무차별 대입 공격과 2026년에 이를 방지하는 방법

• 무차별 대입 공격이 무엇이며, 이것이 비밀번호를 어떻게 위협하는지 알아보세요.

• 사전 공격부터 크리덴셜 스터핑까지, 일반적인 유형을 살펴보세요.

• 속도 제한, 2FA 등으로 무차별 대입 공격을 방지하는 방법.

• 플랫폼에 적합한 최고의 도구와 방어책.

• 자주 묻는 질문.

위협 행위자들은 웹사이트를 해킹하거나 침해하기 위한 새롭고 정교한 방법을 계속 고안하고 있지만, 여전히 살아남아 있는 고전적인 방법들도 있습니다. 단순하지만 여전히 대체로 효과적입니다. 그중 하나가 바로 무차별 대입 공격입니다. 

이것은 가장 오래된 사이버 공격 방식 중 하나이며, 여전히 해커들 사이에서 인기가 있습니다. 원시적으로 보일 수 있지만, 피해로부터 자신을 보호하는 방법을 아는 것은 필수적입니다. 계속 읽고 무차별 대입 공격의 정의, 위험성, 그리고 이를 방지하기 위해 할 수 있는 일을 알아보세요.

사이버 보안에서 무차별 대입 공격이란 무엇인가요?

무차별 대입 공격은 시행착오를 통해 로그인 자격 증명, 암호화 키 또는 숨겨진 웹페이지를 추측하는 해킹 방법입니다. 무차별 대입 공격이라고 불리는 이유는 말 그대로 그런 방식이기 때문입니다. 악의적인 행위자는 과도한 시행착오를 통해 계정이나 네트워크에 무단으로 접근하려고 시도합니다. 이러한 시행착오는 몇 분밖에 걸리지 않을 수도 있고, 몇 년이 걸릴 수도 있습니다. 

전형적인 예로는 여러 사용자 이름과 비밀번호 조합을 사용해 계정에 로그인하려고 시도하는 것입니다. 일반적인 비밀번호, 이전 비밀번호 유출 정보 또는 생일이나 반려동물 이름과 같은 대상의 개인 정보를 조사해 비밀번호를 추측할 수 있습니다. 이는 수동으로 하거나 특수 소프트웨어로 수행할 수 있으며, 후자의 경우 훨씬 더 빠릅니다.

무차별 대입 공격은 모든 온라인 플랫폼에서 발생할 수 있습니다. Group-IB에 따르면, 고객 계정 포털, 콘텐츠 관리 시스템(CMS) 관리자 패널(예: WordPress)과 같은 웹 애플리케이션 및 포털이 무차별 대입 공격의 43%를 차지합니다. 그다음은 네트워크 및 서버 로그인, 그리고 이메일 및 소셜 미디어 계정입니다.

무차별 대입 공격은 어떻게 작동하나요?

일반적인 무차별 대입 공격은 세 가지 주요 단계로 나눌 수 있습니다: 

1. 대상 선택

개인이나 조직이 무차별 대입 공격의 표적이 되는 이유는 몇 가지가 있습니다. 개인 고객 데이터, 금융 정보, 지식 재산과 같은 가치 있는 정보도 중요하지만, 접근의 용이성도 중요합니다. 악의적인 행위자는 예를 들어 오래된 소프트웨어나 다중 인증(MFA) 구현이 없는 취약한 비밀번호 정책처럼 방어가 약한 시스템을 노립니다. 

2. 공격 개시

이 작업은 수동으로도 가능하지만, 공격자는 훨씬 더 효율적이고 자동화할 수 있기 때문에 보통 소프트웨어와 봇을 사용합니다. 공격 유형은 다양하며 이에 대해서는 뒤에서 더 자세히 설명하겠지만, 일반적으로 수많은 잠재적 자격 증명 조합으로 포털에 로그인을 시도합니다. 탐지를 피하고 성공 가능성을 높이기 위해 공격자는 봇넷을 사용해 여러 장치와 IP 주소에 시도를 분산시킬 수 있습니다. 이렇게 하면 잠금 또는 속도 제한이 발생할 가능성이 줄어듭니다.

3. 접근 권한 획득

공격자가 올바른 조합을 찾아내고 보안 탐지를 피하면 대상 시스템이나 계정에 접근할 수 있습니다. 그 후에는 데이터를 훔치거나 시스템에 더 깊이 침투해 악성코드 감염이나 서비스 방해와 같은 악의적인 공격을 수행할 수 있습니다.

