[해외보안뉴스] 2025년 크리덴셜 스터핑의 산업화: 콤보리스트와 인포스틸러가 주도하는 기업 계정 탈취 위협
· 2026-10-12 04:00
· 조회 16
· 원문 ↗
2025년 한 해 동안 발생한 전체 데이터 침해 사고의 22%가 크리덴셜 스터핑(Credential Stuffing) 공격에서 비롯된 것으로 나타났습니다. 다크웹을 통해 유통되는 계정 정보 조합 목록인 콤보리스트(Combolist)와 사용자 정보를 몰래 수집하는 인포스틸러(Infostealer) 악성코드가 고도화된 계정 탈취(ATO) 자동화 도구와 결합하면서, 크리덴셜 스터핑은 단순한 개인 해킹을 넘어 거대한 거대 사이버 범죄 산업으로 발전했습니다.
공격자들은 인포스틸러를 통해 대량으로 확보한 로그인 자격 증명을 자동화된 도구에 주입하여 다양한 기업 서비스와 내부 네트워크에 무차별 접속을 시도하고 있습니다. 특히 많은 사용자가 여러 사이트에서 동일한 ID와 비밀번호를 재사용하는 점을 악용하여 기업의 임직원 및 고객 계정을 대규모로 탈취하고 있으며, 이는 기업 내부 시스템 침투, 민감 데이터 유출, 금융 사기 등 치명적인 2차 피해로 이어지고 있습니다.
이러한 위협에 대응하기 위해서 기업은 단순 비밀번호 기반 인증을 벗어나 다중 인증(MFA) 또는 FIDO 기반의 패스키(Passkey) 등 강력한 인증 체계를 의무화해야 합니다. 또한 로그인 연동 지점에 자동화된 봇 탐지 솔루션과 접근 속도 제한(Rate Limiting) 정책을 적용하여 무작위 대입 공격을 차단해야 하며, 유출된 계정 정보를 지속적으로 모니터링하여 노출된 비밀번호를 사용하는 계정에 대한 선제적인 초기화 조치를 취해야 합니다.
♥ 추천 0
단순한 비밀번호 규칙 강화나 주기적 변경 강제만으로는 인포스틸러와 콤보리스트 기반의 대규모 크리덴셜 스터핑을 막을 수 없습니다. 근본적으로는 인증 아키텍처 단계에서 FIDO2/WebAuthn 같은 피싱 저항성(Phishing-resistant) MFA나 Passwordless 도입을 추진해야 합니다. 당장 적용할 패치 관점에서는 로그인 API에 대한 Strict Rate Limiting, 행위 기반 이상 감지, 그리고 유출된 자격 증명(HaveIBeenPwned API 연동 등)을 실시간 검증하는 차단 로직 구현이 시급합니다.
인포스틸러로 확보된 실제 유효 계정이 자동화 ATO 도구와 결합하면서 공격자의 초기 침투(Initial Access) 가성비가 극대화되었습니다.
최근 모의침투 현장에서도 복잡한 취약점 공격보다 유출된 콤보리스트를 이용한 크리덴셜 스터핑이 기업 내부망 진입에 가장 신속하고 확실한 공격 벡터로 작동합니다.
강력한 MFA와 정교한 Bot 탐지 메커니즘이 적용되지 않은 외부 접점은 공격자에게 사실상 무제한의 진입 기회를 제공하는 셈입니다.
크리덴셜 스터핑이 전체 침해 사고의 22%를 차지한다는 것은 기존의 주기적 비밀번호 변경 정책만으로는 산업화된 계정 탈취 위협을 막을 수 없음을 보여줍니다. 조직은 즉각 조건부 액세스 기반의 MFA를 강제하고 패스워드리스(Passwordless) 환경으로의 전환을 가속화해야 합니다. 아울러 외부 유출 계정 모니터링과 단말의 인포스틸러 차단을 리스크 관리 거버넌스에 적극 반영하여 실시간 대응 체계를 강화해야 합니다.