계정 탈취와 크리덴셜 스터핑: IP 인텔리전스로 탐지하고 차단하는 방법 (2026)

로그인 페이지는 귀사가 보유한 가장 많이 공격받는 접점이며, 대부분의 공격은 비밀번호를 추측하려는 것이 아닙니다. 이미 비밀번호를 가지고 있습니다. 과거 유출 사고에서 새어 나온 수십억 개의 자격 증명이 "콤보리스트"로 묶여 인터넷의 모든 사이트에 대입되며, 비밀번호를 재사용한 소수의 사용자를 찾습니다. 하나라도 통하면 그것이 곧 계정 탈취입니다.

이 가이드에서는 2026년에 크리덴셜 스터핑과 ATO가 실제로 어떻게 이루어지는지, 가장 직관적인 방어(나쁜 IP 차단)가 단독으로는 왜 실패하는지, 그리고 IP 인텔리전스를 올바르게 활용하는 방법을 설명합니다. 즉 하나의 신호로서, 대개는 판정이 아닌 구간으로 해석하는 IP 위험 점수로서, 계층적이고 위험 기반인 방어의 일부로 사용하는 것입니다. 모든 내용은 OWASP, NIST, Verizon DBIR, 2026년 위협 측정치와 같은 1차 자료에 근거합니다.

크리덴셜 스터핑과 계정 탈취: 정의

두 용어는 흔히 섞어 쓰지만 서로 다른 개념입니다.

• 크리덴셜 스터핑은 공격 방법입니다. OWASP는 이를 OAT-008로 분류하며, "탈취한 사용자 이름/비밀번호 쌍의 유효성을 확인하기 위한 대량 로그인 시도"로 정의합니다. 중요한 점은 이것이 "무차별 대입이나 추측을 수반하지 않는다"는 것입니다. 자격 증명은 이미 알려져 있고, 다른 유출 사고에서 수집한 것이며, 재사용 여부만 확인하면 됩니다.
• 계정 탈취(ATO)는 결과입니다. 공격자가 실제 사용자의 계정을 장악하는 것입니다. 크리덴셜 스터핑은 ATO로 가는 가장 흔한 경로이지만, 피싱, 악성코드, 세션 하이재킹으로도 같은 결과에 이릅니다.

유사한 공격과도 구분해 둘 필요가 있습니다. 패스워드 스프레이잉(하나의 흔한 비밀번호를 여러 계정에 시도)과 무차별 대입(하나의 계정에 여러 비밀번호를 추측)이 그것입니다. 크리덴셜 스터핑은 약한 비밀번호가 아니라 인간의 습성(비밀번호 재사용)을 악용하기 때문에 둘보다 더 위험합니다.

공격은 실제로 어떻게 진행되는가

최신 크리덴셜 스터핑 체인은 산업화되어 있습니다.

1. 자격 증명 확보. 공격자는 유출 데이터와 범죄 마켓플레이스에서 한 번에 수십억 쌍 규모의 콤보리스트를 구매하거나 내려받습니다.
2. 대규모 자동화. 기성 툴킷(과거의 Sentry MBA, 오늘날의 OpenBullet2와 SilverBullet)이 분당 수천 번씩 로그인 엔드포인트에 해당 조합을 대입합니다.
3. IP를 순환시켜 모습을 감춤. 이것이 핵심 수법입니다. OWASP가 문서화한 바와 같이, 이러한 툴킷은 "프록시 네트워크를 기본으로 지원하여 요청을 대량의 고유 IP 주소로 분산시킵니다. 이는 IP 차단 목록과 속도 제한을 모두 무력화할 수 있는데, 대량 공격에서도 IP당 요청량은 비교적 낮게 유지될 수 있기 때문입니다."
4. 성공한 계정으로 수익화. 로그인에 성공하면 자금 탈취, 저장된 결제 수단 악용, 포인트 탈취로 이어지거나, 인증된 계정 자체가 다음 범죄자에게 되팔립니다.

시도당 성공률은 극히 낮지만(1퍼센트도 되지 않음), 수백만 번을 시도하면 그 비율만으로도 수천 개의 계정이 침해됩니다.

2026년의 규모

신뢰할 수 있는 측정치가 보여 주는 숫자는 심각합니다.

