“비번 한개 돌려쓰다 줄줄이 뚫린다”…크리덴셜 스터핑 뭐길래

유출된 계정정보 다른 서비스에 반복 대입…AI로 공격 자동화 우려 이상 로그인 탐지·차단 중요…의심 접속 시 추가 인증도 대응책 신한은행에서 약 2만 5000명의 개인(신용) 정보가 유출되는 사고가 발생한 것으로 알려진 1일 서울 중구 신한은행 본사 모습. 금융감독원은 신한은행으로부터 정보 유출 사실을 보고받은 직후인 지난달 30일부터 현장조사를 진행하고 있다. 2026.10.1 ⓒ 뉴스1 ⓒ 뉴스1 신한은행에서 약 2만 5000명의 고객정보가 유출된 사고를 계기로 ‘크리덴셜 스터핑’(Credential Stuffing)이 다시 주목받고 있다. 다른 곳에서 탈취한 아이디와 비밀번호를 새로운 서비스에 대입해 인증 절차를 통과하는 오래된 공격 방식이다.신한은행은 지난달 30일 대출모집인 서비스의 본인확인 절차를 우회한 외부 비인가자에 의해 고객정보가 유출된 사실을 확인했다고 밝혔다. 보안업계에서는 이번 사고에 크리덴셜 스터핑이 활용됐을 가능성을 제기하고 있다. 다만 구체적인 침입 경로와 공격 수법은 조사 중이다.크리덴셜 스터핑은 공격자가 다른 곳에서 유출되거나 탈취된 아이디와 비밀번호 조합(로그인 자격증명·Credential)을 확보해 여러 서비스의 로그인 창에 반복적으로 대입하는 공격 방식이다.박기웅 세종대 정보보호학과 교수는 크리덴셜 스터핑을 “열쇠를 복제해 해당 열쇠로 열리는 다른 문들을 열어보는 것”으로 비유했다.다른 곳에서 훔친 아이디·비밀번호로 로그인 시도크리덴셜 스터핑은 사용자들이 동일한 아이디와 비밀번호를 여러 사이트에서 재사용한다는 점을 노린다. 한 서비스에서 확보한 계정정보가 다른 서비스에서도 통한다면 공격자는 해당 서비스의 정상적인 로그인 절차를 거쳐 계정에 접근할 수 있다.새로운 공격 방법은 아니다. 지난 2017년 소프트웨어 업체 이스트소프트의 아이디·비밀번호 통합관리 시스템 ‘알패스’에 해커가 크리덴셜 스터핑 방식으로 침입해 16만 명의 정보가 유출된 바 있다.최근에도 크리덴셜 스터핑으로 인한 피해가 반복되고 있다. GS리테일은 크리덴셜 스터핑으로 인한 개인정보 유출 사고로 지난 8월 개인정보보호위원회로부터 120억 원대의 과징금을 부과받았다. 지난 1월에도 같은 방식의 공격을 받은 티머니가 과징금 처분을 받은 바 있다.그렇다면 ‘열쇠’가 될 계정정보를 어디서 구할까. 공격자는 기존 개인정보 유출 사고로 외부에 공개됐거나 불법 거래되는 계정정보를 확보한다. 피싱이나 악성코드 등을 통해 직접...