"서버가 해킹당하지 않았는데 회원 정보가 샐 수 있나요?" 회원을 받는 쇼핑몰이라면 꼭 알아야 할 질문입니다. 답은 "네, 가능합니다"입니다.
크리덴셜 스터핑 대응이 필요한 이유가 바로 여기에 있어요. 이 글에서는 최근 과징금 사례를 쉽게 풀고, 쇼핑몰이 놓치기 쉬운 실수 3가지와 오늘 할 일을 정리했습니다.
크리덴셜 스터핑, 최근 무슨 일이 있었나요?
2026년 8월 31일, 개인정보보호위원회가 이 공격으로 정보가 샌 GS리테일에 과징금을 부과했습니다.
보도에 따르면 공격은 2024년 6월부터 2025년 2월까지 약 8개월 동안 이어졌습니다. 공격자는 미리 구한 아이디와 비밀번호를 대량으로 넣어 로그인을 시도했어요.
개인정보보호위원회는 같은 인터넷 주소에서 쏟아진 로그인 시도를 제때 알아채고 막지 못한 점을 지적했습니다. 한쪽 피해를 안 뒤 다른 서비스 피해를 파악하기까지 한 달 넘게 걸렸다고 합니다(서울신문, 한국경제).
| 항목 | 보도된 내용 |
|---|---|
| 공격 방식 | 크리덴셜 스터핑(유출된 계정 정보 대입) |
| 공격 기간 | 2024년 6월 ~ 2025년 2월, 약 8개월 |
| 피해 규모 | 온라인몰 약 158만 명, 편의점 앱 약 7만 9천 명, 합계 약 166만 명 |
| 유출 항목 | 이름, 성별, 생년월일, 연락처, 주소, 이메일 |
| 처분 | 과징금 128억 3,600만 원, 과태료 300만 원 |
| 지적 사항 | 비정상 접속 탐지 미흡, 전담 조직 부재 등 |
한 줄 정리: 서버가 뚫리지 않아도, 로그인 창을 통해 회원 정보가 대량으로 샐 수 있습니다.
크리덴셜 스터핑은 어떻게 작동하나요?
한 집에서 주운 열쇠 꾸러미를 동네 모든 현관문에 하나씩 꽂아 보는 방식입니다.
많은 사람이 여러 사이트에서 같은 비밀번호를 씁니다. 그래서 한 사이트에서 새어 나간 계정 정보가 다른 사이트에서도 통하는 경우가 생깁니다.
- 공격자가 다른 곳에서 유출된 아이디·비밀번호 목록을 구합니다.
- 프로그램으로 여러 쇼핑몰 로그인 창에 자동으로 넣어 봅니다.
- 비밀번호를 똑같이 쓴 회원의 계정이 열립니다.
- 열린 계정에서 이름·주소·연락처를 빼 가거나 적립금을 씁니다.
우리 쇼핑몰은 정상적인 로그인으로 보이기 때문에, 따로 살펴보지 않으면 알아채기 어렵습니다.
알아두면 좋은 용어
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 크리덴셜 스터핑 | 새어 나간 계정 정보를 다른 사이트에 대입하는 공격 | 주운 열쇠를 모든 문에 꽂아 보기 |
| IP 주소 | 인터넷에 접속한 기기의 주소 | 택배 보낸 사람 주소 |
| 로그인 시도 제한 | 정해진 횟수 이상 틀리면 잠시 막는 기능 | 비밀번호 5번 틀리면 잠기는 도어락 |
| 2단계 인증 | 비밀번호 말고 한 번 더 본인 확인 | 열쇠에 더해 문자로 받은 번호 입력 |
| 로그인 기록 | 누가 언제 어디서 로그인했는지 남긴 기록 | 건물 출입 명부 |
한 줄 정리: 비밀번호를 여러 곳에 같이 쓰는 습관이 이 공격의 출발점입니다.
