동일한 비밀번호의 덫, '크리덴셜 스터핑' 사고와 대응 전략
- 마케팅 C&C
- 6월 23일
- 2분 분량
최근 기업과 개인을 가리지 않고 계정 탈취로 인한 보안 사고가 끊임없이 발생하고 있습니다.
많은 사용자들이 "나는 해킹당할 만한 행동을 한 적이 없는데?"라며 억울함을 호소하지만, 공격자들은 이미 우리의 사소한 습관을 교묘하게 파고들고 있습니다.
오늘 이너버스 보안 블로그에서는 최근 빈번하게 발생하는 보안 사고의 핵심 원인 중 하나인 크리덴셜 스터핑(Credential Stuffing)이 무엇인지, 그리고 기업과 개인은 어떤 관점에서 이를 방어해야 하는지 자세히 알아보겠습니다.
1. 크리덴셜 스터핑이란 무엇인가?
크리덴셜 스터핑(Credential Stuffing)은 사용자의 계정 정보(Credential)를 무작위로 다른 웹사이트나 앱에 대입(Stuffing)하여 로그인을 시도하는 사이버 공격 방식입니다.
일반적인 무차별 대입 공격(Brute Force)이 비밀번호를 무작위로 추측하여 알아내는 방식이라면,
크리덴셜 스터핑은 '이미 유출된 타 사이트의 아이디와 비밀번호 목록'을 활용한다는 점에서 큰 차이가 있습니다.
💡 공격의 메커니즘
정보 확보: 공격자는 보안이 취약한 A 사이트를 해킹하여 사용자들의 아이디와 비밀번호 데이터베이스(DB)를 확보하거나, 다크웹 등에서 유출된 계정 정보를 구매합니다.
자동화 대입: 확보한 계정 정보를 봇(Bot)이나 자동화 툴을 이용해 B, C, D 등 다른 타깃 웹사이트(포털, 금융, 쇼핑몰 등) 로그인 창에 빠른 속도로 대입합니다.
계정 탈취: 사용자가 여러 사이트에서 동일한 아이디와 비밀번호를 사용했다면, 공격자는 손쉽게 계정 접근 권한을 획득하게 됩니다.
2. 보안사고 관점: 왜 크리덴셜 스터핑이 치명적일까?
크리덴셜 스터핑이 보안사고로 직결되는 가장 큰 이유는 '비밀번호 재사용'이라는 인간의 보편적인 습관을 악용하기 때문입니다.
사용자는 수많은 웹사이트의 비밀번호를 각각 다르게 기억하기 어렵기 때문에 동일한 조합을 사용하는 경우가 많습니다.
기업 측면의 피해: 타 사이트에서 유출된 정보로 자사 서비스가 공격받더라도, 결과적으로 자사 서비스에서 개인정보 유출, 포인트 무단 사용, 결제 사기 등의 2차 사고가 발생하게 됩니다. 이는 기업의 신뢰도 하락과 막대한 금전적, 법적 책임으로 이어집니다.
탐지의 어려움: 정상적인 아이디와 비밀번호를 입력하여 로그인하는 '정상적인 인증 과정'을 거치기 때문에, 단순한 방화벽이나 기존의 보안 시스템으로는 정상 사용자와 공격자를 구분하기가 매우 까다롭습니다.
3. 크리덴셜 스터핑 공격 대응 및 예방 전략
이러한 위협으로부터 기업의 서비스와 사용자의 정보를 보호하기 위해서는 다각적인 접근이 필요합니다.
🛡️ 기업(서비스 제공자)의 방어 전략
다중 인증(MFA, Multi-Factor Authentication) 도입: 아이디와 비밀번호 외에 SMS, 이메일, 생체 인식, OTP 등 추가적인 인증 절차를 요구하여, 비밀번호가 노출되더라도 계정을 탈취할 수 없도록 방어해야 합니다.
로그인 임계치 설정 및 캡차(CAPTCHA) 적용: 짧은 시간 동안 동일 IP나 동일 계정으로 수차례 로그인 실패가 발생할 경우, 일시적으로 접근을 차단하거나 캡차 인증을 요구하여 자동화된 봇 공격을 지연시켜야 합니다.
통합 로그 관리 및 이상 행위 모니터링: 흩어져 있는 시스템, 웹 서버, 방화벽 등의 로그를 통합적으로 수집하고 분석하는 체계가 필수적입니다. 평소와 다른 국가/IP에서의 접근이나 비정상적인 로그인 패턴을 실시간으로 탐지하고 알림을 발생시킬 수 있어야 합니다.
👤 사용자의 예방 수칙
사이트별 다른 비밀번호 사용: 가장 중요하면서도 기본이 되는 수칙입니다. 주요 포털, 금융, 회사 계정 등은 반드시 각기 다른 비밀번호를 설정해야 합니다.
비밀번호 관리자(Password Manager) 활용: 복잡한 비밀번호를 기억하기 어렵다면 신뢰할 수 있는 비밀번호 관리 프로그램을 사용하는 것이 좋습니다.
주기적인 계정 활동 확인: 로그인 기록이나 기기 접속 이력을 정기적으로 확인하고, 의심스러운 정황이 있다면 즉시 비밀번호를 변경해야 합니다.
마무리하며
크리덴셜 스터핑은 특정 시스템의 기술적인 취약점을 노리는 것이 아니라, 보안의 가장 약한 고리인 '사용자 습관'을 노리는 공격입니다.
한 번 유출된 정보는 언제든 부메랑이 되어 돌아올 수 있습니다.
사용자는 스스로의 정보를 지키기 위한 올바른 비밀번호 관리 습관을 길러야 하며, 기업은 통합 로그 분석 및 강력한 인증 체계를 통해 비정상적인 접근을 선제적으로 차단할 수 있는 보안 인프라를 갖추어야 할 것입니다.