요약
HN 이용자가 받은 통지 메일에 따르면 Scribd에서 이메일과 카드 일부 정보가 유출됐을 수 있습니다.
본문
이 일에 관한 글이 어디에도 보이지 않습니다. 2026년 10월 26일 월요일에 받은 메일입니다.
제목: 보안 사고 안내
이 안내는 Scribd, Slideshare, Everand, Fable의 모회사인 Scribd, Inc.를 대신해, Scribd, Inc.의 통지 협력사인 에피크가 보내는 것입니다.
안녕하십니까.
Scribd, Inc.에서 최근 보안 사고가 발생했으며, 이 사고로 귀하의 정보가 영향을 받았을 수 있어 알려 드립니다.
권한 없는 제3자가 저희 시스템 중 하나에 있는 일부 사용자 정보에 접근했을 수 있다는 점을 탐지했습니다. 이 활동을 조사한 결과, 제3자가 귀하의 이메일 주소와 함께 다음 정보에 접근했을 수 있다는 점을 확인했습니다. 신용카드 마지막 4자리와 국가, 신용카드 발급사, 신용카드 유효 기간, 결제 내역(신용카드 세부 정보 제외)입니다.
이 정보가 악용됐다는 증거는 없습니다. 다만 귀하가 정보를 보호할 조치를 취하실 수 있도록 만일을 위해 알려 드립니다.
피싱에 주의하십시오
Scribd, Inc.나 Scribd, Slideshare, Everand, Fable을 사칭하는 악의적인 피싱 시도를 경계하시기 바랍니다.
Scribd, Inc.는 이메일이나 문자 메시지로 사용자 이름과 비밀번호, 그 밖의 민감한 정보를 절대 요구하지 않습니다. 그런 메시지를 받으셨다면 다음과 같이 하십시오.
메시지 속 링크를 누르지 마십시오. 대신 브라우저에 scribd.com, slideshare.net, everand.com, fable.co를 직접 입력하십시오.
+1-877-361-9887로 전화해 주십시오. 운영 시간은 월요일부터 금요일, 중앙유럽시간 오전 11시부터 오후 11시까지입니다.
Scribd, Inc.의 고객센터를 통해 신고해 주십시오.
더 알아보기
이번 사고가 발생한 점과 이로 인해 걱정을 끼쳐 드린 점을 유감스럽게 생각합니다. 추가로 궁금한 점이 있으시면 전용 콜센터 +1-877-361-9887로 문의해 주십시오. 운영 시간은 월요일부터 금요일, 중앙유럽시간 오전 11시부터 오후 11시까지입니다.
국가사이버보안센터(National Cyber Security Center)가 피싱 사기를 알아보고 피하는 방법에 관한 유용한 안내를 여기에서 제공합니다.
Scribd, Inc.의 조치
영향을 받은 시스템을 안전하게 조치하고 무단 접근을 차단했습니다.
법 집행 기관과 관련 개인정보 보호 당국에 신고했습니다.
외부 사이버 보안 전문 업체와 함께 접근 통제와 모니터링을 강화하고 있습니다.
귀하가 정보를 맡겨 주신 신뢰를 소중히 여기며, 이를 가볍게 생각하지 않습니다. 이번 일이 발생한 데 대해 깊이 사과드리며, 달라지는 내용이 있으면 계속 알려 드리겠습니다.
Scribd, Inc.
HN 반응
- 일부 이용자는 10월 1일에 공지가 올라왔는데도 메일을 나눠 보내고 그 이유도 밝히지 않는다고 비판했습니다.
- 피해자는 안타깝지만 남의 문서를 유료로 파는 Scribd에는 동정이 가지 않는다는 반응이 여럿 나왔습니다.
국가 핵심 기반시설이 너무 쉽게 뚫리지는 않는지 확인하려고 레드팀 보안 연구자들이 제대로 침투를 시도해 준다면 훨씬 마음이 놓일 겁니다. 하지만 시도하는 것만으로도 중범죄가 될 테니 아마 그런 일은 벌어지지 않고 있을 겁니다. 나쁜 놈들은 얼마든지 시도할 수 있는데 말이죠.
