귀하의 계정이 해킹되었고 돈을 요구하고 있습니다

이메일에는 누군가가 몇 달 동안 당신의 기기에 접근하여 웹캠을 통해 당신을 녹화하고, 당신의 연락처와 채팅을 복사했으며, 암호화폐로 48시간 이내에 지불하지 않으면 모든 것을 당신의 친구들에게 보낼 것이라는 내용이 적혀 있습니다. 그리고 당신은 메시지에 인쇄된 비밀번호를 보게 되며, 그것이 실제이거나 한때 실제였던 것입니다.

[[answer]]이러한 메시지의 거의 모든 것은 오래된 유출된 비밀번호 데이터베이스를 기반으로 한 대량 발송된 허세입니다. 발신자는 당신의 기기에 접근할 수 없으며 녹화도 없습니다. 비밀번호가 알려진 유출에 나타나는지 확인하고, 모든 곳에서 비밀번호를 변경하며, 이중 인증 또는 패스키를 활성화하고, 메시지를 증거로 저장하며, 지불하지 마십시오.[[/answer]]

이 인식이 전체 속임수입니다: 수십만 개의 주소로 발송된 메시지가 갑자기 개인적으로 느껴집니다. 그 안에는 다음 10분 이내에 답변이 필요하지 않습니다.

왜 이러한 메시지의 대부분이 허세인지

이러한 종류의 갈취 이메일은 대량 비즈니스입니다. 누군가 오래된 유출에서 주소와 비밀번호 덤프를 구매하고, 그 위에 있는 모든 주소로 동일한 템플릿을 발송하며, 비밀번호는 자동으로 삽입됩니다. 감시는 없으며 스크린샷 폴더도 없습니다 — 오직 스프레드시트와 메일 서버만 있습니다.

신호는 일관됩니다. 메시지는 구체적인 내용을 언급하지 않습니다: 실제로 사용하는 사이트, 실제 대화, 이름이 없습니다. 그것은 보여주는 대신에 자신이 가지고 있다고 주장하며, 되돌릴 수 없는 지불이기 때문에 암호화폐를 요구하고, 겁먹은 사람이 하루 동안 생각하면 더 이상 겁먹지 않기 때문에 짧은 기한을 설정합니다. 만약 그것이 당신의 주소에서 온 것처럼 보인다면, 그것도 아무것도 증명하지 않습니다: 발신자 필드는 봉투의 반송 주소처럼 위조할 수 있습니다. [[post:how-personal-data-is-collected-online|이러한 이메일과 비밀번호 데이터베이스가 어디서 오는지]] 아는 것은 그 위협의 대부분을 제거합니다.

비밀번호가 실제로 유출되었는지 확인하는 방법

추측할 필요는 없습니다. 무료 유출 알림 데이터베이스는 공개 덤프에서 자격 증명을 색인화하고 이메일 주소로 검색할 수 있게 해줍니다; Have I Been Pwned는 가장 잘 알려진 서비스이며 공익 프로젝트로 운영됩니다. 당신의 주소가 인식하는 사이트 옆에 나타나고, 연도가 그 비밀번호를 사용했던 시기와 일치한다면, 그 미스터리는 해결됩니다.

검사는 한 방향에서만 강력하며, 그 한계는 중요합니다. 일치하는 결과는 비밀번호가 수년간 유통되었다는 것을 알려주며, 이는 허세를 가리킵니다. 아무것도 찾지 못하는 것은 단지 당신의 주소가 색인화된 덤프에 포함되어 있지 않다는 것만을 알려줍니다 — 도난당한 데이터의 대부분은 공개되지 않거나, 파싱되지 않거나, 개인 거래에 남아 있습니다. 오늘날 도난당한 로그인 정보의 가장 큰 단일 출처는 해킹된 웹사이트가 아니라 정보 탈취 악성코드입니다: 감염된 컴퓨터의 저장된 비밀번호 저장소를 비우고 대량으로 전송하는 소프트웨어입니다. Have I Been Pwned는 이 자료의 일부를 별도로 탈취 로그로 색인화하며, 단일 배치가 2025년과 2026년 동안 수천만 개의 고유 주소를 추가했습니다. 따라서 빈 결과를 «입증되지 않음»으로 읽고, «내 비밀번호는 결코 유출되지 않았다» 또는 위협이 실제여야 한다는 증거로 읽지 마십시오.

