최근 개인정보 유출사고가 연달아 발생 중으로, 현재까지 파악된 공격 방식 중엔 '크리덴셜 스터핑(Credential Stuffing)'이 주로 쓰이고 있다. 다크웹 등을 통해 입수한 개인정보와 같은 기밀정보(Credential)를 웹사이트에 무작위로 대입(Stuffing)하며 로그인을 시도하고, 성공할 경우 원하는 정보를 탈취하는 방식이다.
크리덴셜 스터핑을 막기 위해 2차 인증(MFA)을 사용하는 방법이 있으나 해커뿐만 아니라 일반 이용자에게도 불편함을 초래한다는 단점이 있다. 이를 개선하기 위해 이용자 측면에서의 보안이 아니라 해커의 무작위 대입 과정에서 기술적으로 대응할 수 있는 방안을 강구할 필요가 있다는 것이 시큐센 측의 설명이다.
시큐센이 공급하는 스크립터스사의 '다이나패스'는 크리덴셜 스터핑을 활용한 스크래핑 차단에 특화된 기능을 제공한다. 봇(Bot)과 일반 사용자를 구분해 스크래핑 시도 자체를 탐지 및 차단하며, 이를 우회하기 위해 브라우저 자동화 툴을 활용한 공격이나 로보틱 프로세스 자동화(RPA)를 활용한 방식도 차단한다.
시큐센 관계자는 "현재 웹 기반 서비스가 주를 이루는 만큼 크리덴셜 스터핑을 악용한 개인정보 유출 사고가 점점 늘어나고 있다"며 "'다이나패스'는 스크래핑으로 인해 무분별하게 발생하는 트래픽을 차단하고, 스크래핑 시도에 대한 이력을 관리한다. 크리덴셜 스터핑과 같은 해킹 공격에도 매우 효과적"이라고 강조했다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
