무차별 대입 공격이란 무엇인가요?

무차별 대입 공격은 문자, 숫자, 기호의 조합을 체계적으로 시도하여 인증 및 권한 부여 통제를 통과할 수 있는 비밀번호를 알아내려는 공격으로, 흔히 단어 사전과 비밀번호 스프레이 같은 기법을 활용합니다.

무차별 대입 공격(비밀번호 크래킹이라고도 함)의 원리는 매우 간단합니다. 가능한 모든 비밀번호 조합을 입력해 보는 것입니다. 예를 들어 4자리 PIN을 비밀번호(암호)로 사용하는 경우, "0000"부터 "9999"까지 총 10,000개의 조합을 모두 시도하면 결국 정답을 찾을 수 있습니다. 사람이 이를 수동으로 시도하기는 어렵지만, 자동화 도구를 사용하면 손쉽게 수행할 수 있습니다. 1초에 비밀번호 하나를 시도할 수 있다면 최대 10,000초(약 2시간 47분) 안에 비밀번호를 알아낼 수 있습니다. 무차별 대입 공격은 특별히 정교한 사이버 공격 방식은 아니지만, 취약한 비밀번호와 보안이 허술한 시스템에 효과적이며 자동화된 도구 모음을 사용하면 공격을 대규모로 확장하고 실행하는 데 드는 비용 대비 효과가 높기 때문에 공격자들이 계속해서 사용하고 있습니다.

무차별 대입 공격의 유형

무차별 대입 공격은 여러 형태로 이루어질 수 있습니다. 단순 무차별 대입 공격은 올바른 조합을 찾을 때까지 가능한 모든 숫자 또는 문자 조합을 체계적으로 시도하는 방식입니다. 이 방법은 특히 비밀번호나 암호 구문이 길거나 복잡할수록 많은 시간과 리소스가 소요될 수 있습니다.

보다 집중적인 기법으로는 사전 공격이 있으며, 이는 미리 정의된 비밀번호 또는 문구 목록을 사용합니다. 기존의 무차별 대입 공격처럼 가능한 모든 숫자나 문자 조합을 시도하는 대신, 공격자는 올바른 항목을 찾을 때까지 사전에 있는 각 단어나 문구를 체계적으로 시도합니다. 사전 공격은 단순 무차별 대입 공격보다 빠르지만, 비밀번호가 충분히 복잡하거나 특수 문자를 사용하거나 사용 중인 사전에 포함되어 있지 않으면 실패할 수 있습니다. 또한 동일한 로그인 화면에서 사전 공격을 사용하면 속도 제한 및 계정 잠금 제어가 빠르게 작동합니다.

하이브리드 무차별 대입 공격은 사전 공격과 단순 무차별 대입 공격의 요소를 결합합니다. 하이브리드 공격에서 공격자는 기존의 무차별 대입 공격처럼 임의의 문자 집합을 사용하는 동시에 사전 공격처럼 흔히 쓰이는 단어와 문구 목록도 활용합니다. 이 하이브리드 방식은 사전에 있는 일반적인 비밀번호와 예측하기 어려운 문자 조합을 모두 활용하여 성공 가능성을 높입니다.

또 다른 공격 형태로는 역방향 무차별 대입 공격이 있습니다. 공격자는 특정 계정에 여러 비밀번호를 차례로 시도하는 대신, 흔히 사용될 것으로 예상되는 특정 비밀번호(예: “password1234”)를 수많은 계정의 사용자 이름에 대입합니다. 이 방법은 표적 계정 중 적어도 일부가 선택한 비밀번호를 사용한다는 가정에 기반하며, 로그인 실패 횟수를 기준으로 하는 방어 조치를 유발할 가능성이 더 낮습니다.