구글과 애플은 각각의 비밀번호 관리자에 검사를 내장하고 있으며, 이는 일반적으로 더 빠른 경로입니다. 구글의 비밀번호 검사는 저장된 비밀번호를 알려진 유출과 비교합니다. 아이폰과 아이패드에서는 별도의 비밀번호 앱의 보안 섹션에 해당 기능이 있습니다; 탐지는 설정 → 앱 → 비밀번호 → 손상된 비밀번호 감지에서 활성화됩니다. 두 서비스 모두 동일한 비밀번호를 재사용하는 로그인을 보여주며, 이는 일반적으로 더 긴급한 질문입니다. 한 가지 규칙: 이메일 주소로 검색하고, 확인할 수 없는 사이트에 현재 비밀번호를 입력하지 마십시오. 일부 합법적인 도구는 비밀번호가 기기를 떠나지 않도록 설계되어 있습니다 — Have I Been Pwned의 비밀번호 검색은 해시의 짧은 접두어만 전송하고 나머지는 로컬에서 비교합니다 — 그러나 이는 입력하기 전에 확인해야 할 속성이지 가정할 수 있는 것이 아닙니다.

첫 시간에 해야 할 일

[[steps]] 답장하지 말고 지불하지 마십시오 :: 어떤 응답도 발신자에게 주소가 활성화되어 있으며 반응하는 사람에게 속한다는 것을 알려주며, 이는 당신을 더 짧고 공격적인 목록으로 이동시킵니다. 비밀번호를 유출 기록과 대조하십시오 :: 그것이 어떤 계정에 속했는지 파악한 후, 유출 색인에서 이메일 주소를 검색하십시오. 일치하는 결과는 허세를 확정짓고; 아무것도 찾지 못하는 것은 그다지 확정짓지 않습니다, 왜냐하면 모든 덤프가 색인화된 것은 아니기 때문입니다. 그 비밀번호를 사용했던 모든 곳에서 변경하십시오 :: 원래 사이트뿐만 아니라. 재사용은 하나의 오래된 유출을 열 개의 활성 계정으로 만듭니다. 이중 인증 또는 제공되는 경우 패스키를 활성화하십시오 :: 앱 코드, 하드웨어 키 또는 패스키는 도난당한 비밀번호가 불편함과 침입의 차이를 만들며, 패스키는 다음 유출을 위해 공유된 비밀을 남기지 않습니다. 활성 세션 및 연결된 앱을 검토하십시오 :: 모든 주요 서비스는 로그인된 장치와 접근 권한이 있는 앱을 나열합니다. 낯선 것은 모두 로그아웃하십시오. 증거를 저장하고 누군가에게 말하십시오 :: 메시지와 헤더를 보관하고, 신뢰하는 한 사람에게 소리 내어 말하십시오 — 수치심과 고립이 이 작업을 수행하게 만듭니다. [[/steps]]

위협이 실제일 때

소수의 경우는 실제 접근을 포함하며, 이 경우 비밀번호 변경만으로는 충분하지 않습니다. 아래 신호는 함께 읽어야 하며, 하나씩 읽어서는 안 됩니다: 단일 행이 스스로 무엇인가를 증명하지 않습니다.

계정 활동은 발신자가 연출할 수 없는 유일한 행이기 때문에 가장 큰 비중을 차지합니다. 만약 연락처가 당신이 작성하지 않은 메시지를 받았다면, 당신의 복구 이메일이 당신 없이 변경되었거나, 당신이 결코 떠나지 않은 서비스에서 로그아웃되었다면, 이를 활성 침입으로 간주하고 [[post:someone-signed-into-my-account|누군가가 실제로 내 계정에 로그인했을 때]]의 단계를 따르십시오. 실제 기기 침해는 더 드물며, 빠른 배터리 소모, 설명할 수 없는 데이터 사용, 낯선 관리자 앱과 같은 징후를 남깁니다 — 이는 [[post:what-is-spyware-programs|스파이웨어가 전화에서 실제로 작동하는 방식]]입니다.

왜 지불이 거의 끝나지 않는가

지불하는 사람들은 지불하는 사람으로 기록됩니다. 반복적으로 보고된 패턴은 지불 후 며칠 이내에 더 큰 금액의 두 번째 요구가 뒤따른다는 것입니다, 왜냐하면 첫 번째 요구가 목표가 압박을 받을 수 있음을 증명했기 때문입니다. 아무도 무엇인가를 삭제할 의무가 없으며, 허세에서는 삭제할 것이 없습니다. 실제 자료가 존재하는 드문 경우에도, 지불은 익명의 발신자로부터의 약속을 구매하는 것이며, 그들은 복사본이 파기되었다는 것을 입증할 방법이 없습니다.

