크리덴셜 스터핑(Credential Stuffing)
포스팅 뷰1099
크리덴셜 스터핑(Credential Stuffing)이란 무엇일까요?
- 정의 — 어디선가 유출된 계정 정보를 여러 사이트에 자동으로 대입해 로그인을 뚫는 공격입니다.
- 핵심 위험 — 비밀번호 재사용이 원인으로, 한 곳이 털리면 같은 비번을 쓰는 다른 사이트까지 연쇄로 뚫립니다.
- 대응 — 사이트마다 다른 비밀번호, 2단계 인증(MFA), 유출 여부 점검이 핵심입니다.
크리덴셜 스터핑이란 유출된 계정 목록을 자동 대입해 로그인을 탈취하는 공격을 말합니다.
크리덴셜 스터핑이란?
크리덴셜 스터핑(Credential Stuffing)은 해킹·유출로 확보한 아이디·비밀번호 목록을 여러 웹사이트에 자동으로 대입해, 맞는 계정을 찾아 로그인을 탈취하는 공격입니다. '크리덴셜(자격 증명)'을 '쑤셔 넣는다(stuffing)'는 뜻입니다.
근본 원인은 비밀번호 재사용입니다. 사용자가 여러 사이트에 같은 비밀번호를 쓰면, 한 곳에서 유출된 계정이 다른 사이트에서도 그대로 통합니다. 공격자는 자동화 봇으로 수백만 건을 빠르게 시도해 일부를 뚫습니다.
크리덴셜 스터핑의 동작 방식
유출 계정과 자동화 봇이 결합해 빠르게 진행됩니다.
- 계정 확보 — 유출 사고·다크웹 거래로 계정 목록을 손에 넣습니다.
- 자동 대입 — 봇으로 여러 사이트에 대량·고속으로 로그인을 시도합니다.
- 재사용 계정 뚫림 — 같은 비밀번호를 쓰던 사이트의 로그인이 성공합니다.
- 계정 도용 — 부정 결제, 포인트 탈취, 추가 정보 유출로 이어집니다.
기술형 보안 위협 비교
크리덴셜 스터핑은 유출 계정과 자동화를 결합한 공격입니다. 대표 유형을 비교하면 다음과 같습니다.
| 구분 | SQL 인젝션 | 웹 셸 | 크리덴셜 스터핑 | 키로깅 |
|---|---|---|---|---|
| 공격 지점 | 웹 입력창·DB | 웹 서버 | 로그인 시스템 | 사용자 키보드 |
| 수법 | 악성 SQL 주입 | 악성 스크립트로 원격 제어 | 유출 계정 자동 대입 | 키 입력 기록 탈취 |
| 핵심 위험 | DB 정보 유출·조작 | 서버 장악 | 계정 도용 | 비밀번호·정보 유출 |
| 주요 방어 | 입력값 검증·파라미터화 | 업로드 검증·권한 제한 | 비번 재사용 금지·MFA | 백신·MFA·가상키보드 |
크리덴셜 스터핑 예방·대응 방안
개인 이용자
- 비밀번호 재사용 금지 — 사이트마다 다른 비밀번호를 쓰는 것이 가장 효과적입니다.
- 2단계 인증(MFA) — 비번이 유출돼도 추가 인증으로 로그인을 막습니다.
- 유출 여부 점검 — 내 계정의 유출 여부를 확인하고 즉시 비번을 바꿉니다.
기업·기관
- 봇·이상 로그인 탐지 — 대량 로그인 시도와 비정상 접속을 차단합니다.
- MFA·CAPTCHA 적용 — 자동화 공격을 어렵게 만듭니다.
- 유출 계정 모니터링 — 자사 계정의 다크웹 노출을 상시 감시합니다.
오피스키퍼는 PC·문서 사용 이력 관리와 정보 유출 방지(DLP)로, 계정 탈취가 기업 내부 정보 유출로 번지는 것을 막는 데 도움을 줍니다.
자주 묻는 질문
Q. 크리덴셜 스터핑과 무차별 대입(브루트포스)은 다른가요?
A. 다릅니다. 브루트포스는 비밀번호를 무작위로 찍어 맞히지만, 크리덴셜 스터핑은 '이미 유출된 진짜 계정'을 그대로 대입합니다. 비번 재사용을 노린다는 점에서 성공률이 더 높습니다.
Q. 가장 효과적인 예방법은 무엇인가요?
A. 사이트마다 다른 비밀번호를 쓰고 2단계 인증을 켜는 것입니다. 이 두 가지만 지켜도 한 곳이 유출돼도 다른 계정으로 번지는 연쇄 피해를 거의 막을 수 있습니다.
Q. 내 계정이 유출됐는지 어떻게 아나요?
A. 이메일·계정의 유출 여부를 알려주는 점검 서비스나 다크웹 모니터링을 활용할 수 있습니다. 유출이 확인되면 해당 계정과 같은 비번을 쓰는 모든 계정의 비밀번호를 즉시 변경하세요.
Q. 비밀번호 관리가 너무 번거로워요.
A. 비밀번호 관리자(패스워드 매니저)를 쓰면 사이트마다 강력하고 서로 다른 비밀번호를 자동으로 만들고 보관할 수 있어 편리하고 안전합니다.
Q. 기업은 어떻게 대응하나요?
A. 대량 로그인 시도를 탐지·차단하고, MFA·CAPTCHA로 자동화를 막으며, 자사 계정의 다크웹 노출을 모니터링하고, 내부 정보 유출 방지로 계정 탈취의 2차 피해를 줄여야 합니다.