2026년의 계정 탈취: credential stuffing이 계속 통하는 이유와 이를 막는 방법

계정 탈취는 대다수 플랫폼이 과소평가하는 사기 유형이다. 손실이 단일 항목으로 잡히지 않기 때문이다. 손실은 "잠긴 계정에 대한 고객 지원 티켓", "분쟁 거래로 인한 chargeback", "접근 권한을 잃고 좌절한 사용자의 이탈", "침해가 공시 대상일 때의 규제 벌금" 등에 흩어져 있다.

합산 비용은 막대하다. Javelin Strategy는 2024년 미국의 계정 탈취 손실을 110억 달러로 추산했다. 글로벌 수치는 이보다 크다. 추세는 하락이 아니라 상승이다. 크리덴셜 유출은 누적되고, 자동화 도구는 저렴해지며, 공격자의 역량이 대다수 플랫폼에서 방어자의 역량을 앞지른다.

이 글은 보호할 가치가 있는 로그인 흐름을 가진 플랫폼의 보안, 제품, 리스크 리더를 위한 것이다. 2026년의 credential stuffing이 실제로 어떤 모습인지, 대다수 플랫폼이 배치하는 방어책이 왜 충분하지 않은지, 그리고 어떤 아키텍처 패턴이 버티는지를 설명하기 위해 썼다.

현대 credential stuffing의 작동 원리

Credential stuffing은 기술적으로 정교한 공격이 아니다. 대부분의 사람이 여러 서비스에서 패스워드를 재사용한다는 사실을 이용한 경제적 착취다.

작동 원리:

1단계: 크리덴셜 수집. 다른 서비스의 데이터 유출은 수십억 개의 사용자명-패스워드 쌍을 담은 크리덴셜 덤프를 만들어 낸다. 신선한 덤프는 품질과 최신성에 따라 사설 시장에서 200~2,000달러에 팔린다. 오래된 덤프는 사실상 무료다.

2단계: 타깃팅. 공격자는 공격할 가치가 있는 플랫폼을 식별한다. 결제 플랫폼, 암호화폐 거래소, 결제 수단이 저장된 이커머스, 예치금이 있는 iGaming 운영사, 가치 있는 데이터를 가진 SaaS 등이다. 더 많은 플랫폼을 시험하는 한계 비용이 거의 0에 가깝기 때문에 타깃 목록은 넓다.

3단계: 자동화. 스크립트 또는 에이전트 기반 시스템이 크리덴셜 쌍을 로그인 엔드포인트에 대해 대규모로 시험한다. 분산 인프라에서 통상 시간당 5만~20만 회의 시도가 이뤄진다. 현대 공격자는 residential proxy 풀을 사용해 개별 시도를 일반 소비자 트래픽처럼 보이게 한다.

4단계: 성공한 로그인 필터링. 단일 플랫폼을 겨냥한 전형적인 credential stuffing 캠페인은 0.5~3%의 성공률(크리덴셜이 여전히 유효)을 낸다. 성공한 로그인은 가치별로 분류된다. 은행 계좌는 한 운영자에게, 암호화폐 지갑은 다른 운영자에게, 카드가 저장된 이커머스는 또 다른 운영자에게 넘어간다.

5단계: 수익화. 가능한 곳에서는 자금을 인출하고, 직접 추출이 불가능한 곳에서는 부정 주문을 넣으며, 복구 연락처를 변경해 통제권을 유지한다. 이 단계는 stuffing 캠페인을 실행한 운영자와 다른 운영자가 맡는 경우가 많다. 성공한 크리덴셜은 거래되는 상품이기 때문이다.

경제적 계산은 공격자에게 유리하다. 시도된 로그인당 비용은 1센트의 몇 분의 1 수준이다. 성공한 침해 하나당 비용은 한 자릿수 달러다. 침해당 평균 추출 가치는 1,200~5,000달러다. 이 단위 경제성이 산업 규모의 운영을 뒷받침한다.

2FA가 대다수 팀의 기대만큼 답이 되지 못하는 이유

Credential stuffing에 대한 직관적인 방어책은 이중 인증(2FA)이다. 크리덴셜은 유효하더라도 두 번째 요소가 없으면 공격자가 로그인할 수 없다. 이는 원칙적으로는 참이고 실제로도 부분적으로 참이다.

2026년 2FA에 대한 정직한 평가:

SMS 기반 2FA. 배치가 가장 쉬워서 가장 흔한 방식이다. 동시에 가장 약하다. SIM 스와핑 공격은 SMS 2FA를 대규모로 우회한다. 피싱 캠페인은 패스워드와 함께 2FA 코드를 수확한다. 고가치 계정의 경우, 계정당 가치가 정당화되기 때문에 공격자는 SMS 2FA를 특별히 무력화하려고 추가 노력을 투입하는 일이 잦다.

