티머니 개인정보 유출 사고 분석

티머니, 개인정보 유출 사고…외부 공격 받아 - 아이티데일리

티머니, 개인정보 유출 사고…외부 공격 받아 - 아이티데일리

 

'개인정보 유출' 티머니, KISA 신고 완료…피해 규모는 쉬쉬 : 네이트 뉴스

'개인정보 유출' 티머니, KISA 신고 완료…피해 규모는 쉬쉬 : 네이트 뉴스

 

• 사고 개요
  • 2025년 4월 12일, 티머니는 외부 공격에 의해 고객 개인정보가 유출된 정황을 공식 확인
  • 유출 의심 정보는 이름, 이메일, 주소, 휴대전화번호 등 최대 4개 항목
  • 한국인터넷진흥원(KISA)에 신고 완료, 피해 규모는 기관 판단 이후 공개 예정
• 공격 방식: 크리덴셜 스터핑(Credential Stuffing)
  • 공격자는 사전에 유출된 계정 정보를 활용하여 티머니 홈페이지에 로그인 시도
  • 다수의 계정에 대해 무작위 대입 방식으로 인증 우회 시도
  • 크리덴셜 스터핑은 자동화된 대량 인증 시도로 탐지 및 방어가 가능하지만, 대응 미흡 시 피해가 확대됨
• 기술적 분석 및 방어 조치
  • 로그인 실패 및 이상 접근 탐지를 위한 사전 보안 조치 미흡 가능성
  • 공격 발생 후 티머니의 대응
    • 의심 IP 차단
    • 전체 계정 비밀번호 초기화
    • CAPTCHA 및 본인인증 기능 도입
    • 시스템 모니터링 강화
  • 다만, 조치 자동화 여부 및 실시간 탐지 체계의 정합성에 대한 추가 확인 필요
• 피해 확산 가능성 및 2차 피해 우려
  • 피싱, 스미싱 등으로 이어질 가능성 높음
  • 과거 유사 사례: GS리테일(2024), 섹타나인(2022) 등에서도 크리덴셜 스터핑 기반 개인정보 유출 발생
  • 유출된 계정 정보를 활용한 2차 인증 우회, 계정 탈취, 금융사기 등 부가적 위협 존재
• 보안 권고
  • 조직 내 사용자 계정 보호를 위한 MFA 도입과 비밀번호 정책 강화 필요
  • IP 기반 접근 제어(Geo-IP, VPN/Proxy 탐지) 및 이상 접근 탐지 로직 적용 권장
  • 사후 대응 체계 고도화: 침해지표(IOC) 기반 탐지, 비정상 로그인 알림, 분쟁조정 프로세스 구축 필요
  • 개인정보 유출 시 신속한 통지 및 사용자 피해 방지 안내 의무 철저 이행 필요