Password Spraying 비밀번호 스프레이 공격

비밀번호 스프레이 공격은 소수의 흔한 비밀번호를 많은 계정에 나누어 시도하는 비밀번호 추측 방식입니다.

계정 하나에 여러 비밀번호를 빠르게 시도하면 계정별 잠금에 걸릴 수 있습니다. 스프레이 방식은 여러 계정으로 시도를 분산하므로 개별 계정의 실패 횟수만 보면 전체 공격 흐름을 놓칠 수 있습니다.

여러 계정에 비슷한 비밀번호를 시간 간격을 두고 시도하는 상황입니다. 한 계정만 보면 실패가 적어도 서비스 전체의 계정과 시간 분포를 보면 같은 양상이 드러날 수 있습니다.

무차별 대입과의 관계

비밀번호 추측 공격의 한 방식입니다. 전통적인 계정별 다수 추측과 시도 분포가 다르므로 탐지 기준을 같은 숫자 하나로 정하기 어렵습니다.

유출 자격 증명 대입과의 차이

유출 조합 재사용과 달리 여러 계정에 통할 법한 소수 비밀번호를 사용합니다. 두 방식이 섞일 수 있어 이름만으로 로그를 단정하지 않습니다.

외부 로그인과 조직 계정의 인증 기록을 검토할 때 사용합니다. 여러 계정에 걸친 반복 양상과 추가 인증 결과를 함께 확인합니다.

정상 사용자의 비밀번호 오입력과 구분해야 합니다. 차단 임계값은 이용 패턴에 맞게 정하며 특정 실패 횟수만으로 침해를 확정하지 않습니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

MITRE ATT&CK: Password Spraying T1110.003

함께 이해할 용어: Credential Stuffing 유출 자격 증명 대입, MFA 다중 요소 인증, Authentication 인증