9월 이후 일반 기업 웹사이트와 블로그, 온라인 쇼핑몰을 대상으로 타 사이트 유출 계정 정보를 무차별 대입하는 ‘크리덴셜 스터핑’ 공격이 기승을 부리고 있습니다.
분산 프록시 기반의 로그인 무차별 대입 수법
수만 대의 감염된 사물인터넷(IoT) 장비와 주거용 프록시를 통해 요청 IP를 계속 바꾸며 로그인 공격을 감행하기 때문에 단순한 IP 차단만으로는 방어가 불가능합니다.
웹마스터가 즉시 적용해야 할 3대 필수 보안책
- 모든 관리자 계정 2단계 인증(2FA) 강제화: 비밀번호가 노출되더라도 비인가 로그인을 원천 차단합니다.
- 클라우드 기반 WAF(Cloudflare 등) 도입: 악성 봇 트래픽을 오리진 서버 도달 전에 엣지단에서 차단합니다.
- Turnstile 등 스마트 캡차 및 로그인 재시도 제한 설정: 비정상적인 반복 호출을 실시간 감지하여 계정을 보호합니다.