네트워크·보안 · 2026
크리덴셜 스터핑이란? 계정 탈취 막는 법
내 비밀번호를 아무도 모르는데 계정이 뚫렸다면, 범인은 대개 '재사용'입니다. 몇 년 전 어느 쇼핑몰에서 새어 나간 아이디·비밀번호 한 쌍이, 오늘 당신의 이메일과 은행 앱 로그인 창에 그대로 대입되는 겁니다. 이게 크리덴셜 스터핑이에요.
규모를 보면 남 일이 아닙니다. 이 공격은 매년 1,930억 건 이상 시도되고, 한 기업 로그인 로그에서는 하루 인증 시도의 중앙값 19%가 크리덴셜 스터핑으로 분류됐습니다. 유출된 계정 목록에는 2025년 기준 약 20억 개의 고유 이메일이 떠돌고 있고요.
왜 뚫리나: 재사용이라는 급소
크리덴셜 스터핑은 비밀번호를 '추측'하지 않습니다. 이미 유출돼 나도는 진짜 비밀번호를 자동화 봇이 수천 개 사이트에 그대로 밀어 넣죠. 성공률이 0.2~2%로 낮아 보여도, 수십억 건에 곱해지면 하루에도 수많은 계정이 열립니다.
공격이 먹히는 단 하나의 이유는 재사용입니다. 사람들의 80~85%가 여러 사이트에 같은 비밀번호를 쓰고, 한 사용자의 비밀번호 중 서로 다른 것은 절반뿐이라는 조사도 있습니다. 그래서 한 곳이 털리면 도미노처럼 번집니다. 실제로 계정 탈취 피해자의 39%가 예금·입출금 계좌를 노려졌다는 2024년 집계도 있습니다.
더 무서운 건 '들키지 않는다'는 점입니다. 봇은 당신의 진짜 비밀번호로 정상 로그인처럼 들어오기 때문에, 실패 알림도 뜨지 않습니다. 그래서 피해자 상당수는 이미 몇 주 전에 뚫려 있었다는 사실을 부정 결제나 스팸 발송이 벌어진 뒤에야 알게 됩니다. 공격 자체보다 '내가 재사용하고 있다는 자각이 없는 상태'가 진짜 위험인 셈입니다. 국내 보안기관들도 대형 유출 사건 때마다 "지금 당장 다른 사이트의 같은 비밀번호부터 바꾸라"고 반복해 경고해 온 이유입니다.
개인이 지금 할 수 있는 3단계
기업용 대응책은 복잡하지만, 개인이 오늘 저녁에 끝낼 수 있는 건 딱 세 가지입니다. 순서대로 하면 됩니다.
비밀번호 관리자를 깐다
재사용을 끊는 가장 확실한 방법입니다. 관리자가 사이트마다 길고 무작위인 비밀번호를 자동 생성·저장하니, 당신은 마스터 암호 하나만 기억하면 됩니다. 브라우저 내장 관리자든 전용 앱이든, 지금 쓰는 '외우기 쉬운 비밀번호'를 버리는 게 핵심.
MFA(2단계 인증)를 켠다
비밀번호가 유출돼도 두 번째 관문이 남습니다. 이메일·은행·SNS처럼 중요한 계정부터 다중 인증을 켜세요. 문자 코드보다 인증 앱이나 패스키가 더 안전합니다. 패스키는 처음부터 끝까지 암호화돼 대입 자체가 통하지 않습니다.
내 계정이 유출됐는지 확인한다
내 이메일이 이미 유출 목록에 있는지 Have I Been Pwned 같은 조회 서비스에 넣어 확인하고, 알림에 등록해 두세요. 걸려 나온 사이트의 비밀번호는 즉시 교체합니다. 앞으로 새 유출이 생기면 알림을 받게 되니, 한 번 세팅하면 계속 지켜 줍니다.
이미 뚫렸을 때의 신호와 대응
낯선 기기 로그인 알림, 보낸 적 없는 메일이 발송함에 있음, 이유 없는 비밀번호 재설정 메일 — 이 셋 중 하나라도 보이면 탈취 신호일 수 있습니다.
1. 해당 계정과 같은 비밀번호를 쓴 모든 곳을 먼저 바꾼다 (그게 급소니까)
2. MFA를 즉시 켜고, 로그인된 다른 세션을 전부 로그아웃
3. 금융 계정이면 거래 내역 점검 + 필요 시 카드사·은행에 신고
크리덴셜 스터핑은 대단한 해킹 실력이 아니라 당신의 습관을 노립니다. 그래서 방어도 대단한 게 아니라 습관을 바꾸는 일이에요. 오늘 비밀번호 관리자를 깔고, 이메일에 MFA를 켜는 것. 그 두 가지만으로도 봇이 밀어 넣는 수십억 건의 대입은 당신 앞에서 대부분 멈춥니다.