어디에 신고할 것인가

신고는 거의 하나의 메시지가 조사되는 것을 가져오지 않지만, 지갑과 캠페인을 종료시키는 데이터를 제공합니다. 미국에서는 FTC가 reportfraud.ftc.gov에서 신고를 받고, FBI는 온라인 갈취에 대한 불만을 접수하는 인터넷 범죄 신고 센터를 운영합니다. 영국에서는 그 역할이 이제 런던 경찰청이 운영하는 사기 신고 서비스에 속하며 — reportfraud.police.uk에서 온라인으로 또는 전화 0300 123 2040으로 연락할 수 있습니다 — 이는 2025-2026 겨울에 Action Fraud를 대체하며 잉글랜드, 웨일스 및 북아일랜드를 포함합니다; 스코틀랜드에서는 101로 스코틀랜드 경찰에 신고하십시오. 또한 메일 클라이언트에서 이를 피싱으로 표시하고, 메신저를 통해 온 경우에는 앱 내 신고 도구를 사용하십시오 — 애플은 아이폰에서 메시지를 차단, 필터링 및 신고하는 방법를 문서화하였습니다. 만약 타겟이 18세 미만이라면, 즉시 법 집행 기관이나 아동 보호 철거 서비스에 연락하십시오.

다음 메시지를 무해하게 만드는 방법

몇 년 전에 유출된 비밀번호가 오늘날에도 여전히 당신을 두렵게 만드는 이유는 재사용입니다. 모든 계정이 고유한 비밀번호와 두 번째 요소를 가지게 되면, 오래된 유출은 지렛대가 아닌 잡담이 되며, iOS, Android 및 브라우저에 내장된 비밀번호 관리자는 대부분의 사람들에게 충분합니다. 서비스에서 패스키를 제공하는 경우, 이를 사용하십시오: 자격 증명은 기기나 비밀번호 관리자에 남아 있으며, 서버에 재사용 가능한 것이 저장되지 않으므로 해당 사이트의 향후 유출은 판매할 것이 없습니다. 애플, 구글 및 마이크로소프트 계정 모두 패스키를 지원하며, 내장된 관리자들은 이를 장치 간에 동기화합니다.

복구 연락처를 최신 상태로 유지하고, 당신을 더 편안하게 만들기 위해 노트북 웹캠을 가리십시오. 위의 검사 결과가 허세를 가리킨다면 — 오래된 비밀번호, 구체적인 증거 없음, 깨끗한 로그인 기록 — 그러면 처음부터 당신을 개별적으로 살펴보지 않았으며, 다음과 같은 메시지는 화면의 텍스트로 도착할 것입니다, 그 이상도 이하도 아닙니다. 만약 그들이 반대 방향을 가리킨다면, 실제 침해에 대한 섹션이 먼저 작업해야 할 것입니다.

[[faq]] 이메일에 내 실제 비밀번호가 표시되었습니다 — 그들이 나를 해킹한 것인가요? :: 그 자체로는 아닙니다. 비밀번호는 유출된 웹사이트와 저장된 비밀번호 저장소를 비우는 악성코드에서 대량으로 유출되며, 이후 목록으로 재판매되므로, 하나를 인용하는 것은 단지 그것이 유통되었음을 증명할 뿐입니다. 유출 색인에서 내 이메일을 검색했는데 아무것도 찾지 못했습니다 — 위협이 실제인가요? :: 아닙니다. 색인은 공개되고 처리된 덤프만 포함하므로, 빈 결과는 «확인되지 않음»을 의미하며, «결코 유출되지 않음»을 의미하지 않습니다. 로그인 기록과 장치로 위협을 판단하십시오, 기록의 부재로 판단하지 마십시오. 메시지가 내 주소에서 왔습니다, 그들이 내 계정 안에 있나요? :: 발신자 주소는 위조될 수 있으며, 이는 이러한 캠페인에서 표준입니다. 보낸 편지함과 로그인 기록을 확인하십시오: 메시지가 거기에 없고 낯선 장치가 나열되지 않았다면, 당신의 메일박스에서 아무것도 전송되지 않았습니다. 부끄러운 것이 정말 있다면 지불해야 하나요? :: 아니요. 지불은 당신을 지불하는 사람으로 표시하며, 두 번째 요구가 일반적으로 뒤따릅니다. 진짜 자료가 존재한다면, 협상하기보다는 신고하십시오 — 익명의 발신자는 복사본이 삭제되었다는 것을 보여줄 수 없습니다. 이미 그들에게 답장했다면 어떻게 해야 하나요? :: 응답을 중단하고, 언급되거나 암시된 계정의 비밀번호를 변경하고, 이중 인증 또는 패스키를 활성화하며, 추가 시도를 예상하십시오. 답장은 아무에게도 접근을 허용하지 않습니다. [[/faq]]