2026.01.12 국내 소규모 웹사이트 표적 개인정보 유출 및 크리덴셜 스터핑 위협 보고서

요약

• 보안이 취약한 국내 소규모 웹사이트를 연쇄적으로 침해하여 탈취한 개인정보를 다크웹에 유통하는 사례가 지속 발생
• 탈취된 과거의 ID와 비밀번호를 다른 서비스에 무작위 대입하여 계정을 탈취하는 크리덴셜 스터핑(Credential Stuffing) 공격이 2차 피해의 핵심 요인으로 분석
• 구형 시스템(Legacy System) 방치와 사용자들의 중복 비밀번호 사용 습관이 결합되어 대규모 계정 탈취 위협이 심화되는 양상

---

 

피해규모

• 영향 대상: 국내 다수 기관 및 소규모 웹사이트 이용자 전반
• 데이터 유출 항목: 이름, 생년월일, 아이디, 비밀번호, 과거 전화번호(011, 016, 019 등) 및 2024년 최신 정보 포함
• 잠재적 피해 범위: 한국재정정보원에 따르면 100만 건의 정보 유출 시 약 10만 명에서 20만 명 규모의 추가 계정 탈취 피해 발생 가능성이 존재
• 금전적 피해액: 현재 구체적인 액수는 확인 불가하나 다크웹 내 데이터 판매 및 2차 금융 범죄 활용 가능성이 높음.

---

 

원인

• 기술적 취약점: 보안 업데이트가 중단되거나 관리되지 않은 레거시(Legacy, 과거 제작된 구형) 시스템의 보안 허점 노출.
• 공격 수법: 사용자가 여러 사이트에서 동일한 계정 정보를 재사용하는 점을 악용하여 탈취한 정보를 타 사이트에 무차별 대입하는 크리덴셜 스터핑 기법 활용
• 관리적 결함: 미사용 구형 시스템의 즉각적인 폐기 절차 미비 및 관리자 계정에 대한 이중 인증(MFA, Multi-Factor Authentication) 등 필수 보안 장치 부재
• 기회주의적 전략: 해커가 보안이 강력한 대형 사이트 대신 상대적으로 방어가 취약한 소규모 웹사이트를 연쇄 침해 경로로 선택