계정 탈취(ATO) 공격, 기업이 확인해야 할 이상 징후와 방어 전략
계정 탈취 공격, 발생한 이후에야 알 수 있을까요?
온라인 서비스에서 계정 탈취(Account Takeover, ATO) 공격이 발생하면 기업은 어떤 신호를 통해 이를 알아차릴 수 있을까요?
일반적으로 로그인 보안은 아이디와 비밀번호를 검증하고, 반복적인 로그인 실패나 비정상적인 접근을 제한하는 방식으로 운영됩니다. 하지만 계정 탈취 공격은 이러한 기본적인 인증 체계만으로 충분히 방어하기 어려울 수 있습니다.
공격자는 다른 서비스에서 유출된 인증 정보를 활용하거나, 여러 IP에 로그인 시도를 분산하고, 정상 사용자와 유사한 행동으로 탐지를 회피하기도 합니다. 특히 공격자가 유효한 인증 정보를 확보한 경우에는 로그인에 성공할 가능성도 있어, 단순히 인증 실패 여부만 확인하는 방식으로는 공격을 파악하기 어렵습니다.
그렇다면 기업은 어떤 데이터를 확인하고, 어떤 기준으로 공격을 탐지해야 할까요?
계정 탈취 공격의 대응에서 중요한 것은 공격이 의심되는 행동을 조기에 발견하고, 정상 사용자의 이용을 보호하면서 공격자의 접근을 제한할 수 있는 체계를 갖추는 것입니다.
이번 글에서는 계정 탈취 공격의 주요 이상 징후부터 기업이 운영해야 할 대응 절차, 그리고 자동화된 로그인 공격을 탐지·차단하는 방법까지 살펴보겠습니다.
계정 탈취(ATO) 공격이란?
계정 탈취는 공격자가 타인의 계정에 무단으로 접근하여 실제 계정 소유자처럼 서비스의 정보와 기능을 이용하는 공격입니다.
공격자는 피싱, 악성코드, 유출된 인증 정보의 재사용, 인증 세션 탈취 등 다양한 방법으로 계정에 접근할 수 있습니다. 특히 봇과 매크로를 이용한 자동화 공격은 많은 계정을 대상으로 로그인 시도를 반복할 수 있다는 점에서 기업이 주의해야 할 공격 유형입니다.
대표적으로 다른 서비스에서 유출된 아이디와 비밀번호 조합을 대입하는 크리덴셜 스터핑(Credential Stuffing), 여러 계정에 소수의 비밀번호를 반복 적용하는 패스워드 스프레이(Password Spraying) 등이 있습니다.
이러한 공격들은 인증 절차를 통과할 수 있는 계정을 찾아내는 데 목적이 있으며, 실제 계정 탈취와 개인정보 유출로 이어질 수 있습니다.
계정 탈취는 다양한 경로를 통해 발생하기 때문에 특정 공격 기법 하나만 차단한다고 모든 위험을 해결할 수는 없습니다. 기업은 인증정보를 보호하는 것과 동시에, 비정상적인 계정 접근 시도를 탐지하고 실제 침해 가능성이 확인된 계정을 보호하는 대응 체계를 마련해야 합니다.
계정 탈취 공격이 의심되는 주요 이상징후
계정 탈취 공격은 반드시 짧은 시간에 수많은 로그인 요청을 발생시키는 형태로 나타나지는 않습니다. 공격자가 사용한 자동화 방식과 우회 전략에 따라 여러 유형의 이상징후가 나타날 수 있습니다.
따라서 기업은 특정 지표 하나만 확인하기보다 로그인 결과, 접근 대상, 요청 패턴, 접속 환경 등을 함께 분석해야 합니다.
1. 평상시와 다른 로그인 실패율 및 시도 횟수
가장 먼저 살펴볼 지표는 로그인 시도 횟수와 실패율의 변화입니다. 특정 시간대에 로그인 실패가 급격히 증가하거나, 평소보다 많은 인증 요청이 발생한다면 자동화 공격 가능성을 확인해야 합니다.