요즘 공격자가 무차별 대입 공격을 수동으로 수행하는 경우는 드뭅니다. 특수 도구를 사용하면 사람이 할 수 있는 것보다 훨씬 빠르게 올바른 비밀번호 조합이나 세션 ID를 찾아낼 수 있어 훨씬 편리합니다. 

무차별 대입 공격에 널리 사용되는 도구는 다음과 같습니다:

• Aircrack-ng – Wi-Fi 네트워크 보안을 통해 데이터를 모니터링하고 내보내며, 가짜 액세스 포인트 및 패킷 주입과 같은 공격을 수행합니다.

• John the Ripper – 윤리적 해커와 악의적 해커 모두가 사용하는 오픈 소스 비밀번호 크래킹 도구입니다.

• Hydra – 많은 비밀번호 조합을 빠르게 시도할 수 있는 오픈 소스 플랫폼으로, 50개 이상의 프로토콜과 여러 운영 체제를 공격할 수 있습니다.

무차별 대입 공격에는 어떤 유형이 있나요?

모든 무차별 대입 공격의 목적은 본질적으로 같지만, 해커가 이를 수행하는 방식은 다를 수 있습니다. 아래 표를 살펴보며 다양한 무차별 대입 공격 유형과 그 특징을 익혀보세요.

무차별 대입 공격이 위험한 이유는 무엇인가요?

다른 모든 사이버 공격과 마찬가지로, 무차별 대입 공격은 인터넷 사용자와 온라인 비즈니스를 다음과 같은 여러 방식으로 취약하게 만들 수 있습니다:

• 계정 탈취 위험 – 사용자의 경우 데이터 도난과 금전적 손실로 이어질 수 있으며, 기업은 평판 및 경제적 피해를 입을 수 있습니다.

• 신원 도용 – 해커가 누군가의 개인 정보에 접근하면, 그 사람의 이름으로 계좌를 개설하거나 대출을 받는 등 사기를 저지를 수 있습니다.

• 네트워크 침해(RDP 무차별 대입) – 위협 행위자는 여러 컴퓨터에 접근해 네트워크 전체에 악성코드나 랜섬웨어를 퍼뜨릴 수 있습니다. 

• 대응 비용 – 기업 데이터 유출은 종종 운영 중단, 고비용 조사, 벌금 등으로 이어집니다.

무차별 대입 공격을 방지하는 방법

무차별 대입 공격의 결과는 심각할 수 있지만, 다행히도 몇 가지 간단한 보호 조치로 예방할 수 있습니다.

1. 로그인 보호

무차별 대입 공격 방지는 로그인 페이지에서 시작됩니다. 다음은 취해야 할 몇 가지 핵심 조치입니다:

• 2FA/MFA 활성화 – 해커가 비밀번호를 정확히 추측하더라도, 이 추가 보호 계층이 더 이상의 접근을 막아줍니다.

• 로그인 실패 후 CAPTCHA 사용 – 자동화된 무차별 대입 시도에 대해 CAPTCHA는 봇과 소프트웨어가 계정에 접근하는 것을 막을 수 있습니다.

• 반복적인 로그인 시도 차단 – 특정 시간 내 로그인 시도를 제한하는 속도 제한이나, 의심스러운 행동을 보이는 IP를 차단하는 IP 차단을 사용하세요.

2. 비밀번호 보안

비밀번호 위생은 온라인 보안의 매우 중요하지만 너무 자주 간과되는 요소입니다. “123456”이나 “password” 같은 비밀번호는 오늘날의 디지털 환경에서 더 이상 통하지 않습니다. 따라서 다음을 반드시 지키세요: 

• 강력한 비밀번호 정책 시행

• 암호 구문 또는 긴 무작위 비밀번호 요구

• 숫자, 문자, 기호, 대소문자를 혼합해 사용

• 반려동물 이름이나 생일 같은 개인 정보를 포함하지 않기

• 여러 플랫폼에서 비밀번호 재사용 피하기

• 좋은 비밀번호 관리자를 사용해 비밀번호를 안전하게 저장하고 관리하기

3. 네트워크 수준 방어

로그인 페이지 외부에 보호 장치를 두는 것도 필수적입니다.

• 웹 애플리케이션 방화벽(WAF) 사용 – 속도 제한, 봇 탐지, 지역 차단과 같은 메커니즘은 무차별 대입 시도를 식별하고 완화합니다.

• 로그인 포털 접근 제한 –  이를 위한 방법으로는 특정 IP만 접근을 허용하거나 VPN 접근만 허용하는 것이 있습니다.

