"우리 홈페이지 회원 비밀번호는 안전할까?" 큰 회사 유출 뉴스를 보면 이런 걱정이 듭니다. 회원가입을 받는 홈페이지라면 규모와 상관없이 같은 위험을 안고 있습니다.
이 글에서는 이번 회원 비밀번호 유출 사례를 쉽게 풀었습니다. 작은 가게 홈페이지가 오늘 확인할 체크리스트 5가지도 정리했습니다.
이번 카페 회원정보 유출, 무엇이 새어 나갔나요?
아이디와 비밀번호에 이름, 주소, 연락처까지 함께 유출됐다고 알려졌습니다.
보안뉴스 보도(2026년 10월 18일)와 파이낸셜뉴스 보도(2026년 10월 19일)를 쉽게 정리해 볼게요. 커피 프랜차이즈 할리스의 회원 시스템에 허가받지 않은 접근이 있었습니다. 회사는 10월 16일 이를 확인하고, 18일 회원에게 문자로 알렸습니다.
| 항목 | 보도된 내용 |
|---|---|
| 침입 추정 기간 | 2026년 9월 3일 ~ 10월 7일 |
| 유출 확인 | 10월 16일 |
| 회원 안내 | 10월 18일 문자 발송 |
| 대상 | 2020년 2월 11일 이전 가입 회원 |
| 유출 항목 | 아이디, 비밀번호, 이름, 생년월일, 연락처, 주소, 이메일, DI 등 |
보도에서는 비밀번호가 어떤 방식으로 저장돼 있었는지는 나오지 않았습니다. 피해 규모도 공개되지 않았습니다.
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 해시 | 비밀번호를 원래 글자로 되돌릴 수 없게 바꿔 저장하는 방식 | 과일을 간 주스 |
| DI | 같은 사람이 중복 가입했는지 확인하는 본인 확인 값 | 손님마다 붙는 고유 번호표 |
| 돌려막기 공격 | 한 곳에서 새어 나간 비밀번호로 다른 사이트에 로그인해 보는 수법 | 주운 열쇠로 이웃집 문 열어 보기 |
| 접근 기록 | 누가 언제 관리 화면에 들어왔는지 남는 기록 | 출입 명부 |
한 줄 정리: 침입은 한 달 넘게 이어졌고, 오래전 가입한 회원 정보가 대상이었습니다.
그래서 우리 가게에는?
회원가입을 받는 홈페이지라면 작은 가게도 똑같이 확인해야 합니다.
회사 측은 손님에게 같은 아이디와 비밀번호를 쓰는 다른 사이트의 비밀번호도 바꾸라고 안내했습니다. 많은 사람이 여러 곳에 같은 비밀번호를 쓰기 때문입니다. 한 곳이 뚫리면 다른 곳까지 위험해집니다.
예를 들어, 회원 800명인 동네 베이커리 쇼핑몰을 생각해 볼게요. 몇 년 전 이벤트로 가입한 회원이 대부분이고, 지금은 거의 접속하지 않습니다. 이 회원 정보가 새어 나가면 손님은 우리 가게를 기억도 못 한 채 피해를 입을 수 있습니다.
| 우리 홈페이지에 있다면 | 확인할 것 |
|---|---|
| 회원가입·로그인 | 비밀번호 저장 방식 |
| 몇 년 된 회원 목록 | 정리 기준과 보관 기간 |
| 관리자 계정 | 로그인 알림과 2단계 인증 |
| 손님 연락처 | 사고 때 안내할 문구 |
한 줄 정리: 회원 정보를 받는 순간, 작은 가게도 지켜야 할 금고가 생깁니다.
회원 비밀번호는 어떻게 저장돼 있어야 안전한가요?
원래 글자로 되돌릴 수 없는 해시 방식으로 저장돼 있어야 합니다.
해시는 과일을 갈아 만든 주스와 비슷합니다. 주스를 보고 원래 사과 모양을 되살릴 수는 없습니다. 홈페이지는 로그인할 때 입력한 비밀번호도 같은 방식으로 갈아서, 두 결과가 같은지만 비교합니다.
| 저장 방식 | 유출되면 | 판단 |
|---|---|---|
| 입력한 글자 그대로 | 비밀번호가 바로 보임 | 바로 고쳐야 함 |
| 되돌릴 수 있는 암호화 | 열쇠까지 털리면 풀림 | 비밀번호에는 맞지 않음 |
| 해시 + 솔트 | 원래 글자를 알아내기 매우 어려움 | 권장 |
솔트(salt)는 비밀번호마다 덧붙이는 무작위 글자입니다. 같은 비밀번호라도 저장된 모양이 서로 달라져서 한꺼번에 풀기 어려워집니다.
사장님이 직접 코드를 볼 필요는 없습니다. 홈페이지를 만든 업체에 "회원 비밀번호는 어떤 방식으로 저장되나요?"라고 한 줄만 물어보세요.
한 줄 정리: 비밀번호는 금고에 넣는 게 아니라, 되돌릴 수 없게 갈아서 보관해야 합니다.
오래된 회원 정보, 왜 먼저 정리해야 하나요?
쓰지 않는 정보일수록 지킬 이유는 없고 위험만 남기 때문입니다.
이번 사례도 대상이 몇 년 전 가입자였습니다. 오래된 회원 정보는 창고 구석의 서류 상자와 같습니다. 아무도 열어 보지 않지만, 도둑이 들면 그대로 들고 나갈 수 있습니다.
- 관리자 페이지에서 오래 접속하지 않은 회원 수를 확인합니다.
- 개인정보처리방침에 적힌 보관 기간을 다시 읽습니다.
