일론 머스크(왼쪽)와 엑스(X·옛 트위터)의 로고. AFP 연합뉴스최근 일론 머스크의 인공지능 스타트업 엑스에이아이(xAI)에 합병된 엑스(X·옛 트위터)에서 올해 초 2억명이 넘는 이용자의 이메일 등 개인정보가 유출됐다는 의혹이 제기됐다.3일 미국 경제지 포브스와 아이티(IT) 매체 매셔블 등 외신을 보면, 사이버 보안 정보를 소개하는 플랫폼 세이프티디텍티브즈(Safety Detectives) 연구팀은 최근 유명 해킹 커뮤니티에서 엑스 이용자들의 대규모 정보 유출을 폭로하는 게시물을 발견했다. ‘싱킹원’(ThinkingOne)이란 닉네임을 가진 게시글 작성자는 올해 1월 엑스에서 28억개가 넘는 이용자의 아이디 등 계정 정보가 400GB 용량의 파일로 유출됐다고 주장했다. 이와 함께 작성자는 지난 2023년 1월 유출된 엑스 이용자 데이터와 이번에 유출된 데이터에 모두 포함된 이용자 약 2억100만명의 이메일 주소 등이 담긴 파일을 공개했다.세이프티디텍티브즈는 이 게시글의 진위를 따지기 위해 유출 파일에 포함된 이용자 100명의 정보를 검토한 결과 이 가운데 92명의 엑스 이용자 계정에 기재된 내용과 일치하는 점을 확인했다고 밝혔다. 또 이들의 이메일 주소가 유효한 것을 확인됐지만, 실제 엑스 계정에 연동된 이메일이 맞는지 여부는 확인할 수 없었다고 덧붙였다.이 데이터가 누구에 의해 어떻게 유출됐는지는 아직 확인되지 않았다. 다만 싱킹원은 “엑스의 직원이거나 고도의 해킹 작업이 아니라면, 어떻게 모든 트위터(엑스) 이용자의 아이디(ID)를 나열할 수 있겠느냐”며 “역대 최대 규모의 소셜 미디어 정보 유출을 엑스와 일반 대중이 알지 못하는 것 같아 이 글을 게시한다”고 밝혔다.엑스는 전세계 약 4억명의 이용자를 보유하고 있는 것으로 알려졌다. 매셔블은 씽킹원이 공개한 유출 데이터에 포함된 계정(약 28억개) 가운데 상당수는 실제 사용자가 쓰는 것이 아니라 봇(bot·게시물 자동 생성 프로그램)이나 스팸 발송용으로 만든 계정, 또는 비활성화됐거나 삭제된 계정일 가능성이 높다고 평가했다. 하지만 세이프티디텍티브즈는 유출된 이메일 주소 등이 피싱 공격 등 사이버 범죄에 악용될 가능성이 있다고 우려했다.일론 머스크(왼쪽)와 엑스(X·옛 트위터)의 로고. AFP 연합뉴스최근 일론 머스크의 인공지능 스타트업 엑스에이아이(xAI)에 합병된 엑스(X·옛 트위터)에서 올해 초 2억명이 넘는 이용자의 이메일 등 개인정보가 유출됐다는 의혹이 제기됐다.3일 미국 경제지 포브스와 아이티(IT) 매체 매셔블 등 외신을 보면, 사이버 보안 정보를 소개하는 플랫폼 세이프티디텍티브즈(Safety Detectives) 연구팀은 최근 유명 해킹 커뮤니티에서 엑스 이용자들의 대규모 정보 유출을 폭로하는 게시물을 발견했다. ‘싱킹원’(ThinkingOne)이란 닉네임을 가진 게시글 작성자는 올해 1월 엑스에서 28억개가 넘는 이용자의 아이디 등 계정 정보가 400GB 용량의 파일로 유출됐다고 주장했다. 이와 함께 작성자는 지난 2023년 1월 유출된 엑스 이용자 데이터와 이번에 유출된 데이터에 모두 포함된 이용자 약 2억100만명의 이메일 주소 등이 담긴 파일을 공개했다.세이프티디텍티브즈는 이 게시글의 진위를 따지기 위해 유출 파일에 포함된 이용자 100명의 정보를 검토한 결과 이 가운데 92명의 엑스 이용자 계정에 기재된 내용과 일치하는 점을 확인했다고 밝혔다. 또 이들의 이메일 주소가 유효한 것을 확인됐지만, 실제 엑스 계정에 연동된 이메일이 맞는지 여부는 확인할 수 없었다고 덧붙였다.이 데이터가 누구에 의해 어떻게 유출됐는지는 아직 확인되지 않았다. 다만 싱킹원은 “엑스의 직원이거나 고도의 해킹 작업이 아니라면, 어떻게 모든 트위터(엑스) 이용자의 아이디(ID)를 나열할 수 있겠느냐”며 “역대 최대 규모의 소셜 미디어 정보 유출을 엑스와 일반 대중이 알지 못하는 것 같아 이 글을 게시한다”고 밝혔다.엑스는 전세계 약 4억명의 이용자를 보유하고 있는 것으로 알려졌다. 매셔블은 씽킹원이 공개한 유출 데이터에 포함된 계정(약 28억개) 가운데 상당수는 실제 사용자가 쓰는 것이 아니라 봇(bot·게시물 자동 생성 프로그램)이나 스팸 발송용으로 만든 계정, 또는 비활성화됐거나 삭제된 계정일 가능성이 높다고 평가했다. 하지만 세이프티디텍티브즈는 유출된 이메일 주소 등이 피싱 공격 등 사이버 범죄에 악용될 가능성이 있다고 우려했다.