TOTP 기반 2FA. SMS보다 강하다. 사용자가 인증 앱을 설치하고 기기를 등록해야 한다. 문제는 도입률이다. 수년간 권장했음에도 일반적인 플랫폼의 TOTP 등록률은 활성 사용자의 2540%에 그친다. 나머지 6075%의 계정에는 TOTP 보호가 전혀 없다.

Push 기반 2FA. 등록된 모바일 기기에서 승인/거부 프롬프트를 띄운다. 셋 중 가장 강하다. push 프롬프트를 무력화하려면 피싱에 더 정교한 설정이 필요하기 때문이다. 도입률은 TOTP보다도 낮다. 플랫폼 전용 모바일 앱이 필요하고 등록 마찰이 더 크기 때문이다.

WebAuthn / FIDO2. 기기 생체 정보나 보안 키를 사용하는 하드웨어 기반 인증. 대부분의 공격 유형을 무력화한다. 사용자가 갖고 있지 않을 수 있는 하드웨어 역량이 필요하고 UX가 낯설어서 도입률은 극히 낮다.

패턴은 이렇다. 강력한 2FA 방식일수록 도입률이 낮다. 플랫폼이 지원하는 2FA는 일정 비율의 사용자에게만 활성화되어 있고, credential stuffing은 나머지 비율을 그대로 노린다. TOTP 도입률이 35%인 플랫폼이라면 공격자에게는 여전히 65%의 계정이 남아 있다.

2FA는 필요하다. 그러나 충분하지도 않다.

Device intelligence가 그림에 더하는 것

방어 원칙은 이렇다. 정당한 사용자는 대개 이전에 써본 기기에서 로그인한다. 같은 노트북, 같은 휴대폰, 같은 네트워크의 같은 사람 — 반복 접근의 인식 가능한 패턴이다.

Credential stuffing 공격은 정의상 이 패턴을 깬다. 공격자는 정당한 사용자의 기기에 접근할 수 없다. 성공한 크리덴셜은 저마다 정당한 사용자가 한 번도 쓴 적 없는 인프라에서 시험된다. 바로 이것이 device intelligence가 잡아내는 신호다.

아키텍처:

로그인 시도 시점: 클라이언트의 SDK가 크리덴셜과 함께 device fingerprint를 수집한다. 서버는 로그인 시도, 크리덴셜, device fingerprint를 함께 받는다.

서버 측 확인: 이 기기가 이 계정에서 이전에 관찰된 적이 있는가? 그렇다면 알려진 기기이고 정상 행동이므로 진행한다. 아니라면 알려지지 않은 기기이므로 추가 검증이 필요하다.

세 갈래 판정:

• ALLOW: 알려진 기기, 정상 패턴, 낮은 위험 → 로그인 진행
• CHALLENGE: 알려지지 않은 기기 또는 의심스러운 패턴 → 단계별 상승 검증(SMS 코드, 이메일 확인, 생체 프롬프트)
• BLOCK: 알려진 악성 device fingerprint(credential stuffing 클러스터의 일부, anti-detect 브라우저 등) → 로그인 거부

Challenge 단계는 "항상 2FA 요구" 모델을 "기기 패턴이 위험을 시사할 때만 추가 검증 요구"로 대체한다. 평소 기기를 쓰는 정당한 사용자는 마찰을 전혀 겪지 않는다. 한 번도 본 적 없는 기기에서의 의심스러운 시도는 challenge를 받는다. 악성으로 확인된 인프라는 차단된다.

False positive에 대한 계산은 중요하다. 월 100만 건의 로그인이 발생하고, 정당한 사용자의 5%가 특정 달에 새 노트북이나 휴대폰을 구매하는 플랫폼이라면 이 전환만으로도 매달 5만 건의 challenge 이벤트가 발생한다. 제대로 하면 이 challenge는 빠르고(SMS 코드, 앱 알림) 마찰이 수용 가능하다. 잘못하면(전체 재검증 강제, 지원 검토가 끝날 때까지 계정 잠금) 정당한 사용자의 마찰이 보안 이점을 압도한다.

잘 튜닝된 아키텍처는 0.5% 미만의 false positive율 — 정당한 로그인 200건당 challenge 1건 — 을 낸다. Challenge가 저마찰이고 빠르기 때문에 이는 수용 가능하다.

학습하는 공격자는 어떤가?

