Applebee’s 앱에 데이터베이스 비밀번호 노출…회원이 확인할 것

미국에서 많이 사용하는 Applebee’s 앱 안에 내부 데이터베이스에 접근할 수 있는 비밀번호가 그대로 들어 있었던 사실이 확인됐습니다. 연구자는 안드로이드 앱의 코드를 분석해 자격증명을 찾았고, 고객 정보가 담긴 데이터베이스에 접근할 수 있음을 검증했습니다. Applebee’s 모회사 Dine Brands는 문제를 수정했으며 현재까지 무단 접근 증거를 찾지 못했다고 밝혔습니다. 그러나 “증거가 없다”와 “접근이 절대 없었다”는 같은 말이 아니므로 앱 회원은 차분하게 계정을 점검할 필요가 있습니다.

앱 안에 비밀번호가 있었다는 뜻

앱은 휴대전화에 설치되지만 내부 코드는 분석될 수 있습니다. 서버에 접속하는 비밀키나 데이터베이스 비밀번호를 앱 코드 안에 직접 넣는 것을 하드코딩이라고 합니다. 이는 집 열쇠를 현관 안내문 뒤에 붙여 둔 것과 비슷합니다. 정상 이용자는 보지 못하더라도 공격자는 앱 파일을 내려받아 코드를 분해하고 그 값을 찾을 수 있습니다. 이번 경우 연구자는 AI 도구를 이용해 수많은 코드 줄 속의 자격증명을 찾아냈고, TechCrunch도 별도의 시험 계정으로 접근 가능성을 확인했습니다.

어떤 정보가 보였나

보도에 따르면 노출된 데이터베이스에는 이름, 이메일 주소, 생년월일, 전화번호, 우편번호, 재향군인 여부, 계정 생성 시각, 로그인 횟수와 최근 접속 IP 주소 등이 포함됐습니다. 결제카드 전체 번호나 계정 비밀번호가 들어 있었다는 발표는 현재까지 없습니다. 또한 정확히 몇 명의 기록이 접근 가능했는지도 공개되지 않았습니다. 따라서 모든 회원정보가 범죄자에게 넘어갔다고 단정할 수는 없지만, 연락처와 생년월일이 결합되면 맞춤형 피싱에 악용될 가능성은 있습니다.

Applebee’s 회원이 지금 할 일

• 앱을 최신 버전으로 업데이트하고, 오래 사용하지 않는 계정이라면 개인정보와 저장된 결제수단을 확인한 뒤 삭제를 고려합니다.
• Applebee’s와 같은 비밀번호를 다른 사이트에서도 썼다면 각 사이트의 비밀번호를 서로 다르게 바꿉니다.
• 주문·리워드·쿠폰을 핑계로 온 문자나 이메일의 링크를 누르지 말고 앱을 직접 열어 알림을 확인합니다.
• 이메일 계정에는 2단계 인증을 켭니다. 이메일이 탈취되면 여러 서비스의 비밀번호 재설정까지 공격받을 수 있습니다.
• 신용보고서에서 모르는 계정이 보이는지 정기적으로 살피고, 필요하면 미국 공식 사이트 AnnualCreditReport.com을 이용합니다.

당장 카드를 폐기해야 하나

현재 알려진 내용만으로는 모든 이용자가 카드를 즉시 폐기해야 한다고 말하기 어렵습니다. 카드번호 노출이 확인됐다는 공식 설명이 없기 때문입니다. 다만 Applebee’s 앱에 카드를 저장했다면 최근 거래를 확인하고, 모르는 청구가 있으면 카드 뒷면의 공식 전화번호로 연락하세요. 문자에 적힌 번호나 검색광고 속 고객센터 번호는 사칭일 수 있습니다. 카드사가 제공하는 거래 알림을 켜 두면 작은 금액의 시험 결제도 빨리 발견할 수 있습니다.

앱 권한과 개인정보를 줄이는 습관

앱을 설치할 때 꼭 필요한 정보만 제공하는 습관이 중요합니다. 생일 혜택 때문에 정확한 생년월일을 요구하더라도 왜 필요한지 살펴보고, 위치 권한은 사용 중에만 허용하거나 필요 없으면 끌 수 있습니다. 리워드 앱은 편리하지만 한 계정에 이름, 전화번호, 생일, 위치와 소비 기록이 모일 수 있습니다. 사용하지 않는 앱을 삭제하는 것만으로 서버의 계정이 자동 삭제되지는 않으므로, 계정 설정이나 개인정보 요청 페이지에서 삭제 절차를 별도로 확인해야 합니다.

공식 안내가 오면 확인할 내용

Dine Brands의 조사는 아직 진행 중이므로 추후 고객 통지나 규제기관 신고가 나올 수 있습니다. 이메일을 받으면 보낸 주소와 공식 사이트 공지 여부를 대조하세요. 회사가 무료 신용 모니터링을 제공하더라도 이메일 링크를 바로 누르지 말고 공식 앱이나 웹사이트에서 같은 안내를 찾는 것이 좋습니다. 개인정보가 실제로 사용됐다는 징후가 보이면 기록을 남기고 카드사, 통신사 또는 신용평가기관의 공식 연락처로 직접 문의하세요.

출처와 관련 글

TechCrunch의 기술 검증 보도와 Dine Brands의 답변을 기준으로 정리했습니다. 관련 글: Quest Diagnostics 정보침해 후 보안 점검, 금융사 정보유출 뒤 해야 할 일, ChatGPT 대화 잠금 기능.

컴친 한줄 정리: Applebee’s 앱 이용자는 비밀번호 재사용 여부와 최근 계정 활동을 확인하고, 쿠폰·보상을 미끼로 한 맞춤형 피싱을 특히 조심하세요.