이 모든 일이 결국 AI 탓으로 돌려질 테지만, 이런 취약점을 심어 놓은 건 AI가 아닙니다. AI는 취약점을 찾는 데 쓰일 수 있는 도구일 뿐이고, 우리가 답해야 할 질문은 그 도구를 일반 사람들이 쓸 수 있게 둘 것인가 하는 것뿐입니다.
어떤 사람들은 사이버 보안에 AI의 도움을 허용해야 하느냐는 문제로 몰아가려 하지만, 그건 질문이 아닙니다. 이 기술은 사라지지 않습니다. 나쁜 놈들도 갖게 될 것이고, 국가들도 갖게 될 겁니다. 다시 말하지만 진짜 질문은, 일반 사람들도 계속 이 기술을 쓸 수 있느냐입니다.
몇 년 전에 국가 핵심 기반시설의 보안을 도운 적이 있는 사람으로서 말씀드리면, 제가 찾아낸 취약점을 신고하는 과정은 엉망진창이었고 패치까지 몇 년씩 걸린 경우도 있었습니다. 그중에는 원격 코드 실행(RCE)과 대규모 개인정보 유출 취약점도 있었습니다. 미국 밖에 사는 대부분의 사람에게는 이런 보안 연구를 굳이 할 만큼 위험을 감수할 가치가 없습니다. 반면 미국에 있다면 CFAA에 선의의 보안 연구를 허용하는 조항이 있습니다( https://www.justice.gov/archives/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act ). 제가 이해하기로는 선의로 연구하면 기소나 처벌을 받지 않으니, 실력이나 모델이 있다면 이 점을 활용하시는 게 좋습니다. 저는 미국에 있지 않고, 제가 사는 나라에는 옳은 일을 하려 했다는 이유로 감옥에 가지 않도록 보장해 주는 법이 없습니다. 그래서 우리나라 기반시설의 취약점을 계속 찾을 동기가 없습니다.
추가: 다른 나라들이 비슷한 조항을 법에 넣지 않고 따라잡지 못하면 뒤처질 수밖에 없고, 자국민을 위험에 빠뜨리게 됩니다. 도울 의향이 있지만 지금은 안전하지 않다고 느끼는 사람이 어느 나라에나 있을 겁니다. 전 세계에 버그 바운티 헌터가 얼마나 많습니까. 그들도 자기 나라의 기반시설을 지키면서 실력을 쌓는 게 싫지는 않을 겁니다.
미주리주에서 어떤 사람이 F12(소스 보기)를 눌러 보고, 주 정부 웹사이트 HTML에 교사 전원의 사회보장번호가 평문으로 그대로 들어 있는 걸 발견한 일이 있었어요.
그 사람은 책임 있게 신고했는데, 주지사가 직접 나서서 그 사람을 공격하고 중범죄로 처벌하겠다고 위협했죠.
링크를 확인해 봤는데 2022년 법무부 정책이던데요. 법도 아닌 2022년 법무부 정책이 저한테 마음의 평화를 얼마나 주겠어요?
첫 문장까지만 읽어 봤어요. "이 정책은 선의의 보안 연구를 기소하지 않도록 처음으로 지시한다."
그러니까... 속뜻은 선의의 보안 연구가 엄밀히는 불법이지만 기소하지 않는 게 방침이라는 거예요. 법무부는 분명 선의의 보안 연구도 엄밀히는 불법이라고 보는 겁니다. 안 그러면 "처음으로, 법을 지키는 사람은 기소하지 않는 것을 방침으로 삼는다"고 말할 이유가 없잖아요. 말이 안 되니까요. 결국 "선의의 보안 연구자도 기소할 수 있지만 정책상 하지 않겠다"는 말이에요.
더 읽어 보면 이 정책은 계정 이름으로 가명을 쓰는 것 같은 행위를 기소하지 않겠다는 내용이에요. 같은 문단에서 허가 없이 시스템에 접근하는 사람에게 집중해야 한다고도 하고요.
분명히 해 두자면, 저는 허가 없이 활동하는 레드팀을 옹호하는 겁니다. 나쁜 놈들은 허가 없이 우리 시스템을 공격하고 있으니, 좋은 목적으로 똑같이 하는 좋은 사람들도 보호받아야 한다고 생각해요.
