유통·쇼핑몰·금융 등 '속수무책'
소비자 보안습관 악용 해킹 확산
정책·제도적 대응 필요성 대두
소비자 보안습관 악용 해킹 확산
정책·제도적 대응 필요성 대두
크리덴셜 스터핑 수법으로 인해 개인정보 유출 사고가 잇따르고 있다. 동일한 비밀번호를 여러 사이트에서 사용하는 소비자의 보안 습관을 악용한 해킹 수법으로 대형 유통사부터 중소 쇼핑몰, 스타트업, 금융 플랫폼까지 가리지 않고 피해가 확산 중이다.
IP 우회나 지연 공격 등으로 수법도 고도화되면서 완전한 차단은 사실상 어려운 상황이다. 공격을 감지하더라도 실시간 대응이 쉽지 않아 기업 입장에선 속수무책으로 당할 수밖에 없다는 지적도 나온다.
IT업계에 따르면 티머니는 최근 발생한 개인정보 유출 사고와 관련해 지난 12일 자사 카드 웹사이트에 안내문을 게시하고 한국인터넷진흥원(KISA) 등 관계기관에 신고를 완료했다. 티머니는 "해커는 무단 로그인 시도 과정에서 일부 고객의 이름과 이메일을 탈취한 것으로 추정되며, 과거 주소나 휴대전화 번호를 입력한 이력이 있는 고객의 경우 해당 정보도 유출됐을 가능성이 있다"며 "이번 해킹에 사용된 방식은 크리덴셜 스터핑"이라 밝혔다.
크리덴셜 스터핑은 해커가 이전에 유출된 아이디(ID)와 비밀번호 조합을 활용해 여러 웹사이트에 무작위로 로그인 시도를 하는 해킹 수법이다. 여러 사이트에서 동일한 비밀번호를 사용하는 이용자가 많아 적은 양의 계정 정보만으로도 수천 건의 개인정보를 탈취할 수 있다.
평균 성공률은 1% 미만이지만 수천만 건의 계정 정보를 자동으로 대입해 시도할 경우 수만 건의 개인정보가 순식간에 탈취될 수 있고, 일단 로그인에 성공하면 추가적인 시스템 침투 없이도 민감한 정보에 접근할 수 있다. 때문에 해커들 사이에서 가장 널리 사용되는 공격 방식으로 꼽힌다. 이렇게 탈취된 계정은 다크웹 등에 판매되거나 스팸·사기 등 2차 피해로 이어질 가능성이 높다.
GS리테일, KT알파, 클래스유, SK스토아, 유명 증권사 등 다양한 기업들이 크리덴셜 스터핑에 당했다. 티머니 외에 가장 최근 피해를 본 기업은 GS리테일로, 올해 초 고객 9만여명의 개인정보가 유출됐다. 최근엔 공격 수법도 더욱 정교해지고 있다. 해커들은 프록시 서버를 활용해 IP를 계속 바꾸며 로그인 시도를 반복하고, '슬로우 스프레이'처럼 하루에 한두 번만 로그인 시도를 하는 방식으로 보안 시스템의 감지를 피해 간다.
보안 업계 관계자는 "최근에는 봇과 같은 자동화된 도구가 발달하면서 크리덴셜 스터핑 수법이 더 정교해지고 탐지도 어려워지고 있다"며 "사이버 공격 자체가 지능화되면서 예상치 못한 사각지대가 생기고 있으므로, 단순한 기술 방어만으로는 한계가 있고 보안 정책과 소비자 교육 및 제도적 대응이 병행돼야 한다"고 강조했다.
실제로 크리덴셜 스터핑이 더욱 기승을 부리는 데에는 사용자들의 보안 의식 부재도 있다. 여러 사이트에 동일한 비밀번호를 돌려 쓰는 경우가 많고, 기억하기 어렵다는 이유로 쉽게 예측 가능한 조합을 사용하는 경우도 적지 않다. 대·소문자와 숫자, 특수문자 혼용 등 복잡한 규칙과 잦은 비밀번호 변경은 오히려 사용자가 분실을 우려하게 되기도 한다.
유출된 개인정보는 스미싱을 비롯한 각종 피싱에 활용돼 추가 피해를 유발할 수 있다. 보안 전문가들은 크리덴셜 스터핑을 막기 위해선 △다중 인증(MFA) △캡차(CAPTCHA) 적용 △로그인 시도 횟수 제한 △AI 기반 이상 로그인 탐지 시스템 구축 등이 필요하다고 조언한다.
그러나 현실적으로는 이런 대응책조차 쉽게 적용되기 어려운 환경이라는 지적도 있다. 기업 입장에서는 로그인 시도를 일정 횟수 이상 차단할 경우 정상 사용자까지 불편을 겪게 되고, 과도한 인증은 이탈률 증가로 이어질 수 있다. 중소기업은 기술 인력과 보안 솔루션 구축 비용에 대한 부담이 크다. 때문에 보안 대응이 취약한 중소 쇼핑몰이나 스타트업 플랫폼이 해커들의 주된 표적이 되고 있는 것이다.
이성엽 고려대 정보보호대학원 교수는 "크리덴셜 스터핑은 기존의 해킹처럼 시스템 내부의 허점을 노리는 방식이 아니기 때문에, 기업이 아무리 시스템을 잘 갖춰도 외부에서 발생한 계정 정보 유출이 원인이 될 수 있다"며 "정부와 기업이 다중 인증과 로그인 패턴 분석 등 선제적인 기술 대응을 강화하고, 재사용된 계정을 탐지해 차단하는 체계를 마련하는 것이 중요하다"고 강조했다.
이어 "해외 플랫폼과 경쟁해야 하는 국내 기업 입장에선 인증 절차가 과도하면 소비자가 이탈할 수 있어 고민이 많다"며 "보안은 결국 창과 방패의 대결이다. 과징금 같은 징벌적 조치만 부여할 게 아니라 정부 차원에서 현실적인 가이드라인을 마련할 필요가 있다"고 덧붙였다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
