들어가며
가비아가 9월 23일 홈페이지에 공지를 올렸습니다. 21일 낮에 외부 공격자가 내부 시스템에 접근했고, 고객 2,998명의 성명·아이디·이메일 주소·휴대전화번호가 나갔다는 내용입니다. 비밀번호는 유출 항목에 없고, 인원과 항목은 조사에 따라 달라질 수 있다고 적었습니다.
가비아는 도메인과 호스팅을 파는 회사입니다. 그러니까 이 계정은 쇼핑몰 계정이 아니라 내 사이트의 주소와 서버를 관리하는 계정이죠. 이 글은 사건 이야기 대신 내가 대상인지 확인하는 법, 비밀번호가 안 나갔는데도 바꿔야 하는 이유, 그리고 도메인 계정에 오늘 걸어둘 잠금을 씁니다.
1. 내가 대상인지 확인하는 법 — 통지는 오는 것이고, 조회는 아직입니다
가비아 공지는 유출이 확인된 고객에게 이메일 또는 문자로 개별 안내한다고 적었습니다. 그러니 지금 할 일은 받은 편지함과 문자를 보는 것입니다. 안 왔다고 대상이 아니라는 뜻은 아닙니다. 공지 자체가 「대상 고객과 항목을 특정하는 데 시간이 필요하다」고 써 뒀으니까요.
별도 조회 페이지는 검색 결과에 잡힙니다. 가비아 홈페이지 아래 leak/privacy 주소로, 아이디·휴대전화·이메일 각각으로 조회하라는 안내가 있었다고 기사들이 전합니다. 다만 이 글을 쓰는 24일 아침에는 그 주소가 열리지 않았습니다. 열리면 세 가지로 다 조회하시면 되고, 안 열리면 통지를 기다리시면 됩니다.
통지가 오면 다섯 칸이 있는지 보세요. 「개인정보 보호법」 제34조 제1항은 유출 통지에 ① 유출된 항목 ② 시점과 경위 ③ 피해를 줄이기 위해 내가 할 수 있는 일 ④ 회사의 대응조치와 구제절차 ⑤ 신고 접수 부서와 연락처를 담으라고 정해 뒀습니다. 가비아 공지는 이 다섯이 1항부터 5항으로 있고, 6항에 손해배상 안내가 붙어 있습니다.
이게 왜 중요하냐면, 다섯 칸 중 하나라도 없이 「본인 확인을 위해 로그인하세요」 링크만 있는 통지는 통지가 아니라 사칭이기 때문입니다. 4절에서 다시 씁니다.
2. 비밀번호는 안 나갔습니다 — 그런데도 바꾸는 이유
가비아 공지 4항의 문장을 그대로 옮깁니다.
비밀번호는 유출되지 않았으나, 아이디가 알려진 계정은 다른 경로로 유출된 비밀번호를 대입하는 로그인 시도의 대상이 될 수 있습니다.
이 한 문장이 답입니다. 아이디를 아는 사람은 예전에 다른 사이트에서 새어 나온 비밀번호 목록을 그 아이디에 대입해 봅니다. 2020년에 어느 커뮤니티에서 유출된 비밀번호를 지금도 가비아에 쓰고 계시다면, 이번에 나간 아이디와 그 옛 비밀번호가 합쳐지는 순간 로그인이 됩니다. (이 대입은 유출 직후에만 오는 게 아닙니다. 목록은 몇 년을 돌아다닙니다.)
그래서 두 가지를 하시면 됩니다.
- 가비아 비밀번호를 바꿉니다. 공지에 변경 링크가 있지만 링크 말고 주소창에 직접 쳐서 들어가 My가비아 › 회원 정보에서 바꾸세요. 사칭 메일이 똑같은 문구로 올 시기라서요
- 같은 비밀번호를 쓰는 다른 사이트도 바꿉니다. 공지가 그렇게 권고하고 있고, 실제로 여기가 더 위험합니다. 어디에 같은 비밀번호를 썼는지 기억이 안 나면 개인정보 포털의 「털린 내 정보 찾기」(kidc.eprivacy.go.kr)에서 아이디와 비밀번호 조합이 이미 떠도는지 먼저 조회하세요
⚠️ 하지 마세요 — 남의 계정에 유출된 비밀번호를 대입해 보는 것은 「정보통신망법」 제48조가 금지하는 무단 접속입니다. 위 설명은 왜 바꿔야 하는지를 말하는 것이지 해 보라는 것이 아닙니다.
