"카카오톡 소스코드를 팝니다" — 다크웹 판매 주장과 표적의 정체, 그리고 사실일 때의 파급력

한국어 (이 문서) · English

개인정보 유출이 아니라 지식재산·인프라의 유출. 제목은 KakaoTalk, 저장소 이름은 ZigZag — 표적 오인 위에 세워진 협박 마케팅의 해부

요약 (TL;DR)
시작하는 말 — "무엇을 팔겠다는가"가 아니라 "무엇이 걸려 있는가"
주장 내용 — 판매 게시물의 해부
소스코드의 정체 — 제목은 카카오톡, 지문은 지그재그
진위 평가 — 왜 아직 믿을 수 없는가
사실일 경우의 파급력 — 왜 티빙·CU보다 큰가
세 유출의 위험 등급 비교 — 데이터 유출 vs 코드·인프라 유출
한국 관점 — B2C 연쇄 유출의 다음 단계
탐지·완화·대응 권고
결론
참고 문헌

1. 요약 (TL;DR)

2026년 7월 초, ExtortionLord를 자칭하는 위협 행위자가 다크웹 포럼에 카카오톡(KakaoTalk)의 전체 소스코드, 내부 네트워크 접근 권한, 데이터베이스를 판매한다는 게시물을 올렸다. 판매 품목에는 모바일 앱·백엔드·API·인프라·AI 프로젝트·결제·인증·물류·개발 도구를 아우르는 대규모 내부 저장소가 포함됐고, 게시자는 접근 증거로 내부 프로젝트 명칭 목록을 공개하며 가격은 협상 가능, 거래는 포럼 에스크로를 경유한다고 밝혔다. 이 주장은 X(구 트위터)를 비롯한 보안 채널을 통해 빠르게 확산됐다.

본 리포트의 결론부터 말하면, 표적은 카카오톡이 아니라 그 계열사로 보인다. 그리고 사실 여부와 별개로, 걸린 판돈의 성격이 최근의 개인정보 유출들과 범주가 다르다.

제목과 지문이 어긋난다.게시물 제목은 "Kakao Talk"을 지목하지만, 공개된 저장소 이름 다수는 zigzag와 ks(Kakao Style)를 참조한다. 명명 규칙이라는 기술적 지문은 실제 표적이 카카오의 메신저 본체가 아니라카카오스타일이 운영하는 패션 커머스 플랫폼 '지그재그(ZigZag)'임을 시사한다. 즉 국민 메신저의 이름을 앞세워 주목도와 협박 가치를 부풀린, 의도적 오기(誤記)로 보인다 — 어차피 카카오 계열이긴 하니까.-파급력 — 사실이라면 성격이 다르다.검증되지 않았다는 전제 아래에서도, 소스코드·내부망 접근·DB의 결합은 개인정보 유출과 범주가 다른 사건이다. 2026년 6월의 티빙(개인정보 500만·CI 유출)과 CU POST/BGF네트웍스(개인정보·CI 유출)가 "유출된 데이터"의 문제였다면, 이번 주장은 "유출된설계도와 열쇠"의 문제다. 코드는 제로데이 취약점·하드코딩 크리덴셜·비즈니스 로직을 통째로 넘기고, 내부망 접근은 공급망 공격과 후속 침투의 발판이 될 수 있다.

핵심 명제— 데이터 유출은 피해자를 만들지만, 코드·인프라 유출은 공격 인프라를 만든다. 전자는 유출된 개인의 2차 피해로 끝나지만, 후자는 그 코드를 돌리는 모든 사용자를 겨냥한 차기 공격의 재료가 된다. 다만 현시점(2026-07-08) 이 주장은미검증이며, 카카오·카카오스타일의 공식 입장은 없다.

⚠️ 미검증 사안 — 본 리포트는 다크웹 판매 게시물과 공개 보안 분석(Brinztech 등)에 기반한 조건부 분석이다. 침해의 실재·규모·표적은 카카오/카카오스타일의 공식 확인 또는 독립 검증으로만 확정된다. 각 판단에 신뢰도를 명시한다.

