우리은행, 알툴즈 해킹한 크리덴셜 스터핑(Credential Stuffing)
크리덴셜 스터핑(Credential Stuffing)
이미 확보한 로그인 정보(크리덴셜)를 다른 계정에 무차별 대입하는 Brute Force 공격이다. 여러 사이트에 동일한 혹은 이전에 사용했던 크리덴셜을 사용하는 사람이 많다는 점을 이용하는 것이다.크리덴셜 스터핑에 의해 피해가 발생했을 때, 책임 소재에 대한 문제가 발생한다.
암호는 계정마다 다르게 사용해야 한다는 것은 암호 관리의 기본이므로, 일단은 이용자의 과실이라 할 수 있다.
그러나 사이트 관리상의 과실도 함께 작용한다. 소수의 IP에서 다량의 로그인 시도가 행해지는 이상 행동은 탐지해야 마땅하다. 또한 캡챠(Captcha)나 2단계 인증 같은 방어 수단이 있으므로, 사이트에 요구되는 보안 수준에 따라 이런 방어 수단 구비 여부가 주의의무 위반 여부를 판단하는 데 고려될 수 있다.
우리은행 해킹(2018년)
6월 23~27일 동안 우리은행 인터넷뱅킹에 대해 3개의 IP를 통해 85만 회의 로그인 시도가 있었고, 그 중 5만6천여 건이 성공했다. 다른 은행에서 유출된 로그인 정보를 이용한 것으로 추정되고 있다.이체 등 금융거래를 위해서는 추가 인증이 필요하므로 직접적인 피해는 없을 것이다. 그러나 계좌 정보와 자산 상태 같은 중요한 개인정보가 노출됐으므로 보이스피싱 등 2차적인 피해가 우려된다.
알툴즈 해킹(2017년)
해커가 2월~9월 무려 7개월에 걸쳐 다른 곳에서 탈취한 크리덴셜을 이용해 알패스에 브루트 포스 공격을 가했다. 알패스는 암호를 저장, 관리하는 서비스다. 그 결과 17만여 계정과 이에 저장된 약 2천5백만 개의 암호가 유출됐다.해커는 이 개인정보를 이용해 피해자의 포털에 접속하여 주민증, 카드, 사진 등을 훔쳤고, 이를 이용해 대포폰 개통, 가상화폐 출금 등 추가 범죄를 저질렀다.
알패스는 암호 관리라는 특히 중요한 서비스임에도 불구하고 적절한 탐지 및 방어 장치를 갖추지 않은 과실이 인정되어 처벌을 받았다.
관련 자료
참고 자료
댓글
댓글 쓰기