로그인
뉴스

계정정보 240억 건 담긴 8.3TB 데이터베이스가 인증 없이 인터넷에 노출됐다

24 billion records, including usernames and passwords, exposed in colossal data leak: What does that mean for you?

Cybernews 원글 보기 ↗

요약

  • 사이버뉴스 연구진이 2026년 6월 12일 인증 없이 접근 가능한 엘라스틱서치 클러스터에서 약 240억 건, 8.3TB가 넘는 계정정보를 발견했다.
  • 기록 대부분은 인포스틸러 로그로, 이메일·사용자 이름·평문 비밀번호·로그인 주소가 함께 저장돼 있었다.
  • 데이터는 36개 출처에서 모였고 이 중 30개 이상이 텔레그램 채널이었으며, 가장 큰 덩어리인 226억 건은 '컬렉션'이라는 이름만 붙어 출처를 알 수 없었다.
  • 데이터베이스 주인은 위협 인텔리전스·유출 감시 업체로 확인됐고, 임시 이전 과정의 설정 오류가 원인이었으며 6월 15일 접근이 차단됐다.
  • 특정 기업 해킹이 아닌 집적 데이터이지만, 중복 건수와 실제 피해자 수는 확인되지 않았다.
사이버보안개인정보인포스틸러데이터유출텔레그램

기사 AI가 출처를 조사하고 작성했습니다

무슨 일인가

보안 매체 사이버뉴스(Cybernews) 연구진이 2026년 6월 12일, 아무 인증 없이 접근할 수 있는 엘라스틱서치(Elasticsearch) 클러스터를 발견했다. 안에는 약 240억 건의 기록, 8.3테라바이트가 넘는 데이터가 들어 있었다.1 기록 대부분은 인포스틸러(infostealer) 악성코드가 감염 기기에서 빼낸 로그로, 이메일 주소와 사용자 이름, 평문 비밀번호, 그리고 그 비밀번호로 접속하는 로그인 주소가 한 건씩 짝지어 저장돼 있었다.12 클러스터에는 비밀번호도, 방화벽도, 접근 통제도 없어 주소만 알면 누구나 읽고 복사하고 지우기까지 할 수 있는 상태였다.3

자세히

데이터는 36개 출처에서 모였고, 이 가운데 30개 이상이 해킹 관련 텔레그램(Telegram) 채널이었다. 텔레그램에서 온 기록만 17억 건이 넘었고, 채널은 대부분 영어, 일부는 러시아어였다.12 이 중 약 2억 6000만 건은 이름에 '다크사이드(Darkside)'가 들어간 채널에서 왔는데, 사이버뉴스는 이 이름을 콜로니얼 파이프라인을 공격한 랜섬웨어 조직과 연결 지었다. 도난 신용카드 정보를 공유하는 채널도 하나 있었다.1

가장 큰 덩어리는 226억 건으로, 데이터 소유자가 '컬렉션(collections)'이라고만 이름 붙여 두었다. 연구진은 데이터가 내려가기 전까지 이 부분의 출처를 살피지 못했다.12 이 밖에 실제 운영 서버에서 내보낸 것으로 보이는 '로컬 데이터베이스 덤프' 약 1억 5000만 건, 과거 침해 자료를 합친 '브리치 컴필레이션 콤보' 약 1억 4600만 건이 있었다. 덤프 파일 이름 일부는 2016년 처음 등장한 약 6억 건 규모의 스틸러 로그 모음 안티퍼블릭(AntiPublic)을 가리켰고, 가장 작은 출처는 레드라인(RedLine) 스틸러 기록 27건이었다.1

계정정보가 아닌 자료도 약 1만 7000건 있었다. CVE 식별자와 설명, 깃허브 주소가 붙은 취약점 문서가 9500건 이상, 최근 침해사고 기사 로그가 5200건 이상, 사이버 공격 관련 소셜미디어 게시물 로그가 약 2900건이었다.12 기사 로그에는 2026년 2월 보도된 파이파이(PyPI) 공급망 공격 기사도 포함돼, 데이터베이스가 비교적 최근까지 갱신되고 있었음을 보여준다.14 프루프포인트(Proofpoint)는 이 취약점 문서가 도난 계정정보와 교차 참조돼 있었다는 점에 주목했다.5

사이버뉴스는 기사 공개 뒤 이 데이터가 고객의 위험을 찾아주는 위협 인텔리전스·유출 감시 플랫폼의 것이라는 사실을 확인했다. 플랫폼을 임시로 이전하는 과정의 설정 오류가 원인이었고, 노출은 6월 15일 닫힌 것으로 관찰됐다.14