Key Judgments

#	판단	신뢰도
KJ-1	게시물 제목("Kakao Talk")과 저장소 명명 규칙(`zigzag`·`ks`)의 불일치는, 실제 표적이 메신저 본체가 아니라 카카오스타일/지그재그일 가능성을 강하게 시사한다. 국민 메신저 이름의 차용은 협박 가치·주목도 극대화를 위한 전형적 수법이다.	Medium-High
KJ-2	현시점 이 주장은 미검증이다. 상세 파일 목록에도 불구, 카카오·카카오스타일의 공식 확인이나 독립 검증이 없다. 대규모 "소스코드 유출" 주장은 평판 상승·협박 목적의 조작·과장이 빈번하다.	High
KJ-3	지그재그는 2023년 "인프라 오류"로 고객 데이터가 노출된 이력이 있다. 과거 사고 이력이 있는 기업은 위협 행위자가 기존 공포를 활용해 사칭·재판매를 시도하는 표적이 되기 쉽다.	Medium-High
KJ-4	주장이 사실이라면, 소스코드 유출은 표준 데이터 유출보다 범주적으로 더 위험하다. 제로데이 감사, 하드코딩 크리덴셜 탈취, 비즈니스 로직 파악을 동시에 가능케 하기 때문이다.	High (조건부)
KJ-5	주장된 "내부 네트워크 접근"이 사실이라면, 이는 공급망 공격(CI/CD 오염)과 후속 침투의 발판이 되어 단일 조직을 넘어 그 서비스의 이용자·연계 서비스로 피해가 전이된다.	Medium-High (조건부)
KJ-6	파급력 관점에서, 사실일 경우 이번 사건은 2026년 6월의 티빙·CU 유출을 범주적으로 상회한다. 티빙·CU가 "유출된 개인정보"의 문제였다면, 이번은 "유출된 코드·열쇠"의 문제로 2차 공격 생성 능력이 근본적으로 다르다.	High (조건부)
KJ-7	LLM은 이번 시나리오의 증폭기다. 유출된 소스코드는 정상 앱을 모사한 악성 앱·피싱을 순식간에 대량 생산하는 최상급 입력이 되며, 라자루스·김수키 등 LLM을 활용하는 북한 연계 그룹에게 특히 유용하다.	Medium (조건부)
KJ-8	표적이 지그재그로 확정되더라도, 카카오 브랜드로 유통된 이 주장은 카카오 그룹 전체의 브랜드·신뢰 리스크로 작동한다. 커머스 사업자 지그재그에게는 진위와 무관하게 신뢰 타격이 불가피하다.	Medium

2. 시작하는 말 — "무엇을 팔겠다는가"가 아니라 "무엇이 걸려 있는가"

다크웹 판매 게시물의 90%는 사기성 소음이다. 협박, 과장, 재판매, 사칭. 그래서 분석의 첫 단추는 늘 같다. 믿지 않는 것에서 시작한다. 그러나 판매 품목의 성격은 진위와 별개로 검토할 가치가 있다. 왜냐하면 이번 주장이 걸고 있는 판돈이, 최근 두 달간 한국을 흔든 개인정보 유출 사건들과 범주가 다르기 때문이다.

2026년 6월, 티빙에서 500만 유료 가입자의 개인정보와 변경 불가능한 영구 식별자 CI가 빠져나갔다. 며칠 뒤 CU 편의점 택배(BGF네트웍스)에서 아이디·비밀번호·이름·주소·전화번호·CI가 웹 취약점을 통해 털렸다. 두 사건 모두 심각했고, 두 사건 모두 "유출된 데이터"의 문제였다. 피해자는 특정됐고, 피해의 상한은 유출된 레코드의 수로 가늠됐다.

이번 카카오/지그재그 주장은 결이 다르다. 게시자는 개인정보가 아니라 소스코드, 내부망 접근권, 데이터베이스 접근권을 판다고 주장한다. 만약 이것이 사실이라면, 유출된 것은 "누군가의 데이터"가 아니라 "그 데이터를 지키던 설계도와 열쇠"다. 데이터 유출은 피해자를 만든다. 코드·인프라 유출은 공격 인프라를 만든다. 전자의 피해는 유출 시점에 대체로 고정되지만, 후자의 피해는 그 코드가 돌아가는 한, 그 열쇠가 유효한 한 계속 재생산된다.

그래서 본 리포트는 두 개의 질문을 순서대로 던진다.

첫째, 이 주장은 진짜인가? (그리고 애초에 누구를 겨눈 것인가.)-둘째, 만약 진짜라면 왜 티빙·CU보다 무서운가?

첫 질문의 답은 "아직 아니오, 그리고 게시자가 내민 증거의 디테일조차 어긋나 있다"이고, 둘째 질문의 답은 "범주가 다르기 때문"이다.

