크리덴셜 스터핑(credential stuffing)이란?

월요일 오후, 낭낭하던 업무를 뒤로하고 웹 서칭을 하던중

GS리테일 해킹 뉴스를 봤는데, 해킹 수법이 크리덴셜 스터핑이라고 처음 듣는 단어라 궁금해서 찾아봄.

 

손가락포스터 사건이 잊혀질만 했는데;;

 

크리덴셜 스터핑이란?

사용자 계정을 탈취해 공격하는 유형 중 하나로, 다른 곳에서 유출된 아이디와 비밀번호 등의 로그인 정보를 다른 웹사이트나 앱에 무작위로 대입해 로그인이 이뤄지면 타인의 정보를 유출시키는 수법

 

 

https://www.inews24.com/view/1801043

"또 개인정보 유출사고"⋯GS리테일 고객 9만명분

 

 

 

크리덴셜 스터핑 사례

A사의 ‘A패스’ 서비스는 인터넷 이용자들의 이른바 ‘패스워드 기억 스트레스’를 덜어주기 위한 인터넷 익스플로러 확장 프로그램이었다. 이용자가 방문한 웹사이트에서 입력한 ID·PW를 A사 서버에 기억시켜 두었다가 해당 사이트 재방문 시 로그인 페이지에 자동으로 ID·PW 값을 넣어주는 방식.

 

2017년도 약 7개월간 A패스는 크리덴셜 스터핑 공격을 당했다. 해커는 다른 제3의 사이트에서 이미 탈취되어 다크웹을 떠도는 대량의 ID·PW 데이터베이스(이를 ‘Leaked DB’라 한다)를 입수한 후 이를 A패스 로그인을 위해 자동 입력했고, 그 결과 A패스 계정 16만여 건이 공교롭게도 Leaked DB에 포함된 것과 같은 ID·PW를 쓰고 있어 해커에 의해 로그인이 뚫렸고, 뚫린 A패스 계정들에 기억된 250만여 건의 타 사이트 ID·PW 정보가 탈취되었으며, 그중에는 암호화폐 거래소의 계정정보도 있어 비트코인이 절취되는 등 2차 피해가 발생했다.

 

결론적으로 동일한 ID와 비밀번호를 쓰는 사람들이 많기 때문에 이를 이용한 해킹 방법이라는 것...

 

https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do;jsessionid=e5ycSLSu9pXU2vnQdjIb4rEt.pips_home_jboss11?bbsId=BS292&mCode=C050010000&nttId=10519

개인정보보호위원회

 

 

 

 

해킹 예방 방법은?

이 크리덴셜 스터핑 해킹 방법을 예방하기 위해서는

비밀번호를 복잡하게 만들고, 각 사이트마다 아이디와 비밀번호를 다르게 사용하며

주기적으로 비밀번호를 바꿔야 한다고 함~

 

https://en.wikipedia.org/wiki/Credential_stuffing

Credential stuffing - Wikipedia

 

근데... 해킹 막으려고 마구마구 비번 바꿨다가 

1년쯤 뒤에 가장 많이 사용하는 웹 서비스는

비밀번호 찾기가 되지않을까 싶긴함...;;