Paidwork: 마이크로태스크 플랫폼의 2,300만 계정이 사이버범죄 포럼에 유출됨 - 개발사 측 침묵

11GB의 용량을 가진 Paidwork 사용자 2,300만 명 이상의 데이터가 해킹 포럼에 판매된 후 2026년 7월 19일 Have I Been Pwned에 추가되었습니다. 은행 계좌, 주소, 생년월일, bcrypt 등 민감한 정보가 포함된 이 데이터베이스 유출에 대해 Paidwork는 아직 공식 반응을 내놓지 않았습니다.

사실

Paidwork는 모바일 게임 플레이, 광고 시청, 설문 조사 참여, 앱 테스트, 캐시백, 추천 프로그램 등 사용자의 시간과 관심을 monetizing하는 온라인 마이크로태스크 플랫폼입니다. Have I Been Pwned(HIBP)에 따르면, 2026년 7월 19일 HIBP 데이터베이스에 추가된 이 유출로 23,272,765명의 사용자가 영향을 받았습니다.

The Register가 사이버 범죄자 발표를 토대로 재구성한 타임라인:

• 2026년 3월: 유출 발생 (HIBP 항목에 기재된 날짜)
• 2026년 4월: 사이버 범죄 포럼에 데이터베이스가 공개적으로 판매됨
• 2026년 7월 19일: HIBP에 통합

해커는 HACKFORMETOME라는 닉네임으로 11GB 분량의 덤프를 해킹 포럼에 판매하며 Telegram과 Tox를 통한 monetization을 시도했습니다. 개별 연구자가 발견자로 명시되지 않았으며, The Register는 Paidwork가 게시 당시 응답하지 않았다고 밝혔습니다.

노출된 정보

HIBP에 따르면 다음 정보가 유출되었습니다:

• 은행 계좌 번호
• 전화번호
• 주소
• 생년월일
• 프로필 사진
• IP 주소
• 기기 정보
• 금융 거래 및 지급 내역
• 교육 수준
• bcrypt 해시 처리된 비밀번호

분석

이 덤프에서 그나마 안심할 만한 점은 bcrypt(적절한 비용 설정으로 비 trivial한 비밀번호에 대해 오프라인 브루트포스 공격에 강함)로 저장된 비밀번호입니다. 그 외 모든 정보는 심각한 수준입니다. 생년월일 + 주소 + 전화번호 + 은행 계좌 + 지급 내역 조합은 다음과 같은 신원 도용에 악용될 수 있습니다:

• 계정 탈취 (은행 호출, 노출된 전화번호로 SIM 스왑)
• 실제 계정 정보에 기반한 맞춤형 피싱 공격
• 완전한 신원 도용을 통한 제3자 사기

데이터베이스가 2026년 4월부터 공개적으로 판매되었고, 플랫폼이 게시 당시까지 통보하지 않았다는 사실은 최소한 도덕적 결함이며, 관련 사용자의 관할권에 따라 GDPR 제34조(고위험 시 "지체 없이"Notification)에 따라 법적 책임이 있을 수 있습니다.

지금 해야 할 일

Paidwork 계정이 있거나曾經 사용한 적이 있다면:

1. HIBP에서 확인: haveibeenpwned.com - 사용한 이메일을 입력
2. 재사용한 비밀번호 변경 (비밀번호 관리자를 사용하지 않았다면 특히 중요)
3. 가능한 모든 계정에 MFA 활성화 (SMS는 제외, TOTP 또는 passkey 우선)
4. 은행 사기 시도 모니터링; 관할권에 따라 신용 동결 고려
5. 피싱 주의: 노출된 데이터가 포함된 신뢰할 수 있는 이메일/문자 메시지가 upcoming months에 유포될 수 있음

보안 팀의 경우: 직원 계정이 포함된 경우 threat intel identity monitoring 플로우에 덤프를 통합 (사회공학적 공격 위험이 크게 증가)