PHP 취약점으로 내 개인정보도 위험할까? 유출 확인과 대처 방법

MacWindowsiPhoneAndroid업데이트 2026-10-24

취약점은 약점이고, 웹사이트에 약점이 있다는 것과 내 개인정보가 빠져나갔다는 것은 같은 이야기가 아닙니다. PHP2Shell은 많은 웹사이트가 쓰는 언어인 PHP의 심각한 취약점 두 가지로, 2026년 10월 21일에 수정 버전이 나왔습니다. KISA(한국인터넷진흥원)는 이 취약점이 로그인 없이 외부에서 서버에 원하는 명령을 실행할 수 있는 치명적 취약점이라고 설명합니다. 2026년 10월 23일 기준으로 영향을 받은 회사나 이용자 목록을 밝힌 공식 발표는 없습니다.

간단한 답변

꼭 그렇지는 않습니다. PHP2Shell은 웹서버의 약점이고, 서버에 약점이 있다고 해서 누군가의 정보가 빠져나간 것은 아닙니다. 국내에서는 1천 명 이상의 정보 유출이나 외부의 불법 접근에 의한 유출 같은 경우 회사가 72시간 안에 유출신고를 해야 합니다. 지금은 비밀번호를 서비스마다 다르게 쓰고, 2단계 인증을 켜고, 유출을 핑계로 한 메시지를 의심하세요.

PHP 취약점이면 내 정보가 이미 유출된 건가요?

그것만으로는 아닙니다. 영국 국가사이버보안센터(NCSC)는 데이터 유출을 조직의 정보가 도난당하거나 허가 없이 접근된 것이라고 설명합니다. PHP2Shell은 수정되지 않은 서버에서 그런 일이 가능하게 할 수 있는 약점입니다. KISA도 공격에 성공하면 고객정보 유출이 가능하다고 설명합니다. 특정 사이트에서 실제로 무언가가 빠져나갔는지는 그 사이트가 공격을 받았는지에 달려 있고, 이것은 사이트를 운영하는 회사만 확인할 수 있습니다.

2026년 10월 23일 기준으로 공식 기관이 밝힌 내용은 이렇습니다.

PHP 개발팀은 10월 21일 수정 버전을 공개하고 업데이트를 요청했습니다.
미국 CISA는 10월 21일 경보(10월 23일 개정)에서 발표 시점 기준으로 이 취약점들이 실제 환경에서 성공적으로 악용된 것을 관찰하지 못했다고 밝혔습니다.
KISA는 10월 22일 해외 보안업체를 중심으로 공격 시도가 보고되고 있다고 밝혔습니다.

어느 것도 특정 쇼핑몰이나 은행, 서비스에 대한 발표는 아닙니다. 취약점 자체는 PHP2Shell 해설에서 설명합니다.

내가 쓰는 사이트에서 유출되면 어떻게 알 수 있나요?

기본적으로 회사가 알립니다. 개인정보보호위원회에 따르면 개인정보 보호법 제34조와 시행령 제40조에 따라, 1천 명 이상의 정보주체에 관한 유출, 민감정보나 고유식별정보의 유출, 외부의 불법적인 접근에 의한 유출, 이 세 가지 중 하나에 해당하면 회사는 72시간 이내에 유출신고를 해야 합니다. 신고서에는 정보주체에게 통지했는지와 정보주체가 할 수 있는 피해 최소화 방법이 들어갑니다. 신고 기준과 항목 전체는 홈페이지가 해킹되었을 때 대처법에 정리했습니다. 그러니 회사가 보내는 이메일이나 문자, 회사 홈페이지의 공지가 확인할 곳입니다.

내가 쓰는 사이트가 영향을 받았을지 궁금하다면, NCSC는 받은 메시지 속 링크나 연락처가 아니라 그 회사의 공식 웹사이트나 공식 채널로 연락하라고 권합니다. 유출이 있었는지, 내가 어떤 영향을 받았는지, 무엇을 더 해야 하는지 물어보세요. NCSC는 큰 유출 뒤에는 전화가 붐빌 수 있다고도 말합니다.

내 계정 정보가 유출되었는지 직접 확인할 수 있나요?

개인정보보호위원회와 KISA가 운영하는 "털린 내 정보 찾기 서비스"(kidc.eprivacy.go.kr)가 있습니다. 이 서비스는 다크웹 등에서 내 계정정보(아이디나 이메일, 비밀번호)가 불법으로 유통되고 있는지 확인하는 서비스이며, 유출 이력이 확인되면 그 계정을 쓰는 사이트의 비밀번호를 즉시 바꿔 2차 피해를 막으라고 안내합니다. PHP2Shell을 위한 서비스는 아닙니다.

그 사이트의 비밀번호를 바꿔야 하나요?

이유가 있다면 바꾸세요. 회사가 바꾸라고 하거나, 그 비밀번호를 다른 곳에서도 썼다면 그렇습니다. NCSC는 지금도 쓰는 비밀번호가 의심스러운 메시지에 등장했다면 그 비밀번호와, 같은 비밀번호를 쓴 다른 계정의 비밀번호도 바꾸라고 합니다.