3. 주장 내용 — 판매 게시물의 해부

3.1 위협 행위자

게시자는 ExtortionLord라는 별칭을 사용한다. 별칭 자체가 이미 사업 모델을 광고한다 — extortion, 협박. 평판 경제로 굴러가는 다크웹 포럼에서 이런 별칭은 "나는 협박을 한다"는 선언이자, 동시에 판매 주장의 진위를 흐리는 신호다. 협박형 행위자는 접근을 과장할 유인이 구조적으로 크다.

3.2 판매 품목

품목	게시자 주장
전체 소스코드	"Full KakaoTalk source code"
내부 네트워크 접근권	"Internal network access"
회사 데이터베이스 접근권	"Access to company databases"
대규모 내부 저장소	모바일 앱·백엔드 서비스·API·인프라·AI 프로젝트·결제 시스템·인증·물류·개발 도구를 아우르는 저장소 컬렉션

3.3 증거 자료

게시자는 접근의 증거로 내부 프로젝트 명칭 목록으로 보이는 디렉터리/저장소 이름 나열을 공개했다. 이 목록이 본 리포트에서 가장 중요한 단서다 — 자세한 내용은 4장에서 다룬다.

3.4 거래 조건

가격은 협상 가능, 거래는 포럼의 에스크로(escrow) 서비스 경유로 명시됐다. 에스크로 언급은 신뢰를 연출하는 장치이나, 그 자체가 데이터의 실재를 보증하지는 않는다.

4. 소스코드의 정체 — 제목은 카카오톡, 지문은 지그재그

이 사건의 핵심 쟁점은 진위 이전에 표적의 정체다. 게시물 제목은 "Kakao Talk"을 지목한다. 국민 메신저, 사실상 전 국민이 쓰는 서비스. 주목도와 협박 가치가 최대치인 이름이다. 그러나 게시자가 증거로 내놓은 저장소 이름 목록에는 zigzag와 ks(Kakao Style)에 대한 참조가 다수 포함된다.

명명 규칙(naming convention)은 조직의 핑거프린트, 즉 지문이다. 저장소 이름은 마케팅 문구처럼 꾸며지지 않고, 내부 프로젝트의 실제 소속을 드러낸다. zigzag·ks 접두어가 반복된다는 것은, 이 코드/접근이 카카오의 메신저 본체가 아니라 카카오스타일이 운영하는 패션 커머스 플랫폼 '지그재그'에서 나왔을 가능성을 강하게 시사한다. 공개 보안 분석(Brinztech, 2026-07-05)도 동일한 결론에 도달했다 — 제목은 카카오톡을 참조하지만, 제공된 기술 지표(저장소 명명 규칙)는 표적이 구체적으로 지그재그 플랫폼임을 시사한다.

왜 카카오톡의 이름을 앞세웠는가? 세 가지 가설이 있다.-협박 가치 극대화 (우세 가설). "지그재그 소스코드"보다 "카카오톡 소스코드"가 헤드라인을 만들고, 헤드라인은 협박 레버리지를 만든다. 국민 메신저의 이름은 판매가를 끌어올리는 브랜드 프리미엄이다.

행위자의 표적 오인. 카카오스타일이 카카오 그룹 계열사라는 점에서, 행위자 스스로 표적을 "카카오"로 뭉뚱그렸을 가능성.
과거 이력의 재활용. 지그재그는 2023년 "인프라 오류"로 고객 데이터가 노출된 이력이 있다. 과거 사고가 있는 기업은 "이미 뚫린 적 있다"는 공포를 자극해 사칭·재판매의 표적이 되기 쉽다. 낡은 접근이나 조작된 목록을 "신규 침해"로 포장하기에 유리한 배경이다.

세 가설 모두 해킹 행위자가 실제 표적보다 크고 브랜드 있는 이름을 의도적으로 걸었을 개연성을 가리킨다. 표적 오인은 이 게시물의 신뢰도를 낮추는 동시에, 카카오 본체에 해명 부담을 전가하는 이중 효과를 낳는다.

