크리덴셜 스터핑 (Credential Stuffing)

크리덴셜 스터핑 공격은 사이버 보안 영역에서 만연하고 우려되는 위협이 되었습니다. 기술이 발전함에 따라 악의적인 행위자가 사용자 계정과 민감한 정보를 손상시키기 위해 사용하는 기술도 발전하고 있습니다. 크리덴셜 스터핑은 사용자가 여러 온라인 플랫폼에서 비밀번호를 재사용하는 일반적인 관행을 악용하는 일종의 사이버 공격입니다. 이 기사에서는 점점 커지는 보안 문제에 대한 포괄적인 이해를 제공하기 위해 크리덴셜 스터핑 공격의 배경, 장점, 단점, 특성을 자세히 살펴보겠습니다.

Pixabay로부터 입수된 Robinraj Premchand님의 이미지 입니다.

크리덴셜 스터핑 공격의 배경

크리덴셜 스터핑 공격은 다양한 온라인 서비스에서 동일한 사용자 이름과 비밀번호 조합을 사용하는 사용자의 광범위한 습관을 악용합니다. 이 보안 취약점은 보안보다 편의성을 우선시하는 인간의 경향에서 발생하며, 이로 인해 개인은 다양한 로그인 세부 정보를 기억하는 번거로움을 피하기 위해 여러 플랫폼에서 친숙한 자격 증명을 사용하게 됩니다. 사이버 범죄자는 이전 데이터 유출로 인해 도난당한 사용자 이름-비밀번호 쌍 목록을 획득하고 이를 다양한 웹사이트 및 애플리케이션에서 테스트함으로써 이러한 행동을 이용합니다. 자동화된 도구를 사용하면 다양한 플랫폼에서 이러한 자격 증명을 신속하게 테스트할 수 있으므로 공격자가 사용자 계정에 무단으로 액세스할 수 있습니다.

 

크리덴셜 스터핑 공격의 장점

크리덴셜 스터핑 공격의 주요 장점 중 하나는 효율성입니다. 사이버 범죄자는 여러 웹사이트와 플랫폼에서 훔친 자격 증명을 테스트하는 프로세스를 자동화하여 유효한 로그인 조합을 신속하게 식별할 수 있습니다. 이러한 효율성 덕분에 크리덴셜 스터핑은 상대적으로 짧은 기간에 많은 수의 계정을 손상시키려는 공격자가 선호하는 방법입니다.

 

크리덴셜 스터핑 공격은 사이버 범죄자가 실행하기에는 상대적으로 저렴합니다. 자동화된 자격 증명 테스트에 필요한 도구는 다크 웹에서 널리 사용 가능하며 도난당한 사용자 이름-비밀번호 쌍을 획득하는 데 드는 비용은 다른 정교한 공격 방법에 비해 낮은 경우가 많습니다. 이러한 낮은 진입 장벽으로 인해 크리덴셜 스터핑은 다양한 위협 행위자에게 매력적인 옵션이 되었습니다.

 

대부분의 경우 사용자는 무단 액세스가 발생하거나 의심스러운 활동이 감지될 때까지 자신의 자격 증명이 손상되었다는 사실을 인식하지 못합니다. 이러한 즉각적인 인식 부족은 공격자에게 신원 도용이나 금융 사기와 같은 다양한 악의적인 목적으로 손상된 계정을 악용할 수 있는 기회를 제공합니다.

 

크리덴셜 스터핑 공격 사례

크리덴셜 스터핑 공격이 실제로 미치는 영향을 설명하기 위해 2019년 Dunkin' Donuts 사례를 살펴보겠습니다. Dunkin' Donuts의 모회사인 Dunkin' Brands는 공격자가 DD Perks 로열티 프로그램 계정에 무단으로 액세스하는 크리덴셜 스터핑 공격의 희생양이 되었습니다. 공격자들은 자동화된 도구를 사용하여 Dunkin' Donuts 웹사이트의 이전 침해에서 얻은 훔친 사용자 이름-비밀번호 쌍을 테스트했습니다. 성공적인 로그인이 확인되면 공격자는 Dunkin' Donuts 기프트 카드 형태로 저장된 가치가 포함된 고객의 DD Perks 계정에 대한 액세스 권한을 얻었습니다.