이메일이나 문자 속 링크가 아니라, 주소를 직접 입력하거나 공식 앱으로 사이트에 들어갑니다.
계정의 보안 설정에서 비밀번호를 바꿉니다.
같은 비밀번호를 쓴 다른 곳에서도 바꿉니다.
계정마다 강하고 서로 다른 비밀번호를 씁니다. NCSC는 무작위 단어 세 개를 이어 붙이는 방법을 권하고, 비밀번호 관리자가 비밀번호를 만들고 저장해 줄 수 있다고 말합니다. 사이트가 패스키를 지원하면 패스키도 고려해 보라고 합니다.

가장 중요한 것은 이메일 비밀번호입니다. NCSC의 기본 수칙은 이메일을 강하고 다른 곳과 겹치지 않는 비밀번호로 지키는 것에서 시작합니다.

2단계 인증을 켜야 하나요?

지원하는 곳이라면 켜세요. NCSC는 비밀번호가 강해도 데이터 유출, 비밀번호 재사용, 피싱으로 도난당할 수 있다고 설명합니다. 2단계 인증은 비밀번호 다음에 문자로 받은 코드, 인증 앱, 지문이나 얼굴 인식 같은 확인을 한 번 더 거치게 합니다. NCSC는 범죄자가 비밀번호를 알아도 계정에 들어오지 못하게 막는 데 도움이 된다고 말합니다.

이메일부터 켜고, 그다음 은행과 쇼핑 계정에 켜세요.

뉴스를 이용한 사기 메시지는 어떻게 구별하나요?

NCSC는 범죄자들이 뉴스에 오른 대형 유출 사고를 이용하며, 내 정보가 유출되지 않았더라도 그럴 수 있다고 경고합니다. "부정 거래가 발생했다"며 로그인해 계정을 확인하라고 요구하고, 진짜처럼 보이는 링크를 담은 메시지가 그 예입니다.

NCSC가 꼽는 신호는 다음과 같습니다.

비밀번호 재설정이나 보상금 지급처럼 공식적으로 들리는 제목
기술적인 용어
빨리 행동하라는 압박

문자나 메신저로 받은 메시지가 의심스럽다면 KISA 보호나라의 스미싱 확인서비스에 물어볼 수 있습니다. KISA는 받은 메시지에 대해 정상, 주의, 악성 중 하나로 답해 준다고 설명합니다. NCSC는 은행 같은 공식 기관은 개인정보를 요구하지 않는다고 말합니다.

피해가 생겼다면 어디에 알리나요?

상황에 따라 창구가 다릅니다.

회사가 내 개인정보를 제대로 다루지 않아 권리를 침해당했다면 KISA의 개인정보침해 신고센터(privacy.kisa.or.kr, 국번 없이 118)에 신고하거나 상담할 수 있습니다. 개인정보보호위원회는 인터넷이나 전자우편으로 접수된 상담에 원칙적으로 14일 이내에 답변한다고 안내합니다.
은행, 증권, 보험 같은 금융기관이나 신용정보회사 관련이라면 개인정보보호위원회는 금융감독원(1332)에 문의하라고 안내합니다.
범죄 피해를 입어 수사를 원한다면 경찰청 사이버범죄 신고시스템(ECRM)에서 신고서를 미리 작성한 뒤 관할 경찰서를 방문해 접수합니다. 긴급한 경우는 112입니다.

NCSC는 돈을 잃었다면 은행에 알리라고 합니다.

자주 묻는 질문

회사는 유출을 항상 알려 주나요?

개인정보보호위원회가 안내하는 72시간 유출신고 의무는 위 세 가지 경우에 해당할 때입니다. 신고서에는 정보주체에게 통지했는지가 들어갑니다. 궁금한 점이 있다면 언제든 회사에 직접 문의할 수 있습니다.

회사의 개인정보 처리 때문에 손해를 봤다면?

개인정보보호위원회는 개인정보 분쟁조정 제도를 비용이 많이 들고 시간이 오래 걸리는 소송의 대안으로, 비용 없이 신속하게 분쟁을 해결하는 제도라고 설명합니다. 개인정보분쟁조정위원회의 전화번호는 1833-6972입니다.

개인정보가 유출되었다는 연락을 받으면 먼저 무엇을 하나요?

회사의 공식 홈페이지에서 공지 내용을 확인하세요. 그다음 그 서비스와 같은 비밀번호를 쓰는 서비스의 비밀번호를 바꾸고, 2단계 인증을 켭니다. 연락 메시지 속 링크는 쓰지 마세요.

휴대전화나 컴퓨터에 뭔가 설치해야 하나요?

PHP2Shell 때문에 설치할 것은 없습니다. 취약점은 웹서버에 있고, 업데이트는 사이트 운영자가 합니다. 다만 NCSC의 기본 수칙대로 내 기기의 소프트웨어와 앱 업데이트는 계속하세요.