뉴스레터 플랫폼 Substack에서 사용자 정보가 유출되는 보안 침해 사고가 확인되었습니다. 이번 사건은 이메일 주소와 전화번호를 포함한 일부 메타데이터가 외부에 노출된 것으로 드러났습니다. 구독자들은 자신의 정보가 안전한지 확인하고 추가적인 피해를 방지하기 위해 신속한 대응이 필요한 상황입니다.
Substack 보안 침해 사고는 왜 발생했나
2026년 2월 초 서브스택 측은 공지를 통해 시스템 내부에 무단 침입이 있었음을 공식 인정했습니다. 실제 사고가 발생한 시점은 작년 10월경으로 파악되었으며 당시 제삼자가 시스템에 접근해 사용자 정보를 수집한 정황이 뒤늦게 발견된 것입니다. 회사는 올해 2월에 들어서야 이 문제를 식별했으며 이후 즉각적인 조사를 시작하고 취약점을 수정한 상태라고 밝혔습니다.
서브스택의 최고 경영자 크리스 베스트는 사용자들에게 보낸 서한에서 보안 사고로 인해 허가 없이 연락처 정보가 공유된 점에 대해 깊은 사과의 뜻을 전했습니다. 플랫폼 운영 측은 데이터 보호 책임을 다하지 못한 점을 인정하며 향후 보안 체계 강화에 집중할 것임을 강조했습니다. 하지만 침입이 발생한 구체적인 기술적 경로에 대해서는 상세한 설명이 부족해 사용자들의 불안감이 남아 있습니다.
유출된 데이터와 안전한 정보의 종류
이번 사고로 영향을 받은 항목은 크게 두 가지 범주로 분류할 수 있습니다.
- 이메일 주소
- 전화번호
- 일부 내부 메타데이터
다행히 신용카드 번호나 비밀번호 그리고 기타 금융 정보와 같은 민감한 데이터는 이번 침해 범위에 포함되지 않은 것으로 확인되었습니다. 회사 측은 결제 관련 정보는 별도의 보안 시스템에서 관리되고 있어 안전하다는 점을 명확히 했습니다. 하지만 이메일과 전화번호가 노출되었다는 것은 향후 스팸 메시지나 정교한 피싱 공격의 대상이 될 수 있음을 의미하므로 주의가 필요합니다.
5개월 동안 해킹 사실을 몰랐던 이유
가장 큰 의문점은 작년 10월에 발생한 사고를 왜 2026년 2월이 되어서야 파악했는가 하는 점입니다. 서브스택 측은 사고 탐지가 5개월이나 지연된 구체적인 기술적 원인이나 해커로부터의 협박 여부에 대해서는 아직 침묵을 지키고 있습니다. 내부 로그 기록을 통해 데이터 오남용 사례를 감시하고는 있지만 실시간 침입 탐지 시스템에 공백이 있었을 가능성이 제기되고 있는 대목입니다.
현재 서브스택은 5,000만 개 이상의 활성 구독 계정을 보유하고 있으며 그중 500만 개는 유료 구독인 대형 플랫폼입니다. 규모가 커진 만큼 보안 모니터링 체계가 그 속도를 따라가지 못했다는 비판을 피하기 어려워 보입니다. 특히 대규모 투자 유치 이후 외형 성장에 치중하느라 내부 보안 인프라 관리에 소홀했던 것은 아닌지 의구심을 갖는 이들이 늘어나고 있습니다.
Substack 사용자 계정을 보호하는 방법
플랫폼 자체의 보안 강화 노력과는 별개로 사용자가 직접 자신의 계정을 보호하기 위한 조치를 취하는 것이 가장 확실한 방어책입니다.
- 비밀번호 변경하기: 다른 사이트와 중복되지 않는 복잡한 비밀번호로 갱신하는 것이 좋습니다.
- 2단계 인증 설정: 계정 설정에서 다요소 인증을 활성화하여 무단 접속을 원천 차단해야 합니다.
- 출처 불분명한 연락 주의: 서브스택을 사칭하여 개인정보를 요구하는 메일이나 문자는 즉시 삭제하십시오.
최근 뉴스레터 서비스의 사용자가 급증하면서 이들을 노린 사이버 공격이 빈번해지고 있습니다. 특히 유출된 이메일 주소를 활용해 사용자가 평소 신뢰하는 작성자의 이름을 빌려 악성 링크를 보내는 수법이 성행할 수 있습니다. 따라서 메일 본문에 포함된 링크를 클릭하기 전에는 항상 발신 주소를 꼼꼼히 대조해 보는 습관을 가져야 합니다.
개인정보 유출 예방을 위한 3가지 수칙
비단 이번 서브스택 사례뿐만 아니라 일상적인 디지털 활동 과정에서 개인정보를 안전하게 지키기 위해 다음 세 가지를 기억해야 합니다.
- 서비스별 독립적인 비밀번호 운영: 하나의 비밀번호가 유출되더라도 다른 계정으로 피해가 확산되는 것을 방지합니다.
- 주기적인 정보 이용 내역 점검: 본인도 모르게 가입된 서비스나 정보 제공 동의 현황을 확인합니다.
- 생체 인증 및 OTP 활용: 물리적인 보안 장치를 추가하여 해커의 접근 난이도를 극대화합니다.
데이터가 한 번 유출된 후에는 회수하는 것이 사실상 불가능하기 때문에 평상시 예방적인 차원의 관리가 무엇보다 중요합니다. 많은 사용자가 편리함을 위해 보안 설정을 미루는 경우가 많지만 사고는 예고 없이 찾아온다는 점을 명심해야 합니다.
디지털 보안 강화를 위해 실천할 점
서브스택은 현재 사고 수습과 함께 피해 규모를 특정하기 위한 조사를 진행하고 있습니다. 비록 금융 정보는 안전하다고 발표되었으나 이메일과 전화번호는 각종 피싱 범죄에 악용될 여지가 다분합니다. 자신의 계정이 이번 사건에 해당되는지 안내 메일을 확인하고 플랫폼에서 제시하는 보안 권고 사항을 즉시 이행할 것을 권장합니다. 디지털 환경에서의 안전은 결국 사용자 스스로가 보안에 대해 얼마나 경각심을 가지고 대응하느냐에 달려 있습니다.
같이 보면 좋은 글
#Substack #개인정보유출 #보안침해 #해킹사고 #뉴스레터 #사이버보안 #데이터보호 #피싱예방 #디지털보안 #2026보안이슈