비밀번호 목록 공격

비밀번호 목록 공격은 공격자가 다른 사이트의 취약점을 통해 확보한 경우가 많은 ID와 비밀번호의 사전 수집 목록을 사용하여 기업이나 조직의 웹사이트에 무단으로 접근하려는 사이버 공격의 한 유형입니다. 이 방식은 "계정 목록 공격" 또는 "목록 기반 계정 해킹"이라고도 합니다.

공격자는 일반적으로 보안이 취약한 웹사이트나 시스템에서 이러한 ID와 비밀번호 목록을 입수합니다. 예를 들어 공격자가 탈취한 인증 정보를 사용해 전자상거래 계정에 접근하면 개인정보를 훔치거나 저장된 신용카드 정보를 악용할 수 있습니다. 비밀번호 목록 공격의 피해자는 무단 인출이나 사기 거래로 인해 금전적 손실을 입을 수 있습니다.

비밀번호 목록 공격의 원인

아이디 및 비밀번호 재사용: 많은 사용자가 여러 서비스에서 동일한 로그인 정보를 재사용하기 때문에 공격자가 여러 계정을 탈취하기가 더 쉬워집니다.
피싱 공격: 공격자는 사용자가 진짜처럼 보이는 가짜 웹사이트에 로그인 정보를 입력하도록 속이는 피싱 수법을 통해 인증 정보 목록을 확보할 수 있습니다.

다른 사이버 공격과의 차이점

비밀번호 목록 공격은 흔히 다음과 같은 공격 유형과 혼동됩니다:

무차별 대입 공격: 가능한 모든 조합을 시도하여 비밀번호를 체계적으로 추측하는 공격입니다.
사전 공격: 이름이나 문구 등 자주 사용되는 비밀번호 또는 단어 조합을 미리 정의된 목록에서 가져와 시도하는 공격입니다.
비밀번호 스프레이 공격: 하나의 비밀번호로 여러 계정에 동시에 로그인을 시도하여 계정 잠금 메커니즘을 우회하는 공격입니다.

비밀번호 목록 공격은 무차별 대입 공격보다 계정당 로그인 시도 횟수가 적기 때문에 탐지하기가 특히 어렵습니다.

실제 사고 사례

QR 코드 결제 시스템: 2019년 7월, 일본의 QR 코드 결제 서비스인 "7pay"는 비밀번호 목록 공격으로 추정되는 무단 액세스로 인해 금전적 피해를 입었으며, 결국 서비스가 종료되었습니다.
은행 예금: 2020년 9월, NTT 도코모의 "도코모 계정" 서비스에서 탈취된 인증 정보를 이용해 은행 계좌에서 부정 인출이 발생했습니다.

비밀번호 목록 공격의 영향

무단 인출 및 결제 사기: 도난당한 인증 정보로 인해 은행 계좌에 무단으로 접근하거나 신용카드를 부정 사용할 수 있습니다.
데이터 유출: 피해자는 민감한 개인 정보나 기업 정보가 유출되는 피해를 입을 수 있습니다.
소셜 미디어 사칭: 소셜 미디어 계정에 무단으로 접근하면 허위 게시물이나 메시지로 인해 평판이 훼손될 수 있습니다.
서비스 제공업체의 법적 책임: 기업은 미흡한 보안 조치로 인해 민사상 및 형사상 책임을 질 수 있으며, 그에 따른 피해 수습에 막대한 비용이 발생할 수 있습니다.
대중의 신뢰 상실: 보안 침해는 기업의 평판을 훼손하고 서비스에 대한 사용자의 신뢰를 떨어뜨릴 수 있습니다.

비밀번호 목록 공격 방지

개인과 조직 모두 이러한 공격을 방지하기 위한 전략을 마련해야 합니다:

인증 정보 재사용 방지: 사용자는 서비스마다 고유한 아이디와 비밀번호를 사용해야 하며, 서비스 제공업체는 이러한 보안 수칙을 사용자에게 안내해야 합니다.
WAF로 로그인 시도 모니터링: 웹 애플리케이션 방화벽(WAF)을 사용하여 동일한 IP에서 반복되는 로그인 시도나 비정상적인 위치에서의 시도 등 의심스러운 로그인 활동을 탐지하세요.
2단계 인증(2FA) 도입: 이메일로 일회용 비밀번호를 전송하는 등의 추가 인증 단계를 적용하면 자격 증명이 유출되더라도 무단 액세스를 방지하는 데 도움이 됩니다.