크리덴셜 스터핑이란? 사례와 예방법

크리덴셜 스터핑은 여러 온라인 계정에 동일한 비밀번호를 사용하는 흔한 사용자 습관을 악용하는 새로운 유형의 사이버 위협입니다. 사이버 범죄자는 주로 이전 침해 사고에서 탈취한 사용자 이름과 비밀번호 조합을 이용해 여러 플랫폼과 서비스에서 대규모 로그인 시도를 자동으로 수행합니다. 이 공격은 시스템 침입에 정교한 기법을 사용하지 않는다는 점에서 다른 공격과 다르지만, 사용자 실수에서 비롯된 단순한 허점을 악용합니다. 대부분 각 계정에 고유하고 안전한 비밀번호를 설정하지 않는다는 점입니다.

그러나 이 공격은 업계를 막론하고 대다수 기업을 섬뜩하게 만들었습니다. 가장 큰 타격을 입은 곳은 고객의 민감한 정보나 금융 거래를 관리해 온 기업입니다. 자격 증명 스터핑 공격이 성공하면 어떤 기업에도 치명적인 타격을 줄 수 있습니다. 기업에 미치는 영향은 다방면에 걸쳐 있습니다: 사기나 무단 거래로 막대한 금전적 손실을 입고, 브랜드 신뢰가 무너지면서 평판에 큰 타격을 받으며, 일반 데이터 보호 규정(GDPR)이나 캘리포니아 소비자 개인정보 보호법(CCPA)과 같은 데이터 보호법에 따라 사용자 데이터를 보호하지 못하면 법적·규제상 제재를 받을 수도 있습니다. 실제로 2018년과 2019년 미국에서 공개된 침해 사고의 약 절반을 피싱과 자격 증명 스터핑이 차지했습니다.

이 글에서는 크리덴셜 스터핑의 작동 방식과 유사한 공격과의 차이점을 살펴보고, 탐지·예방·대응 방법을 자세히 알아봅니다.

크리덴셜 스터핑이란?

크리덴셜 스터핑은 공격자가 한 플랫폼에서 탈취한 사용자 이름과 비밀번호 조합을 사용해 다른 플랫폼의 계정에 무단 접근하는 공격입니다. 많은 사용자가 여러 사이트에서 동일한 로그인 정보를 재사용하므로 공격 성공 가능성이 높습니다.

공격자는 일반적으로 스크립트나 봇을 사용해 수천 개의 사이트에 수천만 건의 로그인을 시도합니다. 계정에 접근한 후에는 신원 도용이나 사기 등 추가 범죄에 악용하거나, 계정의 로그인 정보를 다크 웹에서 거래하기도 합니다.

크리덴셜 스터핑과 무차별 대입 공격의 차이

크리덴셜 스터핑과 무차별 대입 공격은 모두 사용자 계정에 무단 로그인을 시도하는 사이버 공격입니다. 언뜻 비슷해 보이지만 실행 방식에는 차이가 있습니다.

• 크리덴셜 스터핑: 크리덴셜 스터핑은 대규모 공격입니다. 공격자는 이전 데이터 침해. 이러한 로그인 정보는 대개 다크 웹에서 판매되거나 해커 포럼에서 거래됩니다. 공격자는 사용자가 다른 사이트에서도 같은 로그인 정보를 사용했기를 기대하며, 봇 같은 자동화 도구로 여러 사이트와 서비스에서 해당 정보를 시도합니다. 실제로 많은 사람이 여러 애플리케이션에서 비밀번호를 재사용합니다. 대부분의 사람은 서로 다른 애플리케이션에 같은 비밀번호를 사용하는 경향이 있어, 공격자는 별다른 노력 없이 재사용된 비밀번호로 계정에 접근할 수 있습니다. 이런 점에서 크리덴셜 스터핑은 질보다 양에 의존합니다. 취약한 비밀번호 관리 습관을 노린 피싱과 가능한 한 많은 계정에 대한 로그인 시도에 의존하기 때문입니다.
• 무차별 대입 공격: 이에 비해 무차별 대입 공격은 대상이 더 명확하고 더 많은 노력이 듭니다. 공격자는 탈취한 자격 증명에 의존하지 않습니다; 대신 올바른 비밀번호를 찾을 때까지 문자, 숫자, 기호의 다양한 조합을 시도합니다. 이 작업은 수동으로도 가능하지만, 대개 수백 가지 비밀번호 후보를 빠르게 생성하는 자동화 도구를 사용합니다. 무차별 대입 공격은 수백 개가 아닌 하나의 계정을 노리므로, 대규모 침해를 일으키는 데는 상대적으로 비효율적입니다. 또한 로그인 시도가 수없이 실패하면 공격이 조기에 탐지될 가능성이 높습니다. CAPTCHA 화면이나 계정 잠금이 공격자의 계정 침입을 막는 것과 마찬가지입니다.