실수 1: 같은 곳에서 수백 번 로그인해도 그냥 둔다
로그인 시도 제한과 자동 입력 방지 문자만 있어도 대량 대입은 크게 느려집니다.
사람은 1분에 수백 번 로그인하지 않습니다. 짧은 시간에 같은 인터넷 주소에서 로그인이 쏟아지면 프로그램일 가능성이 높아요.
이 흐름을 끊는 방법은 어렵지 않습니다. 아래 표에서 우리 쇼핑몰에 있는 것과 없는 것을 체크해 보세요.
| 방어 방법 | 하는 일 | 회원 불편 |
|---|---|---|
| 로그인 시도 제한 | 여러 번 틀리면 잠시 로그인 막기 | 거의 없음 |
| 자동 입력 방지 문자 | 사람인지 확인하는 문제 보여 주기 | 조금 있음 |
| 같은 주소 대량 시도 차단 | 한 곳에서 쏟아지는 시도 막기 | 거의 없음 |
| 해외 접속 확인 | 평소와 다른 지역 접속에 추가 확인 | 해외 회원만 조금 |
한 줄 정리: 틀린 로그인이 반복되면 잠시 막는 기능부터 켜 두세요.
실수 2: 이상한 로그인 기록을 아무도 보지 않는다
기록이 쌓여 있어도 보는 사람이 없으면 없는 것과 같습니다.
이번 사례에서도 대량 로그인 시도를 제때 알아채지 못한 점이 지적됐습니다. 작은 쇼핑몰은 보안 담당자가 따로 없으니, 볼 사람과 요일을 정해 두는 게 현실적이에요.
예를 들어, 회원 800명인 수제 간식 쇼핑몰이라면 매주 월요일 10분이면 충분합니다. 지난주 로그인 실패 횟수가 평소보다 크게 늘었는지만 보면 됩니다.
- 매주 한 번 로그인 실패 횟수 확인하기
- 평소의 몇 배로 늘면 제작사나 유지보수 담당에게 바로 알리기
- 새벽 시간대에 몰린 로그인이 있는지 보기
- 확인한 날짜를 메모로 남기기
기록 화면이 없거나 보는 법을 모르면 유지보수 안내처럼 관리 범위를 정해 두고 맡기는 방법도 있습니다.
한 줄 정리: 매주 10분, 로그인 실패 숫자만 봐도 이상 신호를 훨씬 빨리 잡습니다.
실수 3: 회원에게 비밀번호 재사용 위험을 알리지 않는다
회원이 비밀번호를 바꾸게 돕는 안내 한 줄이 가장 값싼 방어입니다.
크리덴셜 스터핑은 회원이 다른 곳과 같은 비밀번호를 쓸 때 성공합니다. 그러니 회원 쪽에서 비밀번호를 다르게 쓰면 공격이 통하지 않아요.
- 회원가입 화면에 "다른 사이트와 다른 비밀번호를 써 주세요" 안내를 넣으세요.
- 새 기기에서 로그인하면 문자나 메일로 알려 주세요.
- 원하는 회원이 2단계 인증을 켤 수 있게 하세요.
- 오래 로그인하지 않은 회원에게 비밀번호 변경 안내를 보내세요.
새 기기 로그인 알림은 회원이 먼저 이상을 알아채게 해 줍니다. 가게 입장에서는 문의 한 통으로 피해를 일찍 막을 기회가 생겨요.
한 줄 정리: 회원에게 알리고, 새 기기 로그인을 알려 주면 공격이 성공해도 빨리 멈출 수 있습니다.
그래서 우리 가게에는?
회원이 적은 작은 쇼핑몰도 대상이 될 수 있으니, 할 수 있는 것부터 순서대로 하세요.