3. 이 계정은 쇼핑몰 계정이 아닙니다 — 도메인 계정에 걸어둘 것
쇼핑몰 계정이 넘어가면 포인트가 없어집니다. 가비아 계정이 넘어가면 내 사이트 주소가 남의 서버를 가리키게 됩니다. 네임서버 한 줄만 바꾸면 되니까요. 회사 메일을 가비아 도메인으로 쓰고 있다면 다른 서비스의 비밀번호 재설정 메일을 받는 곳도 같이 넘어갑니다.
그래서 비밀번호 변경으로 끝내지 마시고 셋을 더 하세요.
| 할 것 | 어디서 | 왜 |
|---|---|---|
| 2단계 인증(OTP) 켜기 | My가비아 › 회원/보안 설정 › 보안 설정 | 비밀번호가 뚫려도 한 겹이 남습니다. 문자 인증보다 인증 앱이 낫습니다 |
| 로그인 기록 · 해외 로그인 차단 | 같은 보안 설정 메뉴 | 21일 이후 내가 모르는 로그인이 있는지 봅니다 |
| 도메인 등록 정보 · 네임서버 · 만료일 확인 | My가비아 › 서비스 관리 | 내가 바꾼 적 없는 값이 바뀌어 있으면 즉시 고객센터 1544-4370 |
가비아 고객센터 매뉴얼에 「2단계 인증 로그인(OTP) 설정하기」 항목이 있습니다. 메뉴 이름은 매뉴얼 목차와 My가비아 메뉴에서 확인한 것이고, 화면 안의 단계까지는 이 글에서 확인하지 못했습니다. 설정 화면에서 안내하는 대로 따라가시면 됩니다.
도메인 잠금이나 이전 방지 같은 부가 상품도 있습니다만 이 글은 권하지 않습니다. 무료로 켤 수 있는 2단계 인증이 먼저고, 그것만으로 비밀번호 대입은 막힙니다.
4. 지금부터 오는 사칭 — 내 이름과 아이디를 안다는 게 증거가 아닙니다
이번에 나간 넷이 성명·아이디·이메일·휴대전화번호입니다. 사칭 문자를 보내는 쪽이 딱 필요로 하는 넷이죠. 「홍길동 고객님, 아이디 ○○○의 도메인이 만료됩니다」라고 오면 이름과 아이디가 맞으니 진짜처럼 보입니다. 맞는 게 당연합니다. 나간 정보니까요.
가비아 공지 4항이 정한 기준은 단순합니다. 비밀번호, 인증번호, 계좌정보를 요구하는 연락은 응하지 않는다. 가비아가 이걸 물어볼 일이 없다는 뜻입니다.
📱 가상 예시입니다. 실제 발송된 문자를 옮긴 것이 아닙니다.
[가비아] 홍길동 고객님, 보유 도메인의 결제가 실패하여 3일 후 삭제됩니다. 아래에서 본인 확인 후 재결제 바랍니다.
hxxp://gabia-renew[.]example
이런 문자가 오면 링크를 버리고 주소창에 직접 gabia.com을 쳐서 로그인하세요. 문자가 말한 게 사실이면 My가비아 결제 화면에도 같은 내용이 있습니다. 없으면 사칭입니다. 궁금하면 고객센터 1544-4370으로 내가 먼저 거세요. 걸려 온 전화에서 누른 번호가 아니라요.
메일도 같습니다. 「보안 조치를 위해 다시 로그인하세요」 화면은 가비아 주소가 아닌 곳에 비밀번호를 입력하게 만드는 수법이고, 이건 사건이 없을 때도 흔했습니다. 지금은 이름과 아이디까지 맞춰서 옵니다.