크리덴셜 스터핑이 기업에 미치는 영향

크리덴셜 스터핑은 기업의 재무 안정성, 고객 신뢰, 규정 준수에 심각한 영향을 미칠 수 있습니다.

• 금전적 손실: 가장 직접적인 영향은 금전적 손실입니다. 공격이 성공하면 부정 거래, 데이터 탈취, 사기가 발생할 수 있습니다. 기업은 피해 고객 보상, 침해 조사, 보안 개선에도 상당한 비용을 지출합니다. 대규모 조직에서는 단기간에 수백만 달러의 손실이 발생할 수 있습니다.
• 평판 훼손: 크리덴셜 스터핑으로 인한 침해는 고객 신뢰를 떨어뜨립니다. 침해 소식은 빠르게 퍼지고, 고객은 기업이 개인정보를 보호할 수 있다는 믿음을 잃습니다. 고객 이탈과 브랜드 충성도 하락은 물론 신규 고객 확보에도 장기적인 영향을 미칩니다.
• 운영 중단: 운영 차질도 중요한 문제입니다. 크리덴셜 스터핑 공격이 발생하면 기업은 핵심 업무에 투입하던 자원을 사고 관리와 조사에 돌려야 합니다. 이로 인해 업무 중단과 운영비 증가가 발생하고, 피해 사용자의 문의와 문제를 처리하는 고객 지원팀의 부담도 커집니다. 보안을 강화하고 취약점을 해결하는 과정에서도 업무가 일시적으로 지연될 수 있습니다.

크리덴셜 스터핑 공격의 주요 표적

접근 가능한 데이터의 가치가 높고 공격자가 이를 쉽게 수익화할 수 있는 산업이 주요 표적이 됩니다.

이러한 공격의 대표적인 표적은 다음과 같습니다:

• 금융기관: 금융기관을 노리는 공격자에게 가장 매력적인 공격 방식 중 하나는 크리덴셜 스터핑입니다. 온라인 뱅킹 사이트, 결제 처리업체, 핀테크 서비스는 민감한 금융 정보를 보유하고 있습니다; 따라서 공격자가 이러한 대상을 노릴 유인이 매우 큽니다. 사이버 범죄자는 계정에 접근하면 자금을 훔치거나, 무단 거래를 하거나, 해당 계정을 다른 범죄자에게 팔 수 있습니다. 금융 계좌에서 자금을 직접 탈취할 수 있기 때문에 금융기관은 빈번한 공격 대상이 되며, 크리덴셜 스터핑은 대규모 금융 사기의 전조가 되는 경우가 많습니다.
• 전자상거래 사이트: 또 다른 주요 공격 대상은 온라인 쇼핑몰과 전자상거래 웹사이트입니다. 공격자는 결제 정보, 배송 정보 또는 저장된 신용카드 번호가 담긴 고객 계정에 접근하기 위해 온라인 소매업체를 노립니다. 계정을 탈취하면 무단 구매를 하거나 적립 포인트를 훔치고, 계정 정보를 변경해 사기를 이어갈 수 있습니다. 전자상거래 플랫폼에는 악용 가능한 사용자 계정이 많아 크리덴셜 스터핑 공격에 더 취약합니다.
• 소셜 미디어 플랫폼: 소셜 미디어 계정은 자주 공격 대상이 됩니다. 공격자는 소셜 미디어 계정을 침해한 뒤 개인정보를 훔치고, 해당 계정을 이용해 악성코드, 피싱 링크 또는 기타 악성 콘텐츠를 유포합니다. 계정에 접근한 공격자는 계정 소유자를 계속 사칭하며 연락처에 있는 사람들을 속여 민감한 정보를 넘기게 하거나 사기 피해를 입힐 수 있습니다. 소셜 미디어가 전 세계적으로 널리 사용되는 만큼, 자격 증명 스터핑 공격이 성공하면 심각한 피해로 이어질 수 있습니다.