맥락, 왜 중요한가

이번 건은 특정 기업이 해킹당한 사고가 아니라, 인포스틸러 감염 기록과 과거 침해 자료, 텔레그램 채널 정보를 한곳에 모은 저장소가 열려 있었던 사례다.4 사이버뉴스는 비교 대상으로 2024년의 260억 건 규모 '모든 유출의 어머니(MOAB)', 2025년의 160억 건 로그인 정보 유출 등을 들었다.1 맬웨어바이츠(Malwarebytes)는 2024년 MOAB가 결국 유출 검색 엔진 리크룩업(Leak-Lookup)의 것으로 밝혀진 점을 짚으면서, 이번 데이터는 그보다 신선한 인포스틸러 로그 비중이 훨씬 높다고 평가했다.3

인포스틸러 로그가 위험한 이유는 비밀번호에 그치지 않기 때문이다. 감염 기기 한 대에서 브라우저 저장 비밀번호와 함께 세션 쿠키와 토큰, 자동완성 정보, 기기 지문, 때로는 암호화폐 지갑 정보까지 빠져나오며, 일부 쿠키는 다중 인증을 우회한다.3 프루프포인트는 데이터베이스가 며칠 만에 내려갔더라도 그 안의 계정정보는 그대로 쓸 수 있는 상태이며, 활성 세션 쿠키가 든 로그도 있었다고 지적했다.5 사이버뉴스는 같은 비밀번호를 여러 곳에서 쓰면서 2단계 인증을 켜지 않은 이용자가 계정 탈취 위험에 놓였다며, 이메일·소셜미디어·클라우드·금융 계정부터 비밀번호를 바꾸고 다중 인증과 비밀번호 관리자를 쓰라고 권했다.1

남은 물음

연구진은 240억 건 가운데 중복이 얼마인지, 실제 피해자가 몇 명인지, 데이터가 얼마나 오래된 것인지 확인하지 못했다. 데이터가 빠르게 내려가 추가 분석도 하지 못했다.12 데이터베이스 운영 업체의 이름은 공개되지 않았고, 열려 있던 기간 동안 제3자가 데이터를 복사했는지도 알려지지 않았다.13

참고한 곳

  1. Cybernews, 24 billion records, including usernames and passwords, exposed in colossal data leak: What does that mean for you? - https://cybernews.com/security/24-billion-credentials-data-leak/ ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11 ↩12 ↩13

  2. Security Affairs, 24 Billion Stolen Credentials Exposed in Massive Data Leak - https://securityaffairs.com/193864/security/24-billion-stolen-credentials-exposed-in-massive-data-leak.html ↩ ↩2 ↩3 ↩4 ↩5

  3. Malwarebytes, 24 billion stolen records exposed online. Here's what to do - https://www.malwarebytes.com/blog/news/2026/06/24-billion-stolen-records-found-in-giant-data-dump-check-if-youre-affected ↩ ↩2 ↩3 ↩4

  4. 데일리시큐, 240억 건 계정 정보 인터넷에 노출…인포스틸러가 만든 '계정 탈취 저장소' - https://www.dailysecu.com/news/articleView.html?idxno=207268 ↩ ↩2 ↩3

  5. Proofpoint, Inside a 24 Billion Credential Leak: Passwords, Exploits, and How Attackers Connected Them, Part 1 - https://www.proofpoint.com/us/blog/threat-protection/inside-24-billion-credential-leak-passwords-exploits-and-how-attackers ↩ ↩2

다른 소식

  1. 스탠퍼드 연구팀, 대뇌피질 없앤 생쥐에 인간 뇌 오가노이드 이식해 신경회로 연결 확인 중요도 4 Nature

    스탠퍼드대 세르지우 파슈카 연구팀이 대뇌피질과 해마 대부분이 생기지 않도록 유전자를 바꾼 생쥐에 인간 유도만능줄기세포 유래 대뇌피질 오가노이드를 이식한 '이종피질 생쥐' 모델을 네이처에 발표했다. 이식한 인간 조직은 3개월 뒤 생쥐 대뇌피질 부피의 약 92%를 차지했고, 생쥐 29마리 중 25마리에서 생착에 성공했다. 인간 신경세포는 생쥐 시상·담창구 등에서 입력을 받고 경추 척수까지 축삭을 뻗었으며, 발달 중인 뇌와 비슷한 동기화된 활동 패턴을 보였다. 이종피질 생쥐는 이동 능력과 사회성은 대조군과 비슷했지만 공포 조건화 기억은 회복되지 않았고, 저산소 손상 실험에서는 보행 이상이 나타났다. 연구팀은 외부 윤리위원회 자문을 받았고, 영장류에 같은 실험을 하는 것은 '분명한 금지선'이라고 밝혔다.