정교한 공격자는 device intelligence를 알고 있다. 자연스러운 대응 수는 정당한 사용자의 기기 패턴을 맞추려는 시도다. 공격자가 이를 할 수 있을까?

정직한 답은 "부분적으로"다. 일부 공격 패턴은 device intelligence에 적응한다.

패턴 1: 기기 매칭형 credential stuffing. 공격자는 같은 유출에서 얻은 기기 힌트(User-Agent, IP 지오로케이션 이력)로 크리덴셜 덤프를 보강한다. 각 크리덴셜을 정당한 사용자의 프로필과 대략 일치하는 인프라에서 시도한다. 이 적응은 실재하지만 사소하지 않다. 공격자가 항상 갖고 있지는 않은 데이터가 필요하고, 인프라를 맞추는 일은 User-Agent를 위조하는 것보다 어렵다.

패턴 2: stuffing 대신 피싱을 통한 계정 탈취. 공격자는 정당한 사용자를 통제된 환경을 통해 로그인하도록 설득해 크리덴셜과 기기 특성을 모두 수확한다. 이 공격 유형은 존재하지만 credential stuffing보다 훨씬 작은 규모로 작동한다. 피싱은 피해자당 작업인 반면 stuffing은 산업 규모다.

패턴 3: SIM 스와핑과 크리덴셜 재사용의 결합. 공격자는 전화번호를 탈취한 뒤 유출된 크리덴셜과 탈취한 전화번호를 함께 사용해 패스워드 기반 방어와 SMS 기반 2FA를 모두 무력화한다. 그래도 device intelligence는 이를 잡아낸다. 공격자의 로그인 기기가 해당 계정에는 새로운 것이기 때문이다. SIM 스와핑은 SMS 2FA를 무력화하지만 기기 기반 방어는 무력화하지 못한다.

패턴은 이렇다. Device intelligence는 불가능하게 만들지는 못해도 문턱을 크게 높인다. 위험 기반 단계 상승 인증과 결합하면 공격자는 계정당 훨씬 많은 투자를 하거나(대량 stuffing의 경제성을 무너뜨림) 특정 고가치 타깃을 찾아 집중 공격을 실행해야 한다(규모가 작아지고 조사하기 쉬워짐).

효과적인 배치는 어떤 모습인가

활성 고객 20만 명, 평균 계정 잔액 500달러의 디지털 대출업체. 배치 전: 월 230건의 계정 탈취 사고, 사고당 평균 직접 손실 1,200달러. 합계: 직접 손실만 월 27만 6,000달러, 여기에 평판 손상과 지원 부담이 더해진다.

배치된 아키텍처:

• 로그인 페이지의 SDK가 모든 시도에서 device fingerprint를 수집
• 인증 완료 전 서버 측 verify 호출
• 규칙: device fingerprint가 이 계정에서 한 번도 관찰된 적 없으면 판정은 CHALLENGE
• Challenge 메커니즘: SMS 또는 이메일 확인(등록된 것 중 하나)
• 알려진 credential stuffing 클러스터에 속한 fingerprint는 자동 차단

60일 시점 결과:

• 월 ATO 사고: 230 → 7
• 직접 손실 감소: 월 27만 6,000달러에서 월 8,000달러로
• credential stuffing 시도에 대한 차단율: 기기 검증 단계에서 99.6%
• False positive율: 0.3% — 정당한 로그인 약 350건당 1건이 CHALLENGE를 받음
• 계정 접근 문제에 대한 고객 지원 물량: 60% 감소
• 계정 침해로 인한 고객 이탈: 89% 감소

배치에는 실제 작업일 4일이 걸렸다. 백엔드 통합은 간단했다. 기존 인증 흐름은 그대로 두고, device intelligence 계층을 auth-complete 이벤트 전에 판정을 반환하는 래퍼로 추가했다.

ROI 계산: 이 규모에서 탐지 인프라 비용은 월 약 2,000달러였다. 절감액: 월 26만 8,000달러. 첫해 ROI는 134배이며, 공격률이 더 낮은 균형점에서 안정되면서 한계 수익은 감소한다.

이것이 당신의 팀에 의미하는 바

가치 있는 무언가 — 돈, 데이터, 콘텐츠, 계정 상태 — 를 보호하는 로그인 엔드포인트를 가진 플랫폼을 운영한다면, 세 가지 관찰이 있다.

관찰 1: 측정하든 안 하든 당신에게는 ATO 문제가 있다. 대다수 플랫폼은 ATO 손실을 과소평가한다. 손실이 여러 항목에 흩어져 있기 때문이다. 정직한 측정 작업은 다음을 포함한다. 잠긴 계정 지원 티켓 집계, 가능한 경우 계정 침해에 chargeback 귀속, 이탈 사유 조사, 한 번도 본 적 없는 기기 이벤트에 대한 성공 로그인 패턴 검토. 여기서 나오는 숫자는 대개 리더십이 생각하는 수치의 2~3배다.