크리덴셜 스터핑은 어떻게 작동하나요?

크리덴셜 스터핑은 유출된 로그인 정보가 여러 플랫폼에서 재사용된다는 점을 악용하는 조직적이고 자동화된 사이버 공격입니다. 공격자는 손쉽게 구할 수 있는 도구와 자원을 사용해 여러 단계에 걸쳐 대규모 로그인을 시도합니다.

크리덴셜 스터핑은 일반적으로 다음과 같이 진행됩니다:

1. 로그인 정보 확보:  자격 증명 스터핑 공격은 보통 도난당한 사용자 이름과 비밀번호 조합을 확보하는 것부터 시작됩니다. 이러한 로그인 자격 증명은 대개 이전의 다른 침해 사고나 피싱 공격을 통해 유출되었거나 다크넷 웹사이트에서 구매한 것입니다. 상당수는 대규모 데이터 유출로 노출되며, 때로는 수백만 개 계정의 자격 증명이 유출됩니다. 공격자는 이 목록을 이용해 사용자가 다른 곳에서도 동일한 로그인 자격 증명을 사용했을 가능성을 노립니다.
2. 자동화된 로그인 시도: 이러한 자격 증명을 확보한 해커는 방대한 웹사이트와 온라인 애플리케이션 목록을 대상으로 로그인 시도를 자동 생성합니다. 이러한 봇은 훔친 사용자 이름과 비밀번호 조합을 온라인 뱅킹 사이트, 전자상거래 웹사이트, 소셜 네트워크 사이트 등 여러 서비스에 입력해 몇 초 만에 수천 건의 로그인을 시도합니다. 자동화는 공격자가 최소한의 노력으로 짧은 시간에 여러 계정을 공격할 수 있게 하므로 크리덴셜 스터핑의 핵심입니다. 목적은 가능한 한 많은 자격 증명을 시험해 일치하는 것을 찾아내는 것입니다.
3. 로그인 성공: 탈취한 로그인 정보가 다른 플랫폼의 계정 정보와 일치하면 공격자는 해당 계정에 무단 접근합니다. 이 점이 크리덴셜 스터핑과 무차별 대입 공격의 핵심적인 차이입니다. 크리덴셜 스터핑은 유효한 로그인 정보를 사용하지만, 무차별 대입 공격은 임의의 비밀번호 조합을 시도합니다. 많은 사람이 여러 플랫폼에서 같은 비밀번호를 사용하고 대량의 로그인 정보를 시험하므로 일치하는 계정을 찾을 가능성이 비교적 높습니다.
4. 추가 악용: 공격자가 재사용된 로그인 정보로 계정에 접속하면 여러 방식으로 악용할 수 있습니다. 계정 유형에 따라 민감한 개인정보, 금융정보 또는 결제정보를 탈취할 수 있습니다. 전자상거래 플랫폼에서는 무단 구매나 이체를 실행할 수 있습니다. 또한 해커는 침해된 계정의 접근 권한을 판매하거나 피싱, 악성코드 유포, 추가 크리덴셜 스터핑 공격에 사용하기도 합니다. 유료 구독 계정을 재판매해 다른 사람이 유료 콘텐츠를 무료로 이용하게 할 수도 있습니다.

크리덴셜 스터핑 사고에 어떻게 대응하나요?

크리덴셜 스터핑 공격이 탐지되면 신속하고 단호하게 대응해 피해를 제한하고 사용자 계정을 보호해야 합니다.