일반적으로 크리덴셜 스터핑은 무차별 대입 공격의 한 형태로 간주되지는 않지만(공격자가 이미 알려진 사용자 이름과 비밀번호 목록을 보유하고 있으므로), 계정에 무단으로 액세스하려는 목적은 동일하며, 이후 계정 탈취(ATO) 및 사기로 이어지는 경우가 많습니다. 크리덴셜 스터핑은 자동화된 스크립트나 도구를 사용하여 이전의 데이터 유출이나 다크 웹에서 확보한 사용자 이름/비밀번호 조합과 같은 대량의 유출된 인증 정보를 다양한 온라인 로그인 양식에 빠르게 대입합니다. 크리덴셜 스터핑은 무차별 대입 공격처럼 가능한 모든 조합을 빠짐없이 시험하지는 않지만, 무단 액세스를 시도하는 자동화된 수법이라는 점에서 여전히 심각한 보안 위협입니다. 두 공격 유형 모두 OWASP Top 10 및 OWASP Automated Threats 프로젝트에서 주요 위험으로 간주됩니다.

취약하거나 제대로 작동하지 않는 인증은 무차별 대입 공격자가 침입하는 또 다른 경로입니다. 일부 인증 시스템에는 일정 시간 동안 로그인 시도 횟수를 제한하는 계정 잠금 또는 속도 제한 메커니즘이 구현되어 있지 않습니다. 이러한 보호 조치가 없으면 공격자는 아무런 제한 없이 반복적으로 비밀번호 추측을 시도할 수 있어 무차별 대입 공격에 성공할 가능성이 높아집니다.

무차별 대입 공격은 세션 ID를 추측하거나 세션 관리 메커니즘의 취약점을 악용하여 유효한 세션 ID를 획득하거나 탈취하는 데 사용될 수도 있습니다. 공격자가 유효한 세션 ID를 확보하면 인증된 사용자를 사칭하여 보호된 리소스에 무단으로 액세스할 수 있습니다.

무차별 대입 공격의 동기

해커가 무차별 대입 공격을 감행하는 동기는 매우 다양하지만, 일반적으로 악의적인 목적으로 시스템, 네트워크 또는 계정에 무단으로 접근하려는 데 있습니다.

일반적인 동기로는 금전적 이득이 있습니다. 예를 들어 공격자는 사기나 절도를 저지르기 위해 신용카드 번호나 은행 계좌 인증 정보와 같은 금융 정보를 훔치려 할 수 있습니다. 또한 판매할 수 있는 개인 식별 정보(PII), 지적 재산 또는 기업의 기밀 데이터에 접근하려 할 수도 있습니다. 공격자는 개인 계정에 접근하여 해당 사용자를 사칭하고 사기 행위를 벌일 수도 있습니다.

범죄자는 봇넷을 구성하는 등 다른 형태의 악의적인 행위를 위해 시스템을 장악할 수도 있습니다. 봇넷은 공격자가 여러 장치를 제어하고 조율하여 분산 서비스 거부(DDoS) 공격을 실행하는 네트워크입니다.

무차별 대입 공격을 통해 시스템과 계정에 무단으로 액세스하면 멀웨어나 스파이웨어를 유포하거나, 웹사이트에 음란하거나 불쾌감을 주는 텍스트와 이미지를 퍼뜨리는 공격을 가해 기업이나 웹사이트의 평판을 훼손할 수도 있습니다. 또한 해커는 무차별 대입 공격으로 광고 또는 활동 데이터를 악용할 수 있습니다. 무단 액세스를 통해 웹사이트에 스팸 광고를 게재하여 광고 수익을 얻거나, 원래 방문하려던 웹사이트의 트래픽을 악성 사이트로 우회시켜 인증 정보를 탈취하거나 사용자를 속일 수 있습니다.

무차별 대입 공격을 방지하는 방법

무차별 대입 공격의 위험을 줄이는 방법은 여러 가지가 있으며, 다음 조치 중 여러 가지를 함께 적용하면 공격자가 비밀번호를 추측하거나 반복적인 로그인 시도를 통해 무단으로 접근하기가 더욱 어려워집니다. 이러한 조치는 다음과 같습니다:

• 강력하고 복잡한 비밀번호 사용. 강력한 비밀번호는 시스템과 데이터에 대한 무단 액세스를 막는 첫 번째 방어선입니다. 명확하게 정의된 비밀번호 정책은 사용자가 대문자와 소문자, 숫자, 특수 문자를 조합한 안전한 비밀번호를 만들고 유지하도록 하는 데 도움이 됩니다. 비밀번호 크래킹 도구가 갈수록 정교해짐에 따라 긴 암호 구문은 이제 단순한 비밀번호보다 훨씬 더 강력한 보호 수단이 됩니다. 정책을 통해 비밀번호 재사용을 금지해야 합니다. 비밀번호 재사용은 크리덴셜 스터핑 공격과 계정 탈취의 주요 원인이기 때문입니다.
• 다단계 인증(MFA) 사용. 사용자 이름과 비밀번호 또는 암호 구문을 입력하는 것 외에도, MFA는 애플리케이션, 리소스, 온라인 계정 또는 기타 서비스에 액세스하기 위해 사용자에게 추가 인증 요소를 제시하도록 요구합니다. 일반적으로 이메일이나 SMS 메시지로 받은 일회용 암호를 스마트폰이나 브라우저에 입력하거나 지문 또는 얼굴 스캔과 같은 생체 정보를 제공하는 방식이 사용됩니다.
  
• 계정 잠금 정책 구현 일정 횟수 이상 로그인에 실패하면 지정된 기간 동안 또는 관리자가 수동으로 잠금을 해제할 때까지 사용자 계정을 잠급니다. 이를 통해 공격자가 비밀번호 추측을 반복적으로 시도하는 것을 방지할 수 있습니다. 또한 속도 제한을 적용하여 지정된 기간 내에 단일 IP 주소 또는 사용자 계정에서 발생하는 로그인 요청 횟수를 제한할 수 있습니다.
  
• 민감한 데이터 암호화. 저장 중이거나 전송 중인 민감한 데이터를 암호화하면 공격자가 시스템에 무단으로 액세스하더라도 암호화 키 없이는 데이터를 읽을 수 없습니다. 데이터를 복호화하려면 암호화 키가 필요하므로 무차별 대입 공격의 효과도 줄어듭니다.
  
• 소프트웨어를 최신 상태로 유지합니다. 운영 체제, 웹 서버, 애플리케이션을 비롯한 모든 소프트웨어에 정기적으로 패치를 적용하고 업데이트하여 공격자가 악용할 수 있는 보안 취약점을 해결해야 합니다.
  
• 봇 관리 및 웹 애플리케이션 방화벽 배포. 자동화된 공격을 차단하는 솔루션을 배포하면 무차별 대입 공격을 비롯한 악용으로부터 핵심 비즈니스 로직을 보호할 수 있습니다.

F5는 무차별 대입 공격에 어떻게 대응하나요?

The OWASP(Open Worldwide Application Security Project)의 Automated Threats to Web Applications Project에서는 무차별 대입 공격을 자격 증명 크래킹 공격(OAT-007)의 한 유형으로 분류합니다. F5는 OWASP에서 정의한 여러 자동화 위험에 대응하는 솔루션을 제공합니다.F5 Distributed Cloud Bot Defense는 봇과 악성 자동화를 차단하여 ATO 및 기존 봇 관리 솔루션을 우회할 수 있는 그에 따른 사기와 악용을 방지합니다. Distributed Cloud Bot Defense는 실시간 모니터링과 인텔리전스는 물론 ML 기반의 사후 분석을 제공하여 무차별 대입 기법을 사용하는 공격을 비롯한 자동화 공격으로부터 조직을 보호합니다.

F5 Web Application Firewall (WAF) 솔루션은 OWASP에서 식별한 광범위한 위험도 차단하고 완화합니다. F5 WAF 솔루션은 F5 Labs의 위협 인텔리전스와 ML 기반 보안을 비롯한 시그니처 및 행동 기반 보호 기능을 결합하여 새롭게 등장하는 위협에 대응합니다. 무차별 대입 공격을 방지하기 위해 WAF는 구성된 로그인 URL에 대한 로그인 실패 횟수를 추적합니다. 무차별 대입 패턴이 감지되면 WAF 정책은 로그인 실패율이 크게 증가하거나 로그인 실패 횟수가 최대 임계값에 도달한 경우 이를 공격으로 간주합니다.

F5 WAF 솔루션은 F5 봇 방어 솔루션과 통합되어 취약점 악용 및 자동화된 무차별 대입 공격을 비롯한 주요 보안 위험을 강력하게 완화합니다.