팬 창작물을 올리고 읽는 사이트 Archive of Our Own, 줄여서 AO3가 보안사고를 발견해 서비스를 중단했습니다. 운영기관 Organization for Transformative Works는 작품, 북마크와 추천 기록이 삭제되지는 않았다고 밝혔지만, 이용자 데이터베이스가 외부로 나갔을 가능성을 아직 완전히 배제할 수 없다고 설명했습니다. 사이트는 최소 2주, 길면 4주까지 중단될 수 있으며 일부 기능만 읽기 전용으로 먼저 열릴 수도 있습니다.
현재 확인된 것과 확인되지 않은 것
AO3 공식 안내에 따르면 작품과 북마크 등 콘텐츠는 안전하게 보존돼 있습니다. 데이터베이스에는 사용자 이름, 이메일 주소, IP 주소와 해시 처리된 비밀번호가 들어 있을 수 있습니다. 운영진은 현재 이용자 데이터베이스가 탈취됐다고 믿지는 않지만 조사가 초기 단계라 가능성을 완전히 제외할 수 없다고 했습니다. 실명은 수집하지 않으며 기부자 정보는 별도 시스템에 보관돼 AO3 계정과 연결되지 않는다고 설명했습니다.
해시된 비밀번호도 왜 조심해야 하나
정상적인 사이트는 비밀번호 원문을 그대로 저장하지 않고 계산을 거친 해시 형태로 보관합니다. 해시는 원래 비밀번호를 바로 읽기 어렵게 만들지만 완벽한 방패는 아닙니다. 짧거나 흔한 비밀번호는 공격자가 많은 후보를 빠르게 시험해 알아낼 수 있습니다. 특히 같은 비밀번호를 이메일, 쇼핑몰과 다른 사이트에서도 썼다면 AO3에서 추측한 비밀번호로 다른 계정까지 시도하는 ‘크리덴셜 스터핑’ 공격을 받을 수 있습니다.
AO3 이용자가 지금 할 일
- AO3와 같은 비밀번호를 다른 사이트에서 썼다면 AO3가 다시 열리기를 기다리지 말고 다른 사이트의 비밀번호부터 각각 다르게 바꿉니다.
- 가장 먼저 이메일 계정의 비밀번호와 2단계 인증을 확인합니다. 이메일은 다른 계정의 비밀번호 재설정에 사용됩니다.
- AO3가 다시 열리면 공식 주소 archiveofourown.org를 직접 입력해 비밀번호를 바꾸고, 사칭 복구 사이트에는 로그인하지 않습니다.
- 브라우저나 비밀번호 관리자가 알려주는 유출 경고를 확인하되, 경고 속 링크보다 서비스 공식 주소로 직접 이동합니다.
- AO3 작품을 개인 컴퓨터에 별도로 저장해 두었더라도, 출처가 불분명한 ‘전체 백업 파일’ 다운로드는 악성코드 위험 때문에 피합니다.
사이트가 안 열릴 때 사칭을 조심
인기 사이트가 오래 중단되면 공격자는 가짜 로그인 페이지, 임시 미러 사이트와 ‘계정 복구 도구’를 만들 수 있습니다. AO3의 공식 상태 페이지와 OTW 발표만 확인하세요. 검색 결과 맨 위 광고가 공식 사이트처럼 보여도 주소가 다를 수 있습니다. 비밀번호, 이메일 인증코드나 복구코드를 요구하는 소셜미디어 계정은 믿지 마세요. 운영진이 사이트를 읽기 전용으로 열더라도 일부 기능이 갑자기 다시 닫힐 수 있으므로, 복구 중의 불안정함을 해킹으로 오해할 필요는 없습니다.
비밀번호를 안전하게 만드는 쉬운 방법
모든 비밀번호를 외우려고 하면 재사용하기 쉽습니다. 신뢰할 수 있는 비밀번호 관리자나 휴대전화의 기본 비밀번호 관리 기능을 사용해 사이트마다 긴 비밀번호를 자동 생성하세요. 중요한 이메일과 금융 계정에는 인증 앱이나 보안키를 추가하는 것이 좋습니다. 문자 인증도 비밀번호만 쓰는 것보다 낫지만, 이동통신 계정 탈취 위험이 있으므로 가능하면 더 강한 방식을 선택하세요. 또한 같은 문장 뒤에 사이트 이름만 붙이는 규칙은 공격자가 하나를 알면 나머지도 추측할 수 있어 피해야 합니다.
작품과 계정 보안을 분리해서 생각하기
AO3에 올린 작품이 보존됐다는 발표는 반가운 소식이지만, 계정 보안 문제와 작품 보존 문제는 별개입니다. 작품이 남아 있어도 이메일과 비밀번호 관련 정보가 위험할 수 있습니다. 반대로 비밀번호를 바꿨다고 개인 창작물의 백업이 자동으로 생기는 것도 아닙니다. 계정은 고유 비밀번호와 2단계 인증으로 보호하고, 중요한 작품은 주기적으로 문서 파일과 외장 저장장치에 따로 보관하세요.
출처와 관련 글
OTW의 10월 30일 공식 사고 안내와 AO3 공식 상태 페이지를 확인했습니다. 관련 글: AI 계정의 비밀번호 보안 원칙, 피싱 메시지를 구별하는 법, 정보유출 뒤 계정 점검.
컴친 한줄 정리: AO3와 같은 비밀번호를 다른 곳에서도 썼다면 사이트 복구를 기다리지 말고 이메일부터 서로 다른 비밀번호와 2단계 인증으로 보호하세요.