효과적인 대응 방법은 다음과 같습니다:

1. 침해된 계정 잠금: 계정 침해가 확인되면 먼저 해당 계정을 잠그세요. 피해 사용자가 즉시 비밀번호를 변경하도록 안내하세요. 사용자가 본인 확인을 거쳐 비밀번호를 재설정할 때까지 계정 접근을 차단해 추가 악용을 방지하세요.
비정상 활동 모니터링: 계정 행동 및 로그인 활동의 변화를 모니터링하십시오. 로그인 시도 급증, 알 수 없는 IP 주소 접속, 의심스러운 거래 등 위험 신호를 식별하십시오. 자동화 도구를 활용하여 비정상 활동을 표시하고 취약점을 실시간으로 식별할 수 있도록 지원하십시오.
2. 비정상 활동 모니터링: 계정 사용 패턴과 로그인 활동의 변화를 모니터링하세요. 로그인 시도의 급증, 알 수 없는 IP 주소의 접근, 의심스러운 거래 등 이상 징후를 식별하세요. 자동화 도구로 비정상 활동을 표시해 취약점을 실시간으로 파악하세요.
영향을 받은 사용자 알림: 투명하게 대응하십시오. 침해된 계정의 모든 영향을 받은 사용자에게 실시간으로 연락하여 다른 곳에서 사용된 모든 비밀번호를 변경하도록 요청하십시오. 사용자에게 MFA(다단계 인증)를 활성화할 것을 권장하십시오. 이는 추가 보안 계층을 제공하여 추가 공격을 방지합니다.
3. 피해 사용자에게 알림: 상황을 투명하게 알리세요. 계정이 침해된 모든 사용자에게 실시간으로 연락해 다른 곳에서도 사용한 비밀번호를 모두 변경하도록 요청하세요. 추가 인증 계층으로 후속 공격을 막을 수 있도록 MFA 활성화도 권장하세요.
보안 강화 조치 시행: 공격 방어 체계를 강화하기 위한 추가 통제 수단을 도입하십시오. 악의적 사용자의 알려진 출처를 차단하는 IP 블랙리스트, 자동화된 봇을 차단하는 CAPTCHA 인증, 보안 모니터링 전반의 개선을 적용하십시오. 로그인 프로세스를 검토하고 대규모 자동화된 공격을 차단하기 위해 속도 제한을 적용하십시오.
4. 보안 강화 조치 구현: 공격에 대한 방어력을 높이려면 통제를 추가하세요. 알려진 악성 IP 주소를 차단하는 IP 블랙리스트, 자동화된 봇을 막는 CAPTCHA 인증, 전반적인 보안 모니터링 개선을 적용하세요. 로그인 절차를 검토하고 요청 횟수를 제한해 대규모 자동화 공격을 차단하세요.

자격 증명 스터핑 시도를 탐지하는 방법은?

자격 증명 스터핑 시도를 조기에 탐지하면 피해를 줄일 수 있습니다. 이를 위해서는 고급 기술 도구, 보안 프로토콜, 면밀한 모니터링을 함께 활용해야 합니다.

조직은 이러한 징후를 모니터링하고 적절한 보안 기술을 활용해 자격 증명 스터핑 시도를 탐지하고 대응할 수 있습니다.

이러한 공격을 탐지하는 주요 방법은 다음과 같습니다:

• 로그인 실패 급증: 자격 증명 스터핑의 가장 뚜렷한 징후는 로그인 실패 시도가 갑자기 급증하는 것입니다. 공격자는 탈취한 자격 증명으로 여러 계정에 로그인을 시도합니다. 이 중 상당수는 기존 사용자 정보와 일치하지 않거나 유효하지 않아 로그인에 반복해서 실패합니다. 자동화된 봇이 사용자 이름과 비밀번호 조합을 빠르게 대입하고 있다는 신호일 수 있으므로 특히 주의 깊게 모니터링해야 합니다.
• 비정상적인 지역별 접속 패턴: 자격 증명 스터핑 공격에서는 매우 짧은 시간에 여러 지역에서 로그인 시도가 발생하는 경우가 많습니다. 공격자는 활동을 숨기기 위해 다양한 지역이나 국가에 있는 봇을 사용할 수 있습니다. 그 결과 계정에서 익숙하지 않은 여러 지역의 로그인 기록이 나타납니다. 이러한 지역별 이상 징후가 보이는 계정을 살펴보세요.
• 봇 사용 증가: 이러한 공격에는 일반적으로 자동화된 봇 빠른 시간 안에 대량의 로그인을 연속으로 시도하도록 설계되었습니다. 이러한 공격을 탐지하려면 사람이 아닌 주체의 활동을 식별하는 것이 중요합니다. 트래픽 분석 도구는 매우 빠른 로그인 시도, 비정상적인 요청 패턴, CAPTCHA 인증을 우회하는 활동 등 봇과 유사한 행동을 식별합니다. 봇 탐지 솔루션이나 행동 분석은 비정상적인 접근 시도를 포착해 시스템 관리자가 계정이 침해되기 전에 대응 조치를 취하고 악성 활동을 차단할 충분한 시간을 확보하도록 합니다.

