아이디·비밀번호 인증, 무작위 대입 해킹에 취약

금융보안원이 비대면 금융서비스의 인증 절차를 우회하는 해킹 가능성을 분석한 결과, 아이디와 비밀번호에 의존하는 기본 인증 방식이 크리덴셜 스터핑 공격에 취약한 것으로 나타났다. 금보원은 지난해 3월 관련 보고서를 내고, 해커가 다른 사이트에서 확보한 계정 정보를 여러 로그인 창에 무작위로 입력해 추가 정보를 빼내는 수법을 경고했다. 이 과정에서 간편 서비스와 공동인증이 필요 없는 시스템이 상대적으로 취약한 고리로 지목됐다. 최근 신한은행 사례처럼 일부 금융사 고객 정보가 유출된 뒤 주민번호와 연계정보 등 추가 정보까지 탈취되는 피해가 발생한 바 있으며, 금융당국은 외부에 노출된 IT 자산과 인증·접근통제 체계를 전면 점검하라고 주문했다.