(마지막 수치들은 벤더의 네트워크 텔레메트리 추정치입니다. 방향성을 보여 주는 강력한 증거이지만 인터넷 전체를 조사한 통계가 아니므로 출처를 명시합니다.) HUMAN은 또한 ATO를 시도하는 로그인 트래픽의 비중이 수년 만에 가장 크게 늘어, 전 세계 3.5% 미만인 데 비해 EMEA에서는 13%를 넘었다고 밝혔습니다. 로그인 페이지는 측정 가능한 수준의 전쟁터입니다.

2026년에 막기 어려운 이유: 주거용 프록시

과거의 방어가 실패하는 이유는 주거용 프록시 네트워크 때문입니다. 공격자는 눈에 띄는 데이터센터 IP에서 공격하는 대신, 수백만 대의 실제 소비자 기기(가정용 공유기, 휴대폰, 스마트 TV)를 거쳐 크리덴셜 스터핑 트래픽을 전달하므로, 모든 요청이 정상으로 보이는 ISP 주소에서 들어옵니다.

이는 이론이 아닙니다. 2026년 1월 Google 위협 인텔리전스 그룹(GTIG)은 Cloudflare 등과 함께 IPIDEA 네트워크를 무력화했으며, 이는 "세계 최대 규모의 주거용 프록시 네트워크 중 하나"로서 운영자의 기기 풀을 수백만 대 줄였습니다. GTIG는 "전 세계의 다양한 소비자 기기를 거쳐 트래픽을 전달함으로써, 공격자는 이러한 IP 주소를 하이재킹하여 악의적인 활동을 숨길 수 있다"며 이것이 "네트워크 방어자에게 상당한 어려움"이 된다고 설명했습니다. 미국 FBI는 2026년 3월 주거용 프록시 네트워크 우회에 관한 공공 경보를 발표했습니다.

실질적인 결론은 이렇습니다. IP 차단 목록은 구조적으로 너무 느리고 너무 무딥니다. 공격자의 IP당 요청량은 낮고, IP는 실제 가정의 것이며, 계속 순환합니다. 차단만으로는 벗어날 수 없습니다.

IP 인텔리전스가 실제로 도움이 되는 부분

그렇다고 IP 데이터가 쓸모없는 것은 아닙니다. IP 데이터는 판정이 아니라 신호일 뿐이며, 이 신호에는 표준의 보증이 있습니다. NIST SP 800-63B-4(2025년 7월 확정)는 "청구인의 IP 주소, 지리적 위치, 요청 패턴의 시간대, 브라우저 메타데이터"를 활용하는 위험 기반 인증을 명시적으로 권장하며, "예상치 못한 지리적 위치나 IP 주소 블록(예: 클라우드 서비스)에서의 인증은 추가적인 위험 기반 통제를 유발할 수 있다"고 언급합니다.

로그인 또는 비밀번호 재설정 엔드포인트에서 가치가 높은 IP 신호는 다음과 같습니다.

• 연결 유형. 데이터센터나 클라우드 대역에서의 로그인은 주거용 ISP에서의 로그인보다 훨씬 의심스럽습니다. 대부분의 실제 사용자는 AWS에서 로그인하지 않습니다.
• VPN 및 프록시 탐지. 로그인 엔드포인트에서 익명화된 트래픽은 강력한 위험 상승 요인입니다. 주거용 프록시는 크리덴셜 스터핑 공격자가 가장 선호하는 도구이며 일반 ISP 트래픽처럼 보이기 때문에, 아래에서 다루는 디바이스 및 행동 계층이 중요합니다.
• ASN 평판. 악용은 특정 네트워크에 집중되는 경향이 있으며, IP 뒤의 자율 시스템은 오래 유지되는 신호입니다.
• 불가능한 이동을 위한 지리적 위치. 다른 나라에서 로그인한 지 몇 분 만에 또 다른 나라에서 로그인이 들어오면 침해 가능성이 높다는 표시입니다.
• 종합 위험 점수. 위 항목을 하나의 숫자로 결합해 임계값을 정할 수 있으므로, 각 플래그를 일일이 수작업으로 판단할 필요가 없습니다.

오탐의 함정 (대부분의 가이드가 건너뛰는 부분)

솔직한 한계는 다음과 같으며, 이것이 IP 인텔리전스가 하드 차단이 아니라 위험 판단에 쓰여야 하는 이유입니다. IP만 보는 방어는 체계적으로 실제 고객을 벌합니다.