- 기간이 지난 정보는 기준에 맞게 지우거나 따로 보관합니다.
- 정리한 날짜와 기준을 기록으로 남깁니다.
보관 기간과 파기 기준은 업종과 상황마다 다를 수 있습니다. 정확한 기준은 개인정보보호위원회 안내나 전문가에게 미리 확인해 보세요.
한 줄 정리: 안 쓰는 회원 정보는 지키는 대상이 아니라 줄여야 할 위험입니다.
이상한 로그인, 어떻게 빨리 알아차리나요?
로그인 실패 제한과 관리자 알림을 켜 두면 됩니다.
이번 사례에서는 침입이 끝나고 9일 뒤에 유출이 확인됐습니다. 작은 홈페이지는 이 시간이 더 길어지기 쉽습니다. 지켜보는 사람이 따로 없기 때문입니다.
| 설정 | 하는 일 | 효과 |
|---|---|---|
| 로그인 실패 제한 | 여러 번 틀리면 잠시 막기 | 돌려막기 공격 줄이기 |
| 관리자 로그인 알림 | 새 기기 접속 시 문자·메일 | 낯선 접속 바로 알기 |
| 2단계 인증 | 비밀번호 + 휴대폰 확인 | 비밀번호가 새도 한 번 더 막기 |
| 접근 기록 보관 | 관리 화면 출입 기록 남기기 | 사고 때 원인 찾기 |
이 설정은 홈페이지마다 지원 여부가 다릅니다. 직접 찾기 어렵다면 유지보수 안내처럼 관리 업체를 통해 점검을 요청하는 편이 빠릅니다.
한 줄 정리: 알림은 가게 문에 단 방울과 같습니다. 누가 들어오면 바로 들립니다.
유출이 의심되면 손님에게 어떻게 알리나요?
링크 없는 안내 문자로 비밀번호 변경을 먼저 알리세요.
이번 사례에서 회사는 문자로 링크를 보내지 않는다고 따로 강조했습니다. 유출 소식 뒤에는 이를 노린 가짜 안내 문자가 따라오기 쉽기 때문입니다.
안내 문자에는 이 세 가지만 넣으면 됩니다. 무슨 일이 있었는지, 손님이 할 일, 우리 가게는 링크를 보내지 않는다는 사실입니다.
예를 들어, 이렇게 쓸 수 있습니다. "○○베이커리입니다. 회원 정보 유출이 의심돼 확인 중입니다. 같은 비밀번호를 쓰는 다른 사이트도 바꿔 주세요. 저희는 문자로 링크를 보내지 않습니다."
법에서 정한 통지·신고 기한이 있으니 개인정보보호위원회 안내를 먼저 확인하세요. 한국인터넷진흥원(KISA) 118 상담도 이용할 수 있습니다.
한 줄 정리: 빠르고 짧게, 그리고 링크 없이 알리는 것이 손님을 지키는 방법입니다.
오늘 할 일: 회원 비밀번호 점검 체크리스트
아래 5가지는 오늘 30분 안에 시작할 수 있습니다.
- □ 제작 업체에 회원 비밀번호 저장 방식이 해시인지 물어보기
- □ 오래 접속하지 않은 회원 수 확인하기
- □ 관리자 계정에 2단계 인증과 로그인 알림 켜기
- □ 로그인 실패 제한이 있는지 확인하기
- □ 링크 없는 유출 안내 문자 초안 미리 써 두기
한 줄 정리: 다섯 가지 중 한 가지만 해도 어제보다 안전합니다.
자주 묻는 질문
우리 홈페이지 비밀번호가 해시로 저장되는지 어떻게 아나요?
제작 업체나 관리 업체에 물어보는 것이 가장 빠릅니다. "회원 비밀번호를 어떤 방식으로 저장하나요?"라고 물으면 됩니다. 관리자 페이지에서 회원 비밀번호가 글자 그대로 보인다면 바로 고쳐야 합니다. 답을 받기 어려우면 점검을 따로 요청하세요.
회원 수가 적어도 이런 점검이 필요한가요?
네, 필요합니다. 회원이 50명이어도 그 안에는 이름, 연락처, 비밀번호가 들어 있습니다. 돌려막기 공격은 규모를 가리지 않습니다. 오히려 작은 사이트가 점검이 늦어 더 오래 노출되기 쉽습니다.
손님에게 비밀번호를 바꾸라고 하면 오히려 불안해하지 않을까요?
짧고 분명한 안내가 더 큰 불안을 막습니다. 무슨 일이 있었는지, 무엇을 하면 되는지 두 가지만 알려 주세요. "링크를 보내지 않는다"는 문장 하나가 가짜 문자 피해를 줄입니다. 안내가 늦어질수록 손님의 신뢰가 더 떨어집니다.
유출이 확인되면 어디에 신고하나요?
개인정보보호위원회 안내를 먼저 확인하고, 한국인터넷진흥원(KISA) 118로 상담할 수 있습니다. 법에서 정한 통지·신고 기한이 있으니 확인 즉시 움직이세요. 접속 기록과 화면은 지우지 말고 그대로 보관해 두세요. 법적 판단이 필요하면 전문가와 상담하세요.
한 줄 정리: 묻기, 켜기, 정리하기, 미리 써 두기. 이 네 가지가 유출 대비의 기본입니다.
우리 홈페이지 회원 정보가 안전하게 저장되고 있는지 궁금하다면 무료 견적 상담에서 편하게 물어보세요.
사진: Unsplash (photo-1614797091730-e2a6121aaa60, photo-1508766917616-d22f3f1eea14, photo-1526045612212-70caf35c14df)