계정 해킹 확인 사이트가 알려주지 못하는 것과 세션 하이재킹 때문에 비밀번호 변경만으로는 부족한 이유, 서비스별 로그인 기록 확인법과 올바른 대처 순서를 정리한다.
로그인이 갑자기 안 되거나, 모르는 결제 알림이 뜨거나, "새 기기에서 로그인했습니다"라는 메일이 오면 사람들은 반사적으로 비밀번호부터 바꾼다. 그런데 보안업체 SpyCloud가 인용한 2025년 마이크로소프트 분석에서는 MFA 우회 침해 사고의 80%가 비밀번호가 아니라 세션 토큰(로그인 쿠키) 탈취로 벌어졌다고 한다. 이 경우 비밀번호를 아무리 새로 바꿔도 공격자의 접속은 끊기지 않는다.
"계정 해킹 확인 사이트"로 검색하면 Have I Been Pwned나 KISA의 털린 내 정보 찾기 같은 서비스가 나온다. 이런 서비스는 정확히 한 가지 질문에만 답한다. "내 이메일이나 비밀번호가 과거에 유출된 적 있는가." 내 비밀번호는 이미 유출됐다에서 다룬 것처럼, HIBP는 등록된 유출 사이트에서 내 정보가 나온 이력을 데이터베이스로 대조해 보여준다.
문제는 이 확인이 "과거형"이라는 점이다. 이 서비스들은 지금 이 순간 내 계정에 낯선 기기가 접속해 있는지, 누군가 내 로그인 세션을 그대로 들고 있는지는 전혀 알지 못한다. 그건 유출 데이터베이스가 아니라 각 서비스 자체의 로그인 기록에서만 확인할 수 있다.
로그인에 성공하면 서비스는 브라우저에 세션 쿠키나 토큰을 저장한다. 매번 아이디·비밀번호를 다시 치지 않아도 로그인 상태가 유지되는 이유다. 공격자가 피싱 사이트나 악성코드로 이 쿠키 자체를 훔치면, 비밀번호를 몰라도 이미 로그인된 상태를 그대로 이어받는다. 세션 토큰 탈취에서 다룬 AiTM 피싱 킷이 대표적인 수법이다.
이 상태에서 피해자가 비밀번호만 바꾸면 어떻게 될까. 대부분의 서비스는 비밀번호 변경 자체가 기존 세션을 자동으로 무효화하지 않는다. 공격자가 훔친 쿠키는 유효기간이 남아있는 한 계속 작동한다. 이미 열린 문을 놔둔 채 자물쇠만 새로 단 셈이다. 그래서 진짜 첫 조치는 비밀번호 변경이 아니라 모든 기기에서 로그아웃, 즉 활성 세션 전체를 강제로 끊는 것이다.
각 서비스는 최근 로그인 위치와 기기 목록을 제공한다. 낯선 지역이나 처음 보는 기기가 있는지 이 목록에서 직접 확인하는 게 유출 이력 조회보다 훨씬 정확하다.
지역이 평소와 다르거나(예: 해외), 모르는 기기 종류가 보이거나, 로그인 시각이 내가 접속하지 않은 시간대라면 세 가지 모두 침해 의심 신호다.
낯선 접속이 확인됐을 때 조치 순서를 지켜야 하는 이유는 앞서 설명한 세션 문제 때문이다. 비밀번호부터 바꾸면 이미 열린 세션은 그대로 남는다.
마지막 단계인 연결된 앱 점검을 빼먹는 경우가 많다. 로그인할 때 "Google로 계속하기" 같은 방식으로 제3자 앱에 권한을 준 적이 있다면, 비밀번호와 세션을 모두 정리해도 그 앱이 여전히 내 데이터에 접근할 수 있다. 구글은 계정 → 보안 → 타사 앱 및 서비스 액세스 화면에서, 카카오·네이버도 각각 연결된 서비스 관리 메뉴에서 낯선 앱의 권한을 철회할 수 있다.
여기서 한 가지 함정이 있다. "고객님의 계정이 해킹되었습니다, 지금 확인하세요"라는 문자나 메일 자체가 피싱인 경우가 매우 흔하다. 실제로 서비스가 보내는 보안 알림은 링크를 눌러 로그인하라고 유도하지 않는다. 확인은 메일 속 링크가 아니라 항상 브라우저 주소창에 직접 공식 도메인을 입력해서 들어가야 한다. 워크넷 크리덴셜 스터핑 사례처럼, 대량 유출된 계정 목록을 자동으로 대입해 보는 공격은 사람이 눈치채기 전에 로그인 알림 메일부터 대량 발송되는 경우가 많아 혼란을 키운다.
국내 서비스는 로그인 기록에 IP 기반 접속 위치를 함께 보여주는 경우가 많아, 해외 IP 접속 이력만 걸러봐도 침해 여부를 빠르게 좁힐 수 있다. KISA 개인정보 유출 확인법에서 다룬 유출 신고 절차와 이번 글의 로그인 기록 점검을 함께 쓰면, "내 정보가 유출됐는가"와 "지금 내 계정이 실제로 뚫렸는가"를 모두 확인할 수 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.