자격 증명 스터핑 예방을 위한 모범 사례

기업은 계정 보호를 강화하고 자격 증명 스터핑에 대한 취약성을 줄이기 위해 다양한 보안 모범 사례를 적용해야 합니다. 이러한 조치는 자동화된 로그인 시도를 차단하고, 안전한 비밀번호 사용을 장려하며, 방어 계층을 추가합니다.

자격 증명 스터핑 공격을 예방하는 모범 사례는 다음과 같습니다:

1. 다중 인증(MFA): 자격 증명 스터핑 공격에 가장 효과적인 방어 수단은 다중 인증(MFA)입니다. 다중 인증은 비밀번호 외에 추가 인증을 요구해 보호 계층을 더합니다. 휴대전화로 전송된 일회용 코드 입력, 지문 인식과 같은 생체 인증, 푸시 알림 등이 여기에 해당합니다. 공격자가 유효한 로그인 자격 증명을 확보하더라도 두 번째 인증 단계를 통과하지 못하면 계정에 접근할 수 없습니다. 따라서 사용자 계정을 침해하기가 훨씬 어려워집니다.
2. 요청 횟수 제한: 일정 시간 동안 특정 IP 주소나 사용자의 로그인 시도 횟수를 제한하는 기법입니다. 짧은 시간에 반복되는 로그인 시도를 제한하면 자격 증명 스터핑 공격의 효과를 크게 낮출 수 있습니다. 공격 속도가 느려지고 대규모 자격 증명 테스트가 번거로워지며 효율도 떨어집니다.
3. CAPTCHA 인증: 크리덴셜 스터핑 공격을 막는 가장 효과적인 방법 중 하나는 로그인 과정에 CAPTCHA 인증을 추가하는 것입니다. CAPTCHA는 사용자에게 간단한 퍼즐을 풀거나 작업을 완료하도록 요구해 사람과 봇을 구분합니다. 사람에게는 쉽지만 자동화된 시스템에는 어려운 과제입니다. 이를 통해 봇의 반복적인 계정 로그인 시도가 줄어들고 계정 변조 기회도 감소합니다. CAPTCHA는 요청 속도 제한 및 기타 봇 탐지 기술과 함께 사용할 때 더욱 효과적입니다.
4. 비밀번호 강도 정책: 크리덴셜 스터핑 기반 공격을 방지하려면 이러한 조치가 필요합니다. 조직은 사용자가 추측하거나 해독하기 어려운 복잡한 비밀번호를 만들도록 정책을 마련해야 합니다. 예를 들어 대문자와 소문자, 숫자, 특수문자를 모두 사용하도록 요구해야 합니다. 또한 기업은 사용자가 여러 계정에 같은 비밀번호를 사용하지 않도록 비밀번호를 자주 변경하도록 권장해야 합니다. 계정 침해를 최소화하는 가장 중요한 실천 방안은 사용자에게 강력하고 고유한 비밀번호를 만드는 방법을 교육하는 것입니다.
5. 모니터링 및 이상 징후 탐지: 크리덴셜 스터핑 공격에 맞서 탐지 및 대응 체계가 실시간으로 작동하는 동안 로그인 시도와 사용자 행동을 지속적으로 모니터링해야 합니다. 이상 징후 탐지 시스템은 동일한 IP 주소에서 대량으로 로그인을 시도하거나 한 계정에서 로그인을 여러 차례 실패하는 등 의심스러운 패턴을 식별하는 데도 유용합니다. 일부 조직은 의심스러운 활동에 대한 알림을 사용하고, 계정이 잠기며 일정 기간 강화된 인증 절차가 적용된다는 사실을 사용자에게 통지합니다.

자격 증명 스터핑 공격: 실제 사례

이 섹션에서는 실제 자격 증명 스터핑 공격을 살펴봅니다. 공격자가 사용한 방법, 피해자에게 미친 영향, 보안 강화에 활용할 교훈을 다룹니다. 대표적인 사례는 2020년에 대규모 자격 증명 스터핑 공격을 받은 Nintendo입니다. 이 사례는 자격 증명 재사용의 위험성과 강력한 보안 관행의 중요성을 보여줍니다.