하나의 CGNAT(통신사급 NAT) 주소 뒤에 수백 수천 명의 실제 사용자가 있을 수 있으며, 모바일 게이트웨이나 프라이버시 릴레이도 마찬가지입니다. Cloudflare의 2025년 텔레메트리는 놀라운 결과를 보여 줍니다. CGNAT IP의 봇 비율은 비CGNAT IP와 사실상 동일하고(중앙값 4.8% 대 4.7%) 평균은 오히려 더 낮은데(7% 대 13.1%), 속도 제한은 세 배 더 자주 걸립니다. 다시 말해, 무딘 IP 통제는 그 속에 숨은 공격자 한 명을 막기 위해 정상 사용자 무리를 차단합니다. 모바일 네트워크와 Apple iCloud Private Relay에서도 같은 과잉 차단이 일어나며, 이는 실제 고객을 차단하지 않고 익명화 트래픽 탐지하기에서 다룬 바로 그 정상 트래픽입니다.

따라서 원칙은 이렇습니다. 위험한 IP 신호는 마찰을 높이는 것(단계별 인증 요구)이어야 하며, 문을 닫아 버리는 것이어서는 안 됩니다. 무해하지만 공유되는 연결 유형은 불이익을 주지 말고 면제해야 합니다.

계층적 플레이북 (OWASP + NIST 기준)

단 하나의 통제로 크리덴셜 스터핑을 막을 수는 없습니다. 표준에서 그대로 가져온, 효과가 있는 방어 수단은 다음과 같습니다.

• 유출된 비밀번호 차단. NIST SP 800-63B-4는 검증자가 새 비밀번호를 알려진 침해 자격 증명 차단 목록과 대조하도록 요구합니다. 재사용된 비밀번호를 설정할 수 없다면, 나중에 그것을 대입해도 실패합니다.
• 실패한 시도 제한. NIST는 연속 실패 시도를 제한하고(계정당 100회 이하) 점진적으로 지연시키도록 규정하며, 이는 실제 사용자를 잠그지 않으면서 자동화를 늦춥니다.
• 위험 기반 단계별 MFA 추가. 위험 신호(IP, 디바이스, 지리, 속도)가 필요하다고 할 때만 추가 인증 요소를 요구합니다. 정상 로그인에는 마찰을 최소화하면서 강력한 보호를 제공합니다.
• 디바이스 핑거프린팅과 행동 관찰. 봇은 동일한 환경을 재사용하고 사람과 다른 속도로 움직입니다. 디바이스 및 행동 신호는 IP 계층이 봇에 대해 놓치는 것을 포착합니다.
• IP 인텔리전스를 점수에 가중 반영. 연결 유형, 익명화 플래그, ASN 평판을 위험 판단의 입력값으로 쓰되 단독 관문으로 쓰지 말고, 로그인, 가입, 결제에 각각 다른 기준값을 적용합니다.
• 중요한 모든 엔드포인트 보호. 로그인, 비밀번호 재설정, 결제 모두 같은 수준의 점검이 필요합니다. 공격자는 가장 약한 곳으로 방향을 바꿉니다.

로그인 시점 IP 조회가 반환하는 것

GeoIPHub는 이 스택의 IP 인텔리전스 계층을 제공하며, 무차별적이 아니라 가중 방식으로 설계되었습니다. 로그인 또는 비밀번호 재설정 엔드포인트에서 한 번 조회하면 연결 유형, 익명화 플래그, ASN, 그리고 권장 조치가 포함된 설명 가능한 위험 점수가 반환되므로, 진짜 위험한 요청은 추가 인증을 거치게 하고 실제 고객은 통과시킬 수 있습니다. 다음은 VPN 서버 주소인 102.129.235.17에 대한 실제 조회 결과이며, 로그인 검사가 읽는 필드만 남겼습니다.

OpenVPN 및 IPsec 핸드셰이크에 응답하는 데이터센터 VPN 서버에서 들어온 이와 같은 로그인은 차단 구간(75 초과)에 해당합니다. 중간 구간의 점수는 대신 단계별 인증을 요구하고, 위치가 정상인 깨끗한 주거용 연결은 그대로 통과합니다. 이것이 NIST가 설명하는 위험 기반 인증입니다. 무료 IP 위험 점수 검사기와 VPN 및 프록시 탐지 테스트에서 아무 주소나 직접 시험해 볼 수 있으며, API로 연동하거나 방법론에서 점수가 어떻게 산출되는지 확인할 수 있습니다.