받은 문자와 메일은 지우지 마세요. 피해가 생기면 신고할 때 증거이고, 개인정보 침해 상담(118)에도 그대로 보여 주면 됩니다.
5. 손해배상과 분쟁조정 — 공지에 적힌 대로, 다만 서두를 일은 아닙니다
가비아 공지 6항이 손해배상 경로를 스스로 적었습니다. 「개인정보 보호법」 제39조(손해배상)와 제39조의2(법정손해배상), 개인정보 분쟁조정위원회(1833-6972), 개인정보침해신고센터(118)입니다.
법정손해배상은 손해액을 증명하지 않아도 300만 원 이하 범위에서 법원이 정하는 금액을 청구할 수 있는 제도입니다. 회사가 고의나 과실이 없었음을 증명하면 면책되고요. 절차와 시효는 쿠팡 배상 글에서 자세히 썼으니 여기서는 반복하지 않겠습니다.
다만 지금은 서두를 단계가 아닙니다. 두 가지가 확정되지 않았습니다.
- 유출 규모와 항목. 공지가 「조사 결과에 따라 달라질 수 있다」고 적었습니다. 2,998명은 23일 오후 3시 기준입니다
- 책임 범위. 「외부 요청 검증이 충분하지 않았다」는 가비아 자신의 설명이고, 개인정보보호위원회 조사는 이제 시작입니다. 과징금이든 과태료든 아직 없습니다
시간표 하나만 봐 두세요. 「개인정보 보호법 시행령」 제39조와 제40조는 유출을 알게 된 때부터 72시간 안에 정보주체에게 통지하고 개인정보위나 KISA에 신고하라고 정해 뒀습니다. 신고 대상은 1천 명 이상, 민감정보나 고유식별정보, 외부의 불법 접근 중 하나면 되고 이번 건은 첫째와 셋째에 해당합니다. 가비아는 21일 13시 05분에 인지했고 23일에 공지와 신고를 했습니다. 이 시간표는 나중에 조사 결과를 읽을 때 기준이 됩니다.
지금 할 일은 통지를 보관하는 것입니다. 이메일이든 문자든 지우지 마시고, 로그인 기록에 이상한 게 있으면 그 화면도 찍어 두세요.
6. 오늘 순서
통지가 왔든 안 왔든 순서는 같습니다. 가비아 계정이 있으면 하세요.
- 가비아 비밀번호 변경. 주소창에 직접 쳐서 들어가 My가비아 › 회원 정보에서
- 같은 비밀번호를 쓰는 다른 사이트 전부 변경. 「털린 내 정보 찾기」로 먼저 조회
- 2단계 인증(OTP) 켜기. My가비아 › 회원/보안 설정 › 보안 설정
- 도메인 등록 정보 · 네임서버 · 만료일 확인. 모르는 변경이 있으면 1544-4370
- 「가비아」 문자·메일은 링크로 들어가지 않기. 인증번호·비밀번호·계좌를 묻는 연락은 사칭
- 유출 통지와 로그인 기록 화면 보관
1번과 2번은 오늘 저녁 10분이면 됩니다. 3번이 15분쯤이고요. 4번은 도메인 개수에 따라 다르지만 보통 5분입니다.
자주 묻는 것
Q. 가비아를 안 쓰는데 「가비아」 문자가 왔습니다.
둘 중 하나입니다. 사칭이거나, 오래전에 만들어 둔 계정을 잊으신 것이거나. 사칭이면 4절대로 버리시면 되고, 잊은 계정인지는 개인정보 포털에서 본인확인 내역을 조회하면 나옵니다. 절차는 가입 사이트 정리 글에 있습니다. 어느 쪽이든 문자의 링크로 확인하지는 마세요.
Q. 탈퇴하면 끝나나요?
이미 나간 정보는 탈퇴해도 돌아오지 않습니다. 그리고 도메인이 그 계정에 묶여 있으면 탈퇴 자체가 안 되거나 도메인을 먼저 옮겨야 합니다. 안 쓰는 계정이고 도메인도 없다면 탈퇴가 맞습니다. 쓰는 계정이면 탈퇴가 아니라 3절의 잠금입니다.