• Nintendo: 2020년 Nintendo는 해커들이 이미 유출된 로그인 정보를 악용하고 특수한 사이버 범죄 도구로 수천 개의 사용자 계정에 무단 접근하면서, 가장 큰 피해를 초래한 크리덴셜 스터핑 공격 중 하나를 겪었습니다. 하지만 해커들이 다른 침해 사고로 공개된 사용자 이름과 비밀번호 목록을 활용하면서, 실제로 침해된 계정은 약 160,000개에 달했습니다. 많은 사용자가 Nintendo Network ID에도 동일한 로그인 정보를 사용해, 공격자들이 해당 계정에 쉽게 로그인할 수 있었습니다.
• Spotify: 2020년 Spotify는 수백만 개의 계정이 침해된 대규모 크리덴셜 스터핑 공격을 받았습니다. 해커들은 과거 데이터 유출 사고에서 노출된 사용자 이름과 비밀번호를 이용해 Spotify 사용자 계정에 무단으로 접근할 수 있었습니다. 이는 많은 사용자가 여러 서비스에서 같은 비밀번호를 재사용하는 흔한 습관을 사이버 범죄자들이 악용한 여러 크리덴셜 스터핑 공격 중 하나였습니다. 공격자들은 유출된 로그인 정보를 확보한 뒤 자동화 도구와 봇을 사용해 Spotify 계정에 대량으로 로그인을 시도했습니다. 대부분의 Spotify 사용자는 침해된 다른 서비스의 비밀번호를 재사용해 계정 탈취에 취약해졌습니다.
• Deliveroo가 직면한 문제: 또 다른 음식 배달 대기업 Deliveroo도 자격 증명 스터핑 공격을 피하지 못했습니다. 고객 계정에서 의문의 거래가 발생했고, 여러 사용자가 세계 각지에서 자신이 주문하지 않은 내역이 나타났다고 신고했습니다. 공격자들은 플랫폼이 사용자 계정 보호를 위한 다중 인증을 활성화하지 않은 점을 악용해 탈취한 자격 증명으로 여러 계정에 침입했습니다. 고객 계정이 쉽게 침해되면서 금전적 피해가 발생했고 브랜드에 대한 신뢰도 떨어졌습니다. 이번 사건은 계정 무단 접근을 막기 위해 이중 인증을 포함한 해당 채널의 보안 조치를 강화해야 할 필요성을 보여줬습니다.
• Ticketfly 침해 사고:  2018년 해커들은 크리덴셜 스터핑 공격으로 약 2,700만 개의 Ticketfly 계정 데이터에 접근했습니다. 웹사이트의 취약점을 악용해 소비자와 이벤트 주최자의 계정 수천 개에 무단으로 접근했습니다.  이 침해 사고로 사용자 이름, 이메일 주소, 해시 처리된 비밀번호를 포함한 민감한 정보가 권한이 없는 사람들에게 유출되었습니다. Ticketfly 침해 사고는 기업이 보안 조치를 정기적으로 검토하고, 취약점을 패치하며, 사용자에게 안전한 비밀번호 관리 습관을 권장해야 한다는 점을 보여줍니다.

결론

자격 증명 스터핑은 갈수록 확산되는 사이버 위협입니다. 기업은 운영, 고객 데이터, 평판을 보호하기 위해 선제적으로 대응해야 합니다. 많은 공격자가 여러 침해 사고에서 탈취한 로그인 자격 증명을 사용하면서 계정 탈취, 금전적 손실, 운영 중단 위험이 커졌습니다. 강력한 보안 관행과 제품을 도입하면 이러한 위험을 크게 줄일 수 있습니다.

자격 증명 스터핑 공격의 작동 방식과 MFA, 요청 횟수 제한, CAPTCHA 인증, 정기적인 보안 모니터링 등의 방어 조치를 이해하고 적용하면 무단 접근 위험을 줄일 수 있습니다. 적절한 기술로 이러한 조치를 뒷받침하면 기업은 사이버 범죄자보다 한발 앞서 시스템, 계정, 데이터를 보호할 수 있습니다.

"