Credential Stuffing 유출 자격 증명 대입

유출 자격 증명 대입은 다른 곳에서 유출된 계정명과 비밀번호의 조합을 여러 서비스의 로그인에 재사용하는 공격입니다.

사용자가 같은 비밀번호를 반복해서 쓰는 점을 노립니다. 무작위 비밀번호를 처음부터 추측하는 것과 달리 이미 확보한 계정과 비밀번호 조합을 사용합니다. 서비스 한 곳의 유출이 다른 서비스의 계정 위험으로 이어질 수 있습니다.

유출된 로그인 조합을 다른 쇼핑몰이나 관리 사이트에 넣어 보는 상황입니다. 같은 조합을 사용한 계정은 해당 사이트 자체의 자료 유출이 없어도 영향을 받을 수 있습니다.

비밀번호 스프레이와의 차이

비밀번호 스프레이는 소수의 흔한 비밀번호를 많은 계정에 시도합니다. 유출 자격 증명 대입은 유출된 계정과 비밀번호의 짝을 활용합니다.

탐지와 방어

다중 요소 인증, 유출 비밀번호 사용 제한과 위험 기반 탐지를 함께 검토합니다. 단일 주소 차단이나 계정별 잠금만으로 분산된 자동 요청을 모두 막기는 어렵습니다.

인터넷 로그인 기능에서 중요합니다. 계정 보호 조치가 정상 사용자의 접근을 과도하게 막지 않는지도 확인해야 합니다.

로그인 실패가 많다는 이유만으로 이 공격을 확정하지 않습니다. 탈취한 세션을 사용하는 경우 등 다른 계정 공격과도 구분해야 합니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

OWASP: Credential Stuffing Prevention

함께 이해할 용어: Password Spraying 비밀번호 스프레이 공격, MFA 다중 요소 인증, Passkey 패스키, Authentication 인증