NewsPicks 데이터 유출 (카드 소지자 이름과 끝자리, 최대 362,000건): 내부 관리 도구를 통해 무엇이 유출됐는지와 이용자가 해야 할 일

유출됐을 가능성이 있는 항목에는 카드 소지자 이름과 카드번호 끝 3자리 또는 4자리가 포함됩니다. 카드사나 서비스의 정상 메시지도 카드를 식별할 수 있도록 끝 4자리를 보여주는 경우가 많습니다. 그래서 끝자리가 맞는 가짜 메시지는 실제 메시지와 구별하기 어렵습니다.

"끝자리 XXXX 카드를 확인해 주세요" 또는 "결제에 문제가 있습니다"와 같은 메시지를 받으면 링크를 열지 마세요. 카드 관련 사항은 카드 뒷면의 번호로 카드사에 직접 확인하고, NewsPicks 관련 사항은 공식 앱에서 확인하세요(가짜 메시지를 식별하는 방법: 피싱이란?).

회사는 10월 9일부터 NewsPicks 고객지원 주소(no-reply@newspicks.com)에서 영향을 받은 이용자에게 순차적으로 이메일을 보내고 있다고 밝혔습니다. 다만 이메일에 표시된 발신자는 위조될 수 있습니다. 안내를 흉내 낸 가짜 이메일이 나올 수 있으므로, 확실한 확인 방법은 직접 연 공식 사이트의 안내문을 보는 것입니다.

회사는 이메일, 문자 메시지, 전화, 우편으로 비밀번호나 신용카드 번호를 요구하지 않겠다고 밝혔습니다. 이런 정보를 요구받는다면 그 메시지는 가짜로 간주해도 됩니다.

회사에 따르면 카드번호 전체는 결제 처리업체가 관리하며 회사 시스템에 저장되지 않고, 보안 코드도 저장하지 않습니다. 따라서 유출된 정보만으로 카드를 사용하기는 어려울 것으로 보입니다.

그래도 가짜 메시지를 따라 카드번호 전체를 입력하면 사기로 이어질 수 있습니다. 명세서에 모르는 결제가 있으면 금액이 작더라도 카드사에 문의하세요. 카드 재발급 여부는 카드사와 상의해 결정하세요.

유출됐을 가능성이 있는 항목에는 소속(고용주 등), 소속 기관의 전화번호, 직무 수준 범주도 포함됩니다. 개인 이메일 외에도 NewsPicks나 거래처를 사칭해 직장으로 걸려 오는 전화나 이메일이 가능합니다.

예상치 못한 청구서나 "계약 내용"을 확인해 달라는 요청을 받으면 그 자리에서 답하지 말고, 직접 찾은 공식 번호로 다시 연락하세요. NewsPicks Enterprise 또는 NewsPicks Education을 조직 차원에서 관리하는 담당자는 이 경고를 소속 이용자와 공유하세요.

회사는 비밀번호 유출이 확인되지 않았으며, 이용자에게 비밀번호 변경을 요청하지도 않았다고 밝혔습니다. 우려되거나 다른 곳에서도 같은 비밀번호를 쓰고 있다면, 이메일의 링크가 아니라 공식 앱의 "설정 및 개인정보 보호"에 있는 계정 설정에서 변경할 수 있습니다(회사 도움말 페이지 Changing your password, 일본어 안내).

비밀번호 재사용을 막는 실질적인 방법은 비밀번호 관리자를 사용하는 것입니다. 내 비밀번호가 다른 유출 사고에 포함됐는지 확인하려면 비밀번호 유출 여부 확인 방법을 참고하세요.

회사 안내에 적힌 연락처는 이메일 주소(info@newspicks.com)와 NewsPicks 도움말 센터의 문의 양식입니다. 이 곳에 문의할 때 카드번호나 비밀번호를 보낼 필요는 전혀 없습니다.

직원만 쓰는 관리 도구나 분석 도구는 주 서비스보다 가볍게 다뤄지는 경우가 많고, 업데이트를 담당하는 사람이 없을 수도 있습니다. 먼저 사용 중인 관리 도구를 나열하고, 각 도구에 대해 누가 업데이트하며 취약점 안내는 어디로 오는지를 적어 두세요(보안 자산 목록 점검표, CVE 대응 플레이북).

관리 도구는 직원만 사용해야 합니다. 내부 네트워크, VPN 또는 출발지 IP 제한을 사용해 로그인 페이지 자체에 외부에서 접근하지 못하게 하세요. 그런 다음 회사의 단일 로그인(SSO: 하나의 계정으로 여러 도구에 로그인하는 방식)과 다중 인증을 통해 로그인하도록 하세요.

일부 취약점은 로그인 이전에 처리되는 과정에 있어서 비밀번호와 다중 인증이 도움이 되지 않습니다. 이런 경우에도 효과가 있는 조치는 도구를 외부에서 접근할 수 없게 하는 것입니다(VPN 장비 취약점 방어).

일반적으로 관리 도구에서 유출될 수 있는 범위는 그 도구에 부여된 데이터 접근 권한으로 정해집니다. 회사도 관리 도구의 데이터 접근 권한을 업무에 필요한 최소 수준으로 줄였다고 밝혔습니다.

자신의 환경에서는 각 관리 도구의 연결 사용자나 접근 키가 읽을 수 있는 데이터를 적어 두고, 업무에 필요 없는 필드(카드 소지자 이름, 끝자리, 생년월일 등)는 차단하세요. 테이블의 일부만 노출하는 뷰 활용법은 Metabase 악용 사고 관련 글에서 다루고 있으며, 누가 무엇을 할 수 있는지에 대한 개념은 인증과 권한 부여의 차이에서 설명합니다.

회사는 관리 도구가 접근할 수 있었던 데이터의 접근 키를 재발급했습니다. 관리 도구가 침해되면 그 도구가 가진 키는 유출된 것으로 가정하고 교체해야 합니다. 어떤 키를 어떤 도구에 부여했는지 목록으로 관리하고, 재발급 절차와 담당자를 미리 정해 두면 사고 당일 대응이 빨라집니다.