스타벅스, 크리덴셜 스터핑 공격으로 일부 회원 계정정보 유출... 충전금 결제 도용까지

스타벅스코리아, 최근 공지사항 통해 주의 알려...해외 IP 통해 부정 로그인 시도
회원들에게 아이디와 비밀번호 다른 사이트와 동일하게 사용하지 말 것 당부

[보안뉴스 김영명 기자] 스타벅스코리아(이하 스타벅스)에서 일부 고객의 계정정보가 유출돼 해외 IP를 통해 애플리케이션에 부정 로그인이 시도된 것으로 알려졌다. 특히, 로그인에 성공한 일부 계정을 통해서는 충전금 결제를 도용하기까지 했다.

▲스타벅스가 올린 일부 계정 도용 거래 주의문[자료=스타벅스코리아]

스타벅스 측은 어제 홈페이지 공지를 통해 “이달 10일 불법 취득한 아이디와 패스워드를 무작위로 조합한 후 해외 IP를 통해 스타벅스코리아 애플리케이션에 부정 로그인 시도가 있었다”며 “로그인에 성공한 계정으로는 충전금 결제를 도용”하기까지 했다고 밝혔다.

스타벅스는 해당 사건을 확인한 즉시 공격자의 해외 IP를 차단하고 관계기관에 신고를 완료했다고 밝혔다. 스타벅스 측이 밝힌 아이디와 패스워드를 무작위로 조합해 로그인을 시도하는 것을 크리덴셜 스터핑(Credential Stuffing) 공격이라고 부른다.

스타벅스는 “해당 사건 확인 즉시 공격자의 해외 IP를 차단하고 관계기관에 신고를 완료했다”며 “계정이 도용당한 고객에게는 비밀번호 재설정을 안내했으며, 일부 피해가 확인된 고객의 충전금은 당사가 전액 보전했다”고 안내했다. 이어 더 큰 사고를 예방하기 위해 아이디와 비밀번호 등을 서로 다른 사이트에서 동일하게 사용하는 고객은 비밀번호를 변경해 줄 것을 당부했다.

스타벅스 관계자는 “고객님의 불편함과 번거로움에 머리숙여 사과드린다”며 “아울러 재발 방지를 위해 강화된 인증 방안을 추가로 마련하고, 고객의 개인정보와 자산을 보호하기 위해 최선을 다하겠다”고 사과의 뜻을 밝혔다.

한편, 스타벅스는 6월 26일, 7월 11일, 그리고 13일 자정부터 새벽 4시까지 시스템 개선 및 서비스 점검을 시행한 것으로 알려졌다. 다만, 이번 시스템 개선 조치가 해당 사고와 관련된 것인지는 언급하지 않았다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)