크리덴셜 스터핑이란 무엇인가?

크리덴셜 스터핑이란 무엇인가?

크리덴셜 스터핑은 사용자가 그 자격 증명을 재사용했기를 바라며, 이전에 도난당한 로그인 자격 증명을 대상의 인증 엔드포인트에 대해 대규모로 자동 재생하는 것입니다. 이는 영리함이 아니라 규모와 재사용의 공격입니다.

공격자는 무관한 어떤 유출에서 새어 나온 실제 사용자 이름-비밀번호 쌍의 목록 — 흔히 수백만 개 — 으로 시작합니다. 자동화가 각 쌍을 대상의 로그인 양식에 제출합니다. 사용자가 비밀번호를 재사용한 곳이면 어디든 로그인이 성공하고, 그 계정은 이제 침해됩니다. 공격자는 어떤 개별 피해자에 대한 지식도 필요하지 않습니다. 유출된 목록과 비밀번호 재사용이 모든 일을 합니다.

이것이 크리덴셜 스터핑을, 알려진 사용자 이름에 대해 비밀번호를 추측하는 무차별 대입 공격과, 몇 가지 흔한 비밀번호를 많은 계정에 대해 시도하는 패스워드 스프레잉과 다르게 만듭니다. 크리덴셜 스터핑은 완전하고 이미 유효한 쌍을 사용하며, 그래서 순수한 추측이 결코 접근하지 못하는 비율로 성공합니다.

크리덴셜 스터핑 공격은 어떻게 작동하는가?

크리덴셜 스터핑 공격은 유출된 자격 증명 목록을 자동화에 적재하고, 속도 제한을 회피하기 위해 로그인 시도를 많은 IP와 디바이스에 분산하며, 성공하는 쌍을 나중의 수익화를 위해 수집함으로써 작동합니다.

공격자는 자동화 — 단순 스크립트부터 헤드리스 브라우저까지 — 에 자격 증명 목록을 장착하고 로그인 엔드포인트를 겨눕니다. 너무 많은 실패 후 IP를 차단하는 뻔한 방어를 피하기 위해, 트래픽은 주거용 프록시 네트워크와 돌려진 user agent에 걸쳐 퍼지므로, 각 시도가 서로 다른 평범한 사용자로부터 오는 것처럼 보입니다.

성공한 로그인은 기록되고 실패와 분리됩니다. 이 검증된 계정은 그런 다음 직접 악용되거나, 검증된 자격 증명으로 판매되거나, 가치를 고갈시키는 수익화 단계로 넘겨집니다. 전체 파이프라인이 산업화되어 있습니다. 도구, 프록시 접근, 자격 증명 목록이 모두 쉽게 이용 가능하며, 그래서 이 공격이 그토록 만연합니다.

크리덴셜 스터핑은 왜 그토록 자주 성공하는가?

크리덴셜 스터핑이 성공하는 이유는 비밀번호 재사용이 광범위하고, 유출된 자격 증명이 풍부하고 저렴하며, 공격을 실행하는 데 필요한 자동화 및 프록시 인프라가 상품화되어 있기 때문입니다. 방정식의 모든 부분이 공격자에게 유리합니다.

비밀번호 재사용이 근본 원인입니다. 같은 이메일과 비밀번호가 한 사람의 계정을 여러 서비스에 걸쳐 열어줄 때, 단 하나의 유출이 그 모두를 노출하며, 공격자는 피해자가 자격 증명을 재사용한 서비스를 찾기만 하면 됩니다. 재사용은 한 번의 유출을 만능 열쇠로 바꿉니다.

공급과 도구가 나머지를 합니다. 거대한 자격 증명 데이터셋이 자유롭게 유통되고, 주거용 프록시는 트래픽을 정당해 보이게 만들며, 기성 도구가 전체 과정을 자동화합니다. 거대한 목록에 걸친 작은 성공률조차 수천 개의 계정을 낳기 때문에, 경제학이 공격자에게 강하게 유리하게 작동하며 — 바로 그 때문에 방어는 그 경제학을 공략해야 합니다.

크리덴셜 스터핑 공격의 징후는 무엇인가?

크리덴셜 스터핑의 서명은 로그인 시도의 급증, 비정상적으로 높은 실패율, 그리고 인간처럼 보이려는 노력에도 불구하고 자동화를 드러내는 트래픽 패턴입니다. 함께 보면 유기적 활동으로 착각하기 어렵습니다.

규모가 첫 번째 징후입니다. 정상 기준선을 훨씬 웃도는 로그인 시도의 갑작스러운 급증으로, 흔히 인증 엔드포인트에 집중됩니다. 재생된 자격 증명의 대부분이 일치하지 않기 때문에, 실패율은 어떤 정당한 사용자 모집단도 만들어내지 않는 수준으로 치솟습니다 — 평소에 볼 것을 뒤집는 로그인 성공 비율입니다.