5. 진위 평가 — 왜 아직 믿을 수 없는가

5.1 현재까지 확인된 사실

항목	상태
카카오/카카오스타일 공식 입장	없음 (미확인)
독립적 검증	없음
실제 데이터 샘플 공개	없음 (파일 목록만)
표적 확정	미확정 (지문은 지그재그 지목)

2026년 7월 8일 현재, 주장의 진위를 확인할 독립적 증거는 존재하지 않는다. 게시자가 공개한 것은 데이터 샘플이 아니라 "파일 목록"이며, 목록은 접근의 증거가 아니라 접근을 주장하는 텍스트일 뿐이다.

5.2 왜 신중해야 하는가? — 대규모 코드 "유출" 주장의 구조적 특성

Brinztech의 분석은 세 가지 이유로 신중한 접근을 권고한다.

조작·과장의 빈번함. 대규모 소스코드 "유출" 주장은 행위자가 평판을 높이거나 기업을 협박하려 조작·과장하는 사례가 많다.
깊은 침투가 아닌 표층 수집. 실제 내부망 심층 접근보다는, 공개됐거나 부적절하게 보호된 저장소에서 긁어모은 파일인 경우가 흔하다. GitHub 등에 잘못 노출된 저장소 하나가 "전체 소스코드"로 포장될 수 있다.
사칭에 취약한 과거 이력. 지그재그처럼 과거 사고 이력이 있는 기업은, 행위자가 기존 공포를 자본화하려 "사칭"하는 표적이 되기 쉽다. 팔겠다는 접근이 이미 존재하지 않거나 애초에 조작됐을 수 있다.

요컨대 파일 목록의 존재는 침해의 증거가 아니다. 검증의 최소 기준은 재현 가능한 데이터 샘플과 독립적 교차 확인이며, 현재 둘 다 부재한 상황이다. 그래서 보수적으로 판단해야 한다.

5.3 행위자 대응 원칙

카카오/카카오스타일 및 관련 조직은 게시자와 접촉하지 않아야 한다. "ExtortionLord"와의 접촉은 주장을 검증해 주는 신호가 되고, 통상 추가 협박이나 이중 협박(double-extortion) 시나리오로 이어진다.

6. 사실일 경우의 파급력 — 왜 티빙·CU보다 큰가

본 장은 "주장이 사실로 확인될 경우"의 조건부 평가다. 검증 이전에는 6장 전체가 시나리오 분석임을 명확히 한다.

6.1 소스코드 유출 — 설계도가 넘어간다

소스코드 유출은 표준 개인정보 유출보다 범주적으로 위험하다. 이유는 세 가지다.

제로데이 취약점 발굴. 공격자가 코드를 정적 감사(static audit)하여 아직 발견되지 않은 취약점을 찾아낸다. 방어자보다 먼저 코드를 읽는 공격자는 패치되지 않은 구멍을 선점한다.
하드코딩된 크리덴셜 노출. 코드에 박힌 DB 비밀번호·API 키·SSL 키·토큰이 그대로 넘어간다. 티빙 사건에서 확인됐듯, 하드코딩된 클라우드 자격증명 단 하나가 개인정보 DB 침입의 관문이 됐다. 소스코드 전체가 유출되면 이런 관문이 몇 개나 있는지조차 공격자가 방어자보다 먼저 안다.
비즈니스 로직 파악. 인증 흐름, 결제 검증, 권한 체계, 부정거래 탐지 로직 — 플랫폼의 독점적 방어 설계가 노출되면 우회·표적 공격이 정교해진다.

6.2 내부망 접근권 유출 — 열쇠가 넘어간다

공급망 공격(Supply Chain Attack). 내부 개발 환경·CI/CD 파이프라인 접근은 악성 코드 삽입으로 이어진다. 오염된 빌드는 정상 업데이트를 가장해 모든 이용자 단말에 배포된다. 이는 단일 조직의 유출을 넘어, 그 서비스를 신뢰한 전 사용자 기반을 겨냥한 무기가 된다.
후속 침투(Follow-on Intrusion). 내부망 접근을 발판으로 연계 서비스·계정으로 횡적 이동(lateral movement)이 가능하다. 계열사 간 신뢰 경계가 느슨하다면, 지그재그에서 시작된 침투가 카카오 그룹 타 서비스로 번질 이론적 경로가 열린다.
영업비밀·지식재산 침해. 독자 알고리즘·추천 엔진·물류 최적화 로직의 유출은 경쟁상 손실이자, 복제·재판매의 재료가 될 수 있다.