제 기억으로는 base64로 인코딩된 덩어리 안에 들어 있었어요. 그리고 base64 디코딩을 "고급 해킹 기법"이라고 불렀던 것도 기억하고요. 어쨌든 말씀하신 요점은 전적으로 맞습니다.
수십 년 전 한 콘퍼런스에서 어느 NATO 국가의 기반시설(발전소, 정수 시설 등)을 레드팀으로 점검하던 사람을 만난 적이 있습니다.
1990년대 넷핵 시절에 비하면 상황이 극적으로 좋아졌다고 하더군요.
그런데 그 팀에는 비밀 병기가 있었다고 합니다. 노트북을 들고 시스템 소프트웨어 업체 직원인 척하는 짧은 치마 차림의 젊은 여성이었죠. 이 병기는 모든 사이트를 뚫었고, 한 번도 실패한 적이 없었답니다. 단 한 번도요.
분명히 벌어지고 있어요. 당신이 미국인이라면 그 비용은 당신의 세금으로 나가고요.
주요 국가 대부분에 이런 프로그램이 있어요. 규모가 더 커야 할 수도 있고 뻔한 것을 놓치기도 하겠지만, 적어도 국가 핵심 기반시설(CNI)을 대상으로는 존재합니다.
혹시 검색 결과에 계속 뜨는 그 사이트 아닌가요? 내가 검색한 PDF가 있는 것처럼 보이는데, 사실은 그 PDF를 엉성하게 HTML로 바꿔 놓은 거고 원본은 내려받을 방법이 없는 곳이요.
네, 맞아요. 그 암덩어리 같은 사이트에는 눈곱만큼도 정이 안 가요.
저기, 핀터레스트도 뚫리면 안 될까요?
텀블러도요?
게다가 보려면 구독해야 하고, 다운로드는 아마 유료 기능일 거예요.
Scribd가 13년 전에도 같은 문제로 뉴스에 올랐던 것 같습니다[0] [1]. 지금은 삭제된 당시 원본 공지의 archive.org 링크도 있습니다[2]!
0 https://news.ycombinator.com/item?id=5493280 Scribd hacked – emails and hashed passwords leaked (scribd.com) 106 points by joosters on April 4, 2013 | hide | past | favorite | 65 comments
1 https://thenextweb.com/news/scribd-reveals-it-was-hacked-this-week-informs-less-than-1-of-its-users-their-passwords-were-compromised
2 https://web.archive.org/web/20130407114005/https://support.scribd.com/entries/23519663-Important-Security-Announcement
2013년 공지에서 눈여겨볼 대목은 다음과 같습니다. "조사 결과 콘텐츠, 결제·판매 관련 데이터, 그 밖의 정보는 접근되거나 유출되지 않은 것으로 나타났습니다. 접근된 정보는 사용자 이름, 이메일, 암호화된 비밀번호 같은 일반 사용자 정보에 한정된 것으로 보고 있습니다."
"저희는 사용자 데이터를 보호할 책임을 매우 무겁게 받아들이며 보안 인프라와 정책을 끊임없이 개선하고 있습니다. 이번 사고 이후 여러 추가 보호 장치를 도입했습니다. 이번 사고를 일으킨 구체적인 문제를 해결하는 데 그치지 않고, 포괄적인 보안 점검을 진행하며 보안을 선제적으로 강화할 더 일반적인 조치도 시행하고 있습니다. 또한 관계 당국에 이 사안을 알렸으며 당국의 조사에 협조할 것입니다."
그러면 시스템에 침입한 사람이 있다면 PDF를 전부 어딘가에 덤프로 올려줄 수도 있는 거 아닌가요?
저도 같은 이메일을 몇 시간 전인 10월 30일에야 받았습니다. 특히 결제 정보가 관련되어 있는데 왜 모든 고객에게 한꺼번에 알리지 않는 걸까요?
그리고 10월 1일에 블로그에 보안 사고에 대한 글을 올렸더군요. https://support.scribd.com/hc/en-us/articles/53787421531284-Information-about-the-recent-security-incident
받은 이메일은 링크된 글을 그대로 다시 쓴 내용이네요. 잘 찾으셨어요.
그 글에 답이 나와 있어요!
“Q: 제가 영향을 받았나요? 어떻게 통지받게 되나요?