이때 전체 로그인 시도 횟수만 확인하는 것으로는 충분하지 않습니다. 예를 들어 마케팅 이벤트나 프로모션으로 정상적인 이용자가 대규모로 유입되는 상황에서도 로그인 요청이 증가할 수 있기 때문입니다.
따라서 평상시 같은 시간대의 로그인 성공·실패 비율과 비교하고, 요청이 발생한 IP와 계정의 분포 등을 함께 확인할 필요가 있습니다. 또한 공격자가 여러 IP로 요청을 분산할 경우 개별 IP의 로그인 시도 횟수는 많지 않을 수 있습니다.
이러한 공격을 탐지하려면 개별 접속자의 요청뿐 아니라 전체 로그인 트래픽에서 나타나는 변화를 함께 살펴봐야 합니다.
2. 여러 계정을 대상으로 반복되는 로그인 시도
자동화된 계정 탈취 공격에서는 짧은 시간에 다수의 계정을 대상으로 로그인 시도가 발생할 수 있습니다.
예를 들어 특정 IP나 유사한 접속 환경에서 여러 로그인 ID에 접근하거나, 여러 IP에서 동일한 계정을 반복적으로 시도하는 경우를 생각해 볼 수 있습니다. 이러한 패턴은 정상적인 사용자의 일반적인 로그인 행동과 차이가 있을 수 있습니다.
특히 여러 계정에 동일한 비밀번호를 적용하는 패스워드 스프레이 공격에서는 계정별 로그인 실패 횟수가 높지 않을 수 있습니다. 공격자는 계정 잠금이나 요청 횟수 제한을 피하기 위해 한 계정에서 여러 번 실패하는 대신 다수의 계정에 시도를 분산하기 때문입니다.
따라서 로그인 시도 횟수뿐 아니라 일정 시간 동안 접근을 시도한 계정 수와 계정별·접속 환경별 요청 분포를 함께 확인하는 것이 중요합니다.
3. 접속 환경과 행동 패턴의 비정상적인 변화
공격자는 IP 변경이나 브라우저 자동화 도구 등을 활용해 정상적인 접근처럼 위장할 수 있습니다.
하지만 자동화된 요청에서는 일반적인 사용자 행동과 다른 특성이 나타날 수 있습니다. 대표적으로 비정상적으로 짧은 요청 간격, 일정하게 반복되는 접근 순서, 유사한 브라우저 특성, 자동화 도구 사용 흔적 등이 분석 대상이 될 수 있습니다.
물론 접속 환경이 평소와 다르다는 사실만으로 공격이라고 단정해서는 안 됩니다. 정상 사용자 역시 새로운 기기나 네트워크에서 로그인할 수 있으며, 서비스에 따라 반복적인 요청이 정상적인 업무 과정에서 발생하기도 합니다.
따라서 여러 지표를 조합해 위험 수준을 판단하고, 의심스러운 접근에 대해 단계적으로 대응하는 것이 필요합니다.
4. 로그인 성공 이후 나타나는 의심스러운 행동
계정 탈취 공격을 의심할 수 있는 신호는 로그인 과정에서만 나타나는 것은 아닙니다. 공격자가 탈취한 인증정보를 이용해 로그인에 성공한 이후 특정 페이지나 API에 반복적으로 접근할 수도 있습니다.
예를 들어 이커머스 서비스에서 일부 계정이 로그인 직후 회원정보나 주문 내역을 반복적으로 조회한다고 가정해 보겠습니다. 개별 요청은 해당 계정에서 허용된 정상적인 기능을 이용하는 것처럼 보일 수 있지만, 여러 계정에서 동일한 조회 행동이 지속적으로 반복된다면 자동화된 정보 수집 가능성을 확인해야 합니다.
다만 이러한 탐지는 계정 탈취 사실을 확정하는 수단이 아니라 추가 조사가 필요한 신호입니다. 실제 계정 침해 여부는 인증 기록, 계정 소유자 확인, 데이터 접근 이력 등과 함께 판단해야 합니다.
