뉴스레터 플랫폼 스티비 서버 해킹 개인정보 유출 사건

국내 뉴스레터 발송 플랫폼 '스티비(Stibee)'의 서버가 2024년 12월 17일 외부 해킹 공격을 받아 비인가 접근이 발생했다. 공격자는 이용자 계정과 관련된 데이터베이스에 접근해 정보를 빼낸 것으로 추정됐다. 스티비는 다수의 기업이 뉴스레터 발송과 구독자 관리에 이용하는 서비스로, 유출 시 파급력이 클 수밖에 없는 구조였다. 해킹 사실은 발생 직후 곧바로 드러나지 않았으며, 이는 이후 대응 시점 논란으로 이어졌다. 이 사건은 국내 마케팅·이메일 서비스 업계의 보안 취약점을 드러낸 사례로 꼽힌다.

스티비는 2024년 12월 19일 서버 침입 사실을 인지하고 즉시 한국인터넷진흥원(KISA) 등 관계 기관에 신고했다. 회사는 동시에 내부적으로 불법 접근 경로를 차단하는 긴급 조치에 나섰다고 밝혔다. 유출된 정보에는 이용자 계정과 비밀번호, 이름과 연락처, 결제에 사용된 카드정보 일부, 뉴스레터 서비스에 등록된 이메일 데이터가 포함된 것으로 확인됐다. 다행히 유료 뉴스레터 구독자의 신용정보는 유출되지 않은 것으로 파악됐다. 회사는 개인별로 유출 항목에 차이가 있어 해당 고객에게 개별적으로 상세 내용을 안내했다고 설명했다.

2024년 12월 20일 전후로 스티비 이용자들의 로그인 정보와 결제 정보가 유출된 사실이 구체적으로 확인되면서 이용자들의 불안이 커졌다. 유출된 연락처는 11자리, 카드번호는 16자리와 카드 비밀번호 앞 2자리까지 포함된 것으로 파악됐다. 이 정보들이 결합될 경우 크리덴셜 스터핑 등 2차 공격에 악용될 위험이 있다는 지적이 나왔다. 크리덴셜 스터핑은 탈취한 계정 정보로 다른 웹사이트에 무작위 로그인을 시도하는 공격 방식이다. 보안 전문가들은 이용자들에게 비밀번호 변경과 이상 거래 모니터링을 당부했다.

스티비 해킹으로 인한 2차 피해도 현실화됐다. 프롭테크 스타트업 알스퀘어의 뉴스레터를 구독하던 약 4만명의 구독자에게 외교부를 사칭해 '사회보장 명세서가 준비됐다'는 내용의 스팸메일이 대량 발송된 것으로 확인됐다. 스티비의 메일링 리스트가 유출되면서 협력 기업들의 구독자 정보까지 악용된 것이다. 스티비는 이런 간접 피해에 대한 보상 여부를 검토 중이라고 밝혔으나, 정확한 피해 규모와 원인은 사고 발생 일주일이 지나도록 완전히 파악되지 않았다는 지적이 나왔다. 협력사들은 자체적으로 구독자에게 스팸 주의를 공지해야 했다.

스티비는 2024년 12월 27일 공식 입장문을 내고 고객들에게 깊이 사과하며 보안체계를 전면 개편하겠다고 밝혔다. 회사는 2단계 인증을 전 계정에 일괄 적용하고, 금융기관 수준의 이상거래탐지시스템(FDS)을 통한 실시간 모니터링을 도입하겠다고 발표했다. 아울러 모든 개인정보를 암호화하고 해외 접속 차단과 이상 로그인 감지 기능을 추가하는 한편, 필수 정보만 수집·보관하도록 정책을 바꾸겠다고 약속했다. 정보보호 전문가를 새로 영입해 글로벌 수준의 보안 인프라를 구축하겠다는 중장기 계획도 제시했다. 이 사건은 국내 중소 IT 서비스 기업들의 보안 투자 부족 문제를 다시 한번 부각시켰다.