[정보보안기사] 크레덴셜 스터핑(Credential Stuffing)

사용자의 계정을 탈취를 목적으로 공격 유형 중의 하마로 해커가 미리 확보한 사용자의 로그인 인증정보를 다른 계정들에 무작정 대입하는 방식이다.

사용자 이름과 비밀번호를 자동으로 대입하여 사용자 계정에 접속하려는 무차별 대입 공격기법이지만 알파 사이트에서 훔쳐 온 로그인 정보를 베타 사이트와 감마 사이트 등 다른 사이트에서 대입하여 다른 서비스의 사용자 계정을 얻어내는 방식이다.

이는 일종의 무차별대입공격(Brute Force Attack) 기법의 하나이지만, 일반적 단어 조합으로 된 ‘사전’을 활용하여 비밀번호를 추측하는 것이 아니고, 데이터 침해에서 입수한 알려진 ’유효 인증 정보의 목록‘을 이용한다는 점에서 차이가 존재한다.

따라서 공격은 훨씬 더 쉽고 성공률은 더 높아진다. 여러 웹 사에트에서 같은 비밀번호를 재사용하는 사람이 많기 때문이다. 별로 유명하지 않은 웹사에트에서 훔친 인증 정보가 민감한 데이터를 가진 서비스에서도 유효할 확률이 높을 수 있다.