계정 탈취 공격이 의심된다면, 기업은 어떻게 대응해야 할까요?
이상징후를 발견하는 것과 실제 보안 피해를 막는 것은 다른 문제입니다. 기업은 의심스러운 활동이 발견되었을 때 공격 범위를 확인하고, 추가 접근을 제한하며, 침해가 발생한 계정을 보호할 수 있는 대응 절차를 갖춰야 합니다.
STEP 1. 이상징후 확인과 공격 범위 분석
로그인 트래픽에서 비정상적인 변화가 발견되었다면 먼저 해당 현상이 실제 공격인지 확인해야 합니다. 이를 위해 로그인 성공·실패 기록, 시도 계정 수, 접속 IP 및 세션, 요청 시간대 등을 분석할 수 있습니다.
이 과정에서는 평상시 트래픽과의 차이를 확인하는 것이 중요합니다. 단순히 로그인 실패 건수가 증가했다는 사실보다, 어떤 계정들을 대상으로 어느 정도의 시도가 발생했고, 그중 실제 로그인 성공으로 이어진 요청이 있는지를 확인해야 하기 때문입니다.
특히 로그인 성공으로 이어진 의심스러운 접근이 있다면, 해당 계정을 우선 조사 대상으로 분류할 필요가 있습니다.
STEP 2. 자동화 공격에 대한 접근 제한
자동화된 로그인 공격이 의심된다면 추가적인 계정 침해를 막기 위해 접근을 제한해야 합니다.
이때 모든 로그인 요청을 일괄적으로 차단하면 정상적인 사용자까지 서비스 이용에 어려움을 겪을 수 있습니다. 따라서 공격의 특성과 위험 수준에 따라 대응 방법을 구분해야 합니다.
일반적인 요청은 허용하되 자동화 공격이 의심되는 요청에 추가 검증을 적용하고, 반복적으로 보안 정책을 위반하는 접근은 차단하는 방식입니다.
IP, 계정 식별자, 접속 환경, 행동 패턴 등을 함께 분석하면 단순 IP 차단보다 정교한 정책을 설계할 수 있습니다.
STEP 3. 계정 보호 및 추가 인증 적용
자동화된 공격 요청을 차단하는 것과 이미 탈취된 계정을 안전하게 복구하는 것은 구분해야 합니다.
실제 침해 가능성이 확인된 계정에 대해서는 해당 계정의 인증정보와 접근 권한을 점검하고, 필요한 보호 조치를 수행해야 합니다. 서비스의 인증 체계를 통해 비밀번호 재설정이나 추가 인증을 요구하고, 위험한 인증 세션을 무효화할 수 있습니다. 계정정보 변경이나 중요한 거래에 대해서는 재인증을 요구하는 방안도 고려할 수 있습니다.
특히 다중요소인증(MFA)과 패스키 등은 유출된 비밀번호만으로 계정에 접근하는 위험을 줄이는 데 중요한 역할을 합니다. 이러한 조치는 봇 탐지 솔루션이 아니라 서비스의 인증·인가 및 계정 관리 체계에서 담당해야 합니다.
STEP 4. 탐지 정책 점검과 지속적인 모니터링
공격 요청을 차단했다고 해서 대응이 끝나는 것은 아닙니다. 공격자는 IP나 자동화 도구, 요청 빈도 등을 변경하여 다시 접근을 시도할 수 있습니다.
따라서 공격 전후의 트래픽 변화를 비교하고, 기존 탐지 정책이 실제 공격을 어느 정도 식별했는지 확인해야 합니다.
이 과정에서는 탐지된 공격 요청 수뿐 아니라 실제 차단 결과, 추가 검증 통과 여부, 정상 사용자에게 발생한 영향 등을 함께 검토하는 것이 좋습니다.