    연구 뇌과학 오가노이드 생명윤리 네이처

  2. 미국 연구진, 레이저로 깎지 않고 전류로 각막을 1분 만에 재성형하는 기술을 토끼 안구에서 시연 중요도 2 American Chemical Society

    미국 옥시덴털 칼리지와 UC 어바인 연구진이 각막을 깎지 않고 미세 전류로 모양을 바꾸는 '전기기계적 재성형(EMR)' 기술을 미국화학회 가을 학회에서 발표했다. 백금으로 만든 콘택트렌즈 모양 전극을 토끼 안구에 올리고 전류를 흘려 각막의 pH를 낮추면 조직이 말랑해지고, pH가 돌아오면 새 곡률로 굳는다. 적출한 토끼 안구 12개 가운데 근시로 설정한 10개가 약 1분 만에 목표 굴절력에 도달했고 세포도 살아남았다. 아직 살아 있는 동물이나 사람에게는 시험하지 않았으며, 연구진은 효과의 지속성과 안전성을 확인할 동물 실험이 남았다고 밝혔다. 이 연구는 2023년 학술지 논문으로 먼저 발표된 적이 있고, 2026년 9월 국내 언론이 다시 보도하며 화제가 됐다.

    연구 의료기술 시력교정 미국

  3. 항철위 용역보고서, 무안공항 콘크리트 둔덕 없었다면 제주항공 탑승자 전원 생존 추정 중요도 4 경향신문

    국토교통부 항공철도사고조사위원회가 한국전산구조공학회에 맡긴 연구용역 보고서가 무안공항 콘크리트 둔덕이 없었다면 탑승자 전원이 생존했을 것으로 추정했다. 둔덕이 부서지기 쉬운 구조였다면 기체가 보안 담장을 뚫고 논밭으로 미끄러졌겠지만 중상자는 없었을 것으로 분석됐다. 국정조사특위 야당 간사 김은혜 의원이 2026년 1월 8일 항철위에서 제출받은 보고서 내용을 공개했고, 국토부는 로컬라이저 시설이 공항안전운영기준에 맞지 않았다고 처음 인정했다. 유가족협의회는 참사가 인재로 드러났다며 항철위의 사과와 국정조사를 요구했다. 사조위는 1월 23일 이 용역이 폭발·화재 가능성을 고려하지 못한 한계가 있어 직접 활용에 제약이 있다고 밝혔다.

    제주항공 무안공항참사 국회 국토교통부 항철위

  4. 2027학년도 의대 정원 490명 늘려 3,548명으로, 증원분은 전부 지역의사 전형으로 뽑는다 중요도 4 보건복지부

    보건복지부는 2026년 2월 10일 제7차 보건의료정책심의위원회에서 2027~2031학년도 의사 양성 규모를 연평균 668명, 5년간 3,342명 늘리기로 의결했다. 2027학년도 의대 정원은 2024학년도 기준 3,058명에서 490명 늘어난 3,548명이며, 첫해는 교육 부담을 고려해 증원 규모의 80%만 반영했다. 2028~2029학년도는 613명 늘린 3,671명이고, 2030년부터는 신설 공공의대·지역의대 200명을 더해 3,871명이 된다. 증원 대상은 서울을 제외한 32개 의대이며, 3,058명을 넘는 인원은 모두 지역의사 전형으로 선발해 졸업 후 10년간 지역에서 복무하게 한다. 교육부는 4월 28일 대학별 배정을 변경 없이 확정했고, 의협은 연 350명을 적정선으로 제시하며 반발했으며 환자단체는 추계보다 줄었다고 비판했다.

    의대정원 지역의사제 보건복지부 교육부 의료

  5. 서울고법, 김건희 항소심에서 도이치모터스 주가조작 유죄로 뒤집고 징역 4년 선고 중요도 4 법률신문

    서울고법 형사15-2부는 2026년 4월 28일 김건희 씨에게 징역 4년과 벌금 5000만 원을 선고하고 그라프 목걸이 몰수와 2094만 원 추징을 명령했다. 1심에서 무죄였던 도이치모터스 주가조작 가담 혐의를 공동정범으로 유죄 판단해 형량이 1심 징역 1년 8개월보다 2년 4개월 늘었다. 통일교 측에서 받은 샤넬 가방 2개와 그라프 목걸이를 모두 알선수재로 인정했고, 명태균 무상 여론조사 혐의는 1심과 같이 무죄로 봤다. 김건희 측과 특검이 모두 상고했고, 대법원은 7월 23일 사건을 전원합의체에 회부해 선고를 미뤘다. 구속기한이 10월 31일에 끝나 그 안에 대법원 결론이 나오지 않으면 불구속 상태로 재판을 받게 된다.

    김건희 주가조작 도이치모터스 윤석열 대법원