6.3 이용자에 대한 영향

유출 코드 기반의 정교한 악성 앱·피싱 제작 (정상 앱의 UI·프로토콜을 그대로 모사)
결제·인증 저장소가 사실이라면, 하드코딩 결제 키를 통한 금전 피해 경로
계정 탈취·사칭 위험의 상승

6.4 LLM이라는 증폭기 — 왜 지금 유출이 더 위험한가

이번 시나리오가 3~4년 전보다 위험한 결정적 이유는 LLM이다.

정교한 악성 앱·피싱의 순식간 대량 생산. 카카오톡 소스코드가 유출됐다면, 과거 숙련된 개발자의 시간을 요하던 정상 앱 클론·피싱 페이지 제작이 유출 코드를 입력으로 삼은 LLM 파이프라인에서 자동화된다. 정상 앱의 UI·프로토콜·에러 문구까지 그대로 모사한 악성 앱이 순식간에 찍혀 나온다.
북한 연계 그룹의 무기화. 라자루스(Lazarus)·김수키(Kimsuky) 등 북한 연계 위협 그룹은 이미 정찰·스크립팅·사회공학에 LLM을 활용하려는 정황이 공개 보고된 바 있다. 유출된 소스코드는 이들에게 표적 앱의 내부 구조라는 최상급 입력을 제공한다 — 방어자보다 먼저, 더 빠르게.
지그재그라면 '여성 고객 DB'라는 특수성. 표적이 지그재그라면 문제는 또 다른 층위로 넘어간다. 지그재그 고객 DB의 상당수는 대한민국 여성 이용자다. 이 DB가 유출되면 티빙·CU 수준의 2차 범죄(스미싱·사칭·표적 피싱)가 성별·소비 패턴 정보와 결합해 더 정교해진다.
커머스 사업자에게는 진위와 무관한 타격. 그 어떤 시나리오든, 쇼핑몰·커머스 사업자인 지그재그에게 이번 사건은 (진위와 무관하게) 브랜드·신뢰의 큰 타격이다. 커머스의 자산은 결국 고객 신뢰이며, "이미 뚫린 적 있다"는 서사의 반복은 그 자체로 이탈을 부른다.

7. 세 유출의 위험 등급 비교 — 데이터 유출 vs 코드·인프라 유출

2026년 6월 이후 한국의 대형 B2C 유출 3건을 나란히 놓으면, 이번 주장이 왜 범주적으로 무거운지가 드러난다. (카카오/지그재그 열은 미검증 주장 기준의 조건부 평가다.)

구분	티빙 (2026-06)	CU POST / BGF네트웍스 (2026-06)	카카오/지그재그 주장 (2026-07, 미검증)
유출/판매 성격	개인정보 DB (실 유출 확인)	개인정보 DB (실 유출 확인)	소스코드·내부망 접근·DB (판매 주장)
핵심 자산	CI·DI·전화·이메일·계좌·비밀번호	CI·아이디·비밀번호·주소·전화·이메일	코드·크리덴셜·인프라 접근권·비즈니스 로직
피해 대상	유출된 개인 (약 500만 유료 가입자)	유출된 CU POST 온라인 회원	코드를 돌리는 서비스 + 그 전 이용자 기반
피해 상한	유출 레코드 수로 근사	유출 레코드 수로 근사	정의 곤란 — 2차 공격 생성 능력에 좌우
침입 경로(확인)	GitHub 하드코딩 AWS 키 (추정)	웹 취약점 (회사 공지)	미공개 (파일 목록만)
2차 피해 유형	스미싱·피싱·크리덴셜 스터핑	크리덴셜 스터핑·스미싱	공급망 오염·제로데이·후속 침투·LLM 악성 앱
시간축	유출 시점에 대체로 고정	유출 시점에 대체로 고정	코드·열쇠가 유효한 한 지속 재생산
검증 상태	확인 (KISA 신고·언론 보도)	확인 (회사 공지·언론 보도)	미검증 (공식 입장 없음)

핵심은 마지막 세 행이다. 티빙·CU의 피해는 유출된 데이터의 양으로 위쪽이 막혀 있다. 최악이라도 "유출된 N명의 2차 피해"다. 반면 코드·인프라 유출은 피해 상한을 데이터 양이 아니라 그 코드로 만들어질 다음 공격의 수가 결정한다. 하나의 하드코딩 키가 하나의 침입 관문이고, 하나의 제로데이가 하나의 대량 공격이며, 하나의 오염된 빌드가 전 사용자 배포다. 데이터 유출은 피해자를 만들고, 코드·인프라 유출은 공격 인프라를 만든다 — 이것이 사실일 경우 이번 사건이 티빙·CU를 범주적으로 상회하는 이유다.