 

이 공격으로 인해 Dunkin' Brands와 영향을 받은 고객 모두에게 재정적 손실이 발생했습니다. Dunkin' Donuts는 보안 위반을 해결하고, 추가 보안 조치를 구현하고, 사기 거래에 대해 고객에게 보상해야 했습니다. 이 사건은 크리덴셜 스터핑 공격의 실제 결과와 사용자 계정 및 민감한 정보를 보호하기 위한 강력한 보안 조치의 중요성을 강조했습니다.

 

크리덴셜 스터핑 공격 특성

자동화된 도구

크리덴셜 스터핑 공격은 사이버 범죄자가 다양한 온라인 플랫폼에서 대량의 사용자 이름-비밀번호 쌍 세트를 신속하게 테스트할 수 있게 해주는 자동화된 도구에 크게 의존합니다. 이러한 도구는 합법적인 사용자 상호 작용을 에뮬레이션하도록 설계되어 보안 시스템이 실제 사용자와 공격자를 구별하기 어렵게 만듭니다.

 

계정 탈취(ATO)

크리덴셜 스터핑 공격의 주요 목표는 계정 탈취(ATO)를 달성하는 것입니다. 공격자가 사용자 계정에 성공적으로 액세스하면 무단 거래, 신원 도용, 스팸 또는 피싱 캠페인 확산을 비롯한 다양한 악의적인 목적으로 손상된 자격 증명을 이용할 수 있습니다.

 

자격 증명 목록

공격자는 이전 데이터 유출에서 도난당한 사용자 이름-비밀번호 쌍 목록을 획득하며, 이는 자격 증명 스터핑 공격의 기반이 됩니다. 이러한 목록은 종종 다크 웹에서 거래되거나 판매되어 그러한 공격의 지속성을 촉진하는 도난당한 자격 증명에 대한 번성하는 시장을 만듭니다.

 

글로벌 영향

크리덴셜 스터핑 공격은 전 세계적으로 영향을 미치며 지리적 경계를 넘어 사용자와 조직에 영향을 미칩니다. 인터넷의 상호 연결된 특성은 한 지역의 손상된 자격 증명이 다른 곳에 있는 플랫폼의 계정을 표적으로 삼는 데 사용될 수 있음을 의미합니다. 이러한 전 세계적인 영향력으로 인해 크리덴셜 스터핑 공격의 규모와 심각도가 증폭됩니다.

 

지속적인 진화

사이버 범죄자는 조직에서 구현한 보안 조치를 우회하기 위해 전술을 지속적으로 조정하고 발전시킵니다. 보안 기술이 향상됨에 따라 공격자는 탐지 메커니즘을 극복하기 위해 자동화된 도구와 기술을 강화합니다. 이러한 끊임없는 발전으로 인해 크리덴셜 스터핑은 사이버 보안 전문가에게 지속적이고 어려운 위협이 되었습니다.

 

크리덴셜 스터핑 공격은 온라인 계정과 민감한 정보의 보안에 심각한 위협이 됩니다. 효율성, 저렴한 비용, 재사용된 자격 증명의 광범위한 보급으로 인해 이 공격 벡터는 사이버 범죄자에게 매력적입니다. Dunkin' Donuts 사례는 크리덴셜 스터핑 공격으로 인해 조직과 사용자가 직면할 수 있는 재정적, 평판적 결과를 보여주는 실제 사례입니다.

 

크리덴셜 스터핑과 관련된 위험을 완화하기 위해 조직은 다단계 인증, 의심스러운 활동 모니터링, 사용자를 위한 정기적인 비밀번호 위생 교육 등 강력한 보안 조치를 구현해야 합니다. 또한 사용자는 크리덴셜 스터핑 공격의 영향을 줄이기 위해 각 온라인 플랫폼에 고유하고 강력한 비밀번호를 사용하는 데 주의해야 합니다. 기술이 계속 발전함에 따라 사이버 보안 환경은 크리덴셜 스터핑과 같이 진화하는 위협에 앞서 나갈 수 있도록 적응해야 합니다.