군중이 아니라 군중 속의 공격자를 잡으십시오

크리덴셜 스터핑은 계정 탈취를 산업적이고 자동화된 사업으로 바꿔 놓았고, 주거용 프록시는 과거의 반사적 대응(나쁜 IP 차단)을 비효과적일 뿐 아니라 실제 사용자에게도 해롭게 만들었습니다. 2026년에 실제로 통하는 방어는 계층적이고 위험 기반입니다. 유출된 비밀번호는 근원에서 막고, 제한과 추가 인증을 영리하게 적용하며, IP 인텔리전스는 적응형 판단에 들어가는 가치 높은 신호로 다루는 것입니다. 군중 속에 숨은 공격자를 잡으십시오. 군중을 벌해서는 안 됩니다.

자주 묻는 질문

크리덴셜 스터핑과 계정 탈취의 차이는 무엇입니까?

크리덴셜 스터핑은 공격 방법입니다. 과거 유출 사고에서 탈취한 사용자 이름/비밀번호 쌍을 봇이 대량으로 대입해, 사용자가 귀사 사이트에서 재사용한 조합을 찾아냅니다(OWASP는 이를 OAT-008로 분류합니다). 계정 탈취(ATO)는 그 결과입니다. 유효한 조합이 통해 공격자가 계정을 장악하는 것입니다. 크리덴셜 스터핑은 ATO로 이어지는 가장 흔한 경로이지만, ATO는 피싱, 악성코드, 세션 하이재킹으로도 발생할 수 있습니다.

크리덴셜 스터핑에 사용되는 IP 주소를 그냥 차단하면 안 됩니까?

안 됩니다. OWASP는 IP 차단을 '유일하거나 주된 방어 수단으로 사용해서는 안 된다'고 명시적으로 경고합니다. 최신 툴킷은 요청마다 다른 주거용 프록시 IP를 거치도록 순환시키므로, IP당 요청량이 낮게 유지되어 차단 목록과 속도 제한을 빠져나갑니다. 더 큰 문제는 무차별적인 IP 차단이 수천 명의 실제 사용자를 대표하는 공유 CGNAT 및 모바일 주소까지 막는다는 점입니다. IP 인텔리전스는 하드 차단이 아니라 위험 점수에 반영해야 합니다.

2026년에 계정 탈취 문제는 얼마나 심각합니까?

규모가 크고 계속 커지고 있습니다. 2025 Verizon DBIR에서 침해된 자격 증명은 침해 사고의 22%에서 최초 침입 경로였고, 크리덴셜 스터핑은 일일 인증 시도의 중앙값 19%를 차지했습니다. HUMAN Security는 2025년 조직당 로그인 후 계정 침해 시도가 400,000건을 넘었다고 기록했으며(2024년의 4배 이상), 자동화된 트래픽은 전체 웹 트래픽의 53%를 넘어섰습니다(Imperva/Thales).

IP 인텔리전스는 계정 탈취 탐지에 어떻게 도움이 됩니까?

NIST가 적응형 인증에 권장하는 위험 신호를 제공합니다. 연결 유형(데이터센터/클라우드 대 주거용), VPN/프록시 탐지, ASN 평판, 불가능한 이동 검사를 위한 지리적 위치가 그것입니다. 클라우드 데이터센터, 알려진 익명화 서비스, 또는 있을 수 없는 위치에서 들어오는 로그인 시도는 위험도가 높습니다. 반드시 차단해야 한다는 뜻이 아니라, 단계별 MFA로 추가 인증을 요구할 근거가 된다는 뜻입니다.

실제 고객을 차단하지 않으면서 크리덴셜 스터핑을 막으려면 어떻게 해야 합니까?

계층적이고 위험 기반인 접근 방식을 사용하십시오. 유출이 확인된 비밀번호 차단(NIST 필수 요구사항), 실패한 시도 제한, 위험한 로그인에 대한 단계별 MFA, 디바이스 핑거프린팅을 적용하고, IP 신호는 하드 차단하는 대신 위험 점수에 가중치로 반영합니다. 완전한 차단은 확신도가 높은 경우로 한정하고, 공유/모바일/프라이버시 릴레이 IP는 면제해 정상 사용자가 통과하도록 하십시오.