관찰 2: 2FA만으로는 충분하지 않다. 필요하지만, 등록한 사용자 비율만 보호할 뿐이다. Credential stuffing은 미등록 비율을 노리며, 이는 대개 60% 이상이다. Device intelligence는 2FA에 등록하지 않은 사용자 — 즉 대다수 — 를 보호한다.

관찰 3: 로그인 시점의 탐지가 지렛대다. 대다수 사기 유형은 사후 조사가 필요하다. Credential stuffing을 통한 ATO는 로그인 시도 그 자체에서 탐지할 수 있다. 이 덕분에 가장 지렛대가 큰 탐지 배치 중 하나가 된다. 사후 수습이 아니라 공격이 성공하지 못하도록 예방하는 것이다.

이를 잘 처리하는 플랫폼들은 공통 패턴을 갖는다. 분기마다 실제 ATO율을 측정하고, 2FA 도입률과 무관하게 로그인 계층에 device intelligence를 배치하며, false positive율을 최적화해야 할 핵심 지표로 다룬다.

앞으로 18개월

세 가지 예측:

예측 1: 크리덴셜 덤프의 품질이 향상된다. 최근 유출은 더 풍부한 맥락(기기 특성, 행동 패턴, 네트워크 이력)을 포함해 공격자가 방어자의 기대를 더 효과적으로 맞출 수 있게 한다. 탐지의 문턱이 높아진다.

예측 2: 에이전트 기반 credential stuffing이 주류가 된다. LLM 기반 에이전트가 복구, MFA challenge 처리, 로그인 후 탐색을 포함한 전체 흐름을 처리하면서 성공한 침해 하나하나가 더 철저해진다. 탐지 과제는 사람처럼 보일 때조차 에이전트 기반 세션을 식별하는 쪽으로 이동한다.

예측 3: 2026년 말까지 device intelligence를 배치하지 않는 플랫폼은 상당한 노출에 직면한다. 더 저렴한 크리덴셜 덤프, 더 영리한 공격자, 향상되는 공격자 도구의 조합은, 2FA만으로 방어하는 플랫폼의 ATO율이 크게 오르는 동안 잘 방어된 플랫폼은 계속 낮춰간다는 것을 뜻한다.

이를 앞서갈 창은 앞으로 12~18개월이다. 지금 배치하는 플랫폼은 방어 가능한 위치를 확보한다. 기다리는 플랫폼은 더 나은 도구를 가진 공격자를 상대로 뒤쫓는 처지가 된다.

Tracio가 자리하는 지점

Tracio는 여러 활용 사례 중에서도 로그인 방어를 위해 만들어진 device intelligence다. 이 아키텍처는 credential stuffing을 안정적으로 잡아내는 신호들을 다룬다. device fingerprinting(130개 이상의 신호), 네트워크 계층 분석(TCP/TLS fingerprinting, ASN 평판), 로그인 시점의 행동 패턴(타이핑 리듬, 마우스 지터, 타이밍 특성), 고객 간 신호 공유를 통한 알려진 악성 클러스터 매칭이다.

판정 — ALLOW, CHALLENGE, BLOCK — 은 50밀리초 이내에 반환된다. 통합은 빠르다. Device intelligence 계층이 기존 인증 흐름을 백엔드 변경 없이 감싼다. 판정은 정상 진행할지, 추가 검증을 요청할지, 시도를 거부할지를 인증 시스템에 알려준다.

Polymorphic JavaScript 계층은 매일 회전하여 공격자가 정적 탐지에 대한 효과적인 회피책을 배포할 능력을 차단한다. 고객 간 신호 네트워크는 익명화된 fingerprint 데이터를 플랫폼 전반에 공유해, 여러 타깃에 걸친 credential stuffing 운영을 잡아낸다.

대다수 플랫폼의 배치 일정: 가입부터 프로덕션까지 1~3일. 무료 등급은 월 2,500회 검증을 제공하며, 이는 로그인 트래픽의 일부에서 의미 있는 파일럿을 운영하고 실제 ATO율을 측정하기에 충분하다.

당신의 실제 ATO율이 어떤 모습인지 궁금한가?

무료 체험을 시작하라 — 검증 2,500회 무료, 신용카드 불필요. Tracio의 전체 탐지 계층으로 당신의 특정 로그인 트래픽 패턴이 어떻게 보이는지 데모를 예약해 확인하라.