계정 탈취 자동화 공격, 크리덴셜 스터핑(Credential Stuffing)의 메커니즘 및 대응 전략

1. 보안의 가장 약한 고리, 크리덴셜 스터핑(Credential Stuffing)의 개요

• 정의: 다른 서비스에서 유출된 사용자 계정 정보(ID/PW, Credential)를 다른 웹사이트나 앱에 **무작위로 대입(Stuffing)**하여 로그인을 시도하고, 계정을 탈취하는 자동화 공격 기법.

• 배경: 사용자들이 여러 서비스에서 동일한 ID와 비밀번호를 재사용하는 심리적 취약성을 악용하며, 최근 봇(Bot) 기반의 자동화 도구를 통해 공격 규모가 급증함.

2. 크리덴셜 스터핑의 공격 메커니즘 및 무차별 대입 공격과의 비교

가. 크리덴셜 스터핑의 주요 프로세스

1. DB 유출: 보안이 취약한 사이트에서 대량의 계정 정보(ID/PW) 유출.

2. 공격 리스트 확보: 다크웹(Dark Web) 등을 통해 유출된 계정 목록 입수 및 정제.

3. 자동화 도구 활용: 봇넷(Botnet) 및 자동화 툴을 사용하여 타겟 사이트에 로그인 시도.

4. 계정 탈취 성공: 유효한 계정이 확인되면 포인트 탈취, 개인정보 판매 등 2차 피해 유발.

나. 브루트 포스(Brute Force) vs 크리덴셜 스터핑 비교

구분	브루트 포스 (무차별 대입)	크리덴셜 스터핑 (계정 대입)
공격 데이터	무작위 문자열 조합 생성	실제 유출된 유효 계정 목록
공격 효율성	성공 확률이 매우 낮음 (시간 소요)	성공 확률이 상대적으로 매우 높음
탐지 회피	동일 계정 반복 시도로 계정 잠금 발생	다양한 계정으로 1회씩 시도하여 탐지 회피
주요 타겟	특정 사용자(Admin 등)의 계정	불특정 다수의 일반 사용자 계정

3. 크리덴셜 스터핑 대응을 위한 다각적 보안 전략

가. 기술적 대응 방안

• 다중 인증 (MFA): 비밀번호 외에 OTP, 생체인증 등을 추가하여 ID/PW 유출 시에도 접근 차단 (가장 확실한 방어).

• 봇 탐지 및 차단 (WAF/Anti-Bot): 비정상적으로 빠른 로그인 시도나 헤드리스 브라우저의 접근을 탐지하여 차단.

• 로그인 시도 제한: IP당 요청 횟수 제한(Rate Limiting) 및 CAPTCHA 적용을 통해 자동화 도구 무력화.

• Credential 검증: 유출된 데이터베이스(Have I Been Pwned 등)와 대조하여 위험 비밀번호 사용 시 강제 변경 권고.

나. 관리적 대응 방안

• 패스워드 정책 강화: 주기적 변경 유도 및 사이트별 상이한 비밀번호 사용 캠페인 실시.

• 상시 모니터링: 비정상적 시간대/국가에서의 로그인 시도 및 다수의 로그인 실패 로그 분석.

4. 보안 거버넌스 관점의 향후 발전 방향

• Passwordless 인증: FIDO(Fast Identity Online), Passkey 도입을 통해 비밀번호 자체를 제거하는 환경으로 전환.

• 위협 인텔리전스 (CTI): 유출된 계정 정보를 사전에 입수하여 선제적으로 사용자의 계정을 보호하는 능동적 방어 체계 구축.

• 결언: 크리덴셜 스터핑은 기술적 결함보다는 사용자의 습관을 공략하는 공격이므로, 강력한 인증 기술(MFA) 도입과 함께 사용자 인식 개선이 병행되어야 함.