트래픽의 구성이 자동화를 드러냅니다. 많은 IP에 분산되어도 시도들은 단서를 공유합니다. 자동화에 전형적인 TLS 핑거프린트, 주거용 노이즈에 섞인 데이터센터 또는 알려진 프록시 출처, 기계적 타이밍, 그리고 겉보기에 무관한 세션에 걸쳐 재발하는 디바이스 신호입니다. 디바이스 수준의 상관관계가 수천 개의 IP 뒤에 숨은 단일 캠페인을 드러냅니다.

• 인증 엔드포인트에 대한 로그인 볼륨의 가파른 급증.
• 재생된 쌍의 대부분이 빗나가면서 나타나는 비정상적으로 높은 로그인 실패율.
• 그럼에도 디바이스 또는 TLS 특성을 공유하는, 많은 IP에 걸쳐 분산된 트래픽.
• 자동화 단서: 프록시 및 데이터센터 출처, 스크립팅 라이브러리 핑거프린트, 기계적 타이밍.

왜 비밀번호와 속도 제한은 이를 막지 못하는가?

비밀번호와 IP 속도 제한이 실패하는 이유는 공격이 유효한 자격 증명을 사용하고 자신을 수천 개의 IP에 분산하여, 설계상 두 방어를 모두 무력화하기 때문입니다. 각각은 크리덴셜 스터핑이 의도적으로 비껴가는 위협 모델을 위해 만들어졌습니다.

강력한 비밀번호 정책은 여러분 자신의 서비스에 있는 계정만 보호합니다. 유출된 다른 사이트에서 사용자가 재사용한 자격 증명에 대해서는 아무것도 하지 못합니다. 비밀번호는 유효하므로 모든 강도 및 정확성 검사를 통과합니다. 취약점은 플랫폼이 보거나 통제할 수 없는 재사용 안에 삽니다.

IP 기반 속도 제한은 단일 주소에서 작동하는 공격자를 가정했으므로, 실패의 폭발 후 차단하는 것으로 이들을 막았습니다. 주거용 프록시 네트워크는 각 시도에 새롭고 정당해 보이는 IP를 부여해 모든 출처를 임계값 아래로 유지함으로써 그 가정을 무너뜨립니다. IP별 속도 제한은 그저 셀 지속적인 것이 없습니다. 공격자가 저렴하게 돌릴 수 없는 지속적인 식별자는 디바이스입니다.

디바이스 인텔리전스는 크리덴셜 스터핑을 어떻게 막는가?

디바이스 인텔리전스는 각 시도 뒤의 디바이스를 식별하여, 속도 제한과 차단이 IP 회전에도 살아남는 지속적인 신원 위에서 작동하게 하고, 공격이 의존하는 자동화를 표시함으로써 크리덴셜 스터핑을 막습니다. 이는 공격의 핵심 회피를 직접 반격합니다.

디바이스 신원이 IP를 가로질러 지속되기 때문에, 로그인을 두드리는 단일 사기 디바이스는 아무리 많은 주거용 프록시 뒤에 숨어도 인식 가능합니다. IP별이 아니라 디바이스별로 시행되는 속도 제한은 마침내 셀 안정적인 것을 갖게 되므로, 공격자는 더 이상 다른 주소를 빌려 예산을 재설정할 수 없습니다.

그 위에, 봇 및 자동화 신호가 도구 자체를 드러냅니다. 헤드리스 브라우저 아티팩트, 스크립팅 라이브러리 TLS 핑거프린트, 행동적 단서가 그것이 지닌 유효한 자격 증명과 무관하게 트래픽을 자동화된 것으로 표시합니다. 그리고 같은 디바이스가 계정 전반에 재발하기 때문에, 디바이스 상관관계가 전체 캠페인을 드러내어 — 수천 개의 흩어진 시도를 여러분이 즉시 차단할 수 있는 하나의 식별 가능한 공격자로 바꿉니다.

기업은 크리덴셜 스터핑에 어떻게 방어할 수 있는가?

기업은 계층화된 전략으로 크리덴셜 스터핑에 방어합니다. 디바이스 수준의 탐지와 속도 제한, 로그인 흐름에서의 봇 탐지, 위험 기반 인증, 그리고 공격의 서명에 대한 모니터링입니다. 계층들은 각 통제가 홀로 남기는 틈을 닫습니다.

디바이스 수준 방어가 중심입니다. 공격을 실행 가능하게 만드는 IP 회전 회피를 무력화하기 때문입니다 — 주소가 아니라 디바이스로 속도 제한하고 차단하는 것입니다. 봇 탐지는 두 번째 전선을 더해, 자격 증명이 유효할 때도 환경, 네트워크, 행동 신호를 통해 자동화를 잡아냅니다.

이들 주위에서, 위험 기반 인증은 로그인이 수상해 보일 때 강화 검증을 요구하여, 빠져나가는 어떤 자격 증명의 가치든 무디게 하고, 볼륨 급증과 실패율 이상에 대한 모니터링은 진행 중인 캠페인의 조기 경고를 제공합니다. 고유한 비밀번호와 MFA를 권장하면 공격이 악용하는 밑바탕의 재사용을 줄입니다. 함께 계층들은 공격의 경제학이 작동하지 못하게 만듭니다.