출처: Unsplash

최근 한 온라인 쇼핑 플랫폼에서 개인 정보 유출 사고가 발생했습니다. 다크웹 접속으로 유출된 계정 정보를 악용한 크리덴셜 스터핑 공격으로 인해 약 9만 명의 고객 정보가 무단으로 탈취된 사건인데요. 이 외에도 다양한 기업이 크리덴셜 스터핑 공격으로 고통받고 있는 상황입니다. 오늘은 이렇듯 개인 및 기업들을 공격하는 크리덴셜 스터핑의 정의와 특징, 그리고 해결 방안을 소개하겠습니다.

◼︎ 크리덴셜 스터핑이란?

1) 크리덴셜 스터핑 정의

출처 : Freepik

크리덴셜 스터핑 공격은 사이버 범죄자들이 다크웹 등에서 대량으로 구매한 유출된 사용자 계정 정보를 봇(Bot)이라는 자동화 프로그램을 통해 여러 웹사이트에 무작위로 대입하여 로그인을 시도하는 방식을 의미합니다. 이렇게 공격에 성공했다면 로그인 된 계정은 다양한 범죄에 악용되거나, 다른 범죄자에게 판매되어 추가적인 피해를 야기하죠.

2) 크리덴셜 스터핑의 특징

출처: Freepik‍

크리덴셜 스터핑 공격은 2단계 인증을 사용하지 않거나 보안 패치의 취약점을 악용하여 개인 및 기업의 네트워크, 애플리케이션 또는 서비스에 무단으로 접근한 뒤 계정을 탈취하는 과정으로 이루어지는데요. 이렇게 탈취한 계정으로 금전적 이득을 취하거나 개인 정보를 다른 범죄자에게 판매하여 이득을 취합니다. 크리덴셜 스터핑은 수 많은 IP 주소를 통해 이루어지기 때문에 일반적인 트래픽 관리 툴로는 탐지 및 차단이 어렵고, 정상적인 사용자와 공격자를 구분하기 힘들어 탐지 자체가 매우 어렵다는 특징이 있습니다.

개인정보 유출 대응 매뉴얼을 작성해야 하는 이유 6가지

◼︎ 크리덴셜 스터핑, 효과적으로 대응하려면?

1) 개인의 대응 방안 5가지

✅ 패스워드 주기적 변경

패스워드를 주기적으로 변경하면 한 시점에서 사용자의 계정이 유출되었어도 개인정보 유출의 위험이 적습니다. 사이트에서 패스워드 변경 알림이 오면 즉시 변경하여 크리덴셜 스터핑 공격을 원천적으로 무력화하는 것이 좋습니다.

✅ 사이트별 다른 패스워드 사용

사이트별로 다른 패스워드를 사용하는 것을 추천합니다. 크리덴셜 스터핑은 사용자의 계정으로 다른 사이트에 로그인을 시도하는 것으로, 만약 사이트별로 패스워드가 다르다면 유출되는 개인정보를 최소화할 수 있죠. 개인정보 유출이 심히 걱정된다면, 패스워드뿐만 아니라 ID도 변경하여 유출을 완벽 차단하는 것도 좋은 방법 중 하나입니다.

✅ 2단계 인증 활성화

2단계 인증 활성화는 온라인 계정의 보안을 강화하는 핵심적인 조치입니다. 비밀번호 외에 추가적인 인증 단계를 거침으로써, 계정 탈취 시도를 효과적으로 차단할 수 있습니다. 또한 수상한 로그인 시도나 계정 활동을 감지하는 즉시 사용자에게 알림을 보내는 기능을 사용하면 위험한 상황을 사전 방지할 수 있습니다.

✅ 로그인 정보 수동 입력

편리성 때문에 자주 사용하는 웹 브라우저 자동 로그인 기능을 사용할 때에도 주의가 필요합니다. 만약 컴퓨터를 해킹당하거나, 스마트폰을 분실했을 때 저장된 계정 정보가 유출될 위험이 있기 때문이죠. 따라서 중요한 계정 정보는 자동 로그인 기능을 사용하지 않고, 직접 입력하는 것이 안전합니다.

✅ 다크웹 접속 중단

다크웹은 익명성이 보장되는 특성상 사이버 범죄자들이 정보를 사고파는 온상으로 활용되며, 이곳에서 거래되는 정보는 크리덴셜 스터핑과 같은 2차 범죄에 악용될 수 있습니다. 따라서 개인은 다크웹 접속을 중단하고 개인정보 유출 방지에 힘써야 합니다.

2) 기업의 대응 방안 4가지

✅ 최신 보안 패치적용

OS(운영 체제)는 컴퓨터 시스템의 핵심 소프트웨어이므로, 보안 취약점이 발견되면 사이버 공격의 주요 경로가 될 수 있습니다. 따라서 기업은 모든 시스템의 OS를 최신 버전으로 유지하고, 보안 패치가 발표되는 즉시 적용해야 합니다. 또한 OS를 포함하여 범용적으로 모든 장비와 시스템의 최신 보안 패치를 적용하여 기업 데이터 자체를 보호하는 것이 중요합니다.

✅ 정보보안 컨설팅

정보보안 컨설팅은 기업의 정보 자산을 안전하게 보호하기 위해 전문적인 지식과 경험을 갖춘 컨설턴트가 기업의 정보 보안 시스템을 진단하고 개선 방안을 제시하는 서비스입니다. 기업의 보안 취약점을 분석하고, 잠재적인 위협을 평가하여 보안 관련 체계를 수립할 수 있습니다.

✅ 개인 정보 전송 시 암호화

개인정보를 전송할 때는 암호화 기술을 적용하여 데이터가 안전하게 보호되도록 해야 하며, 데이터베이스에 저장된 개인 정보 또한 암호화하여 내부 유출 위험을 최소화해야 합니다.

✅ 2차 인증 수단 활용

사용자가 로그인하지 않았던 IP에서 로그인을 시도하면 휴대폰 인증을 진행하는 등의 2차 인증 수단을 추가하는 것이 좋습니다.

◼︎ 정보보안 컨설팅은 역시, SK쉴더스!

출처 : Freepik

SK쉴더스의 정보보안 컨설팅은 취약점 점검을 통해 기업의 디지털 자산을 안전하게 보호하고 법적 규제를 완벽히 준수할 수 있도록 돕는 종합 솔루션입니다. 또한, IT 시스템의 안정적인 운영을 지속적으로 보장하고 시스템 관리자의 업무 효율성과 보안 의식 수준을 향상시켜 기업의 지속적인 성장을 지원하며, 개인정보의 안전한 취급 여부를 확인하기 위해 정보보안 컨설팅 수집부터 파기까지의 전 과정을 점검하여 문제점을 파악하고 개선 방안을 도출합니다. 크리덴셜 스터핑 공격과 같이 진화하는 해킹에 확실하게 대응하고 싶다면, SK쉴더스의 정보보안 솔루션으로 걱정을 해결해보세요!

‍

[콘텐츠 내용 출처]

전자신문, 한국인 개인정보 4억건 다크웹 떠돈다