[카드뉴스] 당신의 개인정보는 안전한가요? ‘크리덴셜 스터핑’

크리덴셜 스터핑(Credential Stuffing)은 기존에 다른 곳에서 유출된 아이디와 패스워드를 여러 웹사이트나 앱에 대입해 로그인이 될 경우, 개인정보나 자료를 유출하는 방법이다.

크리덴셜 스터핑이 발생하는 이유는 사용자들이 여러 사이트에 같은 크리덴셜(특히 패스워드)을 사용하고 있기 때문이다. 여러 서비스와 사이트에 걸쳐 계정을 확보한 공격자는 광범위한 사기형 범죄를 저지를 수 있게 된다. 이때 피해자는 개인이 될 수도 있지만, 기업이 될 수도 있다.

기업에서 제공되는 웹 애플리케이션에 크리덴셜 스터핑으로 로그인하는 데 성공하면, 공격자는 수백만에서 수천만에 이르는 민감 정보가 저장되어 있는 DB에 도달할 수 있다. 이 DB 데이터가 공격자에게 넘어가면, 기업은 막대한 금전적 손해와 이미지 손상을 입게 된다.

크리덴셜 스터핑 공격은 보통 자동화 기술을 수반한다. 따라서 다음과 같은 징조가 나타난다. 첫째, 제한된 시간 안에 다량의 계정이 한꺼번에 로그인 시도가 증가하는 등 트래픽에 변화가 생긴다. 둘째, 평균보다 로그인 실패 빈도수가 높아진다. 셋째, 사이트 트래픽 증가로 일순간이라도 다운타임이 생긴다.

대응방안으로는 ①봇 차단 ②다중인증 옵션 도입 ③어려운 비밀번호 설정 ④사용자 ID로 이메일 주소를 사용하지 않음 ⑤리스크 기반 인증 시스템 구축 ⑥비밀번호를 사용하지 않는 인증 시스템 사용 ⑦핑거프린팅 라이브러리를 사용해 복제할 수 없는 식별 데이터 확보 등이 있다.
[제작=서울여자대학교 정보보호학과 학생회 플레이스]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다