체가 침해된 증거는 발견되지 않았다고 설명했다. 다만 조사 결과 공격자의 무단 접근은 2026년 4월과 6월경 두 차례에 걸쳐 발생한 것으로 확인됐다.
공격자가 접근했을 가능성이 있는 개인정보 항목은 다양하다. 이름과 이용자명, 이메일 주소, 인증 여부를 포함한 휴대전화번호, 연동 계정 정보, 회원 고유 식별자(UID), 계정 및 구독 상태 정보, 학습 데이터, 알림·설정 정보, 저장된 일회성 인증 토큰(oneTimeToken) 등이 포함된 것으로 파악됐다.
특히 일부 계정에서는 공격자에 의해 등록된 이메일 주소가 무단으로 변경된 사실도 확인됐다. 회사는 해당 이메일을 기존 주소로 원상 복구했으며, 이번 통지 역시 피해자의 기존 이메일 주소로 발송됐다고 설명했다.
이번 통지는 개인정보 보호법에 따른 정식 유출 통지에 해당한다. 앞서 계정 복구 관련 고객지원팀 안내를 받은 이용자의 경우에도 이번 안내가 유출 항목과 경위, 신고·상담 창구를 포함한 정식 통지 역할을 한다고 회사는 밝혔다.
회사는 사고 확인 즉시 심층 조사에 착수해 영향을 받은 계정의 비밀번호를 재설정하고 활성 로그인 세션을 무효화하는 조치를 취했다. 재사용 가능한 인증 토큰도 무효화했으며 공격자로 추정되는 IP 주소와 브라우저 정보(user agent)의 접근도 차단했다.
이 외에도 의심스러운 로그인 시도 및 자동화된 봇 접근 차단, 유출된 비밀번호 탐지 기능 등 보안 조치를 추가로 적용했다고 밝혔다. 향상된 탐지 및 감사(Audit) 로깅 체계도 함께 배포됐다.
회사는 한국인터넷진흥원(KISA)과 개인정보보호위원회 등 관계 기관에도 이번 사고를 신고했다고 설명했다. 국내에서는 크리덴셜 스터핑으로 인한 유출 사고 발생 시 관계 기관 신고가 의무화돼 있으며, 앞선 사례에서도 관련 기업들에 과태료가 부과된 바 있다.
회사는 이용자들에게 아직 비밀번호를 변경하지 않았다면 즉시 변경하고, 동일한 비밀번호를 다른 서비스에서도 사용 중이라면 해당 서비스의 비밀번호도 함께 바꿀 것을 권고했다. 가능하다면 다중인증(MFA)을 활성화하고, 유출된 개인정보를 이용한 피싱 이메일이나 사기성 메시지에 유의해 의심스러운 링크 클릭이나 개인정보 제공을 피해야 한다고 강조했다.
의심스러운 정황이 발견되면 회사 고객지원팀(support@speak.com)이나 관할 경찰서(112), 한국인터넷진흥원(118)으로 신고할 것을 당부했다. 회사는 "이번 사고로 심려와 불편을 끼친 점 사과드리며, 사안을 완전히 해결하고 이용자의 개인정보를 안전하게 보호하기 위해 최선을 다하겠다"고 밝혔다.
한편 최근 국내외에서는 유출된 계정 정보를 재사용하는 이용자를 노린 크리덴셜 스터핑 공격이 잇따르고 있어 각별한 주의가 요구된다. 보안 전문가들은 서로 다른 서비스에 동일한 비밀번호를 사용하지 않는 것이 가장 기본적인 예방책이라고 조언한다.
0개의 댓글