“비번 한개 돌려쓰다 줄줄이 뚫린다”…크리덴셜 스터핑 뭐길래

신한은행에서 약 2만 5000명의 고객정보가 유출된 사고를 계기로 ‘크리덴셜 스터핑’(Credential Stuffing)이 다시 주목받고 있다. 다른 곳에서 탈취한 아이디와 비밀번호를 새로운 서비스에 대입해 인증 절차를 통과하는 오래된 공격 방식이다.신한은행은 지난달 30일 대출모집인 서비스의 본인확인 절차를 우회한 외부 비인가자에 의해 고객정보가 유출된 사실을 확인했다고 밝혔다. 보안업계에서는 이번 사고에 크리덴셜 스터핑이 활용됐을 가능성을 제기하고 있다. 다만 구체적인 침입 경로와 공격 수법은 조사 중이다.크리덴셜 스터핑은 공격자가 다른 곳에서 유출되거나 탈취된 아이디와 비밀번호 조합(로그인 자격증명·Credential)을 확보해 여러 서비스의 로그인 창에 반복적으로 대입하는 공격 방식이다.박기웅 세종대 정보보호학과 교수는 크리덴셜 스터핑을 “열쇠를 복제해 해당 열쇠로 열리는 다른 문들을 열어보는 것”으로 비유했다.다른 곳에서 훔친 아이디·비밀번호로 로그인 시도크리덴셜