크리덴셜 스터핑이란? 계정 탈취 공격과 대응 방법

129억 과징금 사례로 보는 크리덴셜 스터핑이란?

최근 대규모 개인정보 유출 사고의 원인으로 ‘크리덴셜 스터핑(Credential Stuffing)’이 다시금 주목받고 있습니다.

2026년 8월, 개인정보보호위원회(이하 개인정보위)는 개인정보 보호 법규를 위반한 사업자들에게 총 129억 5,444만원의 과징금을 부과했습니다.

관련 기사)
개인정보 160여만명 유출…개인정보위, GS리테일 등 3곳에 과징금 129억… [링크]

크리덴셜 스터핑(Credential Stuffing)이란, 이미 다른 곳에서 유출된 아이디와 비밀번호 등 로그인 인증 정보를 활용해, 다른 웹사이트나 서비스에 지속적으로 접속하려고 시도하는 자동화된 사이버 공격입니다.

신원 미상의 해커가 크리덴셜 스터핑 공격을 통해 접속에 성공했고, 그 결과 최대 158만 1,025명의 개인정보가 유출된 것으로 조사되었습니다.

개인정보위는 짧은 시간 동안 동일 IP주소에서 대규모 로그인 시도가 발생했을 때, 이를 탐지하고 차단할 수 있는 대책을 마련하지 않았다는 점을 지적했습니다.

즉, 단순히 계정 정보가 유출됐다는 사실만이 아니라, 비정상적인 로그인 시도를 식별하고 대응할 수 있는 체계를 갖추는 것이 중요하다는 의미입니다.

크리덴셜 스터핑 공격의 특징

공격자가 비밀번호를 하나씩 추측해 수천 번이고 무작정 입력함으로써 계정을 탈취하는 무차별 대입 공격(Brute Force Attack)은 비교적 명확한 이상 징후를 발견할 수 있습니다.

이와 달리, 크리덴셜 스터핑은 공격자가 입력하는 ID와 비밀번호가 실제로 존재하는 정상 계정 정보일 수 있다는 점에서, 정상 사용자와 공격자를 구분하기 어렵습니다. 개별 로그인 요청만 보면 정상처럼 보여도, 여러 요청을 연결해 살펴보면 비정상적인 패턴이 나타날 수 있습니다.

이번 개인정보 유출 사례에서도 동일 IP에서 짧은 시간 동안 발생한 대규모 로그인 시도가 중요한 이상 징후로 지적되었습니다. 이 밖에도 하나의 IP에서 여러 로그인 ID가 반복적으로 사용되거나, 하나의 로그인 ID가 짧은 시간 동안 여러 IP와 세션을 통해 접근하는 등 일반적인 사용자에게서는 쉽게 나타나지 않는 행동을 살펴볼 수 있습니다.

결국 중요한 것은 ‘어떤 계정으로 로그인했는가’뿐 아니라, ‘어떤 방식으로 로그인하고 있는가’까지 함께 살펴보는 것입니다.

어떻게 탐지하고 차단해야 할까요?

단순한 공격이라면 특정 IP에서 발생하는 반복 요청을 차단하는 것만으로도 어느 정도 대응할 수 있습니다. 하지만 자동화 공격은 IP를 변경하거나, 여러 세션을 생성하고, 정상 사용자의 요청과 유사하게 속도를 조절하는 방식으로 탐지를 피할 수 있습니다.

따라서 하나의 조건만 보는 것보다 IP, Login ID, Session ID, 접속 빈도와 행동 패턴 등 여러 신호를 함께 분석하는 방식이 필요합니다. 또한, 모든 요청을 일괄적으로 차단하기보다, 다양한 행동 기준을 설정하고 여러 조건을 복합적으로 분석해 검증하는 방식이어야만 정상 사용자의 불편과 오탐을 줄일 수 있습니다.

에스티씨랩의 악성 봇, 매크로 탐지 및 관리 솔루션 봇매니저(BotManager)는 크리덴셜 스터핑과 패스워드 스프레이 등 로그인 인증 과정에서 발생하는 자동화 공격을 탐지하고 차단할 수 있습니다. 다양한 접속 환경과 행위를 기반으로 한 정책 설정을 통해 비정상적인 로그인 시도를 식별합니다.

로그인 인증 과정에서 공격 유형별 탐지 시간과 임계치를 개별 서비스 환경에 맞춰 조정하고, 봇으로 의심되는 비정상적인 요청에 대해서는 즉시 차단하거나 CAPTCHA를 통한 2차 검증을 진행할 수 있습니다.

단순히 ‘로그인을 막는 것’이 아니라, 정상적인 사용자와 자동화된 계정 탈취 시도를 구분하고, 위험한 요청에 대해서만 적절한 대응을 적용할 수 있습니다.

로그인 행동을 살펴봐야 하는 이유

크리덴셜 스터핑은 맞는 ID와 비밀번호를 가지고 들어오기 때문에 더 위험한 공격입니다. 따라서 계정 자체만 확인해서는 부족합니다. 짧은 시간 동안 반복되는 로그인, 하나의 IP에서 여러 계정으로 이어지는 접근, 하나의 계정에서 여러 IP를 통한 접속처럼 정상 사용자와 다른 행동을 얼마나 빠르게 발견하고 대응할 수 있는가가 계정 탈취 공격 방어의 중요한 기준이 될 수 있습니다.

기업이 이미 유출된 계정 정보를 모두 통제할 수는 없습니다. 하지만 그 계정 정보가 자동화된 공격에 활용돼 우리 서비스에 접근하는 순간은 탐지하고 대응할 수 있습니다.

로그인하는 주체와 행동까지 함께 살펴보고, 로그인 인증 과정에서 자동화된 계정 탈취 시도를 식별하고 관리할 수 있는 대응 체계가 필요한 이유입니다. BotManager의 계정 탈취 공격 대응 기능에 대한 자세한 내용은 아래에서 확인해 보세요.