또한 인증 시스템의 기록을 통해 의심스러운 로그인 성공이 추가로 발생했는지 확인하고, 발견된 새로운 공격 패턴을 탐지 정책에 반영해야 합니다.
계정 탈취 대응은 특정한 공격을 한 번 차단하는 작업이 아니라, 새로운 접근 패턴을 발견하고 방어 정책을 지속적으로 개선하는 운영 과정입니다.
계정 탈취 방어에서 BotManager는 어떤 역할을 할까요?
에스티씨랩의 BotManager(봇매니저)는 계정 탈취를 목적으로 하는 악성 봇과 자동화된 로그인 공격을 탐지하고 차단하는 역할을 담당합니다.
특히 정상적인 사용자 요청에 섞여 발생하는 자동화 공격을 구분하고, 위험 수준에 따라 대응 정책을 적용하는 데 활용할 수 있습니다.
다만 BotManager가 모든 유형의 계정 탈취를 방어하는 것은 아닙니다.
공격자가 자동화 도구를 사용하지 않고 탈취 계정을 직접 이용하거나, 인증정보 자체가 유출된 경우에는 별도의 인증 보안 및 사고 대응 조치가 필요합니다. 봇매니저는 인증·계정 관리 시스템을 대체하는 것이 아니라, 자동화된 공격의 탐지와 차단을 담당하는 보안 계층으로 함께 활용해야 합니다.
1. 크리덴셜 스터핑·패스워드 스프레이 전용 탐지 정책
BotManager는 로그인 인증 과정에서 발생하는 대표적인 자동화 공격인 크리덴셜 스터핑과 패스워드 스프레이에 대응하는 탐지·차단 정책을 제공합니다.
로그인 실패율, 시도 계정 수, 로그인 시도 횟수 등을 기준으로 비정상적인 로그인 요청을 식별할 수 있습니다.
이를 통해 반복적으로 여러 계정에 로그인을 시도하는 공격이나 특정 계정에 집중되는 비정상적인 인증 요청을 탐지하는 데 활용할 수 있습니다.
이러한 정책은 모든 로그인 요청을 일괄적으로 제한하기보다는, 자동화 공격의 특징에 맞춰 탐지 기준을 설정할 수 있도록 지원합니다.
2. 로그인 ID·세션 ID·IP 기반의 행동 분석
단일 IP의 요청 횟수만 확인하는 방식은 여러 IP에 요청을 분산하는 자동화 공격을 탐지하는 데 한계가 있습니다.
BotManager는 로그인 ID, 세션 ID, IP 등 식별정보를 기준으로 요청 패턴과 위험 수준을 분석할 수 있습니다.
또한 특정 식별자에서 발생한 탐지 및 차단 현황, 정책 위반 내역, 시간에 따른 요청량 변화 등을 확인할 수 있어 의심스러운 접근을 보다 구체적으로 분석하는 데 도움이 됩니다.
이는 단순히 많은 요청이 발생했는지를 확인하는 것에서 나아가, 어떤 식별자에서 어떤 행동이 반복되고 있는지 살펴보기 위한 기능입니다.
3. 탐지된 자동화 공격에 대한 정책 기반 대응
자동화 공격이 의심된다고 하더라도 모든 요청을 동일하게 처리하는 것은 적절하지 않습니다.
BotManager는 서비스에 유입되는 요청의 접속 환경과 행동 특성을 분석하고, 설정된 정책에 따라 허용, 탐지, CAPTCHA·Challenge 적용, 차단 등의 조치를 지원합니다.
자동화 가능성이 높은 로그인 요청에는 추가 검증을 적용하고, 보안 정책을 반복적으로 위반하는 악성 요청은 차단하도록 구성할 수 있습니다. 이를 통해 정상적인 사용자에게 발생하는 불필요한 영향을 줄이면서 자동화 공격을 제한하는 운영 정책을 수립할 수 있습니다.