단, 이 상회는 조건부임을 다시 강조한다. 진위가 확인되지 않은 현시점에서 실제 심각도는 지그재그 소스 유출 가능성을 카카오톡 소스코드 유출로 포장한 협박 마케팅에서 "범주적 최악의 침해"까지 넓은 스펙트럼 위에 있다.

8. 한국 관점 — B2C 연쇄 유출의 다음 단계

연쇄의 성격 변화. 쿠팡→티빙→CU로 이어진 2026년 상반기 B2C 유출은 모두 "개인정보"의 문제였다. 이번 주장은 그 연쇄가 "코드·인프라"라는 상위 범주로 전이될 수 있음을 예고한다. 실재 여부와 무관하게, 위협 행위자들이 한국 B2C 기업을 상대로 더 높은 판돈의 판매 서사를 실험하고 있다는 신호로 읽어야 한다.
표적 오표기의 브랜드 리스크. 표적이 지그재그로 확정되더라도, "카카오톡"이라는 이름으로 유통된 이 주장은 카카오 그룹 전체의 신뢰 리스크로 작동한다. 계열 브랜드의 사고가 모브랜드로 전가되는 구조는 국내 대기업 집단의 공통 취약점이다.
시크릿 관리라는 재발 변수. 티빙 사건에서 확인된 "GitHub 하드코딩 자격증명" 문제가 이번 주장의 배경 서사(공개/부실 보호 저장소에서 수집)와 겹친다. 코드 저장소의 시크릿 노출은 한국 기업의 반복되는 실패 지점이며, 소스코드 판매 주장의 진위와 별개로 전 산업 차원의 시크릿 스캐닝 점검 트리거가 되어야 한다.
규제·조사 쟁점. 실 유출이 확인될 경우, 개인정보보호법상 안전조치 의무뿐 아니라 코드·인프라 유출에 대한 별도 대응 프레임(영업비밀·정보통신기반보호)까지 얽힌다. 개인정보 중심의 현행 규제는 "코드·열쇠 유출"이라는 범주를 온전히 포착하지 못한다.

9. 탐지·완화·대응 권고

카카오/카카오스타일 및 유사 표적 기업

저장소 노출 전수 감사. 소스코드·IaC·CI/CD 파이프라인이 공개 인터넷에 노출됐는지 즉시 점검한다. 엄격한 ACL과 개발자·CI/CD 도구 전반의 MFA를 강제한다.
시크릿은 이미 공개됐다고 가정. 코드에 하드코딩된 DB 비밀번호·API 키·SSL 키를 전수 폐기·교체한다. 장기 액세스 키 대신 STS 단기 자격증명·IAM 역할을 기본값으로 하고, 시크릿 스캐닝(GitHub secret scanning, pre-commit 훅, truffleHog 류)을 저장소 전반에 강제한다.
제로트러스트 격리. 네트워크 경계 방어에만 의존하지 않는다. 내부 개발 도구·운영 DB를 엄격히 격리하고, 세션마다 인증을 요구한다(NIST SP 800-207).
협박 행위자 미접촉. 게시자와 접촉하지 않는다. 접촉은 주장을 검증해 주고 이중 협박을 유발한다.
공급망 무결성 검증. 빌드 재현성·서명·SLSA/SSDF(SP 800-218) 기반의 아티팩트 무결성 체계로 CI/CD 오염 가능성을 차단한다.

규제·정책

코드·인프라 유출 대응 프레임 정비. 개인정보 중심 규제가 포착하지 못하는 "소스코드·크리덴셜·내부망 접근권" 유출에 대한 신고·대응 기준을 별도로 마련한다.

이용자

즉시 조치. 지그재그/카카오 계정과 동일 비밀번호를 쓰는 서비스의 비밀번호를 변경하고 2단계 인증을 활성화한다.
지속 경계. 정상 앱을 정교하게 모사한 악성 앱·피싱을 경계한다. 공식 스토어 외 경로의 설치 파일과 출처 불명 링크를 기본 차단한다.
피싱·스미싱 주의. 코드 유출 주장이 사실이든 아니든, 이런 사건은 통상 사칭 피싱 캠페인을 동반한다. 개인정보를 정확히 아는 표적형 피싱을 기본값으로 의심한다.