공격 프로그램은 쇼핑몰 규모를 가리지 않고 로그인 창을 찾아다닙니다. 회원 수가 적어도 연락처와 주소를 모아 두었다면 지켜야 할 정보가 있는 거예요.
| 우리 가게 상황 | 먼저 할 일 |
|---|---|
| 회원가입 없이 비회원 주문만 받음 | 관리자 계정 비밀번호와 2단계 인증 점검 |
| 회원 수백 명, 담당자 없음 | 로그인 시도 제한 확인, 주 1회 실패 기록 보기 |
| 회원 수천 명 이상, 적립금 있음 | 새 기기 로그인 알림, 대량 시도 차단 추가 |
개인정보를 다룰 때 지켜야 할 구체적인 기준은 업종과 규모에 따라 다릅니다. KISA 보호나라나 개인정보보호위원회 안내를 미리 확인해 보세요.
한 줄 정리: 규모와 상관없이 로그인 창이 있으면 대상이니, 표에서 우리 칸부터 챙기세요.
오늘 할 일 체크리스트
아래 여섯 가지는 오늘 30분 안에 확인할 수 있습니다.
- □ 우리 쇼핑몰 로그인을 일부러 5번 틀려서 막히는지 확인하기
- □ 관리자 화면에서 로그인 실패 기록을 볼 수 있는지 찾아보기
- □ 로그인 기록을 확인할 사람과 요일 정하기
- □ 회원가입 화면에 비밀번호 재사용 주의 문구 넣기
- □ 새 기기 로그인 알림이 가능한지 제작사에 물어보기
- □ 사장님 본인의 관리자 비밀번호가 다른 사이트와 같은지 확인하기
한 줄 정리: 로그인을 일부러 틀려 보는 것, 오늘 할 첫 번째 점검입니다.
자주 묻는 질문
크리덴셜 스터핑은 해킹과 무엇이 다른가요?
서버를 뚫는 대신 정상 로그인 창을 이용한다는 점이 다릅니다. 공격자는 이미 새어 나간 아이디·비밀번호를 넣어 볼 뿐이에요. 그래서 겉보기에는 회원이 로그인한 것처럼 보입니다. 로그인 실패 횟수 같은 숫자를 봐야 알아챌 수 있습니다.
회원이 비밀번호를 똑같이 쓴 건데 가게 책임도 있나요?
책임 범위는 상황마다 달라서 단정할 수 없고, 전문가 확인이 필요합니다. 다만 이번 사례에서는 대량 로그인 시도를 막지 못한 점이 처분 사유로 보도됐습니다. 가게가 할 수 있는 안전장치를 갖춰 두는 것이 중요하다는 뜻이에요. 구체적인 기준은 개인정보보호위원회 안내를 확인해 보세요.
로그인 시도 제한은 몇 번으로 정하는 게 좋나요?
정해진 숫자는 없으니, 예를 들어 5회로 시작해 조정해 보세요. 너무 적으면 회원이 불편하고, 너무 많으면 막는 효과가 줄어요. 잠금 시간은 몇 분 정도로 두고, 비밀번호 찾기 안내를 함께 보여 주세요. 운영하면서 문의가 늘면 조금씩 조정하면 됩니다.
이미 유출이 의심되면 무엇부터 해야 하나요?
먼저 의심 계정의 로그인을 막고 비밀번호를 바꾸게 하세요. 그다음 로그인 기록을 보관하고 제작사나 유지보수 담당에게 바로 알립니다. 신고와 회원 통지 기준이 있으니 KISA 보호나라와 개인정보보호위원회 안내를 확인하세요. 기록을 지우면 원인을 찾기 어려우니 그대로 두는 게 좋습니다.
한 줄 정리: 로그인 창을 지키는 기본 장치와 매주 10분의 확인이 가장 현실적인 대응입니다.
로그인 보안을 어디서부터 볼지 막막하다면 무료 견적 상담에서 점검 순서를 안내받아 보세요.
사진: Unsplash (photo-1685886069739-c1b96bba7953, photo-1599350686877-382a54114d2f, photo-1758274252264-004520474c0c)