Q. 통지가 안 왔으면 대상이 아닌 거죠?
아직은 모릅니다. 공지가 대상 특정에 시간이 걸린다고 적었고, 인원도 변동될 수 있다고 했습니다. 통지 여부와 무관하게 비밀번호 변경과 2단계 인증은 하시는 게 맞습니다. 비용이 없으니까요.
Q. 휴대전화번호가 나갔으면 명의도용도 걱정해야 하나요?
이번 유출 항목에 주민등록번호나 생년월일은 없습니다. 휴대전화 개통에는 그게 필요하니 이번 건만으로 회선이 개통되기는 어렵습니다. 다만 다른 유출과 합쳐지면 이야기가 달라지니, 불안하시면 엠세이퍼에서 내 이름의 회선을 조회해 두세요. 5분이면 됩니다.
마무리
이 사건에서 확실한 건 하나입니다. 아이디가 알려졌으니, 비밀번호가 안 나갔어도 바꿔야 합니다.
그리고 이 계정은 사이트 주소를 관리하는 계정이라, 비밀번호 다음에 2단계 인증까지 켜야 끝납니다. 통지는 기다리시되, 조치는 기다리지 마세요.
근거 자료
- 가비아 공지사항 「[공지] 개인정보 유출 사실 안내 및 사과 말씀」(2026.9.23, 공지 번호 45503, 공동대표 명의) — 2,998명(9.23 15:00 기준), 성명·아이디·이메일·휴대전화번호, 9.21 11:45 발생·13:05 인지, 외부 요청 검증 부족, KISA·개인정보위 신고, 이메일·문자 개별 안내, 비밀번호 변경 권고, 사칭 주의, 고객센터 1544-4370, 손해배상·분쟁조정 안내. 원문을 직접 읽고 인용
- 가비아 유출 조회 페이지(gabia.com/leak/privacy) — 아이디·휴대전화·이메일 등 모든 방식으로 조회 권고. 검색 색인과 한국경제·아이티데일리(2026.9.23) 기사로 확인한 것이며, 2026.9.24 아침 직접 접속 시 열리지 않았음
- 가비아 고객센터 매뉴얼 「2단계 인증 로그인(OTP) 설정하기」 · My가비아 「회원/보안 설정 › 보안 설정」 메뉴 — 항목 존재는 확인, 화면 단계는 미확인
- 「개인정보 보호법」 제34조(유출 등의 통지·신고) · 제39조(손해배상책임) · 제39조의2(법정손해배상의 청구)
- 「개인정보 보호법 시행령」 제39조(유출 등의 통지 시기 등) · 제40조(유출 등의 신고)
- 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제48조(정보통신망 침해행위 등의 금지)
- 개인정보 포털 「털린 내 정보 찾기」(kidc.eprivacy.go.kr) · 개인정보 분쟁조정위원회 1833-6972 · 개인정보침해신고센터 118
⚠️ 이 글은 일반적인 정보이며 법률 자문이 아닙니다. 손해배상 요건과 금액은 사안마다 다르니 변호사 또는 대한법률구조공단(132)에 확인하세요.
⚠️ 개인정보보호위원회 조사가 진행 중입니다. 유출 규모·항목·책임 범위는 확정되지 않았습니다. 원인 설명은 가비아 공지의 자체 설명을 옮긴 것이며 이 글은 어느 쪽 책임도 단정하지 않습니다.
⚠️ 본문의 문자 예시는 수법을 설명하기 위한 가상 예시입니다. 실제 발송된 문자가 아니며, 도메인은 예약된 예시용 주소입니다.
#보안로그 #생활보안 #가비아 #가비아개인정보유출 #개인정보유출 #개인정보유출확인 #비밀번호변경 #크리덴셜스터핑 #2단계인증 #OTP #도메인보안 #네임서버 #개인정보보호법 #법정손해배상 #정보보안
댓글
댓글 쓰기