계정 탈취 공격 방어, 탐지와 대응을 함께 설계해야 합니다
계정 탈취 공격은 유출된 인증정보를 이용하거나 정상 사용자의 접근처럼 위장하기 때문에 단순한 로그인 실패 감시만으로 충분히 방어하기 어려울 수 있습니다.
특히 자동화 도구를 이용하면 공격자는 많은 계정을 대상으로 반복적인 로그인 시도를 수행하고, 여러 IP와 접속 환경을 활용해 탐지를 회피할 수 있습니다.
따라서 기업은 로그인 실패율과 시도 계정 수, 접속 환경, 행동 패턴 등을 종합적으로 분석하고, 의심스러운 접근을 발견했을 때 신속하게 대응할 수 있어야 합니다.
여기에 실제 계정 침해 여부를 확인하고, 인증정보와 세션을 보호하며, 공격 이후 탐지 정책을 개선하는 운영 체계가 필요합니다.
에스티씨랩의 봇매니저는 이러한 계정 보호 전략에서 자동화된 로그인 공격을 탐지하고 차단하는 역할을 지원합니다.
중요한 것은 계정 탈취가 발생한 이후에만 대응하는 것이 아니라, 비정상적인 로그인 시도가 발생하는 순간부터 공격을 식별하고 피해 가능성을 줄이는 것입니다.
정상적인 사용자의 접근은 보호하면서, 악성 봇과 매크로를 통한 계정 탈취 시도는 정교하게 관리해야 합니다.
FAQ.
Q. 계정 탈취(ATO) 공격은 어떤 징후로 탐지할 수 있나요?
계정 탈취 공격은 비정상적인 로그인 실패율, 특정 시간대의 로그인 시도 급증, 여러 계정을 대상으로 반복되는 접근, 비정상적인 접속 환경과 행동 패턴 등을 통해 의심할 수 있습니다. 다만 개별 지표만으로 공격을 확정할 수 없으므로 인증 기록과 여러 접근 정보를 함께 분석해야 합니다.
Q. 로그인 실패율이 높으면 계정 탈취 공격이 발생한 것인가요?
반드시 그렇지는 않습니다. 정상 사용자의 비밀번호 입력 오류나 대규모 이벤트로 인한 트래픽 증가도 로그인 실패율에 영향을 줄 수 있습니다. 또한 유효한 인증정보를 이용한 공격은 로그인에 성공할 수 있으므로 실패율뿐 아니라 로그인 시도 계정 수, 접속 환경, 성공 이력도 함께 확인해야 합니다.
Q. 계정 탈취 공격이 의심될 때 가장 먼저 해야 할 일은 무엇인가요?
먼저 로그인 성공·실패 기록과 의심스러운 접근의 범위를 확인하고, 진행 중인 자동화 공격에 대해서는 위험 수준에 맞는 접근 제한을 적용해야 합니다. 실제 침해 가능성이 확인된 계정은 인증정보 재설정, 세션 무효화, 추가 인증 및 사용자 안내 등 별도의 계정 보호 조치가 필요합니다.
Q. CAPTCHA만으로 계정 탈취 공격을 막을 수 있나요?
CAPTCHA는 자동화된 로그인 요청을 제한하는 수단 중 하나이지만, 모든 봇을 차단하거나 계정 탈취를 완전히 예방하지는 못합니다. 공격자는 CAPTCHA를 우회하거나 정상적인 사용자 행동을 모방할 수 있으므로 행동 기반 탐지, 인증 강화 및 접근 통제 등을 함께 적용하는 것이 필요합니다.
Q. BotManager는 계정 탈취 공격에 어떻게 대응하나요?
BotManager는 로그인 실패율, 시도 계정 수, 로그인 시도 횟수 등과 접속 환경 및 행동 패턴을 분석하여 크리덴셜 스터핑, 패스워드 스프레이 등 자동화된 로그인 공격을 탐지하고 차단합니다. 또한 로그인 ID, 세션 ID, IP별 요청 패턴을 분석하고 정책에 따라 추가 검증이나 차단 조치를 적용할 수 있습니다.