A: 영향을 받은 분들께 단계적으로 통지를 보내고 있어서, 아직 받지 못하신 분도 계실 수 있습니다”
그리고 또..
"Q: 최신 소식은 어디에서 확인할 수 있나요?
A: 사고에 관한 최신 소식은 이 페이지에 게시됩니다.“
..."Updated October 01, 2026 19:29"
데이터를 찾는 사이트라면서, 정작 자기네 사고에 대해서는 쓸 만한 정보가 전혀 없고, 정보를 쉽게 공유할 수 없는 전화 상담으로 모두를 돌려보내고 있네요.
왜 단계적으로 하는지는 답이 안 되는데요.
맞아요!
“자기네 사고에 대해서는 쓸 만한 정보가 전혀 없고, 정보를 쉽게 공유할 수 없는 전화 상담으로 모두를 돌려보내고 있네요”
전화해 보세요!
지금처럼 정해진 정보를 결제에 계속 재사용하는 대신, 은행이 고유한 코드를 생성해서 수취인에게 일회성(또는 특정 업체에만 묶인 반복) 결제를 보낼 수 있게 해 준다면, 이런 유출 정보는 아예 존재하지 않게 될 수도 있습니다.
가상 카드라고 하죠. 여기서 논의된 적이 있습니다 [0]. 지금은 카드 소지자가 알아서 챙겨야 하고, 은행이 서비스를 제공하는지에 달려 있습니다. 은행이 제공하지 않는다면 요청하셔야 합니다.
0 https://news.ycombinator.com/item?id=50313747
복잡한 심정입니다. 정보를 털린 사람들은 안됐지만, Scribd에는 동정심이 안 가네요.
맞아요. Scribd는 여기서 호감을 사 둔 게 전혀 없어요. 회사가 안됐다는 생각은 눈곱만큼도 안 들고요.
피해자들은 당연히 안됐죠. 하지만 조직에는 티끌만큼의 동정도 없어요. 덜 형편없었다면 모를까, 형편없으니까 저도 동정 안 합니다.
Scribd는 사람들의 콘텐츠를 훔쳐 가고서 약속은 지키지 않는 가장 약탈적인 사이트예요(PDF를 올리면 다운로드할 수 있게 해 준다더니... 어이쿠, 그 파일은 자격이 안 되네요, 하지만 사본은 저희가 계속 갖고 있을게요!). 엿이나 먹으라고 하세요. 돈 없는 대학생들한테 약탈적으로 굴면서 사업 모델 전체를 만든 곳인데, 쫄딱 망했으면 좋겠어요.
사업 모델 자체가 말 그대로 남의 콘텐츠 이용권을 되파는 거예요. 부가가치는 없고, 그냥 사기죠.
Scribd가 대체 뭔가요?
본의 아니게 공개된 프레젠테이션 같은 걸 긁어 와서 구글 검색에 뜨는 그것으로만 알았어요. 그런데 왜 그게 누군가에게 가치가 있는지는 잘 몰랐거든요.
PDF 아카이브예요. 공개된 PDF를 긁어 왔다가, 그 PDF가 더 이상 공개되지 않게 되면 다운로드하는 데 돈을 받겠다는 발상이죠.
우리가 다 "모호함에 의존한 보안"을 누리고 있었던 모양입니다. 여기서 모호함이란 이미 존재하던 취약점을 가리켰던 거고요.
그리고 이제 그것도 끝났습니다.
무지한 질문이라 죄송합니다만, 기업들이 왜 어떤 "시스템"이 뚫렸는지는 절대 밝히지 않는 걸까요? 이번 침해가 서드파티의 보안 사고에서 비롯된 거라면, 책임을 그쪽에 돌리는 게 해당 업체를 빼고는 모두에게 이득이지 않을까요? "저희 시스템"이라고 한다는 건 이해합니다. 그런데 예전에 보면 이 말이 사실은 "계약한 업체가 관리하는 시스템"을 뜻하는 경우도 있었거든요.
제가 알기로는 기업들은 법으로 요구되는 최소한만 공개하고 나머지는 전부 숨기는 경향이 있습니다.
저는 소규모 SaaS 제품 몇 개를 운영하고 있어요. 무서운 시기입니다.
그러게요. :(