자동로그인 편해도 잘못하면 정보 털린다

이 시간 주요기사

뉴스 > IT·인터넷

자동로그인 ‘크리덴셜스터핑’ 공격에 취약… “침해사고 시작점 될 수도”
자동로그인 비활성화 안 하면 랜섬웨어 등 금전 피해로 이어질 가능성

김기찬 기자 기자페이지 + 입력 2024-11-19 18:06:50

▲ 브라우저 자동로그인 설정이 '크리덴셜스터핑' 공격 방식에 취약한 것으로 나타나 보안 업계 관계자가 주의를 당부하고 나섰다. 게티이미지뱅크

포털사이트 등을 이용하다 보면 비밀번호를 사이트 내에 저장하겠냐는 알림창을 어렵지 않게 발견할 수 있다. 자동로그인을 설정하면 아이디와 비밀번호를 입력하지 않아도 로그인할 수 있기 때문에 편리하다 생각해 이용하게 되지만, 자칫하면 사이버 공격의 표적이 될 수 있다.

보안업계 관계자는 20일 “해킹·랜섬웨어(Ransomware) 등 사이버 공격은 ‘크리덴셜스터핑’에 의해 시작되는 경우도 빈번하다”며 “이메일이나 부주의에 의한 파일 다운로드 혹은 외부에 노출된 시스템 취약점을 통해 주로 침투하는데 여기서 얻은 정보를 다른 사이트에도 대입해 보는 것이다”고 말했다.

이 관계자는 “우리가 흔히 사용하는 포털 브라우저에서는 사용자 편의를 위해 로그인 정보를 저장하고 자동으로 로그인할 수 있는 서비스를 제공하고 있는데, 공격자가 침투했을 때 이런 자동로그인 정보도 빼놓지 않고 탈취해간다”며 “자동로그인에 저장된 정보는 대부분 변경하지 않고 그대로 로그인 버튼만 클릭해 접속하는 경우가 대부분인데 주로 사용하는 아이디와 비밀번호가 유출되면 피해는 눈덩이처럼 불어난다”고 경고했다.

크리덴셜스터핑(Credential Stuffing)은 사이버 공격 유형 중 하나로 유출된 계정 정보를 다른 곳에 무작위로 대입해보면서 더 많은 정보를 탈취하는 것을 말한다.

문제는 자동로그인의 경우 브라우저에서 사용자 정보 탈취가 가능하기 때문에 크리덴셜스터핑 공격에 쉽게 노출되고 이 경우 다른 중요한 정보를 빼앗기는 공격의 시작점이 될 수 있다는 것이다.

가령 중요 정보를 탈취한 공격자가 이 정보를 암호화하고 금전을 요구하는 경우가 되면 랜섬웨어, 탈취한 정보를 다크웹 등에 판매하면 정보 유출이 이뤄지는 것이다.

또 정보가 유출됐을 경우 해당 정보를 바탕으로 보이스피싱 등 2·3차 피해를 일으킬 수 있고, 물론 가상자산 거래소 등에 부정 로그인해 금전적 피해까지 발생할 우려도 나온다.

실제로 한국인터넷진흥원(KISA)와 과학기술정보통신부 등 최근 기관은 자동 로그인 기능을 악용한 계정 정보 탈취 범죄가 급증하고 있다며 사이트 방문 시 대규모로 사용자의 로그인 정보가 탈취될 위험이 있는 자동로그인 기능에 대한 주의를 요구하는 권고사항을 발표한 바 있다.

보안 업계 관계자는 “개인 사용자는 컴퓨터에 자동로그인 기능을 비활성화하고 사용을 자제하면서도 알기 쉬운 비밀번호를 사용하지 않고 이중 인증 등 보안 체계를 강화하는 것이 정보보호의 지름길”이라며 “서버 관리자는 관리자 계정 관리를 강화하고 주기적인 데이터 백업에 나서야 한다”고 강조했다.

김기찬 기자 gckim@skyedaily.com 기자페이지 +