챗GPT 활성 세션(Active Sessions) 기능으로 내 계정 5분 점검하기

 

2023년 1~10월 사이에만 챗GPT 계정 22만 건 이상이 다크웹에서 거래된 것으로 알려져 있어요(Group-IB 보고 기준). 더 무서운 건, 대부분 OpenAI 해킹이 아니라 내 PC 악성코드가 원인이라는 점입니다.

 

브라우저에 저장된 로그인 정보를 노리는 인포스틸러(정보 탈취 악성코드)가 주범으로 지목된다고 합니다. 구글 계정으로 챗GPT를 쓰는 경우라면, 구글 계정이 한 번 털리는 순간 챗GPT 권한도 같이 넘어가는 구조예요. 내가 모르는 사이 누군가 내 대화 기록을 들여다보고 있을 수 있다는 뜻이지요.

 

다행히 최근 도입된 활성 세션(Active Sessions) 메뉴가 챗GPT에 추가됐어요. 지금 내 계정으로 어떤 기기들이 로그인되어 있는지 한 화면에서 확인하고, 낯선 접속이 보이면 그 자리에서 차단할 수 있게 됐습니다.

 

챗GPT 활성 세션 메뉴 들어가는 길

PC 웹에서 접근이 안정적입니다(모바일 앱 노출은 빌드에 따라 다를 수 있어요). 안정적인 점검은 데스크탑·노트북에서 하시는 걸 권장드려요.

 

경로는 이렇습니다.

 

1. 챗GPT 접속 후 우측 상단 프로필 아이콘 클릭
2. Settings → Security 탭 진입
3. Active sessions 항목 클릭

 

들어가면 현재 로그인된 기기 종류(웹/모바일 앱), IP 기반 대략 위치, 접속(로그인) 시각이 한 줄씩 늘어서 보입니다. 의심스러운 한 줄이 있으면 그 옆 버튼으로 개별 로그아웃, 모든 기기를 한 번에 끊고 싶다면 'Log out of all devices'를 누르면 됩니다.

 

한 가지 주의하셔야되는데요, 일괄 로그아웃이 즉시 반영되지 않고 최대 30분까지 걸릴 수 있다는 부분이에요. 급한 상황이면 비밀번호 변경까지 같이 가는 게 안전합니다.

 

 

활성 세션 화면이 안 보여주는 것들

이 기능, 만능은 아닙니다. 화면에 표시되는 정보가 생각보다 좁아서, 그대로 믿었다가 헛다리 짚는 경우가 생길 수 있어요.

 

먼저 위치 정보가 부정확합니다. IP 기반 위치라서 VPN을 쓰거나 모바일 데이터로 접속한 경우 수백 km 떨어진 도시로 표시되기도 합니다. 서울에서 핸드폰 LTE로 접속했는데 화면엔 부산이나 대전이 찍히는 식이지요. 낯선 도시가 떴다고 무조건 해킹이라 단정하지 말고, 시간대와 내 이동 동선을 같이 봐야 합니다.

 

과거 기록은 못 봅니다. 현재 활성화된 세션만 표시될 뿐, 어제·지난주 누군가 로그인했다가 빠져나간 흔적은 조회할 수 없어요. 일회성 침입은 사실상 추적이 어렵다는 뜻이지요.

 

SSO·API 키 경로도 누락됩니다. 회사나 학교에서 Okta·Azure AD 같은 SSO 연동으로 챗GPT를 쓰는 분들은 이 메뉴 자체가 제공되지 않을 수 있어요. 해당 조직의 계정 관리 페이지에서 따로 확인해야 합니다. API 플랫폼 세션은 일부 표시되지만, 서드파티 앱이 API 키로 접근한 경우는 이 목록에 안 잡힙니다.

 

 

챗GPT 비밀번호와 2단계 인증까지 같이 가야 하는 이유

여기가 가장 중요한 대목입니다. '모든 기기 로그아웃'은 세션 토큰만 무효화합니다. 비밀번호 자체가 이미 유출된 상태라면 공격자는 30초 안에 다시 로그인할 수 있는 구조거든요.

 

그래서 의심스러운 접속을 발견했을 때 챙겨야 할 절차는 이렇게 정리됩니다.

 

1. 민감한 대화(API 키·개인정보·회사 문서 등)가 들어 있다면 해당 대화 먼저 삭제
2. Settings → Security 에서 14자 이상 고유 비밀번호로 변경
3. 'Multi-factor authentication' 활성화해 2단계 인증 적용
4. 마지막으로 'Log out of all devices' 실행

 

순서가 살짝 헷갈릴 수 있는데, 비밀번호 변경 → 일괄 로그아웃 흐름으로 가야 공격자가 재로그인할 틈이 사라집니다. 참고로 저는 챗GPT 비밀번호를 1Password에 따로 저장해두고 6개월에 한 번씩 갱신하고 있어요.

 

 

공용 PC에서 챗GPT 쓴 뒤 챙길 습관

카페·공유 오피스·호텔 비즈니스 센터처럼 내 PC가 아닌 곳에서 챗GPT를 켰다면 두 가지는 점검해두시는 게 좋겠어요.

 

접속할 땐 시크릿 모드(인코그니토) 를 쓰고, 자리를 뜰 땐 반드시 로그아웃 후 브라우저 창까지 닫는 습관입니다. 브라우저에 저장된 쿠키 하나가 남의 손에 들어가면, 비밀번호 없이도 내 세션이 그대로 살아 있는 상태가 돼버립니다.

 

귀가 후엔 활성 세션 메뉴를 한 번 더 열어보시는 게 안전해요. 외부에서 닫은 줄 알았던 세션이 살아 있는 경우가 의외로 보이더라고요. 그 자리에서 일괄 로그아웃 한 번 눌러주면 끝납니다.

 

정리하며

활성 세션 메뉴 한 번 들어가서 정리하는 데 5분이면 충분합니다. 그런데도 22만 건 이상이 다크웹으로 흘러가는 건, 대부분의 사람이 그 5분을 안 쓰기 때문이에요.

 

결국 22만 건과 나 사이를 가르는 건 그 5분이었던 셈이지요.