• 로그인 실패 시도 모니터링 – 보안 정보 및 이벤트 관리(SIEM) 도구를 사용해 모니터링, 분석하고 의심스러운 사항이 있으면 경고를 받으세요.

무차별 대입 공격을 막는 데 어떤 도구가 도움이 되나요?

무료 및 유료 도구를 다양하게 사용해 무차별 대입 공격을 막는 방법을 소개합니다.

무차별 대입 공격을 받고 있는지 감지하는 방법

기본 보안 기능이 내장된 플랫폼을 사용하고 적절한 도구를 구현하면, 공격을 받고 있는지 또는 무차별 대입 공격 시도가 있었는지 감지할 수 있어야 합니다. 다음과 같은 징후를 살펴보세요:

• 로그인 실패 시도의 급증.

• 동일한 IP가 여러 번 시도하는 것과 같은 로그 이상 징후. 

• 호스팅 또는 CDN에서 보내는 보안 경고.

웹사이트에 적합한 무차별 대입 방어를 선택하는 방법

사이트에 적합한 무차별 대입 방어를 선택하는 것은 몇 가지 요소에 따라 달라집니다. 사이트를 적절히 보호하기 위한 단계는 다음과 같습니다:

1. 플랫폼 평가

사이트가 WordPress, 사이트 빌더/서비스형 소프트웨어(SaaS) 플랫폼에 호스팅되어 있나요, 아니면 완전히 직접 구축한 커스텀 백엔드인가요? 이는 구현할 수 있는 보호 유형과 그에 대한 제어 수준에 영향을 줍니다.

2. 적절한 보호 선택

플랫폼을 알고 있으니, 어떤 보호가 가장 적합한지 살펴보겠습니다: 

• WordPress – WAF, CAPTCHA, 로그인 제한이 포함된 보안 플러그인 등 사이트를 보호하는 플러그인을 쉽게 추가할 수 있습니다. 로그인 페이지 URL도 변경할 수 있습니다.

• 사이트 빌더/SaaS – 이러한 플랫폼은 보통 보안과 로그인 보호를 처리하므로, 해당 기능이 켜져 있는지 확인하세요. 일반적으로 사용자 지정은 제한적입니다.

• 커스텀 백엔드 – 서버 수준에서 속도 제한과 같은 코드를 직접 추가해야 합니다. 구현할 수 있는 항목을 완전히 제어할 수 있습니다.

3. 모든 사용자에게 MFA 추가

어떤 웹사이트 플랫폼이든, MFA가 제공하는 추가 보호 계층은 무차별 대입 방어에 필수적입니다. 

• WordPress –WP 2FA 및 Wordfence와 같은 일부 플러그인을 사용하면 모든 사용자에게 MFA를 필수로 설정할 수 있습니다.

• 사이트 빌더/ SaaS – 대부분의 최신 플랫폼은 계정 설정에서 이를 구현할 수 있는 방법을 제공해야 합니다.

• 커스텀 백엔드 – 패스키와 같은 인증 앱 또는 WebAuthn을 사용하세요.

4. 로그를 정기적으로 모니터링

모든 프로그램, 소프트웨어, 시스템, 앱은 로그라고 하는 이벤트 기록을 생성합니다. 로그인 시도 및 시스템 활동과 같은 특정 유형의 로그를 모니터링하면 모든 것이 어떻게 실행되고 있는지 파악하는 데 도움이 됩니다. 

WordPress의 경우 WP Security Activity Log 같은 플러그인을 사용하면 로그 모니터링이 쉬워집니다. 웹사이트 빌더의 경우 해당 활동 로그 섹션을 확인해야 하지만, 얼마나 자세한지는 다를 수 있습니다. 커스텀 백엔드의 경우 IP와 사용자 이름을 포함해 성공 및 실패한 로그인을 추적하는 구조화된 로그인 로그를 설정한 다음, 해당 로그를 중앙 집중화하세요. 특정 IP에서 반복 실패가 급증하는 것과 같은 의심스러운 패턴이 나타나면 경고를 트리거하거나 자동 차단을 설정하세요.

마지막 문단

이제 무차별 대입 공격이 무엇이며 무엇을 수반하는지 잘 이해하셨을 것입니다. 다행히 이러한 공격의 결과는 심각할 수 있지만 쉽게 예방할 수 있습니다. 이 글의 지침을 바탕으로 현재 로그인 보안 설정과 습관을 검토하고 필요에 따라 개선해 보세요. 방화벽부터 침입 방지까지 기본 제공 보호 기능이 있는 플랫폼에 관심이 있다면, Spaceship가 모든 호스팅 계정을 어떻게 보호하는지 살펴보세요.