10. 결론

다크웹의 판매 게시물은 두 가지를 동시에 물어야 한다. 진짜인가? 그리고 애초에 무엇을 겨눈 것인가? 이번 카카오/지그재그 주장은 두 질문 모두에서 흔들린다. 진위는 미검증이고, 제목("카카오톡")과 시그니처는 여성향 커머스몰인 지그재그를 가리키고 있다.

현재로선 국민 메신저의 이름을 앞세운, 지그재그를 실제 표적으로 하는 협박 마케팅일 개연성이 가장 높다. 그리고 그조차 조작·과장·사칭일 가능성을 배제할 수 없다.

그러나 판돈의 성격은 진위와 별개로 기록해 둘 가치가 있다. 2026년 6월의 티빙과 CU가 "유출된 데이터"의 사건이었다면, 이번 주장은 "유출된 코드와 열쇠"의 사건을 예고한다. 만약 사실로 확인된다면, 이는 티빙·CU를 양적으로가 아니라 범주적으로 상회한다. 데이터 유출의 피해는 유출 시점에 대체로 고정되지만, 코드·인프라 유출의 피해는 그 코드가 돌아가는 한, 그 열쇠가 유효한 한 계속 재생산되기 때문이다. 그리고 LLM은 그 재생산 속도를 다시 한 번 끌어올린다.

데이터 유출은 피해자를 만들고, 코드·인프라 유출은 공격 인프라를 만든다. 그래서 모든 기업에 남는 질문은 이것이다. 당신의 소스코드는 지금 어디에 있는가? 그 안에 박힌 열쇠는 아직 유효한가? 그리고 누군가 그것을 "국민 서비스의 소스코드"라는 이름으로 팔겠다고 나설 때, 당신은 그것이 자사 것이 아니라고 증명할 수 있는가?

검증되기 전까지, 이 사건의 가장 정직한 상태는 물음표다. 본 리포트는 그 물음표를 정직하게 유지하되, 사실일 경우의 무게를 미리 재어 둔다.

11. 참고 문헌

다크웹 포럼 판매 게시물 — "ExtortionLord", KakaoTalk 소스코드·내부망·DB 판매 주장 (2026-07 초, X 등 보안 채널 확산). (1차 주장, 미검증)
Brinztech — "Analysis of Unverified 'Kakao Style/ZigZag' Breach Claim" (2026-07-05). 표적을 지그재그로 지목, 저장소 명명 규칙 분석, 미검증 판정.
CTI-2026-0604-TVING — "500만의 유출, 13만의 인지" (Dennis Kim). 티빙 개인정보·CI 유출, GitHub 하드코딩 AWS 키 침입 경로.
News1 [단독] — 티빙 KISA 신고서 "비인가 접근 및 쿼리 실행", AWS 키 폐기·GitHub 자격증명 교체 (2026-06-05).
BGF네트웍스 CU POST 공지 — 개인정보 유출 사고 안내 (2026-06-05/06). 아이디·비밀번호·이름·생년월일·성별·주소·이메일·전화·CI 유출, 웹 취약점 경유.
더스쿠프 — "ID 거의 다 똑같은데… 편의점 CU 해킹 사태에 숨은 '연쇄적 위협'" (크리덴셜 스터핑·CI 위험 분석).
Microsoft / OpenAI — 국가연계 위협 행위자의 LLM 활용 정황 공개 (라자루스·김수키 등 DPRK 연계 그룹 포함, 2024). (LLM 무기화 배경 근거)
나무위키 — "개인 정보 유출 사태"(2026년 유출 목록) / "TVING 개인정보 유출 사건" (타임라인 교차 검증용, 비공식 출처).
NIST SP 800-207 Zero Trust Architecture · SP 800-218 SSDF · SLSA Framework.
개인정보보호법 제34조 및 동법 시행령 (유출 통지 요건).

본 리포트는 공개 OSINT 자료·다크웹 판매 게시물·공개 보안 분석 기반의 독립 분석이며, 관련 조직·기관·기업의 공식 입장을 대변하지 않습니다. 본 리포트가 다루는 판매 주장은 발행 시점(2026-07-08) 기준 미검증이며, 사실 여부는 카카오/카카오스타일의 공식 확인 또는 독립 검증으로만 확정됩니다. 교육·방어·연구·정책 수립 목적으로만 사용해야 합니다. TLP:GREEN — 커뮤니티 내 공유·대외 공개 가능.